Błędy uwierzytelniania protokołu Kerberos i NTLM z powodu zduplikowanych identyfikatorów SID

Objawy 

Na różnych urządzeniach z zduplikowanymi identyfikatorami zabezpieczeń (SID) mogą wystąpić błędy uwierzytelniania protokołu Kerberos i menedżera NTLM (New Technology LAN Manager). Ten problem może wystąpić w Windows 11, wersja 24H2, Windows 11, wersja 25H2 i Windows Server 2025 po zainstalowaniu aktualizacji systemu Windows wydanych w okresie i po: 

• 29 sierpnia 2025 r. — KB5064081 (kompilacja systemu operacyjnego 26100.5074) — wersja zapoznawcza

• 9 września 2025 r. — KB5065426 (kompilacja systemu operacyjnego 26100.6584)

Te błędy uwierzytelniania mogą objawiać się jako różne objawy, w tym: 

• Użytkownicy są wielokrotnie monitowane o poświadczenia.

• Żądania dostępu z prawidłowymi poświadczeniami nie powiódł się z błędami wyświetlanymi na ekranie, takimi jak:

  • Próba zalogowania się nie powiodła się.

  • Logowanie nie powiodło się/twoje poświadczenia nie działały.

  • Identyfikator komputera ma częściową niezgodność.

  • Nazwa użytkownika lub hasło są niepoprawne.

• Do udostępnionych folderów sieciowych nie można uzyskać dostępu za pomocą adresu IP ani nazwy hosta.

• Nie można ustanawiać połączeń pulpitu zdalnego, w tym sesji protokołu Remote Desktop Protocol (RDP) inicjowanych za pośrednictwem rozwiązań zarządzania dostępem uprzywilejowanym (PAM) lub narzędzi innych firm.

• Klastrowanie w trybie failover kończy się niepowodzeniem z powodu błędu "odmowa dostępu".

• Podgląd zdarzeń może zostać wyświetlony jeden z następujących błędów w dziennikach systemu Windows:

  • Dziennik zabezpieczeń zawiera błąd SEC_E_NO_CREDENTIALS .

  • Dziennik systemowy zawiera identyfikator zdarzenia usługi lokalnego serwera zabezpieczeń (lsasrv.dll): 6167 z tekstem wiadomości:

    Identyfikator komputera ma częściową niezgodność. Oznacza to, że bilet został zmanipulowany lub należy do innej sesji rozruchu.

Przyczyna

Aktualizacje systemu Windows wydane 29 sierpnia 2025 r. i później obejmują dodatkowe zabezpieczenia wymuszające kontrole identyfikatorów SID, powodując niepowodzenie uwierzytelniania, gdy urządzenia mają zduplikowane identyfikatory SID. Ta zmiana projektu blokuje uzgadniania uwierzytelniania między takimi urządzeniami. Nieudane żądania uwierzytelniania związane z tymi zabezpieczeniami są identyfikowane przez identyfikator zdarzenia usługi local security authority server (lsasrv.dll): 6167 w dzienniku zdarzeń systemu. 

Zduplikowane identyfikatory SID można tworzyć podczas wykonywania nieobsługiowanego klonowania lub duplikowania instalacji systemu Windows bez uruchamiania funkcji Sysprep. Unikatowość IDENTYFIKATORA SID włączona przez funkcję Sysprep jest wymagana w przypadku duplikacji systemów operacyjnych na Windows 11, wersjach 24H2 i 25H2 oraz Windows Server 2025 po zainstalowaniu aktualizacji systemu Windows w okresie od 29 sierpnia 2025 r. 

Aby uzyskać więcej informacji, zobacz Zasady firmy Microsoft dotyczące powielania dysków instalacji systemu Windows. 

Rozwiązanie

Aby zapewnić stałą rozdzielczość, urządzenia zawierające zduplikowane identyfikatory SID muszą zostać przebudowane przy użyciu obsługiwanych metod klonowania lub duplikowania instalacji systemu Windows , aby miały unikatowe identyfikatory SID. 

Administratorzy IT mogą tymczasowo rozwiązać ten problem, instalując i konfigurując specjalny zasady grupy. Aby uzyskać tę specjalną zasady grupy, skontaktuj się z pomocą techniczną firmy Microsoft dla firm.