KB5020276 — Netjoin: ドメイン参加の強化の変更

概要

2022 年 10 月 11 日以降にリリースされた Windows 更新プログラムには、 CVE-2022-38042 によって導入された追加の保護が含まれています。 これらの保護により、以下の場合を除き、ドメイン参加操作でターゲット ドメインの既存のコンピューター アカウントが再利用されるのを意図的に防止します。

• 操作を試みているユーザーが既存のアカウントの作成者であるか、
• コンピューターは、ドメイン管理者のメンバーによって作成された か、

• 再利用されているコンピューター アカウントの所有者は、[ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する] のメンバーです。グループ ポリシー設定。 この設定を行うには、2023 年 3 月 14 日以降にリリースされた Windows 更新プログラムがすべてのメンバー コンピューターとドメイン コントローラーにインストールされている必要があります。

2023 年 3 月 14 日および 2023 年 9 月 12 日以降にリリースされた Updates では、Windows Server 2012 R2 以降およびサポートされているすべてのクライアントの影響を受けるお客様に追加のオプションが提供されます。 詳細については、「 2022 年 10 月 11 日の動作 」セクションと「 アクションを実行する」 セクションを参照してください。

10 月 11 日より前の動作。 2022 年

2022 年 10 月 11 日以降の累積的な更新プログラムをインストールする前に、クライアント コンピューターは Active Directory に同じ名前の既存のアカウントを照会します。 このクエリは、ドメイン参加時およびコンピューター アカウントのプロビジョニング中に発生します。 そのようなアカウントが存在する場合、クライアントは自動的に再利用を試みます。

これらは、次のようなそれぞれの既定の動作とフラグを持つドメイン参加の 2 つのシナリオです。

• ドメイン参加 (NetJoinDomain)

  • 既定はアカウントの再利用になります (フラグが指定されない場合NETSETUP_NO_ACCT_REUSE

• アカウント プロビジョニング (NetProvisionComputerAccountNetCreateProvisioningPackage)。

  • 既定値は再利用 なし です ( NETSETUP_PROVISION_REUSE_ACCOUNT が指定されていない場合)。

2022 年 10 月 11 日の動作

2022 年 10 月 11 日以降の Windows 累積的な更新プログラムをクライアント コンピューターにインストールすると、ドメイン参加中に、クライアントは既存のコンピューター アカウントを再利用する前に追加のセキュリティ チェックを実行します。 アルゴリズム:

1. 操作を試みているユーザーが既存アカウントの作成者である場合、アカウントの再利用の試行が許可されます。
2. アカウントがドメイン管理者のメンバーによって作成された場合、アカウントの再利用の試行が許可されます。

これらの追加のセキュリティ チェックは、コンピューターへの参加を試みる前に実行されます。 チェックが成功した場合、残りの参加操作には以前と同様に Active Directory アクセス許可が適用されます。

この変更は、新しいアカウントには影響しません。

2023 年 3 月 14 日の動作

2023 年 3 月 14 日以降にリリースされた Windows 更新プログラムでは、セキュリティ強化にいくつかの変更を加えました。 これらの変更には、2022 年 10 月 11 日に行ったすべての変更が含まれます。

まず、この強化から除外されるグループの範囲を拡大しました。 ドメイン管理者に加えて、エンタープライズ管理者とビルトイン管理者グループが所有権チェックから除外されるようになりました。

次に、新しいグループ ポリシー設定を実装しました。 管理者は、これを使用して、信頼されたコンピューター アカウント所有者の許可リストを指定できます。 次のいずれかに該当する場合、コンピューター アカウントはセキュリティ チェックをバイパスします。

アカウントは、[ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する] グループ ポリシーで信頼できる所有者として指定されたユーザーによって所有されています。

アカウントは、「ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する」グループ ポリシーで信頼できる所有者として指定されたグループのメンバーであるユーザーによって所有されます。

この新しいグループ ポリシーを使用するには、ドメイン コントローラーとメンバー コンピューターに 2023 年 3 月 14 日以降の更新プログラムが常にインストールされている必要があります。 一部のユーザーは、自動コンピューター アカウント作成で使用する特定のアカウントを持っているかもしれません。 それらのアカウントが不正使用から安全であり、コンピューター アカウントの作成を信頼できる場合は、それらを除外できます。 2022 年 10 月 11 日の Windows 更新プログラムによって緩和された元の脆弱性に対しては引き続き安全です。

2023 年 9 月 12 日の動作

2023 年 9 月 12 日以降にリリースされた Windows 更新プログラムでは、セキュリティ強化にいくつかの追加変更を加えました。 これらの変更には、2022 年 10 月 11 日に行ったすべての変更と、2023 年 3 月 14 日以降の変更が含まれます。

ポリシー設定に関係なく、スマート カード認証を使用したドメイン参加が失敗するという問題を修正しました。 この問題を解決するために、残りのセキュリティ チェックをドメイン コントローラーに戻しました。 そのため、2023 年 9 月のセキュリティ更新プログラムに続いて、クライアント コンピューターはドメイン コントローラーに対して認証された SAMRPC 呼び出しを行い、コンピューター アカウントの再利用に関連するセキュリティ検証チェックを実行します。

ただし、このため、次のポリシーが設定されている環境でドメイン参加が失敗する場合があります。 ネットワーク アクセス: SAM へのリモート呼び出しを許可するクライアントを制限します。  この問題を解決する方法については、「既知の問題」セクションを参照してください。

2024 年 8 月 13 日の動作

2024 年 8 月 13 日以降にリリースされた Windows 更新プログラムでは、許可リスト ポリシーに関する既知の互換性問題をすべて解決しました。 また、NetJoinLegacyAccountReuse キーのサポートも削除しました。 キーの設定に関係なく、セキュリティ強化動作は保持されます。 除外を追加するための適切な方法は、以下の「アクションの実行」セクションに一覧表示されています。

対処方法

ドメイン コントローラー上のグループ ポリシーを使用して新しい許可リスト ポリシーを構成し、従来のクライアント側回避策を削除します。 次の手順を実行します。

1. すべてのメンバー コンピューターとドメイン コントローラーに 2023 年 9 月 12 日以降の更新プログラムをインストールする必要があります。

2. すべてのドメイン コントローラーに適用される新規または既存のグループ ポリシーで、次の手順で設定を構成します。

3. [コンピューターの構成]、[ポリシー]、[Windows の設定]、[セキュリティの設定]\[ローカル ポリシー]\[セキュリティ オプション] の順にクリックします。 ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可します。

4. [このポリシー設定の定義] と [<セキュリティの編集...>] を選択します。

5. オブジェクト ピッカーを使用して、ユーザーまたは信頼できるコンピューター アカウントの作成者および所有者のグループを 許可 権限に追加します。 (ベスト プラクティスとして、アクセス許可にグループを使用することを強くお勧めします)。 ドメイン参加を実行するユーザー アカウントは追加しないでください。

   警告

   ポリシーへのメンバーシップを、信頼できるユーザーとサービス アカウントに制限します。 認証されたユーザー、すべてのユーザー、またはその他の大規模なグループをこのポリシーに追加しないでください。 代わりに、特定の信頼できるユーザーとサービス アカウントをグループに追加し、それらのグループをポリシーに追加します。

6. グループ ポリシーの更新間隔を待つか、すべてのドメイン コントローラーで gpupdate /force を実行します。

7. HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" レジストリ キーに目的の SDDL が設定されていることを確認します。 レジストリを手動で編集しないでください。

8. 2023 年 9 月 12 日以降の更新プログラムがインストールされているコンピューターへの参加を試みます。 ポリシーに記載されているいずれかのアカウントがコンピュータ アカウントを所有していることを確認します。 ドメイン参加が失敗した場合は、c:\windows\debug\netsetup.log チェックします。

引き続き別の回避策が必要な場合は、コンピューター アカウントのプロビジョニング ワークフローを確認し、変更が必要かどうかを理解してください。

1. 対象のドメインでコンピューター アカウントを作成したのと同じアカウントを使用して、参加操作を実行します。
2. 既存のアカウントが古い (未使用の) 場合は、ドメインへの参加を再度試みる前に削除します。
3. コンピューターの名前を変更し、まだ存在しない別のアカウントを使用して参加します。
4. 既存のアカウントが信頼されたセキュリティ プリンシパルによって所有されており、管理者がアカウントを再利用する場合は、「アクションの実行」セクションのガイダンスに従って、2023 年 9 月以降の Windows 更新プログラムをインストールし、許可リストを構成します。

非ソリューション

• サービス アカウントまたはプロビジョニング アカウントをドメイン管理者セキュリティ グループに追加しないでください。
• 以前の所有者アカウントが削除されている場合を除き、そのようなアカウントの所有権を再定義しようとするために、そのようなアカウントのセキュリティ記述子を手動で編集しないでください。 所有者を編集すると新しいチェックを成功させることができますが、明示的に確認して削除しない限り、コンピューター アカウントには、元の所有者に対して同じリスクのある望ましくないアクセス許可が保持される可能性があります。

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

既知の問題