לא ניתן להיכנס לאחר שינוי הסיסמה של חשבון מחשב בסביבת Windows server 2012 R2 או Windows Server 2016 ו-Windows Server 2003

תופעות

שקול את התרחיש הבא:

• יש לך בקרי תחום שבהם פועל Windows Server 2003-base בתחום והוסף את בקר התחום של Windows Server 2012 R2 או Windows Server 2016 לתחום זה.

• יש לך מחשב המצורף לתחום המאמת כנגד בקר תחום המבוסס על Windows Server 2003, ולאחר מכן המחשב מאמת כנגד בקר תחום מבוסס-R2 של Windows Server 2012 R2.

• עליך להיכנס למחשב ולשנות את הסיסמה של חשבון המחשב פעמיים.

• היכנס שוב למחשב.

בתרחיש זה, אתה מקבל את הודעת השגיאה הבאה:

סיבה

לקוח Kerberos תלוי במלח מתוך מרכז ההפצה המרכזית (KDC) כדי ליצור את מפתחות תקן ההצפנה המתקדמת (AES) בצד הלקוח. מקשי AES אלה משמשים כדי לבצע hash של הסיסמה שהמשתמש מזין בלקוח, ולהגן על הסיסמה במהלך המעבר מעל הכבל כדי שלא ניתן יהיה ליירט אותה ולפענח את הסיסמה. המלח מתייחס למידע המוזן לתוך האלגוריתם המשמש ליצירת המקשים כדי ש-KDC יוכל לאמת את קוד ה-hash של הסיסמה ולהנפיק כרטיסים למשתמש. בעת הוספת בקר תחום של Windows 2012 R2 לסביבה שבה בקרי תחום של Windows Server 2003 מופיעים, קיימת אי-התאמה בסוגי ההצפנה הנתמכים ב-KDCs ומשמשים לצורך מימוש במלח. בקרי התחום של windows Server אינם תומכים ב-AES ול-Windows Server 2012 R2 בקרי תחום אינם תומכים בתקן הצפנת נתונים (DES) לצורך מלחים.

כיצד להשיג עדכון זה או תיקון חם זה

כדי לפתור בעיה זו, הפצנו תיקון חם ואוסף עדכונים עבור Windows Server 2012 R2 שבו מותקן Active Directory. לפני התקנת תיקון חם זה, בדוק את הדרישה המיותרת של התיקון החם. אוסף העדכונים מתקן בעיות רבות אחרות בנוסף לבעיה שבה תיקוני התיקון החם. אנו ממליצים להשתמש באוסף העדכונים. אוסף העדכונים גדול מהתיקון החם. לכן, לוקח זמן רב יותר להוריד את אוסף העדכונים.

הערה לאחר התקנת העדכון, מומלץ להפעיל מחדש את כל מחשבי הלקוח התומכים בהצפנת תקן הצפנה מתקדמת (AES). זהו כדי לשחזר את הלקוחות אם הם הופעלו מחדש בעבר כנגד בקר תחום של Windows Server 2012 R2 שהעדכון אינו מותקן בו.

מצב

Microsoft אישרה שזוהי בעיה במוצרי Microsoft המופיעים בסעיף "חל על".