KB5014754. Sertifikāta autentifikācijas izmaiņas Windows domēna kontrolleros

Nevarēja atrast spēcīgus sertifikātu kartējumus, turklāt sertifikātam nebija jaunā drošības identifikatora (SID) paplašinājuma, ko KDC varētu validēt.

Sertifikāts lietotājam tika izsniegts pirms lietotāja pastāvēšanas pakalpojumā Active Directory, un nevarēja atrast spēcīgu kartējumu. Šis notikums tiek reģistrēts tikai tad, ja KDC ir saderības režīmā.

Lietotāja sertifikāta jaunajā paplašinājumā ietvertais SID neatbilst lietotāju SID un tas nozīmē, ka sertifikāts ir piešķirts citam lietotājam.

Piezīme Daži lauki, piemēram, Emitents, Tēma un Sērijas numurs, tiek uzrādīti "pārsūtītā" formātā. Šis formāts ir jāapvērš, kad kartējuma virkni pievienojat atribūtam altSecurityIdentities . Piemēram, lai lietotājam pievienotu kartējumu X509IssuerSerialNumber, meklējiet tā sertifikāta laukos "Izdevējs" un "Sērijas numurs", kuru vēlaties kartēt uz lietotāju. Skatiet tālāk redzamo parauga izvadi.

• Emitents: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Sērijas numurs: 2B0000000011AC0000000012

Pēc tam atjauniniet lietotāja atribūtu altSecurityIdentities pakalpojumā Active Directory ar šādu virkni:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Lai atjauninātu šo atribūtu, izmantojot Powershell, varat izmantot tālāk norādīto komandu. Ņemiet vērā, ka pēc noklusējuma tikai domēna administratoriem ir atļauja atjaunināt šo atribūtu.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Ņemiet vērā, ka, apgriežot SerialNumber, ir jāsaglabā baitu secība. Tas nozīmē, ka sērijas numura "A1B2C3" apvēršanai ir jābūt virknei "C3B2A1", nevis "3C2B1A". Papildinformāciju skatiet sadaļā Norādījumi: Kartējiet lietotāju uz sertifikātu, izmantojot visas atribūtā altSecurityIdentities pieejamās metodes.

Kad esat instalējis 2022. gada 10. maija Windows atjauninājumus, ierīces būs saderības režīmā. Ja sertifikātu var stingri kartēt uz lietotāju, autentifikācija notiks, kā paredzēts. Ja sertifikātu var tikai vāji kartēt uz lietotāju, autentifikācija notiks, kā paredzēts. Tomēr brīdinājuma ziņojums tiks reģistrēts, ja vien sertifikāts nav vecāks par lietotāju. Ja sertifikāts ir vecāks par lietotāju un sertifikāta atpakaļdatēšanas reģistra atslēga nav pieejama vai diapazons ir ārpus atpakaļejošas datēšanas kompensācijas, autentifikācija neizdosies un tiks reģistrēts kļūdas ziņojums.  Ja sertifikāta atpakaļdatēšanas reģistra atslēga ir konfigurēta, tā reģistrēs brīdinājuma ziņojumu notikumu žurnālā, ja datumi atbilst atpakaļejošas datēšanas kompensācijai.

Pēc 2022. gada 10. maija Windows atjauninājumu instalēšanas pievērsiet uzmanību, vai nav brīdinājuma ziņojumu, kas var parādīties pēc mēneša vai ilgāka. Ja brīdinājuma ziņojumu nav, ieteicams iespējot pilnas izpildes režīmu visos domēna kontrolleros, izmantojot sertifikāta autentifikāciju. Varat izmantot KDC reģistra atslēgu , lai iespējotu pilnīgas izpildes režīmu.

Ja vien domēna kontrolleri nav atjaunināti uz audita režīmu vai aktivizēšanas režīmu, izmantojot reģistra atslēgu StrongCertificateBindingEnforcement agrāk, domēna kontrolleri pāries uz pilnas izpildes režīmu, kad tiks instalēts 2025. gada februāra Windows drošības atjauninājums. Ja sertifikātu nevar stingri kartēt, autentifikācija tiek liegta. Opcija pāriet atpakaļ saderības režīmā saglabāsies līdz 2025. gada 9. septembra Windows drošības atjauninājuma instalēšanai. Pēc šī datuma reģistra atslēga StrongCertificateBindingEnforcement vairs netiks atbalstīta

Ja sertifikāta autentifikācija balstās uz vāju kartējumu, kuru nevar pārvietot no vides, varat novietot domēna kontrollerus atspējotā režīmā, izmantojot reģistra atslēgas iestatījumu. Microsoft to neiesaka , un 2023. gada 11. aprīlī mēs noņemsim atspējoto režīmu.

Kad esat instalējis 2024. gada 13. februāra vai jaunākus Windows atjauninājumus serverī 2019 un jaunākās versijās un atbalstījis klientus ar instalētu RSAT neobligāto līdzekli, sertifikātu kartēšana pakalpojuma Active Directory lietotāji & datoros pēc noklusējuma atlasīs stipro kartējumu, izmantojot X509IssuerSerialNumber, nevis vāju kartēšanu, izmantojot X509IssuerSubject. Iestatījumu joprojām var mainīt pēc vēlēšanās.

Problēmas pazīmes

Korporācija Microsoft ir saņēmusi ziņojumus, ka iestatījums "Apstrādāt pat tad, ja grupas politika objekti nav mainīti" zem grupas politikas objekta "Datora konfigurācijas>administratīvās veidnes>Sistēmas>grupas politikaKonfigurēt>reģistra politikas apstrādi" var periodiski iejaukties uz nosaukumiem balstītā kartējumā domēna kontrolleros.

Risinājums

Lai atrisinātu šo problēmu, atspējojiet iestatījumu "Apstrādāt pat tad, ja grupas politikas objekti nav mainīti" domēna kontrolleros. Rīkojieties tikai tad, ja ir nepieciešami kartējumi, kuru pamatā ir nosaukums, kā definēts grupas politika "Datora konfigurācijas>administratīvo veidņu>sistēma>KDC>:atļaut uz nosaukumiem balstītus spēcīgus kartējumus sertifikātiem". Papildinformāciju skatiet sadaļā Spēcīgas uz nosaukumiem balstītas kartēšanas iespējošana valsts iestāžu scenārijos.

Nākamā darbība

Mēs pētām šos ziņojumus un nodrošināsim papildinformāciju, kad tā būs pieejama.

• Izmantojiet Kerberos darbības žurnālu atbilstošajā datorā, lai noteiktu, kuram domēna kontrollerim neizdodas pierakstīties. Dodieties uz Notikumu skatītājsLietojumprogrammas>un pakalpojumu žurnāli\Microsoft \Windows\drošība-Kerberos\darbojas.
• Meklējiet attiecīgos notikumus sistēmas notikumu žurnālā domēna kontrollerī, kuru konts mēģina autentificēt.
• Ja sertifikāts ir vecāks par kontu, izdodiet sertifikātu atkārtoti vai pievienojiet kontam drošu altSecurityIdentities kartējumu (skatiet rakstu Sertifikātu kartējumi).
• Ja sertifikātā ir SID paplašinājums, pārliecinieties, vai SID atbilst kontam.
• Ja sertifikāts tiek izmantots vairāku dažādu kontu autentificēšanai, katram kontam būs nepieciešama atsevišķa altSecurityIdentities kartēšana.
• Ja sertifikātam nav droša kartējuma ar kontu, pievienojiet to vai atstājiet domēnu saderības režīmā, līdz tādu var pievienot.

TLS sertifikātu kartēšanas piemērs ir IIS iekštīkla tīmekļa lietojumprogrammas izmantošana.

• Pēc CVE-2022-26391 un CVE-2022-26923 aizsardzības instalēšanas šajos scenārijos sertifikātu kartēšanai un autentifikācijai pēc noklusējuma tiek izmantots Kerberos sertifikātu pakalpojuma lietotājam (S4U) protokols.
• Kerberos sertifikāta S4U protokolā autentifikācijas pieprasījums tiek sūtīts no lietojumprogrammas servera uz domēna kontrolleri, nevis no klienta uz domēna kontrolleri. Tāpēc saistītie notikumi būs lietojumprogrammas serverī.

Pēc Windows atjauninājumu instalēšanas, kas izlaisti 2025. gada septembrī vai vēlāk, šī reģistra atslēga netiks atbalstīta.

Ja servera lietojumprogrammai ir nepieciešama klienta autentifikācija, Schannel automātiski mēģina kartēt sertifikātu, ko TLS klients piegādā uz lietotāja kontu. Lietotājus, kas pierakstās ar klienta sertifikātu, varat autentificēt, izveidojot kartējumus, kas saista sertifikāta informāciju ar Windows lietotāja kontu. Kad esat izveidojis un iespējojis sertifikātu kartēšanu, katru reizi, kad klients uzrāda klienta sertifikātu, servera lietojumprogramma automātiski saista šo lietotāju ar atbilstošo Windows lietotāja kontu.

Schannel mēģinās kartēt katru sertifikātu kartēšanas metodi, kuru esat iespējojis, līdz viena no tām izdodas. Schannel mēģina vispirms kartēt pakalpojuma lietotājam pašam (Service For-User-to-Self — S4U2Self) kartējumus. Tēmas/izdevēja, izdevēja un UPN sertifikātu kartējumi tagad tiek uzskatīti par vājiem un pēc noklusējuma ir atspējoti. Atlasīto opciju bitmaskētā summa nosaka pieejamo sertifikātu kartēšanas metožu sarakstu.

Reģistra atslēgas noklusējuma iestatījums bija 0x1F, un tagad tā ir 0x18. Ja rodas autentifikācijas kļūmes ar Schannel servera lietojumprogrammām, ieteicams veikt pārbaudi. Pievienojiet vai modificējiet reģistra atslēgas vērtību CertificateMappingMethods domēna kontrollerī un iestatiet to uz 0x1F, lai redzētu, vai problēma tiek novērsta. Lai iegūtu papildinformāciju, domēna kontrollera sistēmas notikumu žurnālos meklējiet šajā rakstā norādītās kļūdas. Ņemiet vērā, ka, mainot SChannel reģistra atslēgas vērtību atpakaļ uz iepriekšējo noklusējumu (0x1F), atkal tiks izmantotas vājas sertifikātu kartēšanas metodes.

Papildu resursus un atbalstu skatiet sadaļā "Papildu resursi".

Pēc atjauninājumu instalēšanas, kuru adreses ir CVE-2022-26931 un CVE-2022-26923, autentifikācija var neizdoties gadījumos, kad lietotāja sertifikāti ir vecāki par lietotāju izveides laiku. Šī reģistra atslēga nodrošina sekmīgu autentifikāciju, ja savā vidē izmantojat vāju sertifikātu kartējumu un sertifikāta laiks ir pirms lietotāja izveides laika norādītajā diapazonā. Šī reģistra atslēga neietekmē lietotājus vai datorus ar spēcīgu sertifikātu kartējumu, jo sertifikāta laiks un lietotāju izveides laiks netiek pārbaudīti ar stipru sertifikātu kartējumu. Šai reģistra atslēgai nav nekādas ietekmes, ja StrongCertificateBindingEnforcement ir iestatīts uz 2.

Šīs reģistra atslēgas izmantošana ir pagaidu risinājums vidēm, kurās tā ir nepieciešama, un tas ir jādara piesardzīgi. Šīs reģistra atslēgas izmantošana jūsu videi nozīmē tālāk minēto.

• Šī reģistra atslēga darbojas tikai saderības režīmā , sākot ar atjauninājumiem, kas izlaisti 2022. gada 10. maijā. Autentifikācija būs atļauta atpakaļejošas datēšanas kompensācijas nobīdes ietvaros, bet par vājo saistījumu tiks reģistrēts notikumu žurnāla brīdinājums.
• Šīs reģistra atslēgas iespējošana ļauj autentificēt lietotāju, ja sertifikāta laiks ir pirms lietotāja izveides laika iestatītajā diapazonā kā vājš kartēšana. Pēc 2025. gada septembrī vai vēlāk izlaisto Windows atjauninājumu instalēšanas vāji kartējumi netiks atbalstīti.

Palaidiet tālāk norādīto certutil komandu, lai izslēgtu lietotāja veidnes sertifikātus no jaunā paplašinājuma iegūšanas.

1. Pierakstieties sertificēšanas iestādes serverī vai domēnam pievienotā Windows 10 klientā ar uzņēmuma administratoru vai līdzvērtīgiem akreditācijas datiem.
2. Atveriet komandu uzvedni un izvēlieties Palaist kā administratoram.
3. Run certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Atspējojot šī paplašinājuma pievienošanu, tiks noņemta jaunā paplašinājuma nodrošinātā aizsardzība. Apsveriet iespēju to darīt tikai pēc kādas no šīm darbībām:

1. Jūs apstiprināt, ka atbilstošie sertifikāti nav pieņemami publiskās atslēgas kriptogrāfijai sākotnējai autentifikācijai (PKINIT) Kerberos protokola autentifikācijās KDC
2. Atbilstošajiem sertifikātiem ir konfigurēti citi spēcīgi sertifikātu kartējumi

Vides, kurās ir izvietojumi, kas nav Microsoft CA izvietojumi, pēc 2022. gada 10. maija Windows atjauninājuma instalēšanas netiks aizsargātas, izmantojot jauno SID paplašinājumu. Lai novērstu šo problēmu, ietekmētajiem klientiem ir jāsadarbojas ar attiecīgajiem CA piegādātājiem vai jāapsver iespēja izmantot citus iepriekš aprakstītos spēcīgos sertifikātu kartējumus.

Papildu resursus un atbalstu skatiet sadaļā "Papildu resursi".

Nē, atjaunošana nav nepieciešama. CA tiks piegādāta saderības režīmā. Ja vēlaties spēcīgu kartēšanu, izmantojot ObjectSID paplašinājumu, ir nepieciešams jauns sertifikāts.

2025. gada 11. februāra Windows atjauninājumā ierīces, kuras vēl nav ieviestas (StrongCertificateBindingEnforcement reģistra vērtība ir iestatīta uz 2), tiks pārvietotas uz izpildi. Ja autentifikācija ir liegta, redzēsit notikuma ID 39 (vai notikuma ID 41 operētājsistēmai Windows Server 2008 R2 1. servisa pakotnei un Windows Server 2008 2. servisa pakotnei). Šajā posmā jums būs iespēja iestatīt reģistra atslēgas vērtību atpakaļ uz 1 (saderības režīms).

2025. gada 9. septembra Windows atjauninājumā StrongCertificateBindingEnforcement reģistra vērtība vairs netiks atbalstīta.