Kerberos- és NTLM-hitelesítési hibák duplikált SID-k miatt

Tünetek 

Előfordulhat, hogy a Kerberos és a New Technology LAN Manager (NTLM) hitelesítési hibáit tapasztalja az olyan eszközökön, amelyek duplikált biztonsági azonosítókkal (SID-kkel) rendelkeznek. Ez a probléma Windows 11, 24H2-es, Windows 11-es, 25H2-es és Windows Server 2025-ös verzióban fordulhat elő, miután telepítette az alábbi windowsos frissítéseket: 

• 2025. augusztus 29. – KB5064081 (operációsrendszer-build: 26100.5074)- előzetes

• 2025. szeptember 9. – KB5065426 (operációsrendszer-build: 26100.6584)

Ezek a hitelesítési hibák számos tünetként jelentkezhetnek, például: 

• A rendszer ismétlődően kéri a felhasználóktól a hitelesítő adatokat.

• Az érvényes hitelesítő adatokkal rendelkező hozzáférési kérelmek képernyőbeli hibákkal meghiúsulnak, például:

  • Sikertelen bejelentkezési kísérlet.

  • A bejelentkezés sikertelen volt/a hitelesítő adatai nem működtek.

  • Részleges eltérés van a gépazonosítóban.

  • A felhasználónév vagy a jelszó helytelen.

• A megosztott hálózati mappák nem érhetők el IP-címen vagy állomásnéven keresztül.

• Nem hozhatók létre távoli asztali kapcsolatok, beleértve a Privileged Access Management -megoldásokkal vagy külső eszközökkel kezdeményezett RDP-munkameneteket.

• A feladatátvételi fürtszolgáltatás "hozzáférés megtagadva" hibával meghiúsul.

• eseménymegtekintő az alábbi hibák valamelyikét jelenítheti meg a Windows-naplókban:

  • A biztonsági napló tartalmazza a SEC_E_NO_CREDENTIALS hibát.

  • A rendszernapló a következő üzenetet tartalmazza: Local Security Authority Server Service (lsasrv.dll) Eseményazonosító: 6167:

    Részleges eltérés van a gépazonosítóban. Ez azt jelzi, hogy a jegyet módosították, vagy egy másik rendszerindítási munkamenethez tartozik.

Ok

A 2025. augusztus 29-én és azt követően kiadott Windows-frissítések további biztonsági védelmet tartalmaznak, amelyek ellenőrzik az SID-ket, ami a hitelesítés sikertelenségéhez vezet, ha az eszközök ismétlődő SID-kkel rendelkeznek. Ez a kialakítás-módosítás letiltja a hitelesítési kézfogásokat az ilyen eszközök között. A biztonsági védelemmel kapcsolatos sikertelen hitelesítési kéréseket a Helyi biztonsági szolgáltató kiszolgálószolgáltatás (lsasrv.dll) eseményazonosítója azonosítja: 6167 a rendszer eseménynaplójában. 

Duplikált SID-k akkor hozhatók létre, ha a Windows-telepítés nem támogatott klónozását vagy duplikálását hajtja végre a Sysprep futtatása nélkül. A Sysprep által engedélyezett SID-egyediség szükséges az operációs rendszer duplikációjához a Windows 11, a 24H2 és a 25H2 verzióban, valamint Windows Server 2025-ben a Windows-frissítések 2025. augusztus 29-i és utáni telepítése után. 

További információ: A Windows-telepítések lemezkettőzményeire vonatkozó Microsoft-szabályzat. 

Megoldás

Az állandó megoldás érdekében a duplikált SID-ket tartalmazó eszközöket újra kell felépíteni a Windows-telepítés klónozásának vagy duplikálásának támogatott módszereivel , hogy egyedi SID-kkel rendelkezzenek. 

A rendszergazdák ideiglenesen megoldhatják ezt a problémát egy speciális Csoportházirend telepítésével és konfigurálásával. A speciális Csoportházirend beszerzéséhez forduljon a Microsoft vállalati támogatási szolgálatához.