KB5020276 – Netjoin: promjene očjenjivanja pridruživanja domeni

Sažetak

Ažuriranja sustava Windows objavljena 11. listopada 2022. i nakon toga sadrže dodatne zaštite koje je uveo CVE-2022-38042. Te zaštite namjerno onemogunjuju operacijama pridruživanja domeni ponovno korištenje postojećeg računa računala u ciljnoj domeni, osim ako:

• Korisnik koji je pokušao operaciju autor je postojećeg računa.

  Ili

• Računalo je stvorio član administratora domene.

  Ili

• Vlasnik računa računala koji se ponovno koristi član je kontrolera domene: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni." pravilnik grupe postavku. Za tu je postavku potrebna instalacija ažuriranja sustava Windows objavljenih 14. ožujka 2023. ili kasnije na svim računalima i domenski kontrolerima.

Ažuriranja objavljen 14. ožujka 2023. i 12. rujna 2023. pružit će dodatne mogućnosti zahvaćenim korisnicima u sustavu Windows Server 2012 R2 i novijim i svim podržanim klijentima. Dodatne informacije potražite u odjeljcima Ponašanje od 11. listopada 2022 . i Radnja . 

Ponašanje prije 11. listopada 2022.

Prije nego što instalirate kumulativna ažuriranja od 11. listopada 2022. ili novija, klijentsko računalo upitit će Active Directory za postojeći račun s istim nazivom. Taj se upit pojavljuje tijekom pridruživanja domeni i dodjele resursa računu računala. Ako takav račun postoji, klijent će ga automatski pokušati ponovno koristiti.

Napomena Pokušaj ponovnog korištenja neće uspjeti ako korisnik koji pokuša operaciju pridruživanja domeni nema odgovarajuće dozvole za pisanje. No ako korisnik ima dovoljno dozvola, pridruživanje domeni će uspjeti.

Dva su scenarija za pridruživanje domeni s odgovarajućim zadanim ponašanjem i zastavicama na sljedeći način:

• Pridruživanje domeni (NetJoinDomain)

  • Zadano ponovno korištenje računa (osim ako NETSETUP_NO_ACCT_REUSE navedena zastavica)

• Dodjela resursa računu (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Zadano na NE ponovno korištenje ( osim NETSETUP_PROVISION_REUSE_ACCOUNT nije navedeno.)

Ponašanje 11. listopada 2022. 

Kada instalirate kumulativna ažuriranja sustava Windows od 11. listopada 2022. ili novija na klijentskom računalu, tijekom pridruživanja domeni klijent će provesti dodatne sigurnosne provjere prije ponovnog korištenja postojećeg računa računala. Algoritam:

1. Pokušaj ponovnog korištenja računa bit će dopušten ako je korisnik koji pokušava izvesti operaciju autor postojećeg računa.

2. Pokušaj ponovnog korištenja računa bit će dopušten ako je račun stvorio član administratora domene.

Te se dodatne sigurnosne provjere izvršavaju prije pokušaja pridruživanja računalu. Ako su provjere uspješne, ostatak operacije pridruživanja podliježe dozvolama servisa Active Directory kao i prije.

Ta promjena ne utječe na nove račune.

Napomena Nakon instalacije kumulativnih ažuriranja za Windows od 11. listopada 2022. ili novije verzije, ponovno korištenje domene s računom računala možda neće uspjeti uz sljedeću pogrešku:

Pogreška 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Račun s istim nazivom postoji u servisu Active Directory. Ponovno korištenje računa blokirano je sigurnosnim pravilnikom."

Ako je tako, račun je namjerno zaštićen novim ponašanjem.

ID događaja 4101 aktivirat će se kada se pojavi pogreška iznad i problem će se prijaviti u c:\windows\debug\netsetup.log. Slijedite korake u nastavku u odjeljku Poduzmi radnju da biste razumjeli neuspjeh i riješili problem.

14. ožujka 2023.

U ažuriranjima sustava Windows objavljenima 14. ožujka 2023. ili kasnije unijeli smo nekoliko promjena u otegu sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli 11. listopada 2022.

Najprije smo proširili opseg grupa koje su izuzete od tog oteživanja. Osim administratora domene, administratori u tvrtki ili ustanovi i grupe ugrađenih administratora sada su izuzeti iz provjere vlasništva.

Drugo, implementirani smo novu pravilnik grupe postavke. Administratori ga mogu koristiti tako da navedu popis dopuštenih vlasnika računa pouzdanih računala. Račun računala zaobilazi sigurnosnu provjeru ako je istinito nešto od sljedećeg:

• Račun je u vlasništvu korisnika koji je naveden kao pouzdani vlasnik u odjeljku "Domain controller: Allow computer account re-use during domain join" (Kontroler domene: dopusti ponovno korištenje računa računala tijekom pridruživanja domeni) pravilnik grupe.

• Račun je u vlasništvu korisnika koji je član grupe određene kao pouzdani vlasnik u odjeljku "Domain controller: Allow computer account re-use during domain join" (Kontroler domene: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni) pravilnik grupe.

Da biste koristili tu novu pravilnik grupe, kontroler domene i računalo članova moraju dosljedno imati instalirano ažuriranje od 14. ožujka 2023. ili novije. Neki od vas možda imaju određene račune koje koristite pri automatskom stvaranju računa računala. Ako su ti računi sigurni od zloupotrebe i smatrate ih pouzdanima za stvaranje računa računala, možete ih izuzeti. I dalje ćete biti sigurni od izvorne ranjivosti umanjite ažuriranjem sustava Windows od 11. listopada 2022.

^{[rujan 2023. – Start]}

^{Ponašanje 12. rujna 2023.}

U ažuriranjima sustava Windows objavljenima 12. rujna 2023. ili kasnije izvršili smo nekoliko dodatnih promjena u poboljšanju sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli u listopadu 11. listopada 2022. i promjene od 14. ožujka 2023.

Riješili smo problem zbog kojeg pridruživanje domeni pomoću provjere autentičnosti pametne kartice nije uspjelo bez obzira na postavku pravilnika. Da bismo riješili taj problem, preostale sigurnosne provjere vratili smo na domenski kontroler. Stoga nakon sigurnosnog ažuriranja za rujan 2023. klijentska računala provjeravaju autentičnost SAMRPC poziva domenskom kontroleru radi provjere sigurnosne provjere valjanosti povezane s ponovnim korištenjem računa računala.

No to može uzrokovati neuspjeh pridruživanja domeni u okruženjima u kojima je postavljen sljedeći pravilnik: pristup mreži: ograničavanje klijenata radi udaljenih poziva samu.  Informacije o rješavanju tog problema potražite u odjeljku "Poznati problemi".

Planiramo i ukloniti izvornu postavku registra NetJoinLegacyAccountReuse u budućem ažuriranju sustava Windows. Ovo je uklanjanje uvjetno zakazano za ažuriranje od 13. veljače 2024. Datumi izdanja podložni su promjenama. ^{[End – rujan 2023.]}

Napomena Ako ste implementirati ključ NetJoinLegacyAccountReuse na klijentima i postavite ga na vrijednost 1, sada morate ukloniti taj ključ (ili ga postaviti na 0) da biste imali koristi od najnovijih promjena. 

Akcija

Konfigurirajte novi pravilnik popisa dopuštenih putem pravilnik grupe na domenskom kontroleru i uklonite sva naslijeđena klijentska zaobilazna rješenja. Zatim učinite sljedeće:

1. Ažuriranja od 12. rujna 2023. ili novije morate instalirati na sva računala članova i domenski kontroleri. 

2. U novom ili postojećem pravilniku grupe koji se odnosi na sve kontrolere domene konfigurirajte postavke u koracima u nastavku.

3. U odjeljku Konfiguracija računala\Pravilnici\Postavke sustava Windows\Sigurnosne postavke\Lokalni pravilnici\ Sigurnosne mogućnosti dvokliknite Domenski kontroler: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni.

4. Odaberite Definiraj ovu postavku pravilnika i <Uređivanje sigurnosti...>.

5. Pomoću alata za odabir objekata korisnicima ili grupama pouzdanih autora računa i vlasnika računala dodajte dozvolu Dopusti . (Preporučujemo da kao najbolju praksu koristite grupe za dozvole.) Nemojte dodavati korisnički račun koji izvodi pridruživanje domeni.

   Upozorenje: Ograničite članstvo na pravilnik na pouzdane korisnike i račune servisa. U pravilnik nemojte dodavati provjerene korisnike, sve ili druge velike grupe. Umjesto toga dodajte određene pouzdane korisnike i račune servisa u grupe i dodajte te grupe u pravilnik.

6. Pričekajte da se pravilnik grupe interval osvježavanja ili pokrenite gpupdate /force na svim domenski kontrolerima.

7. Provjerite je li ključ registra HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" popunjen željenim SDDL-om. Registar nemojte ručno uređivati.

8. Pokušajte se pridružiti računalu na kojem su instalirana ažuriranja od 12. rujna 2023. ili novija. Provjerite je li jedan od računa navedenih u pravilniku vlasnik računa računala. Provjerite i nije li u registru omogućen ključ NetJoinLegacyAccountReuse (postavljen na 1). Ako pridruživanje domeni ne uspije, provjerite c:\windows\debug\netsetup.log.

Ako vam je i dalje potrebno alternativno zaobilazno rješenje, pregledajte tijekove rada za dodjelu resursa računa računala i provjerite jesu li potrebne promjene. 

1. Operaciju pridruživanja provedite pomoću istog računa koji je stvorio račun računala u ciljnoj domeni.

2. Ako je postojeći račun u mirovanju (ne koristi se), izbrišite ga prije ponovnog pokušaja pridruživanja domeni.

3. Preimenujte računalo i pridružite se pomoću drugog računa koji već ne postoji.

4. Ako je postojeći račun u vlasništvu pouzdanog upravitelja sigurnosti i administrator želi ponovno koristiti račun, slijedite upute u odjeljku Poduzmi akciju da biste instalirali ažuriranja za Rujan 2023. ili novije verzije sustava Windows i konfigurirali popis dopuštenih.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Poznati problemi

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac