KB5020276 — Netjoin: domēna savienojuma stiprināšanas izmaiņas

Kopsavilkums

Windows atjauninājumi, kas izlaisti 2022. gada 11. oktobrī un vēlāk, ietver papildu aizsardzību, kas ieviesta ar CVE-2022-38042. Šī aizsardzība ar nolūku neļauj domēna pievienošanās operācijām atkārtoti izmantot esošu datora kontu mērķa domēnā, izņemot gadījumus, kad:

• Lietotājs, kas mēģina veikt darbību, ir esošā konta izveidotājs.
• Datoru izveidoja domēna administrators, vai

• Atkārtoti izmantotā datora konta īpašnieks ir "Domēna kontrolleris: atļaut datora konta atkārtotu izmantošanu pievienošanās domēnam laikā" dalībnieks. grupas politikas iestatījumu. Šim iestatījumam ir nepieciešams instalēt Windows atjauninājumus, kas izlaisti 2023. gada 14. martā vai vēlāk, VISU dalībnieku datoros un domēnu kontrolleros.

Atjauninājumi, kas izlaisti 2023. gada 14. martā un 2023. gada 12. septembrī un vēlāk, nodrošinās papildu opcijas ietekmētajiem klientiem sistēmā Windows Server 2012 R2 un jaunākās versijās, kā arī visiem atbalstītajiem klientiem. Papildinformāciju skatiet sadaļās par 2022. gada 11. oktobra uzvedību un rīcību .

Darbība pirms 11. oktobra. 2022

Pirms 2022. gada 11. oktobra vai jaunāku kumulatīvo atjauninājumu instalēšanas klienta dators vaicājumu Active Directory par esošu kontu ar tādu pašu nosaukumu. Šis vaicājums tiek izpildīts domēna pievienošanās un datora konta nodrošināšanas laikā. Ja šāds konts pastāv, klients automātiski mēģinās to izmantot atkārtoti.

Šie ir divi scenāriji domēna apvienošanai ar attiecīgām noklusējuma darbībām un karodziņiem, kā norādīts tālāk:

• Pievienošanās domēnam (NetJoinDomain)

  • Noklusējums konta atkalizmantošanai (ja vien nav norādīts karodziņš NETSETUP_NO_ACCT_REUSE

• Konta nodrošināšana (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Noklusējums NAV atkārtotas izmantošanas (ja vien nav norādīts NETSETUP_PROVISION_REUSE_ACCOUNT .)

2022. gada 11. oktobra uzvedība

Kad klienta datorā instalēsit 2022. gada 11. oktobra vai jaunākus Windows kumulatīvos atjauninājumus, domēna pievienošanās laikā klients veiks papildu drošības pārbaudes pirms mēģinājuma atkārtoti izmantot esošu datora kontu. Algoritms:

1. Konta atkalizmantošanas mēģinājums ir atļauts, ja lietotājs, kas mēģina veikt darbību, ir esošā konta izveidotājs.
2. Konta atkalizmantošanas mēģinājums ir atļauts, ja kontu ir izveidojis domēna administratora loceklis.

Šīs papildu drošības pārbaudes tiek veiktas pirms mēģinājuma pievienoties datoram. Ja pārbaudes ir veiksmīgas, uz pārējo pievienošanās operāciju attiecas Active Directory atļaujas tāpat kā iepriekš.

Šīs izmaiņas neietekmē jaunos kontus.

2023. gada 14. marta uzvedība

Windows atjauninājumos, kas izlaisti 2023. gada 14. martā vai vēlāk, mēs veicām dažas izmaiņas drošības rūdībai. Šīs izmaiņas ietver visas izmaiņas, kuras veicām 2022. gada 11. oktobrī.

Pirmkārt, mēs paplašinājām to grupu loku, kuras ir atbrīvotas no šīs sacietēšanas. Papildus domēna administratoriem, uzņēmumu administratoriem un iebūvēto administratoru grupām tagad īpašumtiesību pārbaude ir atbrīvota.

Otrkārt, mēs ieviesām jaunu grupas politikas iestatījumu. Administratori var to izmantot, lai norādītu atļauto uzticamo datora kontu īpašnieku sarakstu. Datora konts apies drošības pārbaudi, ja būs spēkā kāds no šiem nosacījumiem:

Konts pieder lietotājam, kas grupas politikā "Domēna kontrolleris: atļaut datora konta atkārtotu izmantošanu pievienošanās domēnam laikā" norādīts kā uzticams īpašnieks.

Konts pieder lietotājam, kurš ir grupas dalībnieks, kas grupas politikā "Domēna kontrolleris: atļaut datora konta atkārtotu izmantošanu domēna pievienošanās laikā" norādīts kā uzticams īpašnieks.

Lai izmantotu šo jauno grupas politiku, domēna kontrollerī un dalībnieka datorā konsekventi jābūt instalētam 2023. gada 14. marta vai jaunākam atjauninājumam. Dažiem no jums, iespējams, ir konkrēti konti, kurus izmantojat automatizētai datora kontu izveidei. Ja šie konti ir aizsargāti pret ļaunprātīgu izmantošanu un jūs uzticaties tiem izveidot datoru kontus, varat tos atbrīvot. Jūs joprojām būsiet aizsargāts pret sākotnējo ievainojamību, ko mazināja 2022. gada 11. oktobra Windows atjauninājumi.

2023. gada 12. septembra uzvedība

Windows atjauninājumos, kas izlaisti 2023. gada 12. septembrī vai vēlāk, mēs veicām dažas papildu izmaiņas drošības rūdībai. Šīs izmaiņas ietver visas izmaiņas, kuras veicām 2022. gada 11. oktobrī, kā arī izmaiņas no 2023. gada 14. marta.

Mēs novērsām problēmu, kur pievienošanās domēnam, izmantojot viedkartes autentifikāciju, neizdevās neatkarīgi no politikas iestatījuma. Lai novērstu šo problēmu, atlikušās drošības pārbaudes pārvietojām atpakaļ uz domēna kontrolleri. Tāpēc pēc 2023. gada septembra drošības atjauninājuma klienta datori veic autentificētus SAMRPC zvanus domēna kontrollerim, lai veiktu drošības validācijas pārbaudes, kas saistītas ar datoru kontu atkārtotu izmantošanu.

Tomēr tas var izraisīt domēna pievienošanās kļūmi vidēs, kur ir iestatīta šī politika: Tīkla piekļuve: ierobežojiet klientiem, kas drīkst veikt attālos zvanus uz SAM.  Informāciju par to, kā novērst šo problēmu, skatiet sadaļā "Zināmās problēmas".

2024. gada 13. augusta uzvedība

Windows atjauninājumos, kas izlaisti 2024. gada 13. augustā vai vēlāk, mēs novērsām visas zināmās saderības problēmas ar atļauto sarakstu politiku. Mēs arī noņēmām atbalstu NetJoinLegacyAccountReuse atslēgai. Stiprinājuma darbība saglabāsies neatkarīgi no taustiņa iestatījuma. Atbilstošās metodes atbrīvojumu pievienošanai ir uzskaitītas tālāk esošajā sadaļā Rīcība.

Rīkojieties

Konfigurējiet jauno atļauto sarakstu politiku, izmantojot grupas politiku domēna kontrollerī, un noņemiet visus mantotos klienta puses risinājumus. Tad veiciet tālāk norādītās darbības.

1. 2023. gada 12. septembra vai jaunāki atjauninājumi ir jāinstalē visos dalībnieku datoros un domēnu kontrolleros.

2. Jaunā vai esošā grupas politikā, kas attiecas uz visiem domēna kontrolleriem, konfigurējiet iestatījumus, veicot tālāk norādītās darbības.

3. Sadaļā Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options veiciet dubultklikšķi uz Domēna kontrolleris: atļaut datora konta atkārtotu izmantošanu pievienošanās domēnam laikā.

4. Atlasiet Definēt šo politikas iestatījumu un <Rediģēt drošību...>.

5. Izmantojiet objektu atlasītāju, lai atļaujai Atļaut pievienotu lietotājus vai uzticamu datoru kontu veidotāju un īpašnieku grupas. (Ieteicams atļaujām izmantot grupas.) Nepievienojiet lietotāja kontu, kas veic pievienošanos domēnam.

   Brīdinājums

   Ierobežojiet dalību politikā līdz uzticamiem lietotājiem un pakalpojumu kontiem. Šai politikai nepievienojiet autentificētus lietotājus, visus vai citas lielas grupas. Tā vietā pievienojiet konkrētiem uzticamiem lietotājiem un pakalpojumu kontiem grupām un pievienojiet šīs grupas politikai.

6. Uzgaidiet līdz grupas politikas atsvaidzināšanas intervālam vai palaidiet gpupdate /force visos domēna kontrolleros.

7. Pārbaudiet, vai reģistra atslēgā HKLM\System\CCS\Control\SAM — "ComputerAccountReuseAllowList" ir iestatīts vajadzīgais SDDL. Nerediģējiet reģistru manuāli.

8. Mēģināt pievienoties datoram, kurā ir instalēti 2023. gada 12. septembra vai jaunāki atjauninājumi. Pārliecinieties, vai kāds no kontiem, kas uzskaitīti politikā, pieder datora kontam. Ja domēna pievienošanās neizdodas, pārbaudiet \netsetup.log c:\windows\debug.

Ja jums joprojām ir nepieciešams alternatīvs risinājums, pārskatiet datora konta nodrošināšanas darbplūsmas un izprotiet, vai ir nepieciešamas izmaiņas.

1. Veiciet pievienošanās darbību, izmantojot to pašu kontu, ar kuru izveidojāt datora kontu mērķa domēnā.
2. Ja esošais konts ir novecojis (neizmantots), izdzēsiet to, pirms atkārtoti pievienojaties domēnam.
3. Pārdēvējiet datoru un pievienojieties, izmantojot citu kontu, kas vēl nepastāv.
4. Ja esošais konts pieder uzticamam drošības principālam un administrators vēlas kontu izmantot atkārtoti, izpildiet sadaļā Rīcība sniegtos norādījumus, lai instalētu 2023. gada septembra vai jaunāku Windows atjauninājumu un konfigurētu atļauto versiju sarakstu.

Nerisinājumi

• Nepievienojiet pakalpojumu kontus vai nodrošināšanas kontus drošības grupai Domēna administratori.
• Nerediģējiet manuāli drošības deskriptoru datoru kontos, lai mēģinātu no jauna definēt šādu kontu īpašumtiesības, ja vien iepriekšējais īpašnieka konts nav izdzēsts. Lai gan īpašnieka rediģēšana iespējos jauno pārbaužu sekmīgu veikšanu, datora konts var saglabāt tās pašas, potenciāli riskantas, nevēlamas atļaujas sākotnējam īpašniekam, ja vien tas netiek tieši pārskatīts un noņemts.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Zināmās problēmas