KB5020276—Netjoin: Perubahan pengerasan gabungan domain

Ringkasan

Pembaruan Windows yang dirilis pada dan setelah 11 Oktober 2022, berisi perlindungan tambahan yang diperkenalkan oleh CVE-2022-38042. Perlindungan ini dengan sengaja mencegah operasi penggabungan domain menggunakan kembali akun komputer yang ada di domain target, kecuali:

• Pengguna yang mencoba operasi adalah pembuat akun yang sudah ada, atau
• Komputer dibuat oleh anggota administrator domain, atau

• Pemilik akun komputer yang digunakan kembali adalah anggota "Pengontrol domain: Izinkan penggunaan kembali akun komputer selama bergabung dengan domain." Pengaturan Kebijakan Grup. Pengaturan ini memerlukan penginstalan pembaruan Windows yang dirilis pada atau setelah 14 Maret 2023, di SEMUA komputer anggota dan pengontrol domain.

Updates yang dirilis pada dan setelah 14 Maret 2023 dan 12 September 2023, akan memberikan opsi tambahan bagi pelanggan yang terpengaruh di Windows Server 2012 R2 dan di atasnya serta semua klien yang didukung. Untuk informasi selengkapnya, lihat bagian perilaku 11 Oktober 2022 dan Ambil tindakan .

Perilaku sebelum 11 Oktober. 2022

Sebelum menginstal pembaruan kumulatif 11 Oktober 2022 atau yang lebih baru, komputer klien mengkueri Direktori Aktif untuk akun yang sudah ada dengan nama yang sama. Kueri ini terjadi selama bergabung dengan domain dan penyediaan akun komputer. Jika akun seperti itu ada, klien akan secara otomatis mencoba menggunakannya kembali.

Ini adalah dua skenario untuk penggabungan domain dengan perilaku dan bendera default masing-masing sebagai berikut:

• Bergabung dengan Domain (NetJoinDomain)

  • Default untuk penggunaan kembali akun (kecuali bendera NETSETUP_NO_ACCT_REUSE ditentukan)

• Penyediaan akun (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Default ke TIDAK digunakan kembali (kecuali NETSETUP_PROVISION_REUSE_ACCOUNT ditentukan.)

Perilaku 11 Oktober 2022

Setelah Anda menginstal pembaruan kumulatif Windows 11 Oktober 2022 atau yang lebih baru di komputer klien, selama bergabung dengan domain, klien akan melakukan pemeriksaan keamanan tambahan sebelum mencoba menggunakan kembali akun komputer yang sudah ada. Algoritma:

1. Upaya penggunaan kembali akun akan diizinkan jika pengguna yang mencoba operasi adalah pembuat akun yang sudah ada.
2. Upaya penggunaan kembali akun akan diizinkan jika akun dibuat oleh anggota administrator domain.

Pemeriksaan keamanan tambahan ini dilakukan sebelum mencoba bergabung ke komputer. Jika pemeriksaan berhasil, operasi gabungan lainnya tunduk pada izin Direktori Aktif seperti sebelumnya.

Perubahan ini tidak memengaruhi akun baru.

Perilaku 14 Maret 2023

Dalam pembaruan Windows yang dirilis pada atau setelah 14 Maret 2023, kami membuat beberapa perubahan pada pengerasan keamanan. Perubahan ini mencakup semua perubahan yang kami buat pada 11 Oktober 2022.

Pertama, kami memperluas cakupan kelompok yang dikecualikan dari pengerasan ini. Selain Administrator Domain, grup Administrator Perusahaan dan Administrator Bawaan kini dikecualikan dari pemeriksaan kepemilikan.

Kedua, kami menerapkan pengaturan Kebijakan Grup baru. Administrator dapat menggunakannya untuk menentukan daftar yang diizinkan dari pemilik akun komputer tepercaya. Akun komputer akan melewati pemeriksaan keamanan jika salah satu hal berikut ini benar:

Akun dimiliki oleh pengguna yang ditentukan sebagai pemilik tepercaya dalam Kebijakan Grup "Pengontrol domain: Izinkan penggunaan kembali akun komputer selama bergabung dengan domain".

Akun dimiliki oleh pengguna yang merupakan anggota grup yang ditentukan sebagai pemilik tepercaya dalam Kebijakan Grup "Pengontrol domain: Izinkan penggunaan kembali akun komputer selama bergabung dengan domain".

Untuk menggunakan Kebijakan Grup baru ini, pengontrol domain dan komputer anggota harus secara konsisten menginstal pembaruan 14 Maret 2023 atau yang lebih baru. Beberapa dari Anda mungkin memiliki akun tertentu yang Anda gunakan dalam pembuatan akun komputer otomatis. Jika akun tersebut aman dari penyalahgunaan dan Anda mempercayai mereka untuk membuat akun komputer, Anda dapat mengecualikan akun tersebut. Anda akan tetap aman dari kerentanan asli yang dimitigasi oleh pembaruan Windows 11 Oktober 2022.

Perilaku 12 September 2023

Dalam pembaruan Windows yang dirilis pada atau setelah 12 September 2023, kami membuat beberapa perubahan tambahan pada pengerasan keamanan. Perubahan ini mencakup semua perubahan yang kami buat pada 11 Oktober 2022, dan perubahan mulai 14 Maret 2023.

Kami mengatasi masalah ketika bergabung dengan domain menggunakan autentikasi kartu pintar gagal terlepas dari pengaturan kebijakan. Untuk memperbaiki masalah ini, kami memindahkan kembali pemeriksaan keamanan yang tersisa ke Pengontrol Domain. Oleh karena itu, setelah pembaruan keamanan September 2023, komputer klien melakukan panggilan SAMRPC yang diautentikasi ke pengontrol domain untuk melakukan pemeriksaan validasi keamanan yang terkait dengan penggunaan kembali akun komputer.

Namun, hal ini dapat menyebabkan penggabungan domain gagal di lingkungan yang menerapkan kebijakan berikut: Akses jaringan: Membatasi klien yang diizinkan untuk melakukan panggilan jarak jauh ke SAM.  Lihat bagian "Masalah Umum" untuk informasi tentang cara mengatasi masalah ini.

Perilaku 13 Agustus 2024

Dalam pembaruan Windows yang dirilis pada atau setelah 13 Agustus 2024, kami mengatasi semua masalah kompatibilitas yang diketahui dengan kebijakan Daftar yang Diizinkan. Kami juga menghapus dukungan untuk kunci NetJoinLegacyAccountReuse. Perilaku pengerasan akan tetap ada terlepas dari pengaturan kuncinya. Metode yang sesuai untuk menambahkan pengecualian tercantum di bagian Ambil Tindakan di bawah ini.

Mengambil tindakan

Konfigurasikan kebijakan daftar yang diizinkan baru menggunakan Kebijakan Grup pada pengontrol domain dan hapus solusi sisi klien lama. Kemudian, lakukan hal berikut:

1. Anda harus menginstal pembaruan 12 September 2023 atau yang lebih baru di semua komputer anggota dan pengontrol domain.

2. Dalam kebijakan grup baru atau yang sudah ada yang berlaku untuk semua pengontrol domain, konfigurasikan pengaturan pada langkah-langkah di bawah ini.

3. Di bawah Konfigurasi Komputer\Kebijakan\Windows Settings\Pengaturan Keamanan\Kebijakan Lokal\Opsi Keamanan, klik dua kali Pengontrol domain: Izinkan penggunaan kembali akun komputer selama bergabung dengan domain.

4. Pilih Tentukan pengaturan kebijakan ini dan <Edit Keamanan...>.

5. Gunakan pemilih objek untuk menambahkan pengguna atau grup pembuat dan pemilik akun komputer tepercaya ke izin Izinkan . (Sebagai praktik terbaik, kami sangat menyarankan Anda menggunakan grup untuk mendapatkan izin.) Jangan tambahkan akun pengguna yang melakukan penggabungan domain.

   Peringatan

   Batasi keanggotaan pada kebijakan untuk pengguna tepercaya dan akun layanan. Jangan tambahkan pengguna yang diautentikasi, semua orang, atau grup besar lainnya ke kebijakan ini. Sebagai gantinya, tambahkan pengguna tepercaya dan akun layanan tertentu ke grup dan tambahkan grup tersebut ke kebijakan.

6. Tunggu interval refresh Kebijakan Grup atau jalankan gpupdate /force di semua pengontrol domain.

7. Verifikasi bahwa kunci registri HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" diisi dengan SDDL yang diinginkan. Jangan mengedit registri secara manual.

8. Mencoba bergabung ke komputer yang menginstal pembaruan 12 September 2023 atau yang lebih baru. Pastikan salah satu akun yang tercantum dalam kebijakan memiliki akun komputer. Jika penggabungan domain gagal, periksa \netsetup.log c:\windows\debug.

Jika Anda masih memerlukan solusi alternatif, tinjau alur kerja penyediaan akun komputer dan pahami apakah perubahan diperlukan.

1. Lakukan operasi gabungan menggunakan akun yang sama dengan yang membuat akun komputer di domain target.
2. Jika akun yang sudah ada kedaluwarsa (tidak digunakan), hapus akun sebelum mencoba bergabung kembali ke domain.
3. Ganti nama komputer dan bergabung menggunakan akun lain yang belum ada.
4. Jika akun yang sudah ada dimiliki oleh perwakilan keamanan tepercaya dan administrator ingin menggunakan kembali akun tersebut, ikuti panduan di bagian Ambil tindakan untuk menginstal pembaruan Windows September 2023 atau yang lebih baru dan mengonfigurasi daftar yang diizinkan.

Non-solusi

• Jangan tambahkan akun layanan atau akun penyediaan ke grup keamanan Admin Domain.
• Jangan mengedit deskriptor keamanan secara manual pada akun komputer dalam upaya untuk mendefinisikan ulang kepemilikan akun tersebut, kecuali akun pemilik sebelumnya telah dihapus. Meskipun pengeditan pemilik akan memungkinkan pemeriksaan baru berhasil, akun komputer mungkin mempertahankan izin yang sama yang berpotensi berisiko dan tidak diinginkan untuk pemilik asli kecuali jika ditinjau dan dihapus secara eksplisit.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Masalah umum