8 listopada 2022 r. — KB5019964 (kompilacja systemu operacyjnego 14393.5501) — WYGASŁA

Po zainstalowaniu aktualizacji wydanych 8 listopada 2022 r. lub nowszych na serwerach z systemem Windows z rolą kontrolera domeny mogą występować problemy z uwierzytelnianiem Kerberos. Ten problem może mieć wpływ na dowolne uwierzytelnianie Kerberos w twoim środowisku. Niektóre scenariusze, których może to dotyczyć:

• Logowanie użytkownika domeny może zakończyć się niepowodzeniem. Może to również mieć wpływ na uwierzytelnianie Usług federacyjnych Active Directory (AD FS).

• Uwierzytelnianie grupowo zarządzanych kont usług (gMSA) używanych dla usług takich jak Internet Information Services (IIS Web Server) może się nie powieść.

• Zasoby pulpitu zdalnego korzystające z użytkowników domeny mogą się nie połączyć.

• Być może nie możesz uzyskać dostępu do folderów udostępnionych na stacjach roboczych i udziałów plików na serwerach.

• Drukowanie wymagające uwierzytelniania użytkownika domeny może zakończyć się niepowodzeniem.

W przypadku wystąpienia tego problemu może zostać wyświetlone zdarzenie błędu Microsoft-Windows-Kerberos-Key-Distribution-Center Event ID 14 w sekcji System dziennika zdarzeń na kontrolerze domeny z poniższym tekstem. Uwaga: zdarzenia, których dotyczy problem, będą miały komunikat „brakujący klucz ma identyfikator 1”:

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Uwaga Ten problem nie jest oczekiwaną częścią wzmacniania zabezpieczeń dla usług Netlogon i Kerberos począwszy od aktualizacji zabezpieczeń z listopada 2022 r. Nadal musisz postępować zgodnie ze wskazówkami podanymi w tych artykułach nawet po rozwiązaniu tego problemu.

Ten problem nie wpływa na urządzenia z systemem Windows używane w domu przez użytkowników lub urządzenia, które nie należą do domeny lokalnej. Nie ma to wpływu na środowiska usługi Azure Active Directory, które nie są hybrydowe i nie mają żadnych lokalnych serwerów usługi Active Directory.

Ten problem został rozwiązany w aktualizacjach poza pasmem wydanych 17 listopada 2022 r. na potrzeby instalacji na wszystkich kontrolerach domeny w Twoim środowisku. Nie musisz instalować żadnych aktualizacji ani wprowadzać żadnych zmian na innych serwerach lub urządzeniach klienckich w środowisku, aby rozwiązać ten problem. Jeśli zastosowano jakiekolwiek obejście lub środki zaradcze dla tego problemu, nie są one już potrzebne i zalecamy ich usunięcie.

Aby uzyskać pakiet autonomiczny dla tych aktualizacji poza pasmem, wyszukaj numer aktualizacji KB w wykazie aktualizacji Microsoft Update. Te aktualizacje można zaimportować ręcznie do usług Windows Server Update Services (WSUS) i programu Microsoft Endpoint Configuration Manager. Aby uzyskać instrukcje dotyczące usług WSUS, zobacz WSUS i witryna wykazu. Aby uzyskać instrukcje dotyczące menedżera konfiguracji, zobacz Importowanie aktualizacji z wykazu usługi Microsoft Update.

Uwaga Poniższe aktualizacje poza pasmem nie są dostępne w usłudze Windows Update i nie zostaną zainstalowane automatycznie.

Aktualizacje zbiorcze:

• Windows Server 2022: KB5021656

• Windows Server 2019: KB5021655

• Windows Server 2016: KB5021654

Uwaga Przed zainstalowaniem tych aktualizacji zbiorczych nie trzeba stosować żadnych wcześniejszych aktualizacji. Jeśli masz już zainstalowane aktualizacje wydane 8 października 2022 r., nie musisz odinstalowywać aktualizacji, których dotyczy problem, przed zainstalowaniem jakichkolwiek późniejszych aktualizacji, w tym tych wymienionych powyżej.

Aktualizacje autonomiczne:

• Windows Server 2012 R2: KB5021653

• Windows Server 2012: KB5021652

• Windows Server 2008 R2 z dodatkiem SP1: ta aktualizacja nie jest jeszcze dostępna. Sprawdź tutaj w nadchodzącym tygodniu, aby uzyskać więcej informacji.

• Windows Server 2008 SP2: KB5021657

Uwaga Jeśli używasz aktualizacji samych zabezpieczeń dla tych wersji systemu Windows Server, musisz zainstalować te aktualizacje autonomiczne tylko w listopadzie 2022 r. Aktualizacje samych zabezpieczeń nie są skumulowane i należy również zainstalować wszystkie poprzednie aktualizacje samych zabezpieczeń, aby były w pełni aktualne. Comiesięczne aktualizacje zbiorcze obejmują zabezpieczenia i wszystkie aktualizacje dotyczące jakości. Jeśli korzystasz z comiesięcznych aktualizacji zbiorczych, musisz zainstalować zarówno aktualizacje autonomiczne wymienione powyżej, aby rozwiązać ten problem, jak i comiesięczne pakiety zbiorcze wydane 8 listopada 2022 r., aby otrzymywać aktualizacje dotyczące jakości w listopadzie 2022 r. Jeśli masz już zainstalowane aktualizacje wydane 8 października 2022 r., nie musisz odinstalowywać aktualizacji, których dotyczy problem, przed zainstalowaniem jakichkolwiek późniejszych aktualizacji, w tym tych wymienionych powyżej.

Po zainstalowaniu tej lub nowszej aktualizacji na kontrolerach domeny może wystąpić przeciek pamięci w usłudze podsystemu urzędu zabezpieczeń lokalnych (LSASS.exe). W zależności od obciążenia kontrolerów domeny i czasu od ostatniego ponownego uruchomienia serwera, usługi LSASS mogą stale zwiększać użycie pamięci wraz z czasem działania serwera. Serwer może przestać odpowiadać lub automatycznie uruchomić się ponownie.

Uwaga Ten problem może mieć wpływ na aktualizacje poza pasmem dla kontrolerów domeny wydane 17 listopada 2022 r. i 18 listopada 2022 r.

Ten problem został rozwiązany w aktualizacji KB5021235.

Po zainstalowaniu tej aktualizacji, aplikacje, które używają połączeń ODBC korzystając ze sterownika ODBC firmy Microsoft dla platformy SQL Server (sqlsrv32.dll) w celu uzyskania dostępu do baz danych, mogą nie mieć możliwości połączenia. W aplikacji może zostać wyświetlony błąd lub może zostać wyświetlony błąd z platformy SQL Server, taki jak „System EMS napotkał problem” z komunikatem „Komunikat: [Microsoft][ODBC SQL Server Driver] Błąd protokołu w strumieniu TDS” lub „Komunikat: [Microsoft][ODBC SQL Server Driver]Nieznany token odebrany z platformy SQL Server”.

Notatka dla deweloperów Aplikacje, których dotyczy ten problem, mogą nie pobierać danych, na przykład podczas korzystania z funkcji SQLFetch. Ten problem może wystąpić podczas wywoływania funkcji SQLBindCol przed funkcją SQLFetch lub wywoływania funkcji SQLGetData po funkcji SQLFetch i po podaniu wartości 0 (zero) dla argumentu „BufferLength” dla stałych typów danych większych niż 4 bajty (na przykład SQL_C_FLOAT).

Jeśli nie masz pewności, czy korzystasz z jakichkolwiek aplikacji, których dotyczy problem, otwórz aplikacje korzystające z bazy danych, a następnie otwórz wiersz polecenia (wybierz pozycję Start , następnie wpisz wiersz polecenia i zaznacz go) i wpisz następujące polecenie:  

tasklist /m sqlsrv32.dll

Ten problem został rozwiązany w aktualizacji KB5022289.