תאריך פרסום מקורי: 14 ביולי 2026
מזהה KB: 5121391
במאמר זה
- Summary
- נקוט פעולה
- השינויים הצפויים במצב המאובטח
- ביטול ההצטרפות לתיקון אוטומטי
- אירוע כשל בעלות (מזהה אירוע 1137)
- שמירת ה- SDDL הקודם (מומלץ)
- כיצד לשחזר את ACL הקודם
- הפניות לאירועים
- יומן רישום שינויים
סיכום
רשימת בקרת הגישה (ACL) בגורם המכיל מנהל מפתחות מבוזר (DKM) נכנסה לשלב ההקשחה הראשון שלה עם עדכון האבטחה של Windows מ- 14 ביולי 2026, שהציג זיהוי אוטומטי של רשימות בקרת גישה לא מאובטחות ומנגנון תיקון הסכמה.
החל מעדכון האבטחה של Windows מ- 13 באוקטובר 2026, AD FS מתקן באופן אוטומטי רשימות בקרת גישה של גורם מכיל DKM לא מאובטח כברירת מחדל. מנהלי מערכת יכולים לבטל את הצטרפותם על-ידי הגדרת RemediateDkmAcl ל- 0. מאמץ הקשחה זה מטפל בהעלאת רמת הרשאה (EOP) שיכולה לנבוע מהפגיעות המתועדת ב- CVE-2026-56155 | פגיעות העלאת רמת הרשאה של Active Directory Federation Services.
לסיכום, Active Directory Federation Services (AD FS) מסתמך על הגורם המכיל DKM כדי לאחסן את המפתחות הסימטריים המשמשים להגנה על אישורי חתימת אסימונים והצפנת אסימונים עבור מפתחות פרטיים. אם ה-ACL של הגורם המכיל מתירני מדי, תוקף עם גישת קריאה לחומר מפתח DKM יכול לפענח את המפתחות הפרטיים של חתימת האסימון.
נקוט פעולה
כדי להגן על הסביבה שלך, בצע את השלבים הבאים:
- התקן את עדכון האבטחה המתאים של Windows שפורסם ב- 13 באוקטובר 2026 או לאחר מכן בכל שרתי AD FS.
חשוב
לפני התקנת עדכון האבטחה, קבע אם עליך לבטל את התיקון האוטומטי. ביטול ההצטרפות אינו מומלץ מכיוון שהוא משאיר את ACL של מיכל DKM במצב לא בטוח.
אם עליך לבטל את הצטרפותך לדרישת תאימות ספציפית, הגדר את הרישום RemediateDkmAcl ל- 0 בכל שרת AD FS בחווה לפני התקנת העדכון. הגורם המכיל של DKM הוא אובייקט Active Directory יחיד המשותף לכל שרתי AD FS בחווה, ומשימת הרקע של DKM ACL פועלת בכל שרת. אם RemediateDkmAcl חסר או מוגדר כערך שאינו אפס אפילו בשרת AD FS אחד, שרת זה יכול לתקן באופן אוטומטי את ACL של גורם מכיל DKM המשותף לאחר התקנת העדכון.
לאחר ההתקנה, שירות AD FS מבצע ביקורת ב-ACL של גורם המכיל DKM בכל פעם שהשירות מתחיל וכל 24 שעות לאחר מכן. אם ACL אינו מאובטח, AD FS מנסה לתקן באופן אוטומטי אלא אם RemediateDkmACL מוגדר ל - 0.
סקור את יומן האירועים של מרכז הניהול של AD FS עבור האירועים הבאים:
מזהה אירוע: 1133 מציין ש-ACL של גורם DKM מאובטח. לא נדרשת שום פעולה נוספת.
מזהה אירוע: 1132 מציין שה-ACL של גורם DKM אינו מאובטח ויבוצע תיקון אוטומטי. פרטי ACL נכתבים לערך אחד או יותר של מזהה אירוע 510 עוקב אחד או יותר עם אותו מזהה מופע. סקור את מזהי האירועים 1135, 1136 או 1137 לקבלת תוצאת התיקון ובצע את הפעולה הבאה בהתבסס על התוצאה.
מזהה אירוע: 1135 (התיקון הצליח) לא נדרשת פעולת תיקון נוספת. שמור את ה- ACL הקודם מתוך ערכי מזהה האירוע 510 העוקבים, כמתואר במקטע שמירת SDDL הקודם.
מזהה אירוע: 1136 (התיקון נכשל) סקור את ערכי מזהה האירוע 510 הבאים עבור ה- ACL הנוכחי ופרטי החריגה, תקן את השגיאה הבסיסית ולאחר מכן הפעל מחדש את שירות AD FS או המתן למחזור הזיהוי הבא.
מזהה אירוע: 1137 (שינוי הבעלות נכשל) הענק את הרשאות WriteOwner ו- WriteDacl של חשבון השירות AD FS על-ידי ביצוע ההנחיות עבור אירוע כשל בעלות, ולאחר מכן הפעל מחדש את שירות AD FS או המתן למחזור הזיהוי הבא.
אירועי ACL של גורם מכיל AD FS DKM
| מזהה האירוע | Type | משמעות |
|---|---|---|
| 1132 | אזהרה | ACL של גורם DKM אינו תואם למצב המאובטח הצפוי. סקור את אירועי התיקון 1135, 1136 ו- 1137. |
| 1133 | מידע | ACL של מכולת DKM נמצא במצב המאובטח הצפוי. לא נדרשת פעולה. |
| 1134 | שגיאה | משימת הזיהוי נתקלה בשגיאה (כגון כשל בקישוריות LDAP). סקור את יומני איתור הבאגים של AD FS ותקן את השגיאה הבסיסית. |
| 1135 | מידע | תיקון ACL של מכולת DKM הושלם בהצלחה. שמור את ה- SDDL הקודם. |
| 1136 | שגיאה | תיקון ACL של גורם מכיל DKM נכשל. סקור ערכי מזהה אירוע 510 בקורלציה ומעקבי איתור באגים של AD FS ותקן את השגיאה הבסיסית. |
| 1137 | שגיאה | ל- AD FS לא היתה אפשרות לקבל בעלות על הגורם המכיל DKM מאחר שלחשבון השירות אין את ההרשאות הנדרשות. הענק את ההרשאות הנדרשות |
| 510 | מידע | מכילה פרטי ACL או פרטי חריגה שגולשים ממזהי האירועים 1132, 1135 או 1136. התאם ערכים לפי מזהה מופע. |
השינויים הצפויים במצב המאובטח
לאחר התיקון, רק למנהלים הבאים תהיה גישה למיכל DKM:
| Principal | זכויות גישה |
|---|---|
| מנהלי תחומים | כללי הכל (שליטה מלאה) |
| מנהלי ארגונים | כללי הכל (שליטה מלאה) |
| מערכת | כללי הכל (שליטה מלאה) |
| חשבון שירות AD FS | קריאה, כתיבה, יצירת צאצא, כתיבת בעלים, מחיקת עץ |
הערה הירושה מושבתת וכל ה-ACE העוברים בירושה מושלכים. כל ACEs מפורשים אחרים שאינם מופיעים ברשימה לעיל יוסרו.
ביטול ההצטרפות לתיקון אוטומטי
חשוב
מקטע, שיטה או משימה אלה מכילים מידע אודות אופן שינוי הרישום. עם זאת, עלולות להתרחש בעיות חמורות אם תשנה את הרישום בצורה שגויה. לפיכך, עליך להקפיד לעקוב אחר השלבים בצורה מדויקת. לקבלת הגנה נוספת, גבה את הרישום לפני שתשנה אותו. לאחר מכן, תוכל לשחזר את הרישום במקרה של בעיה. לקבלת מידע נוסף על אופן הגיבוי והשחזור של הרישום, ראה כיצד לגבות ולשחזר את הרישום ב- Windows.
התיקון מופעל כברירת מחדל כאשר RemediateDkmAcl חסר או מוגדר כערך שאינו אפס. אם עליך לוותר על דרישת תאימות ספציפית, הגדר את הערך ל - 0 בכל שרת AD FS בחווה לפני התקנת העדכון. ביטול ההצטרפות אינו מומלץ מכיוון שהוא משאיר את ACL של מיכל DKM במצב לא בטוח.
| מידע | פרטים |
|---|---|
| מפתח רישום: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS |
| ערך: | RemediateDkmAcl |
| סוג: | DWORD |
| נתונים: | 0 |
אירוע כשל בעלות (מזהה אירוע 1137)
מזהה אירוע: 1137 מציין של- AD FS לא היתה אפשרות לקבל בעלות על הגורם המכיל של DKM מכיוון שלחשבון השירות אין את ההרשאות הנדרשות. מצב זה צפוי לרוב בחוות שנוצרו במקור ב- Windows Server 2012 או ב- Windows Server 2012 R2. במקרה זה, הענק את ההרשאות הדרושות לחשבון השירות של AD FS על-ידי ביצוע השלבים הבאים בכל שרת AD FS בחווה. אחרת, ניסיונות התיקון ימשיכו להיכשל.
זהה את ה-DN של גורם המכיל DKM:
$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer $dkmContainerDnזהה את חשבון השירות של AD FS:
$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName $serviceAccountהענק במפורש אפשר ACEs עבור WriteOwner ו-WriteDacl:
$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( $sid, ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), [System.Security.AccessControl.AccessControlType]::Allow, [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All ) $entry.ObjectSecurity.AddAccessRule($rule) $entry.CommitChanges() $entry.Close()לאחר הענקת ההרשאות הנדרשות, בצע אחת מהפעולות הבאות:
- המתן עד 24 שעות עד למחזור הזיהוי הבא
- הפעל מחדש את שירות AD FS כדי להפעיל תיקון מוקדם יותר
בעת תיקון מוצלח, מזהה אירוע: 1135 (מידע) נרשם עם ה- ACL הקודם בתבנית SDDL.
שמירת ה- SDDL הקודם (מומלץ)
כאמצעי זהירות, מומלץ לשמור את ה- ACL הקודם (SDDL) ממזהה האירוע: 510 ערכים הקשורים למזהה אירוע: 1135 לאחר תיקון מוצלח. מזהה אירוע: 1135 מכיל את מזהה המופע המשמש לזיהוי מזהה האירוע הקשור: 510 ערכים. בעוד שה-ACL הקודם לא צפוי להיות נחוץ ברוב המקרים (מכיוון שההרשאות המקוריות לא היו מאובטחות), זמינותו מספקת רשת ביטחון לכל בעיות תאימות בלתי צפויות.
הערה
יומני אירועים עשויים להתגלגל עקב מגבלות גודל. אם תזדקק ל- SDDL הקודם בעתיד והאירוע הוחלף, הוא יאבד לצמיתות.
באפשרותך להעתיק ולשלב באופן ידני את ה- SDDL מתוך הערכים של מזהה האירוע: 510 שמזהה האירוע מפנה אליהם: 1135. לחלופין, השתמש בקובץ ה- Script הבא של PowerShell כדי לאסוף את מזהה האירוע המתואם: 510 ערכים ולשמור את ה- SDDL בקובץ:
New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null
$event = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 1135
} -MaxEvents 1
if ($null -eq $event) {
throw 'Event ID 1135 was not found.'
}
if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
throw 'Instance ID was not found in Event ID 1135.'
}
$instanceId = $Matches[1]
$details = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 510
StartTime = $event.TimeCreated
EndTime = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$instanceId*" } |
Sort-Object RecordId |
ForEach-Object {
if ($_.Message -match '(?s)Details:\s*(.*)$') {
$Matches[1]
}
}
if (-not $details) {
throw "No Event ID 510 entries were found for Instance ID $instanceId."
}
[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())
כיצד לשחזר את ACL הקודם
אם אתה נתקל בבעיות לאחר התיקון ועליך לחזור ל- ACL הקודם:
# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>"
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>”
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn")
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All)
$entry.CommitChanges()
$entry.Close()
הערה
פקודה זו דורשת שהחשבון המפעיל אותה יהיה בעל SeSecurityPrivilege (בדרך כלל למנהלי תחומים יש את זה). הפעל זאת מהפעלת PowerShell עם הרשאות מלאות במחשב המצורף לתחום.
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord
לאחר השחזור, הגדר את RemediateDkmAcl = 0 בכל שרת AD FS בחווה כדי למנוע מהשירות לבצע תיקון מחדש במחזור הבא.
הפניות לאירועים
מזהה אירוע: 1132 - ACL של גורם DKM דורש סקירה
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | אזהרה |
| מקור האירוע | AD FS |
| מזהה האירוע | 1132 |
| טקסט האירוע | AD FS זיהה ש-ACL של הגורם המכיל 'מנהל מפתחות מבוזרים' (DKM) אינו תואם למצב המאובטח הצפוי. הגורם המכיל DKM מאחסן מפתחות סימטריים המשמשים להגנה על חומר מפתח לחתימת אסימון. מיכל DN: <ד.נ.> המצב המאובטח הצפוי הוא העברה בירושה לא זמינה, ורק למנהלי תחומים, מנהלי ארגון, SYSTEM וחשבון השירות AD FS יש גישה. AD FS ינסה לתקן את ACL באופן אוטומטי. התיקון פועל מיד וכל 24 שעות לאחר מכן עד שה-ACL תואם את המצב הבטוח הצפוי. ראה אירוע 1135 (התיקון הצליח) או אירוע 1136/1137 (התיקון נכשל) לקבלת התוצאה. אם ברצונך לבטל את ההצטרפות לתיקון האוטומטי, הגדר את HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ל-0. לקבלת הדרכה, ראה https://go.microsoft.com/fwlink/?linkid=2369796. נתונים נוספים ירושה מושבתת: <כן/לא> ACL נוכחי (SDDL): ראה ערכי אירוע 510 באמצעות מזהה מופע: <מזהה מופע> |
מזהה אירוע: 1133 - ACL של מיכל DKM תקין
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | מידע |
| מקור האירוע | AD FS |
| מזהה האירוע | 1133 |
| טקסט האירוע | משימת הרקע של DKM ACL סקרה את ה-ACL של המכולה להקשחת אבטחה. הגורם המכיל כולל את ההגדרות הנכונות ולא נדרשת פעולה נוספת. מיכל DN: <ד.נ.> |
מזהה אירוע: 1134 - שגיאת זיהוי
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | שגיאה |
| מקור האירוע | AD FS |
| מזהה האירוע | 1134 |
| טקסט האירוע | המשימה בדיקת רקע של ACL של גורם מכיל AD FS נתקלה בשגיאה. מיכל DN: <ד.נ.> נתונים נוספים פרטי חריגה: <חריגה> פעולת משתמש עיין ביומני איתור הבאגים של AD FS לקבלת פרטים נוספים. ודא שלחשבון השירות של AD FS יש גישה לגורם המכיל של קבוצת DKM ב- Active Directory. |
מזהה אירוע: 1135 — התיקון הצליח
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | מידע |
| מקור האירוע | AD FS |
| מזהה האירוע | 1135 |
| טקסט האירוע | AD FS הקשיח בהצלחה את ACL של גורם מכיל Distributed Key Manager (DKM). מיכל DN: <ד.נ.> ACL הגורם המכיל מעניק כעת גישה רק למנהלי תחום, למנהלי מערכת ארגוניים, למערכת ולחשבון השירות AD FS. ההעברה בירושה נחסמה, וכל שאר ההרשאות הוסרו. הערה: תיקון אוטומטי לא יפעל שוב כל זמן שה-ACL תואם לבסיס השורה. אם ברצונך לבטל לצמיתות את התיקון האוטומטי גם אם ה- ACL נסחף בעתיד, הגדר את HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ל- 0. ה-ACL הקודם כלול בתבנית SDDL להלן. אם עליך לשחזר את ההרשאות המקוריות, ראה https://go.microsoft.com/fwlink/?linkid=2369796 נתונים נוספים ACL (SDDL) קודם: ראה ערכי אירוע 510 באמצעות מזהה מופע: <מזהה מופע> |
מזהה אירוע: 1136 — התיקון נכשל
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | שגיאה |
| מקור האירוע | AD FS |
| מזהה האירוע | 1136 |
| טקסט האירוע | AD FS ניסה לתקן את ACL של גורם מכיל Distributed Key Manager (DKM) אך נכשל. מיכל DN: <ד.נ.> פעולת משתמש: תיקון אוטומטי ינסה שוב במחזור הזיהוי הבא (בתוך 24 שעות). אם אתה מעדיף לתקן את ACL באופן ידני, סקור ותקן ACEs בגורם המכיל של קבוצת DKM. רק למנהלי תחומים, למנהלי מערכת, למערכת ולחשבון השירות של AD FS צריכה להיות גישה. כדי להפוך את התיקון האוטומטי ללא זמין, הגדר את HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ל-0. לקבלת הדרכה, ראה https://go.microsoft.com/fwlink/?linkid=2369796 נתונים נוספים ACL נוכחי (SDDL) ופרטי חריגה: ראה ערכי אירוע 510 באמצעות מזהה מופע: <מזהה מופע> |
מזהה אירוע: 1137 - כשל בשינוי בעלות
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | שגיאה |
| מקור האירוע | AD FS |
| מזהה האירוע | 1137 |
| טקסט האירוע | AD FS ניסה לתקן את ACL של הגורם המכיל 'מנהל מפתחות מבוזר' (DKM), אך לא הצליח לקבל בעלות מאחר שחשבון השירות של AD FS אינו כולל את ההרשאות הנדרשות. הדבר צפוי עבור חוות שנוצרו במקור ב- Windows Server 2012 או ב- Windows Server 2012 R2. מיכל DN: <ד.נ.> פעולת משתמש הענק את ההרשאות הדרושות לחשבון השירות AD FS כדי שהתיקון יצליח. התיקון האוטומטי ינסה שנית במחזור הזיהוי הבא (בתוך 24 שעות) או בעת ההפעלה מחדש של השירות. אם אתה מעדיף לתקן את ACL באופן ידני, סקור ותקן ACEs בגורם המכיל של קבוצת DKM. רק למנהלי תחומים, למנהלי מערכת, למערכת ולחשבון השירות של AD FS צריכה להיות גישה. כדי להפוך את התיקון האוטומטי ללא זמין, הגדר את HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) ל-0. לקבלת הדרכה, ראה https://go.microsoft.com/fwlink/?linkid=2369796 |
מזהה אירוע: 510 — מידע נוסף אודות ACL
| מידע | פרטים |
|---|---|
| יומן אירועים | AD FS/מרכז הניהול |
| סוגי אירוע | מידע |
| מקור האירוע | AD FS |
| מזהה האירוע | 510 |
| טקסט האירוע | מידע נוסף עבור ערך האירוע עם מזהה מופע. ייתכן שיהיו אירועים נוספים עם אותו מזהה מופע עם מידע נוסף. מזהה מופע: <מזהה מופע> פרטים: <ACL או מקטע פרטי חריגה> עבור רשימות בקרת גישה (ACL) גדולות, ניתן לרשום ערכי מזהה אירוע מרובים 510. מזהה האירוע הקשור 1132, 1135 או 1136 נרשם ראשון, ואחריו ערכי מזהה האירוע 510 עם אותו מזהה מופע. |
יומן רישום שינויים
| שנה תאריך | תיאור השינוי |
|---|---|
| 13 באוקטובר 2026 |
|