KB5014754: A tanúsítványalapú hitelesítés változásai a Windows tartományvezérlőkön

Nem található erős tanúsítványleképezés, és a tanúsítvány nem rendelkezett a KDC által ellenőrzött új biztonsági azonosító (SID) kiterjesztéssel.

A tanúsítványt azelőtt állították ki a felhasználónak, hogy a felhasználó létezett volna az Active Directoryban, és nem található erős hozzárendelés. Ezt az eseményt csak akkor naplózza a rendszer, ha a fő teljesítményvezérlő kompatibilitási módban van.

A felhasználói tanúsítvány új kiterjesztésében található biztonsági azonosító nem egyezik meg a felhasználó biztonsági azonosítójával, ami arra utal, hogy a tanúsítványt egy másik felhasználónak állították ki.

Megjegyzés Bizonyos mezők, például a Kibocsátó, a Tárgy és a Sorozatszám "továbbítási" formátumban jelennek meg. Ezt a formátumot meg kell fordítania, amikor hozzárendelési karakterláncot ad az altSecurityIdentities attribútumhoz. Ha például az X509IssuerSerialNumber megfeleltetést hozzá szeretné adni egy felhasználóhoz, keressen a felhasználóhoz hozzárendelni kívánt tanúsítvány "Issuer" és "Serial Number" mezőiben. Tekintse meg az alábbi mintakimenetet.

• Kibocsátó: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Sorozatszám: 2B0000000011AC0000000012

Ezután frissítse a felhasználó altSecurityIdentities attribútumát az Active Directoryban a következő karakterlánccal:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Az attribútum PowerShell-lel való frissítéséhez használja az alábbi parancsot. Ne feledje, hogy alapértelmezés szerint csak a tartományi rendszergazdák rendelkeznek engedéllyel az attribútum frissítésére.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Ne feledje, hogy a SerialNumber megfordításakor meg kell tartania a bájtsorrendet. Ez azt jelenti, hogy az "A1B2C3" sorozatszám megfordítása a "C3B2A1" karakterláncot eredményezi, nem pedig a "3C2B1A" karakterláncot. További információ: Útmutató: Felhasználó leképezése tanúsítványra az altSecurityIdentities attribútumban elérhető összes metódussal.

Miután telepítette a 2022. május 10-i Windows-frissítéseket, az eszközök kompatibilitási módba kerülnek. Ha egy tanúsítvány pontosan hozzárendelhető egy felhasználóhoz, a hitelesítés a várt módon megy végbe. Ha egy tanúsítványt csak gyengén lehet hozzárendelni egy felhasználóhoz, a hitelesítés a várt módon történik. A rendszer azonban figyelmeztető üzenetet küld, hacsak a tanúsítvány nem régebbi a felhasználónál. Ha a tanúsítvány régebbi a felhasználónál, és a tanúsítványok visszadátumolási rendszerleíró kulcsa nem található vagy a tartomány kívül esik a visszadátumozási kompenzáción, a hitelesítés sikertelen lesz, és hibaüzenet kerül naplózásra.  Ha a tanúsítványok visszadátumozási rendszerleíró kulcsa be van állítva, akkor figyelmeztető üzenetet fog naplózni az eseménynaplóba, ha a dátumok a visszamenőleges dátumok kompenzációján belülre esnek.

A 2022. május 10-i Windows-frissítések telepítése után figyelje, hogy vannak-e olyan figyelmeztető üzenetek, amelyek egy hónap vagy több idő elteltével jelenhetnek meg. Ha nem jelenik meg figyelmeztető üzenet, javasoljuk, hogy engedélyezze a teljes érvényesítési módot minden tanúsítványalapú hitelesítést használó tartományvezérlőn. A KDC beállításkulcsával engedélyezheti a teljes érvényesítési módot.

Hacsak korábban nem frissítette naplózási vagy kényszerítési módra a StrongCertificateBindingEnforcement beállításkulcs használatával, a tartományvezérlők a 2025. februári Windows biztonsági frissítés telepítésekor teljes kényszerítési módba kerülnek. A rendszer megtagadja a hitelesítést, ha a tanúsítványt nem lehet pontosan megfeleltetni. A kompatibilitási módba való visszatérés lehetősége a 2025. szeptember 9-i Windows biztonsági frissítés telepítéséig megmarad. Ezt a dátumot követően a StrongCertificateBindingEnforcement beállításkulcs támogatása megszűnik

Ha a tanúsítványalapú hitelesítés olyan gyenge leképezésre támaszkodik, amelyet nem lehet áthelyezni a környezetből, a tartományvezérlőket egy beállításkulcs-beállítással korlátozott módba helyezheti. A Microsoft ezt nem javasolja , és 2023. április 11-én eltávolítjuk a letiltott módot.

Miután telepítette a 2024. február 13-i vagy újabb Windows-frissítéseket a Server 2019-es és újabb kiszolgálókon, és támogatta az RSAT választható funkcióval rendelkező ügyfeleket, az Active Directory felhasználói & számítógépek tanúsítványleképezése alapértelmezés szerint az X509IssuerSerialNumber használatával történő erős leképezést választja az X509IssuerSubject szerinti gyenge leképezés helyett. A beállítás ennek ellenére tetszés szerint módosítható.

Tünetek

A Microsoft jelentéseket kapott arról, hogy a "Számítógép konfigurációja>,felügyeleti sablonjai>, rendszer-Csoportházirend>konfigurálása, beállításjegyzék-házirend feldolgozásának konfigurálása a Csoportházirend objektum alatt található "Folyamat, még akkor is, ha a Csoportházirend objektumai nem változtak" beállítás>" időnként zavarhatja a tartományvezérlők névalapú leképezéseit.

Kerülő megoldás

A probléma kerülő megoldásához tiltsa le a "Folyamat, még akkor is, ha a Csoportházirend objektumai nem változtak" beállítást a tartományvezérlőkön. Csak akkor tegye ezt meg, ha a "Számítógép konfigurációja>, felügyeleti sablonjai>,rendszer,>KDC,>névalapú erős hozzárendelések engedélyezése tanúsítványokhoz" Csoportházirend szerinti névalapú leképezésekre van szükség. További információ: Erős névalapú leképezés engedélyezése kormányzati forgatókönyvekben.

Következő lépés

Vizsgáljuk ezeket a jelentéseket, és további információval szolgálunk, amint elérhetővé válnak.

• A Kerberos operatív naplója segítségével állapítsa meg az adott számítógépen, hogy melyik tartományvezérlő nem képes bejelentkezni. Nyissa meg az eseménymegtekintőAlkalmazás>- és szolgáltatásnaplók\Microsoft \Windows\biztonság-Kerberos\működőképes.
• Keresse meg a vonatkozó eseményeket annak a tartományvezérlőnek a rendszereseménynaplójában, amelyet a fiók hitelesíteni próbál.
• Ha a tanúsítvány régebbi a fióknál, adja ki újból azt, vagy adjon hozzá egy biztonságos altSecurityIdentities-megfeleltetést a fiókhoz (lásd: Tanúsítványleképezések).
• Ha a tanúsítvány SID-kiterjesztést tartalmaz, ellenőrizze, hogy a biztonsági azonosító megegyezik-e a fiókéval.
• Ha a tanúsítványt több különböző fiók hitelesítésére használja, minden fiókhoz külön altSecurityIdentities leképezésre van szükség.
• Ha a tanúsítvány nem rendelkezik biztonságos hozzárendeléssel a fiókhoz, vegyen fel egyet, vagy hagyja a tartományt kompatibilitási módban, amíg nem tud ilyet hozzáadni.

A TLS-tanúsítvány hozzárendelésére példa egy IIS intranetes webalkalmazás használata.

• A CVE-2022-26391 és CVE-2022-26923 védelem telepítése után ezek a forgatókönyvek alapértelmezés szerint a Kerberos Certificate Service For User (S4U) protokollt használják a tanúsítványleképezéshez és a hitelesítéshez.
• A Kerberos Certificate S4U protokollban a hitelesítési kérelem az alkalmazáskiszolgálóról a tartományvezérlőre érkezik, nem pedig az ügyfélről a tartományvezérlőre. Ezért a releváns események az alkalmazáskiszolgálón lesznek.

Ez a beállításkulcs nem lesz támogatott a 2025 szeptemberében vagy azt követően kiadott Windows-frissítések telepítése után.

Amikor egy kiszolgálói alkalmazás ügyfél-hitelesítést követel meg, a Schannel automatikusan megkísérli a TLS-ügyfél által biztosított tanúsítvány hozzárendelését egy felhasználói fiókhoz. Az ügyféltanúsítvánnyal bejelentkező felhasználók hitelesítéséhez olyan megfeleltetéseket hozhat létre, amelyek a tanúsítványadatokat egy Windows felhasználói fiókhoz kapcsolják. A tanúsítványleképezés létrehozása és engedélyezése után minden alkalommal, amikor egy ügyfél bemutat egy ügyféltanúsítványt, a kiszolgálóalkalmazás automatikusan társítja az adott felhasználót a megfelelő Windows-felhasználói fiókkal.

A Schannel az engedélyezett tanúsítványleképezési módszereket addig próbálja megfeleltetni, amíg az egyik sikeres nem lesz. A Schannel először megpróbálja megfeleltetni a Service-for-User-to-Self (S4U2Self) leképezéseket. A Subject/Issuer, a Issuer és az UPN tanúsítványmegfeleltetések mostantól gyengének minősülnek, és alapértelmezés szerint le vannak tiltva. A kijelölt beállítások bitmaszkolt összege határozza meg az elérhető tanúsítványleképezési módszerek listáját.

Az alapértelmezett SChannel beállításkulcs 0x1F volt, és most 0x18. Ha hitelesítési hibát tapasztal a Schannel-alapú kiszolgálói alkalmazásokban, javasoljuk, hogy végezzen egy tesztet. Adja hozzá vagy módosítsa a CertificateMappingMethods beállításkulcs értékét a tartományvezérlőn, és állítsa 0x1F értékre, és ellenőrizze, hogy ez megoldja-e a problémát. További információt a cikkben felsorolt hibákért ellenőrizze a tartományvezérlő rendszereseménynaplóiban. Ne feledje, hogy ha visszaállítja a SChannel beállításkulcs értékét a korábbi alapértelmezett értékre (0x1F), azzal visszatérhet a gyenge tanúsítványleképezési módszerek használatához.

További erőforrásokért és támogatásért tekintse át a "További erőforrások" című részt.

A CVE-2022-26931 és CVE-2022-26923 címkével ellátott frissítések telepítése után a hitelesítés sikertelen lehet olyan esetekben, amikor a felhasználói tanúsítványok régebbiek, mint a felhasználó létrehozási ideje. Ez a beállításkulcs lehetővé teszi a sikeres hitelesítést, ha gyenge tanúsítványleképezéseket használ a környezetben, és a tanúsítvány ideje a felhasználó létrehozási ideje előtti egy meghatározott tartományon belüli. Ez a beállításkulcs nincs hatással az erős tanúsítványleképezéssel rendelkező felhasználókra vagy gépekre, mivel a rendszer nem ellenőrzi a tanúsítvány idejét és a felhasználók létrehozásának idejét erős tanúsítványleképezésekkel. Ennek a beállításkulcsnak nincs hatása, ha a StrongCertificateBindingEnforcement értéke 2.

Ennek a beállításkulcsnak a használata egy ideiglenes kerülő megoldás olyan környezetekben, ahol szükség van rá, és körültekintően kell eljárni. A beállításkulcs használata az alábbiakat jelenti a környezetben:

• Ez a beállításkulcs csak kompatibilitási módban működik, a 2022. május 10-én kiadott frissítésekkel kezdve. A hitelesítés a visszamenőleges dátumkompenzáció eltolásán belül engedélyezett, de a gyenge kötés miatt naplózzunk egy eseménynapló-figyelmeztetést.
• Ennek a beállításkulcsnak az engedélyezése lehetővé teszi a felhasználó hitelesítését, ha a tanúsítvány ideje a felhasználó létrehozási ideje előtt van egy meghatározott tartományon belül. Ez gyenge megfeleltetés. A gyenge megfeleltetések nem lesznek támogatottak a 2025 szeptemberében vagy azt követően kiadott Windows-frissítések telepítése után.

A következő certutil paranccsal kizárhatja, hogy a felhasználói sablon tanúsítványai megkapják az új bővítményt.

1. Jelentkezzen be egy hitelesítésszolgáltatói kiszolgálóra vagy egy tartományhoz csatlakoztatott Windows 10-ügyfélre a vállalati rendszergazdai vagy azzal egyenértékű hitelesítő adatokkal.
2. Nyisson meg egy parancssort, és válassza a Futtatás rendszergazdaként lehetőséget.
3. Futtassa a certutil -dstemplate user msPKI-Enrollment-Flag + 0x00080000 parancsot.

A bővítmény hozzáadásának letiltásával eltávolítja az új bővítmény által nyújtott védelmet. Ezt csak az alábbi műveletek egyike után végezze el:

1. Megerősíti, hogy a megfelelő tanúsítványok nem fogadhatók el a nyilvános kulcsú titkosításhoz a kezdeti hitelesítéshez (PKINIT) a Kerberos protokoll hitelesítésében a KDC-nél
2. A megfelelő tanúsítványokhoz más erős tanúsítványleképezések is konfigurálva vannak

A nem Microsoft által üzembe helyezett központi telepítéssel rendelkező környezetek nem lesznek védve az új SID bővítménnyel a 2022. május 10-i Windows-frissítés telepítése után. Az érintett ügyfeleknek a megfelelő hitelesítésszolgáltatói szolgáltatókkal együttműködve kell megoldaniuk ezt a problémát, vagy fontolóra kell venniük más, fent ismertetett erős tanúsítványleképezések használatát.

További erőforrásokért és támogatásért tekintse át a "További erőforrások" című részt.

Nem, a megújítás nem kötelező. A hitelesítésszolgáltató kompatibilitási módban lesz elérhető. Ha az ObjectSID kiterjesztéssel szeretne erős megfeleltetést alkalmazni, új tanúsítványra lesz szüksége.

A 2025. február 11-i Windows-frissítésben azok az eszközök, amelyek még nincsenek kényszerítés alatt (a StrongCertificateBindingEnforcement beállításazonosító 2-re van állítva), kényszerítés alá kerülnek. A hitelesítés megtagadása esetén a 39-es eseményazonosító jelenik meg (vagy 41-es eseményazonosító a Windows Server 2008 R2 SP1 és a Windows Server 2008 SP2 rendszer esetében). Ebben a fázisban lehetősége lesz visszaállítani a beállításkulcs értékét 1-re (Kompatibilitási mód).

A 2025. szeptember 9-i Windows-frissítésben a StrongCertificateBindingEnforcement beállításazonosító támogatása megszűnik.