Kerberos un NTLM autentifikācijas kļūmes SID dublikātu dēļ

Pazīmes 

Var rasties Kerberos un jaunas tehnoloģijas LAN pārvaldnieka (NTLM) autentifikācijas kļūmes visās ierīcēs, kurās ir dublēti drošības iD (SID). Šī problēma var rasties Windows 11 versijā 24H2, Windows 11, versijā 25H2 un Windows Server 2025 pēc tam, kad instalējat un pēc tam izlaistos Windows atjauninājumus: 

• 2025. gada 29. augusts — KB5064081 (OS būvējumu 26100.5074) Priekšskatījums

• 2025. gada 9. septembris — KB5065426 (OS būvējumu 26100.6584)

Šīs autentifikācijas kļūmes var parādīties kā dažādas pazīmes, tostarp: 

• Lietotāji atkārtoti pieprasa ievadīt akreditācijas datus.

• Piekļuves pieprasījumi ar derīgiem akreditācijas datiem neizdosies, izmantojot ekrāna kļūdas, piemēram:

  • Pieteikšanās mēģinājums neizdevās.

  • Pieteikšanās neizdevās/jūsu akreditācijas dati neizdevās.

  • Datora ID ir daļēja neatbilstība.

  • Lietotājvārds vai parole nav pareiza.

• Koplietotā tīkla mapēm nevar piekļūt, izmantojot IP adresi vai resursdatora nosaukumu.

• Nevar izveidot attālās darbvirsmas savienojumus, tostarp attālās darbvirsmas protokola (Remote Desktop Protocol — RDP) sesijas, kas iniciēta, izmantojot priviliģētas piekļuves pārvaldības (Privileged Access Management — PAM) risinājumus vai trešo pušu rīkus.

• Kļūmjpārlēces klastera darbība neizdodas ar kļūdu "piekļuve liegta".

• Notikumu skatītājs Windows žurnālos var tikt parādīta kāda no šīm kļūdām:

  • Drošības žurnālā ir SEC_E_NO_CREDENTIALS kļūda .

  • Sistēmas žurnālā iekļauts lokālās drošības iestādes servera pakalpojuma (lsasrv.dll) notikuma ID: 6167 ar ziņojuma tekstu:

    Datora ID ir daļēja neatbilstība. Tas norāda, ka biļete ir vai nu manipulēta, vai tai pieder cita sāknēšanas sesija.

Iemesls

Windows atjauninājumi, kas izlaisti 2025. gada 29. augustā un pēc tam, ietver papildu drošības aizsardzību, kas ievieš SID pārbaudes, kā dēļ var neizdoties autentifikācija, ja ierīcēm ir SID dublikāti. Šī noformējuma maiņa bloķē autentifikācijas brīvroku darbības starp šādām ierīcēm. Neizdevās ar šo drošības aizsardzību saistītus autentifikācijas pieprasījumus identificē lokālās drošības iestādes servera pakalpojuma (lsasrv.dll) notikuma ID: 6167 sistēmas notikumu žurnālā. 

Dublētu SID var izveidot, veicot neatbalstītu klonēšanu vai Windows instalācijas dublēšanu, neizmantojot sysprep. Sysprep iespējotā SID unikalitāte ir nepieciešama, lai dublētu Windows 11, 24H2 un 25H2, kā arī Windows Server 2025 pēc Windows atjauninājumu instalēšanas un pēc 2025. gada 29. augusta. 

Papildinformāciju skatiet rakstā Microsoft politika diska dublēšanai Windows instalācijās. 

Risinājums

Pastāvīgas izšķirtspējas gadījumā ierīces, kurās ir SID dublikāti, būs jāpārbūvē, izmantojot atbalstītas metodes klonējot vai veicot Windows instalācijas dublēšanu, lai tām būtu unikāli SID. 

IT administratori var īslaicīgi novērst šo problēmu, instalējot un konfigurējot īpašu grupas politika. Lai iegūtu šo grupas politika, sazinieties ar Microsoft atbalsta dienestu.