Kerberos- og NTLM-godkjenningsfeil på grunn av dupliserte SIDer

Symptomer 

Du kan oppleve godkjenningsfeil for Kerberos og New Technology LAN Manager (NTLM) på tvers av enheter som har dupliserte sikkerhets-IDer (SIDer). Dette problemet kan oppstå i Windows 11, versjon 24H2, Windows 11, versjon 25H2 og Windows Server 2025 etter installasjon av Windows-oppdateringene utgitt på og etter: 

• 29. august 2025 – KB5064081 (OS-bygg 26100.5074) Forhåndsversjon

• 9. september 2025 – KB5065426 (OS-bygg 26100.6584)

Disse godkjenningsfeilene kan manifestere seg som en rekke symptomer, inkludert: 

• Brukere blir gjentatte ganger bedt om legitimasjon.

• Tilgangsforespørsler med gyldig legitimasjon mislykkes med skjermfeil, for eksempel:

  • Påloggingsforsøket mislyktes.

  • Pålogging mislyktes/ legitimasjonen fungerte ikke.

  • Det er en delvis manglende samsvar i maskin-ID-en.

  • Brukernavnet eller passordet er feil.

• Ingen tilgang til delte nettverksmapper via IP-adresse eller vertsnavn.

• Eksterne skrivebordstilkoblinger kan ikke opprettes, inkludert RDP-økter (Remote Desktop Protocol) som er startet gjennom PRIVILEGED Access Management-løsninger (PAM) eller tredjepartsverktøy.

• Failover-klynger mislykkes med feilmeldingen «ingen tilgang».

• Hendelsesliste kan vise én av følgende feil i Windows-loggene:

  • Sikkerhetsloggen inneholder SEC_E_NO_CREDENTIALS feil.

  • Systemloggen inneholder hendelses-ID for lokal sikkerhetsmyndighetsserver (lsasrv.dll): 6167 med meldingsteksten:

    Det er en delvis manglende samsvar i maskin-ID-en. Dette indikerer at billetten enten er manipulert eller tilhører en annen oppstartsøkt.

Årsak

Windows-oppdateringer utgitt 29. august 2025 inkluderer ekstra sikkerhetsbeskyttelse som håndhever kontroller på SID-er, noe som fører til at godkjenningen mislykkes når enheter har dupliserte SIDer. Denne designendringen blokkerer godkjenningshåndtrykk mellom slike enheter. Mislykkede godkjenningsforespørsler relatert til disse sikkerhetsbeskyttelsene identifiseres av hendelses-ID for lokal sikkerhetsmyndighetsserver (lsasrv.dll): 6167 i systemhendelsesloggen. 

Dupliserte SIDer kan opprettes når du utfører kloning eller duplisering av en Windows-installasjon som ikke støttes, uten å kjøre Sysprep. SID-unikhet aktivert av Sysprep kreves for OS-duplisering på Windows 11, versjon 24H2 og 25H2 og Windows Server 2025 etter installasjon av Windows-oppdateringer på og etter 29. august 2025. 

Hvis du vil ha mer informasjon, kan du se Microsoft-policyen for diskduplisering av Windows-installasjoner. 

Oppløsning

For en permanent oppløsning må enheter som inneholder dupliserte SID-er bygges på nytt ved hjelp av støttede metoder for kloning eller duplisering av en Windows-installasjon , slik at de har unike SIDer. 

IT-administratorer kan midlertidig løse dette problemet ved å installere og konfigurere en spesiell gruppepolicy. Hvis du vil ha denne spesielle gruppepolicy, kan du kontakte Microsofts kundestøtte for bedrifter.