"Kerberos" ir NTLM autentifikavimo triktys dėl pasikartojančių SID

Požymiai 

Galite susidurti su "Kerberos" ir naujų technologijų LAN tvarkytuvo (NTLM) autentifikavimo triktimis įrenginiuose, kuriuose yra pasikartojančių saugos TY (SID). Ši problema gali kilti Windows 11 24H2 versijoje, Windows 11, 25H2 versijoje ir Windows Server 2025" įdiegus "Windows" naujinimus, išleistus: 

• 2025 m. rugpjūčio 29 d. – KB5064081 (OS komponavimo versija 26100.5074) peržiūra

• 2025 m. rugsėjo 9 d. – KB5065426 (OS komponavimo versija 26100.6584)

Šios autentifikavimo klaidos gali pasireikšti įvairiais požymiais, įskaitant: 

• Vartotojai pakartotinai raginami įvesti kredencialus.

• Prieigos užklausos su galiojančiais kredencialais nepavyksta dėl ekrane rodomo klaidų, pvz.:

  • Bandymas prisijungti nepavyko.

  • Įeiti nepavyko/ jūsų kredencialai neveikė.

  • Kompiuterio ID neatitinka dalinis neatitikimas.

  • Neteisingas vartotojo vardas arba slaptažodis.

• Bendrinamų tinklo aplankų negalima pasiekti naudojant IP adresą arba pagrindinio kompiuterio vardą.

• Negalima užmegzti nuotolinio darbalaukio ryšių, įskaitant nuotolinio darbalaukio protokolo (RDP) seansus, inicijuotus naudojant privilegijuotos prieigos valdymo (PAM) sprendimus arba trečiųjų šalių įrankius.

• Perėmimo grupavimas nepavyksta dėl klaidos "prieiga uždrausta".

• Įvykių peržiūros programa "Windows" žurnaluose gali būti rodoma viena iš šių klaidų:

  • Saugos žurnale yra SEC_E_NO_CREDENTIALS klaida.

  • Sistemos žurnale yra vietinės saugos institucijos serverio tarnybos (lsasrv.dll) įvykio ID: 6167 su pranešimo tekstu:

    Kompiuterio ID neatitinka dalinis neatitikimas. Tai reiškia, kad bilietas buvo manipuliuotas arba priklauso kitam įkrovos seansui.

Priežastis

2025 m. rugpjūčio 29 d. ir vėliau išleisti "Windows" naujinimai apima papildomas saugos apsaugos priemones, kurios įgalina SID patikras, todėl nepavyksta autentifikuoti, kai įrenginiuose yra pasikartojančių SID. Šis dizaino keitimas blokuoja autentifikavimo patvirtinimus tarp tokių įrenginių. Nepavykusias autentifikavimo užklausas, susijusias su šiomis saugos apsaugos tarnybomis, identifikuoja vietinės saugos tarnybos serverio tarnyba (lsasrv.dll) įvykio ID: 6167 sistemos įvykių žurnale. 

Pasikartojančius SID galima sukurti atliekant nepalaikomą klonavimą arba "Windows" įdiegties dublikatus nepaleidžiant Sysprep. "Sysprep" įgalintas SID unikalumas būtinas OS dublikatams Windows 11 24H2 ir 25H2 versijose ir 2025 Windows Server 2025 įdiegus "Windows" naujinimus 2025 m. rugpjūčio 29 d. ir vėliau. 

Daugiau informacijos žr. "Microsoft" strategija dėl "Windows" diegimų dublikatų diske. 

Sprendimas

Norint užtikrinti nuolatinę skiriamąją gebą, įrenginius, kuriuose yra pasikartojančių SIM kortelių, reikės perkurti naudojant palaikomus klonavimo arba "Windows" diegimo dubliavimo metodus , kad jie turėtų unikalius SID. 

IT administratoriai gali laikinai išspręsti šią problemą diegdami ir konfigūruodami specialų Grupės strategija. Norėdami gauti šį specialų Grupės strategija, kreipkitės į "Microsoft" palaikymo tarnybą verslui.