KB5020276 — Netjoin: domēna savienojuma rūdīšanas izmaiņas

Kopsavilkums

Windows atjauninājumi, kas izlaisti 2022. gada 11. oktobrī un kas izlaisti pēc tam, satur CVE-2022-38042 ieviestos papildu aizsardzībus. Šīs aizsardzības apzināti neļauj domēna pievienošanas operācijām atkārtoti izmantot mērķa domēnā esošu datora kontu, ja vien:

• Lietotājs, kas mēģina veikt operāciju, ir esošā konta izveidotājs.

  Vai

• Datoru izveidoja domēna administratoru dalībnieks.

  Vai

• Atkārtoti izmantotā datora konta īpašnieks ir domēna kontrollera "Domēna kontrollera: atļaut datora konta atkārtotu izmantošanu domēna pievienošanas laikā" dalībnieks. grupas politika iestatījumu. Šim iestatījumam ir nepieciešama Windows atjauninājumu instalēšana, kas izlaista 2023. gada 14. martā vai pēc tam, VISOS dalībnieku datoros un domēnu kontrolleros.

Atjauninājumi izlaista 2023. gada 14. martā un 2023. gada 12. septembrī, nodrošinās papildu opcijas ietekmētajiem klientiem sistēmā Windows Server 2012 R2 un visos atbalstītajos klientos. Papildinformāciju skatiet 2022. gada 11 . oktobra darbībā un sadaļā Rīcība . 

Darbība pirms 2022. gada 11. oktobra

Pirms 2022. gada 11. oktobra vai jaunāku atjauninājumu instalēšanas klienta dators pieprasa Active Directory esošam kontam ar tādu pašu nosaukumu. Šis vaicājums tiek izpildīts domēna pievienošanas un datora konta nodrošināšanas laikā. Ja šāds konts pastāv, klients automātiski mēģinās to izmantot atkārtoti.

Piezīme Atkārtotas izmantošanas mēģinājums neizdosies, ja lietotājam, kurš mēģina veikt domēna savienošanu, nav atbilstošo rakstīšanas atļauju. Tomēr, ja lietotājam ir pietiekami daudz atļauju, domēna pievienošana ir sekmīga.

Pastāv divi scenāriji domēna savienojumam ar attiecīgi noklusējuma darbībām un karodziņiem, kā norādīts tālāk.

• Domain Join (NetJoinDomain)

  • Noklusējums konta atkārtotai izmantošanai ( ja NETSETUP_NO_ACCT_REUSE norādīts karodziņš)

• Kontu nodrošināšana (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Noklusējums NO atkārtotai izmantošanai ( ja NETSETUP_PROVISION_REUSE_ACCOUNT nav norādīta vērtība.)

2022. gada 11. oktobra darbība 

Pēc 2022. gada 11. oktobra vai jaunāku Windows kumulatīvo atjauninājumu instalēšanas klienta datorā domēna pievienošanas laikā klients veiks papildu drošības pārbaudes, pirms mēģināsit atkārtoti izmantot esošu datora kontu. Algoritms:

1. Konta atkārtotas izmantošanas mēģinājums tiks atļauts, ja lietotājs mēģinās veikt darbību ar esošā konta veidotāju.

2. Konta atkārtotas izmantošanas mēģinājums tiks atļauts, ja kontu ir izveidojis domēna administratoru dalībnieks.

Šīs papildu drošības pārbaudes tiek veiktas pirms pievienošanās datoram. Ja pārbaudes ir sekmīgas, uz pārējo pievienošanās operāciju attiecas Active Directory atļaujas kā iepriekš.

Šīs izmaiņas neietekmē jaunos kontus.

Piezīme Pēc 2022. gada 11. oktobra vai jaunāku Windows kumulatīvo atjauninājumu instalēšanas domēna savienojums ar datora kontu atkārtoti var būt tīšām neizdoties ar šādu kļūdu:

Kļūdas 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Pakalpojumā Active Directory ir konts ar tādu pašu nosaukumu. Konta atkārtota izmantošana tika bloķēta ar drošības politiku."

Šādā gadījumā kontu ar nolūku aizsargā jaunā darbība.

Notikuma ID 4101 tiek aktivizēts, tiklīdz rodas iepriekš minētā kļūda, un problēma tiks reģistrēta c:\windows\atkļūdošanas\netsetup.log. Veiciet tālāk norādītās darbības rakstā Rīcība, lai izprastu neveiksmi un novērstu problēmu.

2023. gada 14. marta darbība

Windows atjauninājumos, kas izlaisti 2023. gada 14. martā vai pēc tam, mēs veicām dažas izmaiņas drošības drošībai. Šīs izmaiņas ietver visas izmaiņas, ko veicām 2022. gada 11. oktobrī.

Vispirms mēs paplašinājām to grupu tvērumu, kuras ir atbrīvotas no šīs rūcības. Papildus domēnu administratoriem, uzņēmuma administratoriem un iebūvētajām administratoru grupām tagad nav jāpārbauda īpašumtiesības.

Otrkārt, mēs ieviesām jaunu grupas politika iestatījumu. Administratori to var izmantot, lai norādītu uzticamu datoru kontu īpašnieku atļauto sarakstu. Datora konts apiet drošības pārbaudi, ja ir spēkā viens no šiem nosacījumiem:

• Konts pieder lietotājam, kas domēna kontrollerī domēna kontrollerī ir norādīts kā uzticams īpašnieks, un tādējādi tiek grupas politika.

• Konts pieder lietotājam, kurš ir grupas dalībnieks, kas domēna kontrollerī kā uzticams īpašnieks ir norādīts grupas "Domēna kontrolleris: atļaut datora kontu atkārtoti izmantot domēna pievienošanas laikā" grupas politika.

Lai izmantotu šo jauno grupas politika, domēna kontrollerim un dalībnieka datoram vienmēr jābūt instalētam 2023. gada 14. marta vai jaunākas versijas atjauninājumam. Dažiem no jums var būt konkrēti konti, kurus izmantojat automatizētā datora konta izveidei. Ja šo kontu izmantošana ir droša pret ļaunprātīgu izmantošanu un uzticaties viņiem, lai izveidotu datora kontus, varat tos atbrīvot. Jūs joprojām būsiet aizsargāts pret sākotnējo ievainojamību, ko novērš 2022. gada 11. oktobra Windows atjauninājumi.

^{2023. gada 12. septembra darbība}

Windows atjauninājumos, kas izlaisti 2023. gada 12. septembrī vai pēc tam, mēs veicām dažas papildu izmaiņas drošības drošībai. Šīs izmaiņas ietver visas izmaiņas, ko veicām 2022. gada 11. oktobrī, un izmaiņas no 2023. gada 14. marta.

No tika novērsta problēma, kur domēna pievienošana, izmantojot viedkartes autentifikāciju, neizdevās neatkarīgi no politikas iestatījuma. Lai novērstu šo problēmu, pārējās drošības pārbaudes pārvietojām atpakaļ uz domēna kontrolleri. Tāpēc pēc 2023. gada septembra drošības atjauninājuma klientu datori autentificē SAMRPC izsauc domēna kontrollerim drošības validācijas pārbaudes, kas saistītas ar datoru kontu atkārtotu izmantotāju.

Tomēr tas var izraisīt domēna savienojuma atteici vidē, kurā iestatīta šāda politika: Tīkla piekļuve: Ierobežot klientu piekļuvi attālajiem zvaniem uz SAM.  Informāciju par to, kā novērst šo problēmu, skatiet sadaļā "Zināmās problēmas".

Mēs arī plānojam nākamajā Windows atjauninājumā noņemt sākotnējo NetJoinLegacyAccountReuse reģistra iestatījumu. [2024. gada janvāris — sākums]Šī noņemšana ir varbūtēji ieplānota atjauninājumam, sākot ar 2024. gada 13. augustu. Izlaides datumi var mainīties. [Beigas — 2024. gada janvāris]

Piezīme Ja klientiem izvietojāt atslēgu NetJoinLegacyAccountReuse un iestatījāt to kā 1. vērtību, jums šī atslēga ir jānoņem (vai jāiestata uz 0), lai varētu izmantot jaunākās izmaiņas. 

Rīcība

Konfigurējiet jauno atļauto sarakstu politiku, grupas politika domēna kontrollerī un noņemiet visus mantotos klienta puses risinājumus. Pēc tam rīkojieties šādi:

1. 2023. gada 12. septembra vai jaunākas versijas atjauninājumi ir jāinstalē visos dalībnieku datoros un domēnu kontrolleros. 

2. Jaunā vai esošā grupas politikā, kas attiecas uz visiem domēna kontrolleriem, konfigurējiet iestatījumus tālāk esošajās darbībās.

3. Sadaļā Datora konfigurācija\Politikas\Windows Iestatījumi\Drošības iestatījumi\Lokālās politikas\Drošības opcijas veiciet dubultklikšķi uz Domēna kontrolleris: atļaut datora konta atkārtotu izmantošanu domēna pievienošanas laikā.

4. Atlasiet Definēt šo politikas iestatījumu un <Rediģēt drošību...>.

5. Izmantojiet objektu atlasītāju, lai atļauju atļautu pievienot uzticamu datoru kontu veidotājus un īpašniekus vai grupu lietotājus vai grupas. (Ieteicams izmantot grupas atļauju apmaiņai.) Ne pievienojiet lietotāja kontu, kas veic domēna pievienošanos.

   Brīdinājums.: Ierobežot dalību politikā tikai uzticamiem lietotājiem un pakalpojumu kontiem. Šai politikai ne pievienot autentificētus lietotājus, ne visas, ne citas lielas grupas. Tā vietā pievienojiet grupai konkrētus uzticamus lietotājus un pakalpojumu kontus un pievienojiet šīs grupas politikai.

6. Uzgaidiet, līdz tiek grupas politika atsvaidzināšanas intervāls vai jāpalaiž gpupdate/force visās domēna kontrolleros.

7. Pārliecinieties, vai HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" reģistra atslēga tiek aizpildīta ar vēlamo SDDL. Nerediģējat reģistru manuāli.

8. Mēģiniet pievienoties datoram, kurā ir instalēti 2023. gada 12. septembra vai jaunākas versijas atjauninājumi. Nodrošiniet, lai vienam no politikā minētajiem kontiem būtu datora konta īpašumtiesības. Pārliecinieties arī, vai tā reģistrā nav iespējota atslēga NetJoinLegacyAccountReuse (iestatīta uz 1). Ja domēna pievienošana neizdodas, pārbaudiet izvēles rūtiņu c:\windows\atkļūdot\netsetup.log.

Ja jums joprojām ir nepieciešams alternatīvs risinājums, pārskatiet datora konta nodrošināšanas darbplūsmas un saprotiet, vai ir nepieciešamas izmaiņas. 

1. Veiciet pievienošanās darbību, izmantojot to pašu kontu, kas mērķa domēnā izveidoja datora kontu.

2. Ja esošais konts ir novecošs (neizmantots), izdzēsiet to, pirms mēģināt pievienoties domēnam vēlreiz.

3. Pārdēvējiet datoru un pievienojieties, izmantojot citu kontu, kurš vēl nepastāv.

4. Ja esošais konts pieder uzticamam drošības pamatsummai un administrators vēlas atkārtoti izmantot kontu, izpildiet sadaļā Darbība norādītās darbības norādījumus, lai instalētu 2023. gada septembra vai jaunāku Windows atjauninājumu un konfigurētu atļauto vienumu sarakstu.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Zināmās problēmas

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac