KB5020276—Netjoin: alterações de endurecimento de junção de domínio

Resumo

As atualizações do Windows lançadas em e após 11 de outubro de 2022 contêm proteções adicionais introduzidas pelo CVE-2022-38042. Essas proteções impedem intencionalmente que as operações de junção de domínio reutilizem uma conta de computador existente no domínio de destino, a menos que:

• O usuário que tenta a operação é o criador da conta existente.

  Ou

• O computador foi criado por um membro de administradores de domínio.

  Ou

^{[14 de março de 2023 – Início]}

• O proprietário da conta de computador que está sendo reutilizado é um membro do "controlador de domínio: permitir o reutilização da conta de computador durante a junção de domínio". Política de Grupo configuração. Essa configuração requer a instalação de atualizações do Windows lançadas em ou após 14 de março de 2023 em TODOS os computadores membros e controladores de domínio.

Atualizações lançado em 14 de março de 2023 e depois de 14 de março de 2023, fornecerá opções adicionais para clientes afetados no Windows Server 2012 R2 e acima e todos os clientes com suporte. Para obter mais informações, confira as seções comportamento de 11 de outubro de 2022 e Tomar Medidas . ^{[Término - 14 de março de 2023]}

Comportamento antes de 11 de outubro de 2022

Antes de instalar as atualizações cumulativas de 11 de outubro de 2022 ou posteriores, o computador cliente consulta o Active Directory para uma conta existente com o mesmo nome. Essa consulta ocorre durante a junção de domínio e o provisionamento de conta de computador. Se essa conta existir, o cliente tentará reutilizá-la automaticamente.

Observação A tentativa de reutilização falhará se o usuário que tentar a operação de junção de domínio não tiver as permissões de gravação apropriadas. No entanto, se o usuário tiver permissões suficientes, a junção de domínio terá êxito.

Há dois cenários para a junção de domínio com os respectivos comportamentos padrão e sinalizadores da seguinte maneira:

• Ingresso no domínio (NetJoinDomain)

  • Padrão para reutilização da conta (a menos que NETSETUP_NO_ACCT_REUSE sinalizador seja especificado)

• Provisionamento de conta (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Padrão para NÃO reutilizar (a menos que NETSETUP_PROVISION_REUSE_ACCOUNT seja especificado.)

Comportamento de 11 de outubro de 2022 

Depois de instalar as atualizações cumulativas do Windows de 11 de outubro de 2022 ou posteriores em um computador cliente, durante a junção de domínio, o cliente executará verificações de segurança adicionais antes de tentar reutilizar uma conta de computador existente. Algoritmo:

1. A tentativa de reutilização da conta será permitida se o usuário que tentar a operação for o criador da conta existente.

2. A tentativa de reutilização da conta será permitida se a conta foi criada por um membro dos administradores de domínio.

Essas verificações de segurança adicionais são feitas antes de tentar ingressar no computador. Se as verificações forem bem-sucedidas, o restante da operação de junção estará sujeito a permissões do Active Directory como antes.

Essa alteração não afeta novas contas.

Observação Depois de instalar as atualizações cumulativas do Windows de 11 de outubro de 2022 ou posteriores, a junção de domínio com a reutilização da conta de computador pode falhar intencionalmente com o seguinte erro:

Erro 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Existe uma conta com o mesmo nome no Active Directory. O reutilização da conta foi bloqueado pela política de segurança.".

Nesse caso, a conta está sendo protegida intencionalmente pelo novo comportamento.

A ID do evento 4101 será disparada quando o erro acima ocorrer e o problema será registrado em c:\windows\debug\netsetup.log. Siga as etapas abaixo em Tomar Medidas para entender a falha e resolver o problema.

Comportamento de 14 de março de 2023

^{[14 de março de 2023 – Início]}

Nas atualizações do Windows lançadas em ou após 14 de março de 2023, fizemos algumas alterações no endurecimento de segurança. Essas alterações incluem todas as alterações que fizemos em 11 de outubro de 2022.

Primeiro, expandimos o escopo de grupos isentos desse endurecimento. Além dos Administradores de Domínio, administradores empresariais e grupos de administradores internos agora estão isentos da verificação de propriedade.

Em segundo lugar, implementamos uma nova configuração de Política de Grupo. Os administradores podem usá-lo especifique uma lista de permissões de proprietários de contas de computador confiáveis. A conta do computador ignorará a verificação de segurança se um dos seguintes for verdadeiro:

• A conta pertence a um usuário especificado como um proprietário confiável no Política de Grupo "Controlador de domínio: permitir o reutilização da conta de computador durante a junção de domínio".

• A conta pertence a um usuário que é membro de um grupo especificado como proprietário confiável no Política de Grupo "Controlador de domínio: permitir o reutilização da conta de computador durante a junção de domínio".

Para usar esse novo Política de Grupo, o controlador de domínio e o computador membro devem ter a atualização de 14 de março de 2023 ou posterior instalada. Alguns de vocês podem ter contas específicas que você usa na criação de conta de computador automatizada. Se essas contas estiverem seguras contra abusos e você confiar nelas para criar contas de computador, você poderá isentá-las. Você ainda estará seguro contra a vulnerabilidade original atenuada pelas atualizações do Windows de 11 de outubro de 2022.

Também planejamos remover a configuração original do registro NetJoinLegacyAccountReuse em uma futura atualização do Windows. Essa remoção está agendada provisoriamente para a atualização datada de 9 de setembro de 2023. As datas de lançamento estão sujeitas a alterações.

Observação Se você implantou a chave NetJoinLegacyAccountReuse em seus clientes e a definiu como valor 1, agora você deve remover essa chave (ou defini-la como 0) para se beneficiar das alterações mais recentes. ^{[Término - 14 de março de 2023]}

Tome medidas

^{[14 de março de 2023 – Início]}

Configure a nova política de lista de permissões usando o Política de Grupo em um controlador de domínio. Remova todas as soluções alternativas herdadas do lado do cliente o mais rápido possível antes de setembro de 2023. Em seguida, faça o seguinte:

1. Você deve instalar as atualizações de 14 de março de 2023 em todos os computadores membros e controladores de domínio. 

2. Em uma política de grupo nova ou existente que se aplica a todos os controladores de domínio, configure as configurações nas etapas abaixo.

3. Em Configuração do Computador\Políticas\Configurações do Windows\Configurações de Segurança\Políticas Locais\Opções de Segurança, clique duas vezes no controlador de domínio: permitir o reutilização da conta de computador durante a junção de domínio.

4. Selecione Definir essa configuração de política e <Editar Segurança...>.

5. Use o seletor de objetos para adicionar usuários ou grupos de criadores de contas de computador confiáveis e proprietários à permissão Permitir . (Como prática recomendada, é altamente recomendável que você use grupos para permissões.) Não adicione a conta de usuário que executa a junção de domínio.

   Aviso: Limite a associação à política a usuários confiáveis e contas de serviço. Não adicione usuários autenticados, todos ou outros grupos grandes a essa política. Em vez disso, adicione usuários confiáveis específicos e contas de serviço a grupos e adicione esses grupos à política.

6. Aguarde o intervalo de atualização Política de Grupo ou execute gpupdate /force em todos os controladores de domínio.

7. Verifique se a chave de registro HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" está preenchida com o SDDL desejado. Não edite manualmente o registro.

8. Tente ingressar em um computador que tenha a atualização de 14 de março de 2023 ou posterior instalada. Verifique se uma das contas listadas na política é dona da conta de computador. Verifique também que seu registro não tem a chave NetJoinLegacyAccountReuse habilitada (definida como 1). Se a junção de domínio falhar, verifique o c:\windows\debug\netsetup.log.

Se você ainda precisar de uma solução alternativa, examine os fluxos de trabalho de provisionamento de conta de computador e entenda se as alterações são necessárias. ^{[Término - 14 de março de 2023]}

1. Execute a operação de junção usando a mesma conta que criou a conta do computador no domínio de destino.

2. Se a conta existente estiver obsoleta (não utilizado), exclua-a antes de tentar ingressar no domínio novamente.

3. Renomeie o computador e junte-se usando uma conta diferente que ainda não existe.

4. Se a conta existente pertencer a uma entidade de segurança confiável e um administrador quiser reutilizar a conta, siga as diretrizes na seção Tomar Ações para instalar a atualização do Windows de março de 2023 e configurar uma lista de permissões.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac