Kerberos- en NTLM-verificatiefouten vanwege dubbele SID's

Symptomen 

Mogelijk ondervindt u kerberos- en NTLM-verificatiefouten (New Technology LAN Manager) op apparaten met dubbele beveiligings-id's (SID's). Dit probleem kan optreden in Windows 11, versie 24H2, Windows 11, versie 25H2 en Windows Server 2025 na de installatie van de Windows-updates die zijn uitgebracht op en na: 

• 29 augustus 2025, KB5064081 (OS-build 26100.5074) Preview

• 9 september 2025, KB5065426 (OS-build 26100.6584)

Deze verificatiefouten kunnen zich voordoen als verschillende symptomen, waaronder: 

• Gebruikers worden herhaaldelijk om referenties gevraagd.

• Toegangsaanvragen met geldige referenties mislukken met schermfouten, zoals:

  • Aanmeldingspoging is mislukt.

  • Aanmelden is mislukt/uw referenties werken niet.

  • De machine-id komt gedeeltelijk niet overeen.

  • De gebruikersnaam of het wachtwoord is onjuist.

• Gedeelde netwerkmappen zijn niet toegankelijk via IP-adres of hostnaam.

• Extern bureaublad-verbindingen kunnen niet tot stand worden gebracht, inclusief RDP-sessies (Remote Desktop Protocol) die zijn geïnitieerd via PAM-oplossingen (Privileged Access Management) of hulpprogramma's van derden.

• Failoverclustering mislukt met de fout 'toegang geweigerd'.

• Logboeken kan een van de volgende fouten in de Windows-logboeken weergeven:

  • Het beveiligingslogboek bevat de SEC_E_NO_CREDENTIALS fout.

  • Het systeemlogboek bevat lsasrv.dll-gebeurtenis-id (Local Security Authority Server Service): 6167 met de berichttekst:

    De machine-id komt gedeeltelijk niet overeen. Dit geeft aan dat het ticket is gemanipuleerd of tot een andere opstartsessie behoort.

Oorzaak

Windows-updates die zijn uitgebracht op en na 29 augustus 2025 bevatten extra beveiligingsbeschermingen waarmee controles op SID's worden afgedwongen, waardoor verificatie mislukt wanneer apparaten dubbele SID's hebben. Deze ontwerpwijziging blokkeert verificatiehanddrukken tussen dergelijke apparaten. Mislukte verificatieaanvragen met betrekking tot deze beveiligingsbeveiligingen worden geïdentificeerd door lsasrv.dll (Local Security Authority Server Service) gebeurtenis-id: 6167 in het systeemgebeurtenislogboek. 

Dubbele SID's kunnen worden gemaakt bij het uitvoeren van niet-ondersteund klonen of dupliceren van een Windows-installatie zonder Sysprep uit te voeren. Sid-uniekheid die wordt ingeschakeld door Sysprep is vereist voor het dupliceren van het besturingssysteem op Windows 11, versies 24H2 en 25H2 en Windows Server 2025 na de installatie van Windows-updates op en na 29 augustus 2025. 

Zie Het Microsoft-beleid voor schijfduplicatie van Windows-installaties voor meer informatie. 

Oplossing

Voor een permanente oplossing moeten apparaten met dubbele SID's opnieuw worden opgebouwd met behulp van ondersteunde methoden voor het klonen of dupliceren van een Windows-installatie , zodat ze unieke SID's hebben. 

IT-beheerders kunnen dit probleem tijdelijk oplossen door een speciale groepsbeleid te installeren en te configureren. Als u deze speciale groepsbeleid wilt verkrijgen, neemt u contact op met de ondersteuning van Microsoft voor bedrijven.