KB5020276—Netjoin: Endringer som herder på domenekobling

Sammendrag

Windows-oppdateringer utgitt 11. oktober 2022 eller senere inneholder ytterligere beskyttelser introdusert av CVE-2022-38042. Disse beskyttelsene hindrer med hensikt at domenekoblingsoperasjoner bruker en eksisterende datamaskinkonto i måldomenet på nytt med mindre

• Brukeren som prøver operasjonen, er oppretteren av den eksisterende kontoen, eller
• Datamaskinen ble opprettet av et medlem av domeneadministratorer, eller

• Eieren av datamaskinkontoen som brukes på nytt, er medlem av Domenekontroller: Tillat gjenbruk av datamaskinkonto under domenekobling. Gruppepolicy-innstilling. Denne innstillingen krever installasjon av Windows-oppdateringer utgitt 14. mars 2023 eller senere på ALLE medlemsdatamaskiner og domenekontrollere.

Oppdateringer utgitt 14. mars 2023 og 12. september 2023 eller senere gir flere alternativer for berørte kunder på Windows Server 2012 R2 og nyere og alle klienter som støttes. Hvis du vil ha mer informasjon, kan du se inndelingene Virkemåte og Utfør handling11. oktober 2022.

Atferd før 11. oktober. 2022

Før du installerer 11. oktober 2022 eller senere kumulative oppdateringer, spør klientdatamaskinen Active Directory etter en eksisterende konto med samme navn. Denne spørringen oppstår under domenekobling og klargjøring av datamaskinkonto. Hvis en slik konto finnes, vil klienten automatisk forsøke å bruke den på nytt.

Dette er to scenarier for domenekobling med respektive standard virkemåter og flagg som følger:

• Domenekobling (NetJoinDomain)

  • Standard bruker kontogjenbruk (med mindre NETSETUP_NO_ACCT_REUSE flagg er angitt)

• Klargjøring av konto (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • INGEN gjenbruk som standard (med mindre NETSETUP_PROVISION_REUSE_ACCOUNT er angitt.)

Virkemåte 11. oktober 2022

Når du installerer de kumulative oppdateringene fra 11. oktober 2022 eller nyere for Windows på en klientdatamaskin, utfører klienten flere sikkerhetskontroller under domenekobling før den prøver å bruke en eksisterende datamaskinkonto på nytt. Algoritme:

1. Forsøk på gjenbruk av konto er tillatt hvis brukeren som prøver operasjonen, er oppretteren av den eksisterende kontoen.
2. Forsøk på gjenbruk av konto tillates hvis kontoen ble opprettet av et medlem av domeneadministratorer.

Disse ekstra sikkerhetskontrollene utføres før du forsøker å koble til datamaskinen. Hvis kontrollene er vellykkede, er resten av sammenføyningsoperasjonen underlagt Active Directory-tillatelser som før.

Denne endringen påvirker ikke nye kontoer.

Virkemåte 14. mars 2023

I Windows-oppdateringene utgitt 14. mars 2023 eller senere har vi gjort noen endringer i sikkerhetsherdingen. Disse endringene inkluderer alle endringene vi gjorde 11. oktober 2022.

Først utvidet vi omfanget av grupper som er unntatt fra denne herdingen. I tillegg til domeneadministratorer, er nå bedriftsadministratorer og innebygde administratorgrupper unntatt fra eierskapskontrollen.

For det andre har vi implementert en ny gruppepolicy-innstilling. Administratorer kan bruke den til å angi en tillatelsesliste over eiere av klarerte datamaskinkontoer. Datamaskinkontoen vil omgå sikkerhetskontrollen hvis ett av følgende er oppfylt:

Kontoen eies av en bruker som er angitt som en klarert eier i gruppepolicyen Domenekontroller: Tillat gjenbruk av datamaskinkonto under domenekobling.

Kontoen eies av en bruker som er medlem av en gruppe som er angitt som en klarert eier i gruppepolicyen Domenekontroller: Tillat gjenbruk av datamaskinkonto ved domenekobling.

Hvis du vil bruke denne nye gruppepolicyen, må domenekontrolleren og medlemsdatamaskinen konsekvent ha oppdateringen fra 14. mars 2023 eller nyere installert. Enkelte av dere kan ha bestemte kontoer som du bruker til automatisert kontooppretting på datamaskinen. Hvis disse kontoene er sikret mot misbruk, og du stoler på at de oppretter datamaskinkontoer, kan du unnta dem. Du vil fortsatt være sikret mot det opprinnelige sikkerhetsproblemet som ble redusert av Windows-oppdateringene 11. oktober 2022.

Virkemåte 12. september 2023

I Windows-oppdateringene utgitt 12. september 2023 eller senere har vi gjort noen ytterligere endringer i sikkerhetsherdingen. Disse endringene inkluderer alle endringene vi gjorde i oktober 11, 2022, og endringene fra 14. mars 2023.

Vi løste et problem der domenekobling ved hjelp av smartkortgodkjenning mislyktes uavhengig av policyinnstillingen. For å løse dette problemet flyttet vi de gjenværende sikkerhetskontrollene tilbake til domenekontrolleren. Etter sikkerhetsoppdateringen september 2023 foretar derfor klientmaskiner godkjente SAMRPC-kall til domenekontrolleren for å utføre sikkerhetsvalideringskontroller knyttet til gjenbruk av datamaskinkontoer.

Dette kan imidlertid føre til at domenekobling mislykkes i miljøer der følgende policy er angitt: Nettverkstilgang: Begrens klienters tillatelse til å foreta eksterne anrop til SAM.  Se delen «Kjente problemer» for informasjon om hvordan du løser dette problemet.

Virkemåte 13. august 2024

I Windows-oppdateringene utgitt 13. august 2024 eller senere, har vi løst alle kjente kompatibilitetsproblemer med tillatelseslistepolicyen. Vi har også fjernet støtte for NetJoinLegacyAccountReuse-nøkkelen. Herdingsvirkemåten vedvarer uavhengig av nøkkelinnstillingen. De riktige metodene for å legge til unntak er oppført i delen Ta affære nedenfor.

Iverksett tiltak

Konfigurer den nye tillatelsesliste-policyen ved hjelp av gruppepolicyen på en domenekontroller, og fjern eventuelle eldre løsninger på klientsiden. Deretter gjør du følgende:

1. Du må installere oppdateringene fra 12. september 2023 eller nyere på alle medlemsdatamaskiner og domenekontrollere.

2. Konfigurer innstillingene i fremgangsmåten nedenfor i en ny eller eksisterende gruppepolicy som gjelder for alle domenekontrollere.

3. Dobbeltklikk på Domenekontroller under Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options.

4. Velg Definer denne policyinnstillingen og <Rediger sikkerhet ...>.

5. Bruk objektvelgeren til å legge til brukere eller grupper av klarerte opprettere og eiere av datamaskinkontoer i Tillat-tillatelsen . (Vi anbefaler på det sterkeste at du bruker grupper for tillatelser.) Ikke legg til brukerkontoen som utfører domenekoblingen.

   Advarsel

   Begrens medlemskap til policyen til klarerte brukere og tjenestekontoer. Ikke legg til godkjente brukere, alle eller andre store grupper i denne policyen. I stedet legger du til bestemte klarerte brukere og tjenestekontoer i grupper og legger til disse gruppene i policyen.

6. Vent på oppdateringsintervallet for gruppepolicyen, eller kjør gpupdate /force på alle domenekontrollere.

7. Kontroller at registernøkkelen HKLM\System\CCS\Control\SAM – «ComputerAccountReuseAllowList» er fylt ut med ønsket SDDL. Ikke rediger registret manuelt.

8. Prøv å bli med på en datamaskin som har oppdateringene fra 12. september 2023 eller nyere installert. Kontroller at én av kontoene som er oppført i policyen, eier datamaskinkontoen. Hvis domenekoblingen mislykkes, sjekker du c:\windows\debug\netsetup.log.

Hvis du fortsatt trenger en alternativ løsning, kan du se gjennom arbeidsflytene for klargjøring av datamaskinkonto og forstå om det kreves endringer.

1. Utfør sammenføyningsoperasjonen ved hjelp av den samme kontoen som opprettet datamaskinkontoen i måldomenet.
2. Hvis den eksisterende kontoen er gammel (ubrukt), sletter du den før du prøver å bli med i domenet på nytt.
3. Gi nytt navn til datamaskinen og bli med med med en annen konto som ikke allerede finnes.
4. Hvis den eksisterende kontoen eies av et klarert sikkerhetsprinsipp og en administrator ønsker å bruke kontoen på nytt, følger du veiledningen i handlingsdelen for å installere Windows-oppdateringene for september 2023 eller nyere og konfigurere en tillatelsesliste.

Ikke-løsninger

• Ikke legg til tjenestekontoer eller klargjøringskontoer i sikkerhetsgruppen Domeneadministratorer.
• Ikke rediger sikkerhetsbeskrivelsen manuelt på datamaskinkontoer i et forsøk på å omdefinere eierskapet til slike kontoer, med mindre den forrige eierkontoen er slettet. Når du redigerer, vil eieren aktivere de nye kontrollene, og datamaskinkontoen kan beholde de samme potensielt risikable, uønskede tillatelsene for den opprinnelige eieren, med mindre de eksplisitt kontrolleres og fjernes.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Kjente problemer