KB5014754: Modifiche dell'autenticazione basata su certificato nei controller di dominio Windows

Non è stato trovato alcun mapping di certificato sicuro e il certificato non aveva la nuova estensione SID (Security Identifier) che il KDC può convalidare.

Il certificato è stato rilasciato all'utente prima che l'utente esistesse in Active Directory e non è stato possibile trovare alcun mapping sicuro. Questo evento viene registrato solo quando il KDC è in modalità compatibilità.

Il SID contenuto nella nuova estensione del certificato utente non corrisponde al SID dell'utente, il che implica che il certificato è stato rilasciato a un altro utente.

Avvertenza Alcuni campi, come l'autorità emittente, l'oggetto e il numero di serie, sono segnalati in un formato "forward". È necessario invertire questo formato quando si aggiunge la stringa di mapping all'attributo altSecurityIdentities . Ad esempio, per aggiungere il mapping X509IssuerSerialNumber a un utente, cercare i campi "Issuer" e "Serial Number" del certificato che si desidera associare all'utente. Vedere l'output di esempio seguente.

• Emittente: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Numero di serie: 2B00000000011AC0000000012

Aggiornare quindi l'attributo altSecurityIdentities dell'utente in Active Directory con la stringa seguente:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>12000000000AC11000000002B"

Per aggiornare questo attributo usando PowerShell, è possibile usare il comando seguente. Tenere presente che, per impostazione predefinita, solo gli amministratori di dominio hanno l'autorizzazione per aggiornare questo attributo.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Si noti che quando si inverte il numero di serie, è necessario mantenere l'ordine dei byte. Ciò significa che invertendo il numero di serie "A1B2C3" dovrebbe risultare nella stringa "C3B2A1" e non "3C2B1A". Per ulteriori informazioni, vedere HowTo: mappare un utente a un certificato tramite tutti i metodi disponibili nell'attributo altSecurityIdentities.

Dopo aver installato gli aggiornamenti di Windows del 10 maggio 2022, i dispositivi saranno in modalità compatibilità. Se un certificato può essere mappato in modo sicuro a un utente, l'autenticazione verrà eseguita come previsto. Se un certificato può essere mappato solo debolmente a un utente, l'autenticazione verrà eseguita come previsto. Tuttavia, verrà registrato un messaggio di avviso a meno che il certificato non sia precedente all'utente. Se il certificato è precedente all'utente e la chiave del Registro di sistema per la retrodatazione del certificato non è presente o l'intervallo non rientra nella compensazione per la retrodatazione, l'autenticazione avrà esito negativo e verrà registrato un messaggio di errore.  Se la chiave del Registro di sistema per la retrodatazione dei certificati è configurata, nel registro eventi verrà registrato un messaggio di avviso se le date rientrano nella compensazione per la retrodatazione.

Dopo aver installato gli aggiornamenti di Windows del 10 maggio 2022, controlla eventuali messaggi di avviso che potrebbero apparire dopo un mese o più. Se non sono presenti messaggi di avviso, è consigliabile abilitare la modalità di applicazione completa in tutti i controller di dominio usando l'autenticazione basata su certificati. È possibile usare la chiave del Registro di sistema KDC per abilitare la modalità di applicazione completa.

A meno che non vengano aggiornati prima alla modalità di controllo o alla modalità di imposizione usando la chiave del Registro di sistema StrongCertificateBindingForcement , i controller di dominio passeranno alla modalità di applicazione completa quando verrà installato l'aggiornamento della sicurezza di Windows di febbraio 2025. L'autenticazione verrà negata se non è possibile eseguire il mapping sicuro di un certificato. L'opzione per tornare alla modalità compatibilità rimarrà fino all'installazione dell'aggiornamento della sicurezza di Windows del 9 settembre 2025. Dopo questa data, la chiave del Registro di sistema StrongCertificateBindingEnforcement non sarà più supportata

Se l'autenticazione basata su certificati si basa su un mapping debole che non è possibile spostare dall'ambiente, è possibile impostare i controller di dominio in modalità disabilitata usando un'impostazione della chiave del Registro di sistema. Microsoft non consiglia di eseguire questa operazione e verrà rimossa la modalità disabilitata l'11 aprile 2023.

Dopo aver installato gli aggiornamenti di Windows del 13 febbraio 2024 o versioni successive in Server 2019 e versioni successive e aver supportato i client con la funzionalità facoltativa Strumenti di amministrazione remota del server installata, il mapping dei certificati in Utenti & computer di Active Directory selezionerà per impostazione predefinita il mapping sicuro usando X509IssuerSerialNumber anziché il mapping debole usando X509IssuerSubject. L'impostazione può comunque essere modificata come desiderato.

Sintomi

Microsoft ha ricevuto segnalazioni che l'impostazione "Elabora anche se gli oggetti Criteri di gruppo non sono stati modificati" nell'oggetto Criteri di gruppo "Configurazione computer>Modelli> amministrativiSystemCriteri> di gruppoConfigura l'elaborazione dei criteri del Registrodi> sistema" può interferire in modo intermittente con i mapping basati sul nome nei controller di dominio.

Soluzione alternativa

Per risolvere questo problema, disabilitare l'impostazione "Elabora anche se gli oggetti Criteri di gruppo non sono stati modificati" nei controller di dominio. Eseguire questa operazione solo se sono necessari mapping basati sul nome, come definito nei criteri di gruppo "Configurazione> computer,modelli> amministrativi,KDC>di sistema>Consenti mapping sicuri basati sul nome per i certificati". Per altre informazioni, vedere Abilitare il mapping sicuro basato sul nome negli scenari governativi.

Passaggio successivo

Stiamo esaminando queste segnalazioni e forniremo ulteriori informazioni non appena saranno disponibili.

• Usare il log operativo Kerberos nel computer pertinente per determinare quale controller di dominio non riesce a eseguire l'accesso. Passare al Visualizzatore eventi>Registri\ applicazioni e serviziMicrosoft \ Windows \Security-Kerberos\Operational.
• Cercare gli eventi pertinenti nel registro eventi di sistema nel controller di dominio per cui l'account sta tentando di eseguire l'autenticazione.
• Se il certificato è precedente all'account, riemettere il certificato o aggiungere un mapping altSecurityIdentities sicuro all'account (vedere Mapping dei certificati).
• Se il certificato contiene un'estensione SID, verificare che il SID corrisponda all'account.
• Se il certificato viene utilizzato per autenticare più account diversi, ogni account avrà bisogno di un mapping altSecurityIdentities separato.
• Se il certificato non ha un mapping sicuro all'account, aggiungerne uno o lasciare il dominio in modalità Compatibilità finché non sarà possibile aggiungerne uno.

Un esempio di mapping del certificato TLS è l'utilizzo di un'applicazione Web intranet IIS.

• Dopo aver installato le protezioni CVE-2022-26391 e CVE-2022-26923 , questi scenari utilizzano il protocollo Kerberos Certificate Service For User (S4U) per il mapping e l'autenticazione dei certificati per impostazione predefinita.
• Nel protocollo Certificato Kerberos S4U, la richiesta di autenticazione scorre dal server applicazioni al controller di dominio, non dal client al controller di dominio. Di conseguenza, gli eventi rilevanti si troveranno nel server applicazioni.

Questa chiave del Registro di sistema non sarà supportata dopo l'installazione degli aggiornamenti per Windows rilasciati a partire da settembre 2025.

Quando un'applicazione server richiede l'autenticazione client, Schannel tenta automaticamente di eseguire il mapping del certificato fornito dal client TLS a un account utente. È possibile autenticare gli utenti che accedono con un certificato client creando mapping che correlano le informazioni del certificato a un account utente di Windows. Dopo aver creato e abilitato il mapping di un certificato, ogni volta che un client presenta un certificato client, l'applicazione server associa automaticamente l'utente all'account utente di Windows appropriato.

Schannel tenterà di eseguire il mapping di ogni metodo di mapping dei certificati abilitato finché non ne verrà eseguito uno. Schannel tenta di eseguire il mapping dei mapping Service-For-User-To-Self (S4U2Self). I mapping dei certificati Subject/Issuer, Issuer e UPN sono ora considerati deboli e sono stati disabilitati per impostazione predefinita. La somma in maschera bit delle opzioni selezionate determina l'elenco dei metodi di mapping dei certificati disponibili.

Il valore predefinito per la chiave del Registro di sistema SChannel era 0x1F ed è ora 0x18. Se si verificano errori di autenticazione con le applicazioni server basate su Schannel, è consigliabile eseguire un test. Aggiungere o modificare il valore della chiave del Registro di sistema CertificateMappingMethods nel controller di dominio e impostarlo su 0x1F e verificare se il problema viene risolto. Per altre informazioni, cercare eventuali errori elencati in questo articolo nei registri eventi di sistema nel controller di dominio. Tenere presente che la modifica del valore della chiave del Registro di sistema SChannel al valore predefinito precedente (0x1F) verrà ripristinato l'utilizzo di metodi di mapping dei certificati deboli.

Per ulteriori risorse e supporto, vedere la sezione "Risorse aggiuntive".

Dopo aver installato gli aggiornamenti relativi a CVE-2022-26931 e CVE-2022-26923, l'autenticazione potrebbe non riuscire nei casi in cui i certificati utente sono precedenti all'ora di creazione degli utenti. Questa chiave del Registro di sistema consente l'autenticazione corretta quando si usano mappature di certificati deboli nell'ambiente e l'ora del certificato è precedente all'ora di creazione dell'utente entro un intervallo impostato. Questa chiave del Registro di sistema non influisce sugli utenti o sui computer con mapping di certificati sicuri, in quanto l'ora di certificato e l'ora di creazione dell'utente non vengono controllate con mapping di certificati sicuri. Questa chiave del Registro di sistema non ha alcun effetto quando StrongCertificateBindingEnforcement è impostato su 2.

L'uso di questa chiave del Registro di sistema è una soluzione temporanea per gli ambienti che la richiedono e deve essere eseguita con cautela. L'uso di questa chiave del Registro di sistema comporta i seguenti effetti per l'ambiente:

• Questa chiave del Registro di sistema funziona solo in modalità compatibilità a partire dagli aggiornamenti rilasciati il 10 maggio 2022. L'autenticazione sarà consentita entro l'offset di compensazione della retrodatazione, ma verrà registrato un avviso del registro eventi per l'associazione debole.
• L'abilitazione di questa chiave del Registro di sistema consente l'autenticazione dell'utente quando l'ora del certificato è precedente all'ora di creazione dell'utente all'interno di un intervallo impostato come mapping debole. I mapping deboli non saranno supportati dopo l'installazione degli aggiornamenti per Windows rilasciati a partire da settembre 2025.

Eseguire il comando certutil seguente per escludere i certificati del modello utente dall'ottenere la nuova estensione.

1. Accedi a un server dell'Autorità di certificazione o a un client Windows 10 aggiunto a un dominio con credenziali di amministratore dell'organizzazione o equivalenti.
2. Aprire un prompt dei comandi e scegliere Esegui come amministratore.
3. Esegui certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

La disabilitazione dell'aggiunta di questa estensione rimuoverà la protezione fornita dalla nuova estensione. Provare a eseguire questa operazione solo dopo una delle operazioni seguenti:

1. È possibile confermare che i certificati corrispondenti non sono accettabili per la crittografia a chiave pubblica per l'autenticazione iniziale (PKINIT) nelle autenticazioni del protocollo Kerberos in KDC
2. Per i certificati corrispondenti sono configurati altri mapping di certificati sicuri

Gli ambienti con distribuzioni di CA non Microsoft non verranno protetti con la nuova estensione SID dopo l'installazione dell'aggiornamento di Windows del 10 maggio 2022. I clienti interessati devono collaborare con i fornitori di CA corrispondenti per risolvere questo problema o devono prendere in considerazione l'utilizzo di altri mapping di certificati sicuri descritti in precedenza.

Per ulteriori risorse e supporto, vedere la sezione "Risorse aggiuntive".

No, non è necessario rinnovo. La CA verrà fornita in modalità compatibilità. Se si desidera un mapping sicuro usando l'estensione ObjectSID, è necessario un nuovo certificato.

Nell'aggiornamento di Windows dell'11 febbraio 2025, i dispositivi che non sono già in applicazione (il valore del registro di sistema StrongCertificateBindingEnforcement è impostato su 2) verranno spostati in Applicazione. Se l'autenticazione viene negata, verrà visualizzato l'ID evento 39 (o l'ID evento 41 per Windows Server 2008 R2 SP1 e Windows Server 2008 SP2). In questa fase sarà possibile impostare il valore della chiave del Registro di sistema su 1 (modalità compatibilità).

Nell'aggiornamento di Windows del 9 settembre 2025 il valore del registro di sistema StrongCertificateBindingEnforcement non sarà più supportato.