Data di pubblicazione originale: Luglio 14, 2026
ID KB: 5121391
Contenuto dell'articolo
- Riepilogo
- Entrare in azione
- Modifiche previste dello stato sicuro
- Rifiuto esplicito della correzione automatica
- Caso di errore di proprietà (ID evento 1137)
- Salvare l'SDDL precedente (scelta consigliata)
- Come ripristinare l'ACL precedente
- Riferimenti all'evento
- Registro delle modifiche
Riepilogo
L'elenco di controllo di accesso (ACL) nel contenitore Distributed Key Manager (DKM) è entrato nella sua prima fase di protezione avanzata con l'aggiornamento della sicurezza di Windows del 14 luglio 2026, che ha introdotto il rilevamento automatico degli ACL non sicuri e un meccanismo di correzione opt-in.
A partire dall'aggiornamento della sicurezza di Windows del 13 ottobre 2026, ADFS corregge automaticamente gli ACL del contenitore DKM non sicuri per impostazione predefinita. Gli amministratori possono rifiutare esplicitamente impostando RemediateDkmAcl su 0. Questo sforzo di protezione avanzata risolve un problema di elevazione dei privilegi (EOP) che può derivare dalla vulnerabilità documentata in CVE-2026-56155 | Vulnerabilità dell'elevazione dei privilegi di Active Directory Federation Services.
In sintesi, Active Directory Federation Services (AD FS) si basa sul contenitore DKM per archiviare le chiavi simmetriche utilizzate per proteggere la firma di token e i certificati di crittografia del token per le chiavi private. Se l'ACL del contenitore è eccessivamente permissivo, un utente malintenzionato con accesso in lettura al materiale per le chiavi DKM può decrittografare le chiavi private per la firma di token.
Entrare in azione
Per proteggere l'ambiente, completare i passaggi seguenti:
- Installare l'aggiornamento della sicurezza di Windows appropriato rilasciato a partire dal 13 ottobre 2026 in tutti i server AD FS.
Importante
Prima di installare l'aggiornamento della sicurezza, determinare se è necessario rifiutare esplicitamente la correzione automatica. Non è consigliabile rifiutare esplicitamente perché lascia l'ACL del contenitore DKM in uno stato non sicuro.
Se è necessario rifiutare esplicitamente per un requisito di compatibilità specifico, impostare il Registro di sistema RemediateDkmAcl su 0 in ogni server ADFS della farm prima di installare l'aggiornamento. Il contenitore DKM è un singolo oggetto Active Directory condiviso da tutti i server ADFS nella farm e l'attività in background ACL DKM viene eseguita in ogni server. Se RemediateDkmAcl è mancante o impostato su un valore diverso da zero anche in un solo server ADFS, tale server può correggere automaticamente l'ACL del contenitore DKM condiviso dopo l'installazione dell'aggiornamento.
Dopo l'installazione, il servizio ADFS controlla l'ACL del contenitore DKM ogni volta che il servizio viene avviato e successivamente ogni 24 ore. Se l'ACL non è sicuro, ADFS tenta automaticamente la correzione, a meno che RemediateDkmAcl non sia impostato su 0.
Esaminare il registro eventi di amministrazione di AD FS per gli eventi seguenti:
L'ID evento: 1133 indica che l'ACL del contenitore DKM è sicuro. Non sono richieste altre azioni.
L'ID evento 1132 indica che l'ACL del contenitore DKM non è sicuro e che verrà eseguita la correzione automatica. I dettagli ACL vengono scritti in una o più voci successive di ID evento 510 con lo stesso ID istanza. Esaminare gli ID evento 1135, 1136 o 1137 per il risultato della correzione ed eseguire l'azione seguente in base al risultato.
ID evento: 1135 (correzione riuscita) Non sono necessarie ulteriori azioni correttive. Salvare l'ACL precedente dalle voci successive dell'ID evento 510 come descritto nella sezione Salvare l'SDDL precedente.
ID evento: 1136 (correzione non riuscita) Esaminare le voci successive dell'ID evento 510 per i dettagli dell'ACL corrente e dell'eccezione, correggere l'errore sottostante e quindi riavviare il servizio ADFS o attendere il ciclo di rilevamento successivo.
ID evento: 1137 (modifica della proprietà non riuscita) Concedere le autorizzazioni WriteOwner e WriteDacl per l'account del servizio ADFS seguendo le indicazioni per i casi di errore di proprietà e quindi riavviare il servizio ADFS o attendere il ciclo di rilevamento successivo.
Eventi ACL contenitore DKM ADFS
| ID evento | Tipo | Significato |
|---|---|---|
| 1132 | Avviso | L'ACL del contenitore DKM non corrisponde allo stato sicuro previsto. Esaminare gli eventi di correzione 1135, 1136 e 1137. |
| 1133 | Informazioni | L'ACL del contenitore DKM si trova nello stato sicuro previsto. Non è necessaria alcuna azione. |
| 1134 | Errore | L'attività di rilevamento ha rilevato un errore, ad esempio un errore di connettività LDAP. Esaminare i log di debug di ADFS e correggere l'errore sottostante. |
| 1135 | Informazioni | Correzione dell'ACL del contenitore DKM completata correttamente. Salvare l'SDDL precedente. |
| 1136 | Errore | Correzione ACL contenitore DKM non riuscita. Esaminare le voci correlate dell'ID evento 510 e le tracce di debug di AD FS e correggere l'errore sottostante. |
| 1137 | Errore | Impossibile assumere la proprietà del contenitore DKM perché l'account del servizio non dispone delle autorizzazioni necessarie. Concedere le autorizzazioni necessarie |
| 510 | Informazioni | Contiene i dettagli degli ACL o delle eccezioni che si riversano dagli ID evento 1132, 1135 o 1136. Confronto delle voci in base all'ID istanza. |
Modifiche previste dello stato sicuro
Dopo la correzione, solo le entità seguenti avranno accesso al contenitore DKM:
| Capitale | Diritti di accesso |
|---|---|
| Amministratori di dominio | Tutti generici (controllo completo) |
| Amministratori aziendali | Tutti generici (controllo completo) |
| Sistema | Tutti generici (controllo completo) |
| Account del servizio ADFS | Lettura, scrittura, creazione elemento figlio, scrittura proprietario, eliminazione albero |
Avvertenza L'ereditarietà è disabilitata e tutte le voci di controllo di accesso ereditate vengono eliminate. Tutte le altre voci esplicite Consenti ACE non presenti nell'elenco precedente vengono rimosse.
Rifiuto esplicito della correzione automatica
Importante
Questa sezione, metodo o attività contiene informazioni su come modificare il Registro di sistema. Se si apportano modifiche al Registro di sistema in modo errato, potrebbero verificarsi problemi gravi. Assicurarsi, quindi, di seguire attentamente tutti i passaggi. Per una maggiore protezione, eseguire il backup del Registro di sistema prima di modificarlo. in modo che sia possibile ripristinarlo in caso di problemi. Per altre informazioni su come eseguire il backup e il ripristino del Registro di sistema, vedere Come eseguire il backup e il ripristino del Registro di sistema in Windows.
La correzione è abilitata per impostazione predefinita quando RemediateDkmAcl è mancante o impostato su un valore diverso da zero. Se è necessario rifiutare esplicitamente per un requisito di compatibilità specifico, impostare il valore su 0 in ogni server ADFS nella farm prima di installare l'aggiornamento. Non è consigliabile rifiutare esplicitamente perché lascia l'ACL del contenitore DKM in uno stato non sicuro.
| Informazioni | Dettagli |
|---|---|
| Chiave del Registro di sistema: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS |
| Valore: | RemediateDkmAcl |
| Tipo: | DWORD |
| Dati: | 0 |
Caso di errore di proprietà (ID evento 1137)
L'ID evento 1137 indica che AD FS non ha potuto assumere la proprietà del contenitore DKM perché l'account del servizio non dispone delle autorizzazioni necessarie. Questa condizione è prevista più spesso nelle farm create originariamente in Windows Server 2012 o Windows Server 2012 R2. In questo caso, concedere le autorizzazioni necessarie all'account del servizio ADFS seguendo la procedura riportata di seguito in un qualsiasi server ADFS della farm. In caso contrario, i tentativi di correzione continueranno a non riuscire.
Identificare il DN del contenitore DKM:
$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer $dkmContainerDnIdentificare l'account del servizio AD FS:
$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName $serviceAccountConcedere ACE di autorizzazione esplicita per WriteOwner e WriteDacl:
$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( $sid, ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), [System.Security.AccessControl.AccessControlType]::Allow, [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All ) $entry.ObjectSecurity.AddAccessRule($rule) $entry.CommitChanges() $entry.Close()Dopo aver concesso le autorizzazioni necessarie, eseguire una delle operazioni seguenti:
- Attendere fino a 24 ore per il successivo ciclo di rilevamento
- Riavviare il servizio ADFS per attivare prima la correzione
In caso di correzione riuscita, l'ID evento 1135 (Informazioni) viene registrato con l'ACL precedente in formato SDDL.
Salvare l'SDDL precedente (scelta consigliata)
Come misura precauzionale, è consigliabile salvare l'ACL precedente (SDDL) dalle voci dell'ID evento: 510 correlate all'ID evento: 1135 dopo la correzione riuscita. L'ID evento: 1135 contiene l'ID istanza usato per identificare le voci correlate con ID evento: 510. Sebbene nella maggior parte dei casi non sia necessario l'ACL precedente (poiché le autorizzazioni originali non erano sicure), la sua disponibilità fornisce una rete di protezione per eventuali problemi di compatibilità imprevisti.
Nota
I registri eventi possono essere trasferiti a causa dei limiti di dimensione. Se hai bisogno del file SDDL precedente in futuro e l'evento è stato sovrascritto, andrà perso definitivamente.
È possibile copiare e combinare manualmente il file SDDL dalle voci ID evento: 510 con l'ID istanza referenziato dall'ID evento: 1135. In alternativa, usare lo script di PowerShell seguente per raccogliere le voci correlate ID evento: 510 e salvare il file SDDL in un file:
New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null
$event = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 1135
} -MaxEvents 1
if ($null -eq $event) {
throw 'Event ID 1135 was not found.'
}
if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
throw 'Instance ID was not found in Event ID 1135.'
}
$instanceId = $Matches[1]
$details = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 510
StartTime = $event.TimeCreated
EndTime = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$instanceId*" } |
Sort-Object RecordId |
ForEach-Object {
if ($_.Message -match '(?s)Details:\s*(.*)$') {
$Matches[1]
}
}
if (-not $details) {
throw "No Event ID 510 entries were found for Instance ID $instanceId."
}
[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())
Come ripristinare l'ACL precedente
Se si verificano problemi dopo la correzione ed è necessario ripristinare l'ACL precedente:
# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>"
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>”
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn")
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All)
$entry.CommitChanges()
$entry.Close()
Nota
Questo comando richiede che l'account che lo esegue disponga di SeSecurityPrivilege (in genere, gli amministratori di dominio lo hanno). Eseguirlo da una sessione di PowerShell con privilegi elevati in un computer aggiunto a un dominio.
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord
Dopo il ripristino, impostare RemediateDkmAcl = su 0 in ogni server ADFS nella farm per impedire che il servizio venga corretto nuovamente nel ciclo successivo.
Riferimenti all'evento
ID evento: 1132 - L'ACL del contenitore DKM richiede una revisione
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Avviso |
| Origine evento | ADFS |
| ID evento | 1132 |
| Testo dell'evento | ADFS ha rilevato che l'ACL del contenitore DKM (Distributed Key Manager) non corrisponde allo stato sicuro previsto. Il contenitore DKM archivia le chiavi simmetriche utilizzate per proteggere il materiale delle chiavi per la firma di token. DN contenitore: <DN> Lo stato sicuro previsto è l'ereditarietà disabilitata e solo gli amministratori di dominio, gli amministratori dell'organizzazione, SYSTEM e l'account del servizio ADFS hanno accesso. AD FS tenterà di correggere automaticamente l'ACL. La correzione viene eseguita immediatamente e successivamente ogni 24 ore finché l'ACL non corrisponde allo stato sicuro previsto. Vedere l'evento 1135 (correzione riuscita) o l'evento 1136/1137 (correzione non riuscita) per il risultato. Se si vuole rifiutare esplicitamente la correzione automatica, impostare HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) su 0. Per indicazioni, vedere https://go.microsoft.com/fwlink/?linkid=2369796. Altri dati Ereditarietà disabilitata: <sì/no> ACL corrente (SDDL): Vedere le voci dell'evento 510 con ID istanza: <ID istanza> |
ID evento: 1133 - L'ACL del contenitore DKM è integro
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Informazioni |
| Origine evento | ADFS |
| ID evento | 1133 |
| Testo dell'evento | L'attività in background dell'ACL DKM ha esaminato l'ACL del contenitore per la protezione avanzata. Il contenitore dispone delle impostazioni corrette e non sono necessarie altre azioni. DN contenitore: <DN> |
ID evento: 1134 - Errore di rilevamento
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Errore |
| Origine evento | ADFS |
| ID evento | 1134 |
| Testo dell'evento | L'attività di controllo in background dell'ACL del contenitore DKM ADFS ha rilevato un errore. DN contenitore: <DN> Altri dati Dettagli eccezione: <eccezione> Azione dell'utente Per altre informazioni, esaminare i log di debug di AD FS. Verificare che l'account del servizio ADFS abbia accesso al contenitore del gruppo DKM in Active Directory. |
ID evento: 1135 - Correzione riuscita
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Informazioni |
| Origine evento | ADFS |
| ID evento | 1135 |
| Testo dell'evento | AD FS ha completato con protezione avanzata l'ACL del contenitore DKM (Distributed Key Manager). DN contenitore: <DN> L'ACL del contenitore ora concede l'accesso solo agli amministratori di dominio, agli amministratori dell'organizzazione, a SYSTEM e all'account del servizio ADFS. L'ereditarietà è stata bloccata e tutte le altre autorizzazioni sono state rimosse. Nota: La correzione automatica non verrà eseguita di nuovo finché l'ACL corrisponde alla linea di base. Se si desidera rifiutare esplicitamente definitivamente la correzione automatica anche se l'ACL si sposta in futuro, impostare HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) su 0. L'ACL precedente è incluso nel formato SDDL seguente. Se è necessario ripristinare le autorizzazioni originali, vedere https://go.microsoft.com/fwlink/?linkid=2369796 Altri dati ACL precedente (SDDL): Vedere le voci dell'evento 510 con ID istanza: <ID istanza> |
ID evento: 1136 - Correzione non riuscita
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Errore |
| Origine evento | ADFS |
| ID evento | 1136 |
| Testo dell'evento | AD FS ha tentato di correggere l'ACL del contenitore DKM (Distributed Key Manager), ma non è riuscito. DN contenitore: <DN> Azione dell'utenteLa correzione automatica verrà ritentata al successivo ciclo di rilevamento (entro 24 ore). Se si preferisce correggere manualmente l'ACL, rivedere e correggere le voci di accesso nel contenitore del gruppo DKM. Solo gli amministratori di dominio, gli amministratori dell'organizzazione, SYSTEM e l'account del servizio ADFS devono avere accesso. Per disabilitare la correzione automatica, impostare HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) su 0. Per indicazioni, vedere https://go.microsoft.com/fwlink/?linkid=2369796 Altri dati ACL corrente (SDDL) e dettagli eccezione: Vedere le voci dell'evento 510 con ID istanza: <ID istanza> |
ID evento: 1137 - Errore di modifica della proprietà
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Errore |
| Origine evento | ADFS |
| ID evento | 1137 |
| Testo dell'evento | ADFS ha tentato di correggere l'ACL del contenitore DKM (Distributed Key Manager), ma non è riuscito ad assumerne la proprietà perché l'account del servizio ADFS non dispone delle autorizzazioni necessarie. Questo è previsto per le farm create originariamente in Windows Server 2012 o Windows Server 2012 R2. DN contenitore: <DN> Azione dell'utente Concedere le autorizzazioni necessarie all'account del servizio ADFS affinché la correzione abbia esito positivo. La correzione automatica verrà ritentata al successivo ciclo di rilevamento (entro 24 ore) o al riavvio del servizio. Se si preferisce correggere manualmente l'ACL, rivedere e correggere le voci di accesso nel contenitore del gruppo DKM. Solo gli amministratori di dominio, gli amministratori dell'organizzazione, SYSTEM e l'account del servizio ADFS devono avere accesso. Per disabilitare la correzione automatica, impostare HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) su 0. Per indicazioni, vedere https://go.microsoft.com/fwlink/?linkid=2369796 |
ID evento: 510 - Informazioni ACL aggiuntive
| Informazioni | Dettagli |
|---|---|
| Registro eventi | AD FS/Amministrazione |
| Tipo di evento | Informazioni |
| Origine evento | ADFS |
| ID evento | 510 |
| Testo dell'evento | Ulteriori informazioni per la voce dell'evento con ID <istanza ID> istanza. Potrebbero essere presenti più eventi con lo stesso ID istanza con più informazioni. ID istanza: <ID istanza> Dettagli: <ACL o segmento di dettaglio eccezione> Per ACL di grandi dimensioni, è possibile registrare più voci di ID evento 510. L'ID evento correlato 1132, 1135 o 1136 viene registrato per primo, seguito dalle voci dell'ID evento 510 con lo stesso ID istanza. |
Registro delle modifiche
| Modifica data | Descrizione della modifica |
|---|---|
| 13 ottobre 2026 |
|