KB5011233: CVE-2022-21920의 보호는 Kerberos 인증이 성공하지 않은 경우 NTLM 인증을 차단할 수 있습니다.

액션

Microsoft는 3부 SPN에 대한 Kerberos 인증이 실패한 이유를 세분화하는 것이 좋습니다. Kerberos 인증 실패에 대한 몇 가지 일반적인 이유는 다음과 같습니다. 

• 인증 대상으로 사용되는 SPN이 폼이 맬 수 있습니다. 자세한 내용은 고유 SPNS의 이름 형식을 참조하세요.

  참고: 애플리케이션 및 API는 해당 서비스에 대한 합법적 SPN을 구성하는 정의에 대해 더 엄격하거나 다른 정의를 사용할 수 있습니다.

  합법적인 SPN의 예

  http/webserver

  Host/machine2.contoso.com

  Ldap/machine1.contoso.com/contoso.com

  Service/machine1:10100

  
  오작동된 SPNS의 예

  SPN	이유
  호스트/호스트/machine1	호스트/호스트는 일반적으로 "host"가 컴퓨터 이름이 아닌 서비스 클래스이기 때문에 실수일 수 있습니다. 합법적인 SPN이 host/machine1일 수 있습니다.
  Ldap/machine/contoso.com:10100	포트는 서비스 인스턴스 이름이 아닌 호스트 이름("machine")에 지정할 수 있습니다. 합법적인 SPN이 "ldap/machine:10100/contoso.com"일 수 있습니다.
  Ldap/dc-a/DC=CONTOSO,DC=COM	특정 API는 FQDN 대신 DNS 이름을 예상합니다. 예를 들어 DsBindA 함수(ntdsapi.h)는 DNS 이름으로 전달될 것으로 예상합니다. FQDN이 전달된 경우 SPN이 오작동할 수 있습니다.   합법적인 SPN은 "ldap/dc-a/contoso.com"일 수 있습니다.

  이러한 문제를 해결하려면 올바른 SPN을 사용하거나 올바른 서비스 계정에 변형된 SPN을 등록하는 것이 고려됩니다.

• 인증 대상으로 사용되는 SPN은 존재하지 않습니다. 이 문제를 해결하려면 올바른 서비스 계정에 SPN을 등록하는 것이 고려됩니다.

• Windows 클라이언트 머신에 도메인 컨트롤러에 대한 시선이 없습니다(예: C는 오프라인 상태이거나 DNS에서 검색할 수 없습니다 또는 KDC 포트에 대한 액세스가 차단됩니다).

• NetBIOS 이름이 작동하지 않는 시나리오에서 NetBIOS 이름을 사용할 수 있습니다. 예를 들어 도메인에 가입되지 않은 컴퓨터의 도메인 리소스에 액세스하고 NetBIOS 이름 확인을 사용하지 않도록 설정하거나 작동하지 않습니다.
  
  MICROSOFT는 UPN(사용자 주체 이름) 또는 DNS(도메인 이름 시스템)를 사용하는 것이 좋습니다. 이름 대신 NetBIOS 이름입니다.