Pogreške provjere autentičnosti Kerberos i NTLM zbog dupliciranih SID-ova

Simptomi 

Na uređajima s dupliciranim sigurnosnim ID-jevima (SID-ovima) mogli biste naići na neuspjehe provjere autentičnosti Kerberos i New Technology LAN Manager (NTLM). Taj se problem može pojaviti u Windows 11, verziji 24H2, Windows 11, verziji 25H2 i Windows Server 2025 nakon instalacije ažuriranja sustava Windows objavljenih na i nakon: 

• 29. kolovoza 2025. – KB5064081 (međuverzija OS-a 26100.5074)

• 9. rujna 2025. – KB5065426 (međuverzija OS-a 26100.6584)

Ti se neuspjeli pokušaji provjere autentičnosti mogu manifestirati kao različiti simptomi, uključujući sljedeće: 

• Od korisnika se više puta traži unos vjerodajnica.

• Zahtjevi za pristup s valjanim vjerodajnicama ne uspijevaju uz pogreške na zaslonu, kao što su:

  • Pokušaj prijave nije uspio.

  • Prijava nije uspjela/vjerodajnice nisu funkcionirale.

  • U ID-u računala postoji djelomična nepodudaranje.

  • Korisničko ime ili lozinka nisu točni.

• Zajedničkim mrežnim mapama nije moguće pristupiti putem IP adrese ili naziva glavnog računala.

• Veze s udaljenom radnom površinom ne mogu se uspostaviti, uključujući sesije protokola Remote Desktop Protocol (RDP) pokrenute putem rješenja upravljanja povlaštenim pristupom (PAM) ili alata drugih proizvođača.

• Klasteriranje u slučaju pogreške ne uspijeva uz pogrešku "pristup je odbijen".

• Preglednik događaja može prikazati jednu od sljedećih pogrešaka u zapisnicima sustava Windows:

  • Sigurnosni zapisnik sadrži pogrešku SEC_E_NO_CREDENTIALS pogreške.

  • Zapisnik sustava sadrži ID događaja local Security Authority Server Service (lsasrv.dll): 6167 s tekstom poruke:

    U ID-u računala postoji djelomična nepodudaranje. To znači da je ulaznica manipulirana ili pripada drugoj sesiji pokretanja.

Uzrok

Ažuriranja sustava Windows objavljena 29. kolovoza 2025. i nakon njih obuhvaćaju dodatne sigurnosne zaštite koje nameću provjere ID-ova, što uzrokuje neuspjeh provjere autentičnosti kada uređaji imaju duplicirane SID-ove. Ova promjena dizajna blokira rukovanje provjerom autentičnosti između takvih uređaja. ID događaja local Security Authority Server Service (lsasrv.dll) identificira zahtjeve za provjeru autentičnosti koji se odnose na te sigurnosne zaštite: 6167 u zapisniku događaja sustava. 

Duplicirani ID-ovi mogu se stvoriti prilikom izvođenja nepodržanog kloniranja ili dupliciranja instalacije sustava Windows bez pokretanja alata Sysprep. Jedinstvenost SID-a koju je omogućio Sysprep potrebna je za dupliciranje OS-a u verzijama Windows 11, 24H2 i 25H2 i Windows Server 2025 nakon instalacije ažuriranja sustava Windows 29. kolovoza 2025. i nakon njega. 

Dodatne informacije potražite u članku Microsoftov pravilnik za dupliciranje diska instalacija sustava Windows. 

Rješenje

Za trajnu razlučivost uređaji koji sadrže duplicirane SID-ove morat će se ponovno izgraditi pomoću podržanih metoda kloniranja ili dupliciranja instalacije sustava Windows tako da imaju jedinstvene SID-ove. 

IT administratori mogu privremeno riješiti taj problem instaliranjem i konfiguriranjem posebne pravilnik grupe. Za dobivanje ove posebne pravilnik grupe, obratite se Microsoftovoj podršci za tvrtke.