KB5014754: Endringer i sertifikatbasert godkjenning på Windows-domenekontrollere

Det ble ikke funnet noen sterke sertifikattilordninger, og sertifikatet hadde ikke den nye utvidelsen for sikkerhetsidentifikator (SID) som KDC kunne validere.

Sertifikatet ble utstedt til brukeren før brukeren fantes i Active Directory, og det ble ikke funnet noen sterk tilordning. Denne hendelsen logges bare når KDC er i kompatibilitetsmodus.

SID-en i den nye utvidelsen av brukerens sertifikat samsvarer ikke med brukerens SID, noe som betyr at sertifikatet ble utstedt til en annen bruker.

Vær oppmerksom på Enkelte felt, for eksempel Utsteder, Emne og Serienummer, rapporteres i et «fremover»-format. Du må reversere dette formatet når du legger til tilordningsstrengen i altSecurityIdentities-attributtet . Hvis du for eksempel vil legge til tilordningen X509IssuerSerialNumber for en bruker, søker du i feltene «Utsteder» og «Serienummer» i sertifikatet du vil tilordne til brukeren. Se eksemplet nedenfor.

• Utsteder: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Serienummer: 2B0000000011AC0000000012

Deretter oppdaterer du brukerens altSecurityIdentities-attributt i Active Directory med følgende streng:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Hvis du vil oppdatere dette attributtet ved hjelp av PowerShell, kan du bruke kommandoen nedenfor. Husk at som standard er det bare domeneadministratorer som har tillatelse til å oppdatere dette attributtet.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Vær oppmerksom på at når du reverserer serienummeret, må du beholde byterekkefølgen. Dette betyr at reversering av serienummeret "A1B2C3" skal resultere i strengen "C3B2A1" og ikke "3C2B1A". Hvis du vil ha mer informasjon, kan du se veiledningen: Tilordne en bruker til et sertifikat via alle metodene som er tilgjengelige i altSecurityIdentities-attributtet.

Når du har installert Windows-oppdateringene fra 10. mai 2022, vil enhetene være i kompatibilitetsmodus. Hvis et sertifikat i stor grad kan tilordnes til en bruker, skjer godkjenningen som forventet. Hvis et sertifikat bare kan tilordnes svakt til en bruker, skjer godkjenningen som forventet. En advarsel vil imidlertid bli loggført med mindre sertifikatet er eldre enn brukeren. Hvis sertifikatet er eldre enn brukeren og registernøkkelen for sertifikattilbakedatering ikke finnes, eller området er utenfor kompensasjonen for tilbakeoppdatering, vil godkjenning mislykkes, og en feilmelding vil bli loggført.  Hvis registernøkkelen for tilbakedatering av sertifikat er konfigurert, logges en advarsel i hendelsesloggen hvis datoene faller innenfor tilbakedateringskompensasjonen.

Når du har installert Windows-oppdateringene fra 10. mai 2022, bør du se etter eventuelle advarseler som kan vises etter en måned eller mer. Hvis det ikke finnes noen advarsler, anbefaler vi på det sterkeste at du aktiverer Full håndhevelsesmodus på alle domenekontrollere ved hjelp av sertifikatbasert godkjenning. Du kan bruke registernøkkelen KDC til å aktivere modusen for full håndhevelse.

Med mindre de oppdateres til overvåkingsmodus eller håndhevelsesmodus ved hjelp av registernøkkelen StrongCertificateBindingEnforcement tidligere, går domenekontrollere over til full håndhevelsesmodus når Windows-sikkerhetsoppdateringen for februar 2025 installeres. Godkjenning nektes hvis et sertifikat ikke kan tilordnes sterkt. Alternativet for å gå tilbake til kompatibilitetsmodus forblir til Windows-sikkerhetsoppdateringen 9. september 2025 er installert. Etter denne datoen støttes ikke lenger StrongCertificateBindingEnforcement-registernøkkelen

Hvis sertifikatbasert godkjenning baserer seg på en svak tilordning som du ikke kan flytte fra miljøet, kan du sette domenekontrollere i deaktivert modus ved hjelp av en registernøkkelinnstilling. Microsoft anbefaler ikke dette, og vi fjerner deaktivert modus 11. april 2023.

Når du har installert Windows-oppdateringene fra 13. februar 2024 eller nyere på Server 2019 og nyere, og støttede klienter med den valgfrie RSAT-funksjonen installert, vil sertifikattilordningen i Active Directory-brukere & datamaskiner som standard velge sterk tilordning ved hjelp av X509IssuerSerialNumber i stedet for svak tilordning ved hjelp av X509IssuerSubject. Innstillingen kan fortsatt endres etter ønske.

Symptomer

Microsoft har mottatt rapporter om at innstillingen «Behandle selv om gruppepolicy-objektene ikke er endret» under gruppepolicy-objektet «Datamaskinkonfigurasjon>Administrative maler>, system>, gruppepolicyKonfigurere>behandling av registerpolicy» kan av og til forstyrre de navnebaserte tilordningene på domenekontrollere.

Løsning

Du kan omgå dette problemet ved å deaktivere innstillingen Behandle selv om gruppepolicy-objektene ikke er endret» på domenekontrollere. Bare gjør dette hvis det er behov for navnebaserte tilordninger, som definert i gruppepolicyen «Computer Configuration>, Administrative Templates>System>,KDC>Allow name-based, strong mappings for certificates». Hvis du vil ha mer informasjon, kan du se Aktivere sterk navnebasert tilordning i offentlige scenarioer.

Neste trinn

Vi undersøker disse rapportene og vil gi mer informasjon når den er tilgjengelig.

• Bruk Kerberos-driftsloggen på den aktuelle datamaskinen til å finne ut hvilken domenekontroller som ikke kan logge seg på. Gå til HendelseslisteProgram>- og tjenestelogger\Microsoft \Windows\Sikkerhet – Kerberos\operativ.
• Se etter relevante hendelser i systemhendelsesloggen på domenekontrolleren som kontoen forsøker å godkjenne mot.
• Hvis sertifikatet er eldre enn kontoen, må du utstede sertifikatet på nytt eller legge til en sikker altSecurityIdentities-tilordning på kontoen (se Sertifikattilordninger).
• Hvis sertifikatet inneholder en SID-utvidelse, må du kontrollere at SID-en samsvarer med kontoen.
• Hvis sertifikatet brukes til å godkjenne flere forskjellige kontoer, trenger hver konto en separat altSecurityIdentities-tilordning .
• Hvis sertifikatet ikke har en sikker tilordning til kontoen, kan du legge til en eller la domenet være i kompatibilitetsmodus inntil du kan legge til en.

Et eksempel på TLS-sertifikattilordning er å bruke et intranettwebprogram for IIS.

• Etter å ha installert CVE-2022-26391 - og CVE-2022-26923-beskyttelser , bruker disse scenariene Kerberos Certificate Service For User (S4U)-protokollen for sertifikattilordning og godkjenning som standard.
• I Kerberos-sertifikat S4U-protokollen flyter godkjenningsforespørselen fra programserveren til domenekontrolleren, ikke fra klienten til domenekontrolleren. Derfor vil relevante hendelser være på applikasjonsserveren.

Denne registernøkkelen støttes ikke når du har installert oppdateringer for Windows utgitt på eller etter september 2025.

Når et serverprogram krever klientgodkjenning, forsøker Schannel automatisk å tilordne sertifikatet som TLS-klienten leverer til en brukerkonto. Du kan godkjenne brukere som logger seg på med et klientsertifikat, ved å opprette tilordninger som knytter sertifikatinformasjonen til en Windows-brukerkonto. Når du har opprettet og aktivert en sertifikattilordning, knytter serverprogrammet automatisk denne brukeren til den riktige Windows-brukerkontoen hver gang en klient presenterer et klientsertifikat.

Schannel vil prøve å tilordne hver sertifikattilordningsmetode du har aktivert, til en lykkes. Schannel prøver å tilordne tilordningene Service-for-User-To-Self (S4U2Self) først. Sertifikattilordningene Emne/Utsteder, Utsteder og UPN regnes nå som svake og har blitt deaktivert som standard. Bitmaskesummen for de valgte alternativene bestemmer listen over tilgjengelige metoder for sertifikattilordning.

SChannel-registernøkkelstandarden ble 0x1F og er nå 0x18. Hvis du opplever godkjenningsfeil med Schannel-baserte serverprogrammer, foreslår vi at du utfører en test. Legg til eller endre CertificateMappingMethods-verdien for registernøkkelen på domenekontrolleren, og angi den til 0x1F og se om dette løser problemet. Se i systemhendelsesloggene på domenekontrolleren etter eventuelle feil som er oppført i denne artikkelen, for mer informasjon. Husk at hvis du endrer registernøkkelverdien SChannel tilbake til forrige standard (0x1F), går du tilbake til å bruke svake metoder for sertifikattilordning.

For ytterligere ressurser og støtte kan du se delen Flere ressurser.

Når du har installert oppdateringer som adresserer CVE-2022-26931 og CVE-2022-26923, kan godkjenning mislykkes i tilfeller der brukersertifikatene er eldre enn brukerens opprettelsestidspunkt. Denne registernøkkelen muliggjør vellykket godkjenning når du bruker svake sertifikattilordninger i miljøet og sertifikattiden er før brukeropprettelsestidspunktet innenfor et angitt område. Denne registernøkkelen påvirker ikke brukere eller maskiner med sterke sertifikattilordninger, siden sertifikattid og brukeropprettelsestid ikke kontrolleres med sterke sertifikattilordninger. Denne registernøkkelen har ingen virkning når StrongCertificateBindingEnforcement er satt til 2.

Bruk av denne registernøkkelen er en midlertidig løsning for miljøer som krever det, og må gjøres med forsiktighet. Når du bruker denne registernøkkelen, betyr følgende for miljøet:

• Denne registernøkkelen fungerer bare i kompatibilitetsmodus fra og med oppdateringer utgitt 10. mai 2022. Godkjenning tillates innenfor tilbakedaterer kompensasjonsforskyvningen, men en hendelsesloggadvarsel loggføres for den svake bindingen.
• Aktivering av denne registernøkkelen tillater godkjenning av bruker når sertifikattiden er før brukeren opprettes innen et angitt område som en svak tilordning. Svake tilordninger støttes ikke når du har installert oppdateringer for Windows utgitt på eller etter september 2025.

Du kjører følgende certutil-kommando for å utelate sertifikater for brukermalen fra å få den nye utvidelsen.

1. Logg på en sertifiseringsinstansserver eller en domenetilknyttet Windows 10-klient med en bedriftsadministrator eller tilsvarende legitimasjon.
2. Åpne en ledetekst, og velg å Kjør som administrator.
3. Kjør certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Hvis du deaktiverer tillegget av denne utvidelsen, fjernes beskyttelsen som leveres av den nye utvidelsen. Vurder å gjøre dette bare etter ett av følgende:

1. Du bekrefter at de tilsvarende sertifikatene ikke er akseptable for PKINIT (Public Key Cryptography for Initial Authentication) i Kerberos-protokollgodkjenninger på KDC
2. De tilsvarende sertifikatene har andre sterke sertifikattilordninger konfigurert

Miljøer som har ikke-Microsoft CA-distribusjoner, beskyttes ikke med den nye SID-utvidelsen når du har installert Windows-oppdateringen 10. mai 2022. Berørte kunder bør samarbeide med de tilsvarende CA-leverandørene for å løse dette, eller bør vurdere å bruke andre sterke sertifikattilordninger som beskrevet ovenfor.

For ytterligere ressurser og støtte kan du se delen Flere ressurser.

Nei, fornyelse er ikke nødvendig. CA-en leveres i kompatibilitetsmodus. Hvis du vil ha en sterk tilordning ved hjelp av ObjectSID-utvidelsen, trenger du et nytt sertifikat.

I Windows-oppdateringen 11. februar 2025 blir enheter som ikke allerede er i håndhevelse (StrongCertificateBindingEnforcement-registerverdien er satt til 2), flyttet til håndhevelse. Hvis godkjenning nektes, vises hendelses-ID 39 (eller hendelses-ID 41 for Windows Server 2008 R2 SP1 og Windows Server 2008 SP2). Du har muligheten til å sette registernøkkelverdien tilbake til 1 (kompatibilitetsmodus) på dette stadiet.

I Windows-oppdateringen 9. september 2025 støttes ikke lenger StrongCertificateBindingEnforcement-registerverdien .