KB5014754: Zmiany uwierzytelniania opartego na certyfikatach na kontrolerach domeny z systemem Windows

Nie można odnaleźć silnych mapowań certyfikatów, a certyfikat nie miał nowego rozszerzenia identyfikatora zabezpieczeń (SID), które może zweryfikować Centrum dystrybucji kluczy.

Certyfikat został wystawiony dla użytkownika, zanim użytkownik istniał w usłudze Active Directory i nie można odnaleźć silnego mapowania. To zdarzenie jest rejestrowane tylko wtedy, gdy Centrum dystrybucji kluczy jest w trybie zgodności.

Identyfikator SID zawarty w nowym rozszerzeniu certyfikatu użytkownika jest niezgodny z identyfikatorem SID użytkownika, co oznacza, że certyfikat został wystawiony innemu użytkownikowi.

Wskazówka Niektóre pola, takie jak Wystawca, Temat i Numer kolejny, są raportowane w formacie "forward". Należy odwrócić ten format podczas dodawania ciągu mapowania do atrybutu altSecurityIdentities . Aby na przykład dodać mapowanie X509IssuerSerialNumber do użytkownika, wyszukaj pola "Wystawca" i "Numer seryjny" certyfikatu, który chcesz zamapować na użytkownika. Zobacz przykładowe dane wyjściowe poniżej.

• Emitent: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Numer seryjny: 2B0000000011AC0000000012

Następnie zaktualizuj atrybut altSecurityIdentities użytkownika w usłudze Active Directory za pomocą następującego ciągu:

• "X509:<I>DC = com, DC = contoso, CN = CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Aby zaktualizować ten atrybut za pomocą programu PowerShell, możesz użyć poniższego polecenia. Pamiętaj, że domyślnie tylko administratorzy domeny mają uprawnienia do aktualizowania tego atrybutu.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Należy pamiętać, że podczas odwracania wartości argumentu SerialNumber należy zachować kolejność bajtów. Oznacza to, że odwrócenie wartości SerialNumber "A1B2C3" powinno dać w wyniku ciąg "C3B2A1", a nie "3C2B1A". Aby uzyskać więcej informacji, zobacz HowTo: mapowanie użytkownika na certyfikat za pomocą wszystkich metod dostępnych w atrybucie altSecurityIdentities .

Po zainstalowaniu aktualizacji systemu Windows z 10 maja 2022 r. urządzenia będą w trybie zgodności. Jeśli certyfikat może być silnie zamapowany na użytkownika, uwierzytelnianie będzie przebiegać zgodnie z oczekiwaniami. Jeśli certyfikat może być tylko słabo zmapowany na użytkownika, uwierzytelnianie przebiegnie zgodnie z oczekiwaniami. Komunikat ostrzegawczy zostanie jednak zarejestrowany, chyba że certyfikat jest starszy niż certyfikat użytkownika. Jeśli certyfikat jest starszy niż użytkownik i brakuje klucza rejestru antydatowania certyfikatów lub zakres znajduje się poza kompensacją antydatowania, uwierzytelnianie nie powiedzie się i zostanie zarejestrowany komunikat o błędzie.  Jeśli klucz rejestru antydatowania certyfikatu jest skonfigurowany, zostanie zarejestrowany komunikat ostrzegawczy w dzienniku zdarzeń, jeśli daty będą się mieścić w wynagrodzeniu za antydatowanie.

Po zainstalowaniu aktualizacji systemu Windows z 10 maja 2022 r. sprawdź, czy nie ma komunikatu ostrzegawczego, który może pojawić się po miesiącu lub dłużej. Jeśli nie zostaną wyświetlone żadne komunikaty ostrzegawcze, zdecydowanie zalecamy włączenie trybu pełnego wymuszania na wszystkich kontrolerach domeny przy użyciu uwierzytelniania opartego na certyfikatach. Aby włączyć tryb pełnego wymuszania, możesz użyć klucza rejestru centrum dystrybucji kluczy.

O ile wcześniej nie zaktualizowano do trybu inspekcji lub trybu wymuszania przy użyciu klucza rejestru StrongCertificateBindingEnforcement , kontrolery domeny przejdą do trybu pełnego wymuszania po zainstalowaniu aktualizacji zabezpieczeń systemu Windows z lutego 2025 r. Jeśli certyfikatu nie można silnie zamapować, uwierzytelnianie zostanie odrzucone. Opcja powrotu do trybu zgodności pozostanie do momentu zainstalowania aktualizacji zabezpieczeń systemu Windows z 9 września 2025 r. Po tej dacie klucz rejestru StrongCertificateBindingEnforcement nie będzie już obsługiwany

Jeśli uwierzytelnianie oparte na certyfikatach opiera się na słabym mapowaniu, którego nie można przenieść ze środowiska, możesz umieścić kontrolery domeny w trybie wyłączonym przy użyciu ustawienia klucza rejestru. Firma Microsoft nie zaleca takiego rozwiązania i usuniemy tryb wyłączony 11 kwietnia 2023 r.

Po zainstalowaniu aktualizacji systemu Windows z 13 lutego 2024 r. lub nowszych na serwerze 2019 i nowszych oraz obsługiwanych klientach z zainstalowaną opcjonalną funkcją RSAT, mapowanie certyfikatów w usłudze Active Directory Users & Computers będzie domyślnie wybierało silne mapowanie przy użyciu X509IssuerSerialNumber zamiast słabego mapowania przy użyciu X509IssuerSubject. Ustawienie to można nadal zmienić zgodnie z potrzebami.

Objawy

Firma Microsoft otrzymała raporty, że ustawienie "Przetwarzaj, nawet jeśli obiekty zasady grupy nie uległy zmianie" w obiekcie zasady grupy "Systemszablonów>> administracyjnych konfiguracji> komputera zasady grupy>Konfigurowanie przetwarzania zasad rejestru" może sporadycznie zakłócać mapowania oparte na nazwach na kontrolerach domeny.

Obejście

Aby obejść ten problem, wyłącz ustawienie "Przetwarzaj nawet jeśli obiekty zasady grupy nie zostały zmienione" na kontrolerach domeny. Zrób to tylko wtedy, gdy potrzebne są mapowania oparte na nazwach zdefiniowane w zasady grupy "Konfiguracja> komputera,szablony administracyjne, system,>Centrum dystrybucji>kluczy>, Zezwalaj na silne mapowania certyfikatów oparte na nazwach". Aby uzyskać więcej informacji, zobacz Włączanie silnego mapowania opartego na nazwach w scenariuszach rządowych.

Następny krok

Badamy te raporty i przekażemy więcej informacji, gdy będą one dostępne.

• Użyj dziennika operacyjnego protokołu Kerberos na odpowiednim komputerze, aby określić, który kontroler domeny nie może się zalogować. Przejdź do pozycji Podgląd zdarzeńDzienniki>\aplikacji i usługZabezpieczeniasystemu Microsoft \Windows\— protokół Kerberos\operacyjny.
• Poszukaj odpowiednich zdarzeń w dzienniku zdarzeń systemowych na kontrolerze domeny, względem których konto próbuje się uwierzytelnić.
• Jeśli certyfikat jest starszy niż konto, wystaw ponownie certyfikat lub dodaj bezpieczne mapowanie altSecurityIdentities do konta (zobacz Mapowania certyfikatów).
• Jeśli certyfikat zawiera rozszerzenie identyfikatora SID, sprawdź, czy identyfikator SID jest zgodny z kontem.
• Jeśli certyfikat jest używany do uwierzytelniania kilku różnych kont, każde konto będzie wymagać oddzielnego mapowania altSecurityIdentities .
• Jeśli certyfikat nie ma bezpiecznego mapowania na konto, dodaj je lub pozostaw domenę w trybie zgodności do czasu jego dodania.

Przykładem mapowania certyfikatu TLS jest użycie intranetowej aplikacji sieci Web usług IIS.

• Po zainstalowaniu zabezpieczeń CVE-2022-26391 i CVE-2022-26923 te scenariusze domyślnie używają protokołu Kerberos Certificate Service For User (S4U) do mapowania i uwierzytelniania certyfikatów.
• W protokole S4U certyfikatu Kerberos żądanie uwierzytelnienia przepływa z serwera aplikacji do kontrolera domeny, a nie od klienta do kontrolera domeny. W związku z tym odpowiednie zdarzenia będą miały miejsce na serwerze aplikacji.

Ten klucz rejestru nie będzie obsługiwany po zainstalowaniu aktualizacji systemu Windows wydanych we wrześniu 2025 r. lub później.

Gdy aplikacja serwera wymaga uwierzytelniania klienta, Schannel automatycznie próbuje zamapować certyfikat dostarczany przez klienta TLS na konto użytkownika. Użytkowników logujących się przy użyciu certyfikatu klienta można uwierzytelnić, tworząc mapowania, które wiążą informacje o certyfikacie z kontem użytkownika systemu Windows. Po utworzeniu i włączeniu mapowania certyfikatu za każdym razem, gdy klient przedstawia certyfikat klienta, aplikacja serwera automatycznie kojarzy tego użytkownika z odpowiednim kontem użytkownika systemu Windows.

Schannel będzie próbował mapować każdą włączoną metodę mapowania certyfikatów, dopóki żadna z nich nie zakończy się pomyślnie. Schannel próbuje najpierw zamapować mapowania Service-For-User-To-Self (S4U2Self). Mapowania certyfikatów podmiotu/wystawcy, wystawcy i UPN są teraz uznawane za słabe i zostały domyślnie wyłączone. Zamaskowana suma bitowa wybranych opcji określa listę dostępnych metod mapowania certyfikatów.

Domyślny klucz rejestru SChannel został 0x1F i jest teraz 0x18. W przypadku błędów uwierzytelniania w aplikacjach serwerowych opartych na kanałach zalecamy wykonanie testu. Dodaj lub zmodyfikuj wartość klucza rejestru CertificateMappingMethods na kontrolerze domeny i ustaw ją na 0x1F i zobacz, czy to rozwiąże problem. Aby uzyskać więcej informacji, poszukaj w dziennikach zdarzeń systemowych kontrolera domeny wszystkich błędów wymienionych w tym artykule. Pamiętaj, że zmiana wartości klucza rejestru SChannel z powrotem na poprzednią wartość domyślną (0x1F) spowoduje przywrócenie słabych metod mapowania certyfikatów.

Aby uzyskać dodatkowe zasoby i pomoc techniczną, zobacz sekcję "Dodatkowe zasoby".

Po zainstalowaniu aktualizacji dotyczących luk CVE-2022-26931 i CVE-2022-26923 uwierzytelnianie może zakończyć się niepowodzeniem w przypadkach, gdy certyfikaty użytkowników są starsze niż data utworzenia użytkownika. Ten klucz rejestru umożliwia pomyślne uwierzytelnienie w przypadku stosowania w środowisku słabych mapowań certyfikatów , gdy czas certyfikatu jest wcześniejszy niż czas utworzenia użytkownika w ustawionym zakresie. Ten klucz rejestru nie ma wpływu na użytkowników ani komputery z silnymi mapowaniami certyfikatów, ponieważ czas certyfikatu i czas utworzenia użytkownika nie są sprawdzane przy użyciu silnych mapowań certyfikatów. Ten klucz rejestru nie ma żadnego wpływu, gdy parametr StrongCertificateBindingEnforcement ma ustawioną wartość 2.

Używanie tego klucza rejestru jest tymczasowym obejściem w środowiskach, które tego wymagają i należy do niego zachować ostrożność. Użycie tego klucza rejestru oznacza, że Twoje środowisko ma następujące konsekwencje:

• Ten klucz rejestru działa tylko w trybie zgodności , począwszy od aktualizacji wydanych 10 maja 2022 r. Uwierzytelnianie będzie dozwolone w ramach przesunięcia kompensacji antydatowania, ale dla słabego powiązania zostanie zarejestrowane ostrzeżenie dziennika zdarzeń.
• Włączenie tego klucza rejestru umożliwia uwierzytelnianie użytkownika, gdy czas certyfikatu jest wcześniejszy niż czas utworzenia użytkownika w ustawionym zakresie, jako słabe mapowanie. Słabe mapowania będą nieobsługiwane po zainstalowaniu aktualizacji dla systemu Windows wydanych we wrześniu 2025 r. lub później.

Aby wykluczyć certyfikaty szablonu użytkownika z pobierania nowego rozszerzenia, uruchom następujące polecenie certutil.

1. Zaloguj się na serwerze urzędu certyfikacji lub przyłączonym do domeny kliencie systemu Windows 10 za pomocą administratora przedsiębiorstwa lub równoważnych poświadczeń.
2. Otwórz wiersz polecenia i wybierz opcję Uruchom jako administrator.
3. Uruchom polecenie certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Wyłączenie dodania tego rozszerzenia spowoduje usunięcie ochrony zapewnianej przez nowe rozszerzenie. Rozważ wykonanie tej czynności tylko po wykonaniu jednej z następujących czynności:

1. Potwierdzasz, że odpowiednie certyfikaty nie są akceptowane dla kryptografii klucza publicznego dla uwierzytelniania początkowego (PKINIT) w uwierzytelnieniach protokołu Kerberos w Centrum dystrybucji kluczy
2. Odpowiednie certyfikaty mają skonfigurowane inne silne mapowania certyfikatów

Środowiska, które mają wdrożenia urzędu certyfikacji innych niż firmy Microsoft, nie będą chronione przy użyciu nowego rozszerzenia identyfikatora SID po zainstalowaniu aktualizacji systemu Windows z 10 maja 2022 r. Klienci, których dotyczy problem, powinni współpracować z odpowiednimi dostawcami urzędów certyfikacji, aby rozwiązać ten problem, lub powinni rozważyć użycie innych silnych mapowań certyfikatów opisanych powyżej.

Aby uzyskać dodatkowe zasoby i pomoc techniczną, zobacz sekcję "Dodatkowe zasoby".

Nie, odnowienie nie jest wymagane. Urząd certyfikacji zostanie wysłany w trybie zgodności. Jeśli potrzebujesz silnego mapowania przy użyciu rozszerzenia ObjectSID, będziesz potrzebować nowego certyfikatu.

W usłudze Windows Update z 11 lutego 2025 r. urządzenia, które nie są jeszcze objęte wymuszaniem (wartość rejestru StrongCertificateBindingEnforcement jest ustawiona na 2), zostaną przeniesione do działania dyscyplinarnego. W przypadku odmowy uwierzytelnienia będzie widoczne zdarzenie o identyfikatorze 39 (lub o identyfikatorze zdarzenia 41 dla systemów Windows Server 2008 R2 z dodatkiem SP1 i Windows Server 2008 z dodatkiem SP2). Na tym etapie będziesz mieć możliwość ustawienia wartości klucza rejestru z powrotem na 1 (tryb zgodności).

W aktualizacji systemu Windows z 9 września 2025 r. wartość rejestru StrongCertificateBindingEnforcement nie będzie już obsługiwana.