KB5020276 — Netjoin: Endringer i domenekobling

Oppsummering

Windows-oppdateringer utgitt 11. oktober 2022 inneholder ytterligere beskyttelser introdusert av CVE-2022-38042. Disse beskyttelsene hindrer med hensikt at domenekoblingsoperasjoner gjenbruker en eksisterende datamaskinkonto i måldomenet, med mindre:

• Brukeren som prøver operasjonen, er oppretteren av den eksisterende kontoen.

  Eller

• Datamaskinen ble opprettet av et medlem av domeneadministratorer.

  Eller

• Eieren av datamaskinkontoen som brukes på nytt, er medlem av domenekontrolleren: Tillat gjenbruk av datamaskinkonto under domenetilføyning. gruppepolicy innstilling. Denne innstillingen krever installasjon av Windows-oppdateringer utgitt på eller etter 14. mars 2023, på ALLE medlemsdatamaskiner og domenekontrollere.

Oppdateringer utgitt på og etter mars 14, 2023 og september 12, 2023, vil gi flere alternativer for berørte kunder på Windows Server 2012 R2 og over og over og alle støttede klienter. Hvis du vil ha mer informasjon, kan du se avsnittene 11. oktober 2022 og Ta handling . 

Virkemåte før 11. oktober 2022

Før du installerer kumulative oppdateringer 11. oktober 2022 eller nyere, spør klientdatamaskinen Active Directory om en eksisterende konto med samme navn. Denne spørringen forekommer under domenetilføyning og klargjøring av datamaskinkonto. Hvis en slik konto finnes, vil klienten automatisk prøve å bruke den på nytt.

Merk Forsøket på gjenbruk mislykkes hvis brukeren som prøver å koble til domenet, ikke har de riktige skrivetillatelsene. Hvis brukeren har nok tillatelser, vil imidlertid domenekoblingen lykkes.

Det finnes to scenarioer for domenetilføyning med respektive standardvirkemåter og flagg som følger:

• Domain Join (NetJoinDomain)

  • Standarder for gjenbruk av konto (med mindre NETSETUP_NO_ACCT_REUSE flagg er angitt)

• Kontoklargjøring (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Bruker ingen gjenbruk som standard (med mindre NETSETUP_PROVISION_REUSE_ACCOUNT er angitt.)

Virkemåte 11. oktober 2022 

Når du installerer de kumulative oppdateringene for 11. oktober 2022 eller nyere windows på en klientdatamaskin, utfører klienten flere sikkerhetskontroller under domenetilføyningen før du prøver å bruke en eksisterende datamaskinkonto på nytt. Algoritme:

1. Forsøk på gjenbruk av konto tillates hvis brukeren som prøver operasjonen, er oppretteren av den eksisterende kontoen.

2. Forsøk på gjenbruk av konto tillates hvis kontoen ble opprettet av et medlem av domeneadministratorer.

Disse ekstra sikkerhetskontrollene utføres før du prøver å bli med på datamaskinen. Hvis kontrollene lykkes, er resten av sammenføyningsoperasjonen underlagt Active Directory-tillatelser som før.

Denne endringen påvirker ikke nye kontoer.

Obs!   Når du har installert de kumulative oppdateringene for Windows 11. oktober 2022 eller nyere, kan det hende at domenekoblingen med datakontobruk med hensikt mislykkes med følgende feil:

Feil 0xaac (2732): NERR_AccountReuseBlockedByPolicy: «Det finnes en konto med samme navn i Active Directory. Ny bruk av kontoen ble blokkert av sikkerhetspolicy.»

I så fall beskyttes kontoen med hensikt av den nye virkemåten.

Hendelses-ID 4101 utløses når feilen ovenfor oppstår, og problemet blir logget på c:\windows\debug\netsetup.log. Følg fremgangsmåten nedenfor i Utfør handling for å forstå feilen og løse problemet.

Virkemåte 14. mars 2023

I Windows-oppdateringene som ble utgitt 14. mars 2023, gjorde vi noen endringer i sikkerhetsherdingen. Disse endringene inkluderer alle endringene vi gjorde i 11. oktober 2022.

Først utvidet vi omfanget av grupper som er unntatt fra denne herdingen. I tillegg til domeneadministratorer er enterprise-administratorer og innebygde administratorgrupper nå unntatt fra eierskapskontrollen.

For det andre har vi implementert en ny gruppepolicy-innstilling. Administratorer kan bruke den til å angi en tillatelsesliste over klarerte datamaskinkontoeiere. Datamaskinkontoen vil omgå sikkerhetskontrollen hvis ett av følgende er sant:

• Kontoen eies av en bruker som er angitt som en klarert eier i domenekontrolleren: Tillat gjenbruk av datamaskinkonto under domenetilføyning gruppepolicy.

• Kontoen eies av en bruker som er medlem av en gruppe som er angitt som en klarert eier i gruppepolicy.

Hvis du vil bruke denne nye gruppepolicy, må domenekontrolleren og medlemsdatamaskinen konsekvent ha oppdateringen 14. mars 2023 eller nyere installert. Noen av dere kan ha bestemte kontoer som du bruker i automatisert datamaskinkontooppretting. Hvis disse kontoene er trygge mot misbruk og du stoler på dem for å opprette datakontoer, kan du frita dem. Du vil fortsatt være sikker mot det opprinnelige sikkerhetsproblemet som er redusert innen Windows-oppdateringene 11. oktober 2022.

^{Virkemåte 12. september 2023}

I Windows-oppdateringene som ble utgitt på eller etter 12. september 2023, gjorde vi noen flere endringer i sikkerhetsherdingen. Disse endringene omfatter alle endringene vi gjorde i 11. oktober 2022, og endringene fra 14. mars 2023.

Vi løste et problem der domenetilføyning ved hjelp av smartkortgodkjenning mislyktes uavhengig av policyinnstillingen. For å løse dette problemet flyttet vi de gjenværende sikkerhetskontrollene tilbake til domenekontrolleren. Derfor, etter sikkerhetsoppdateringen for september 2023, foretar klientmaskiner godkjente SAMRPC-kall til domenekontrolleren for å utføre sikkerhetsvalideringskontroller relatert til gjenbruk av datamaskinkontoer.

Dette kan imidlertid føre til at domenekobling mislykkes i miljøer der følgende policy er angitt: Nettverkstilgang: Begrense klienter som har tillatelse til å foreta eksterne anrop til SAM.  Se delen Kjente problemer hvis du vil ha informasjon om hvordan du løser dette problemet.

Vi planlegger også å fjerne den opprinnelige NetJoinLegacyAccountReuse-registerinnstillingen i en fremtidig Windows-oppdatering. [Januar 2024 - Start]Denne fjerningen er foreløpig planlagt for oppdateringen datert 13. august 2024. Utgivelsesdatoer kan endres. [Slutt - januar 2024]

Merk Hvis du distribuerte NetJoinLegacyAccountReuse-nøkkelen på klientene og satte den til verdi 1, må du nå fjerne nøkkelen (eller angi den til 0) for å dra nytte av de siste endringene. 

Utfør handling

Konfigurer den nye policyen for tillatelsesliste ved hjelp av gruppepolicy på en domenekontroller, og fjern eventuelle eldre midlertidige løsninger på klientsiden. Gjør deretter følgende:

1. Du må installere oppdateringene 12. september 2023 eller nyere på alle medlemsdatamaskiner og domenekontrollere. 

2. I en ny eller eksisterende gruppepolicy som gjelder for alle domenekontrollere, konfigurerer du innstillingene i trinnene nedenfor.

3. Dobbeltklikk domenekontroller under Datamaskinkonfigurasjon\Policyer\Windows-innstillinger\Sikkerhetsinnstillinger\Lokale policyer\Sikkerhetsalternativer: Tillat ny bruk av datamaskinkonto under domenetilføyning.

4. Velg Definer denne policyinnstillingen , og <Rediger sikkerhet...>.

5. Bruk objektvelgeren til å legge til brukere eller grupper med klarerte datamaskinkontoopprettere og -eiere i Tillatelse-tillatelsen . (Som anbefalt fremgangsmåte anbefaler vi på det sterkeste at du bruker grupper for tillatelser.) Ikke legg til brukerkontoen som utfører domenekoblingen.

   Advarsel!: Begrens medlemskap til policyen til klarerte brukere og tjenestekontoer. Ikke legg til godkjente brukere, alle eller andre store grupper i denne policyen. Legg i stedet til bestemte klarerte brukere og tjenestekontoer i grupper og legg til disse gruppene i policyen.

6. Vent på oppdateringsintervallet for gruppepolicy eller kjør gpupdate /force på alle domenekontrollere.

7. Kontroller at registernøkkelen HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" er fylt ut med ønsket SDDL. Ikke rediger registeret manuelt.

8. Prøv å koble til en datamaskin som har oppdateringene 12. september 2023 eller nyere installert. Kontroller at én av kontoene som er oppført i policyen eier datamaskinkontoen. Kontroller også at registeret ikke har NetJoinLegacyAccountReuse-nøkkelen aktivert (satt til 1). Hvis domenekoblingen mislykkes, kontrollerer du c:\windows\debug\netsetup.log.

Hvis du fortsatt trenger en alternativ løsning, kan du se gjennom arbeidsflyter for klargjøring av datamaskinkonto og forstå om det kreves endringer. 

1. Utfør sammenføyningsoperasjonen ved hjelp av den samme kontoen som opprettet datamaskinkontoen i måldomenet.

2. Hvis den eksisterende kontoen er foreldet (ubrukt), sletter du den før du prøver å bli med i domenet på nytt.

3. Gi nytt navn til datamaskinen og bli med ved hjelp av en annen konto som ikke allerede finnes.

4. Hvis den eksisterende kontoen eies av en klarert sikkerhetskontohaver og en administrator ønsker å bruke kontoen på nytt, følger du veiledningen i Delen Utfør handling for å installere Windows-oppdateringene for september 2023 eller senere og konfigurere en tillatelsesliste.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Kjente problemer

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac