Data de publicação original: 14 de julho de 2026
ID da KB: 5121391
Neste artigo
- Resumo
- Tome medidas
- Alterações esperadas do estado de segurança
- Optar ativamente por não participar na remediação automática
- Caso de evento de falha de propriedade (ID de evento 1137)
- Guardar a SDDL anterior (Recomendado)
- Como restaurar a ACL anterior
- Referências de eventos
- Registo de alterações
Resumo
A Lista de Controlo de Acesso (ACL) no contentor do Gestor de Chaves Distribuídas (DKM) entrou na sua primeira fase de proteção com a atualização de segurança do Windows de 14 de julho de 2026, que introduziu a deteção automática de ACLs inseguras e um mecanismo de remediação de opt-in.
A partir da atualização de segurança do Windows de 13 de outubro de 2026, o AD FS remedia automaticamente ACLs de contentores DKM não seguras por predefinição. Os administradores podem optar ativamente por não participar ao definir RemediateDkmAcl como 0. Esse esforço de proteção aborda uma elevação de privilégio (EOP) que pode surgir da vulnerabilidade documentada em CVE-2026-56155 | Serviços de Federação do Active Directory (AD FS) vulnerabilidade de elevação de privilégio.
Em resumo, o Serviços de Federação do Active Directory (AD FS) (AD FS) depende do contentor DKM para armazenar as chaves simétricas utilizadas para proteger certificados de assinatura e encriptação de tokens para chaves privadas. Se a ACL do contêiner for excessivamente permissiva, um invasor com acesso de leitura ao material da chave DKM poderá descriptografar as chaves privadas de assinatura de token.
Tome medidas
Para proteger o seu ambiente, conclua os seguintes passos:
- Instale a atualização de segurança do Windows apropriada lançada em ou depois de 13 de outubro de 2026 em todos os servidores AD FS.
Importante
Antes de instalar a atualização de segurança, determine se você precisa optar ativamente por não participar da remediação automática. Não é recomendado optar ativamente por não participar porque deixa a ACL do contentor DKM num estado inseguro.
Se tiver de optar ativamente por não participar relativamente a um requisito de compatibilidade específico, defina o registo RemediateDkmAcl para 0 em todos os servidores AD FS no farm antes de instalar a atualização. O contêiner DKM é um único objeto do Active Directory compartilhado por todos os servidores AD FS no farm, e a tarefa em segundo plano da ACL DKM é executada em cada servidor. Se RemediateDkmAcl estiver em falta ou definido para um valor diferente de zero em um servidor AD FS, esse servidor poderá remediar automaticamente a ACL de contêiner DKM compartilhada após a instalação da atualização.
Após a instalação, o serviço AD FS audita a ACL do contêiner DKM sempre que o serviço é iniciado e, posteriormente, a cada 24 horas. Se a ACL for insegura, o AD FS tenta a remediação automaticamente, a menos que RemediateDkmAcl esteja definido como 0.
Reveja o registo de eventos do AD FS Administração para verificar se existem os seguintes eventos:
ID do evento: 1133 indica que a ACL do contentor DKM é segura. Não é necessária qualquer ação adicional.
O ID do Evento: 1132 indica que a ACL do contentor DKM não é segura e que será efetuada uma remediação automática. Os detalhes da ACL são gravados em uma ou mais entradas subsequentes do ID de Evento 510 com o mesmo ID de instância. Reveja os IDs de Evento 1135, 1136 ou 1137 do resultado da remediação e tome a seguinte ação com base no resultado.
ID do Evento: 1135 (a remediação foi concluída com êxito) Não é necessária mais nenhuma ação de reparação. Salve a ACL anterior das entradas subsequentes de ID de Evento 510, conforme descrito na seção Salvar o SDDL anterior.
ID do Evento: 1136 (falha na remediação) Reveja as entradas subsequentes do ID de Evento 510 para obter os detalhes atuais da ACL e da exceção, corrija o erro subjacente e, em seguida, reinicie o serviço AD FS ou aguarde pelo próximo ciclo de deteção.
ID do Evento: 1137 (falha na alteração de propriedade) Conceda as permissões WriteOwner e WriteDacl da conta de serviço AD FS seguindo a orientação para casos de eventos de falha de propriedade e, em seguida, reinicie o serviço AD FS ou aguarde pelo próximo ciclo de detecção.
Eventos AD FS DKM container ACL
| ID de Evento | Tipo | Significado |
|---|---|---|
| 1132 | Aviso | A ACL do contêiner DKM não corresponde ao estado seguro esperado. Rever os eventos de remediação 1135, 1136 e 1137. |
| 1133 | Informações | A ACL do contêiner DKM está no estado seguro esperado. Não é necessária qualquer ação. |
| 1134 | Erro | A tarefa de deteção encontrou um erro (como uma falha de conectividade LDAP). Reveja os registos de depuração do AD FS e corrija o erro subjacente. |
| 1135 | Informações | A remediação da ACL do contentor DKM foi concluída com êxito. Salve o SDDL anterior. |
| 1136 | Erro | Falha na remediação da ACL do contentor DKM. Reveja as entradas correlacionadas com o ID de Evento 510 e os rastreios de Depuração do AD FS e corrija o erro subjacente. |
| 1137 | Erro | O AD FS não pôde assumir a propriedade do contêiner DKM porque a conta de serviço não possui as permissões necessárias. Conceder as permissões necessárias |
| 510 | Informações | Contém detalhes de ACL ou exceção que excedem a partir dos IDs de Evento 1132, 1135 ou 1136. Corresponder entradas por ID da instância. |
Alterações esperadas do estado de segurança
Após a remediação, somente as seguintes entidades terão acesso ao contêiner DKM:
| Capital | Direitos de Acesso |
|---|---|
| Administradores de Domínio | Todos Genéricos (Controlo Total) |
| Administradores Empresariais | Todos Genéricos (Controlo Total) |
| Sistema | Todos Genéricos (Controlo Total) |
| Conta de Serviço do AD FS | Ler, escrever, criar filho, escrever proprietário, eliminar árvore |
Observação A herança é desativada e todas as ACEs herdadas são descartadas. Quaisquer outras ACEs de permissão explícitas que não estejam na lista acima serão removidas.
Optar ativamente por não participar na remediação automática
Importante
Esta secção, método ou tarefa contém informações sobre como alterar o registo. No entanto, poderão ocorrer problemas graves se alterar o registo de forma incorreta. Por essa razão, certifique-se de que segue estes passos cuidadosamente. Como mecanismo de proteção, efetue uma cópia de segurança do registo antes de o alterar. Assim, se ocorrer algum problema pode restaurar o registo. Para obter mais informações sobre como fazer backup e restaurar o registro, consulte Como fazer backup e restaurar o registro no Windows.
A remediação é ativada por predefinição quando RemediateDkmAcl está em falta ou definido para um valor diferente de zero. Se tiver de optar ativamente por não participar para um requisito de compatibilidade específico, defina o valor como 0 em cada servidor AD FS no farm antes de instalar a atualização. Não é recomendado optar ativamente por não participar porque deixa a ACL do contentor DKM num estado inseguro.
| Informação | Detalhes |
|---|---|
| Chave do Registo: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS |
| Valor: | RemediateDkmAcl |
| Tipo: | DWORD |
| Dados: | 0 |
Caso de evento de falha de propriedade (ID de evento 1137)
O ID do Evento: 1137 indica que o AD FS não pôde assumir a propriedade do contêiner DKM porque a conta de serviço não possui as permissões necessárias. Essa condição é esperada com mais frequência em fazendas originalmente criadas em Windows Server 2012 ou Windows Server 2012 R2. Nesse caso, conceda as permissões necessárias para a conta de serviço AD FS seguindo as etapas abaixo em qualquer servidor AD FS no farm. Caso contrário, as tentativas de remediação continuarão a falhar.
Identificar o DN do contentor DKM:
$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer $dkmContainerDnIdentifique a conta de serviço do AD FS:
$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName $serviceAccountConceder explícito Permitir ACEs para WriteOwner e WriteDacl:
$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( $sid, ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), [System.Security.AccessControl.AccessControlType]::Allow, [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All ) $entry.ObjectSecurity.AddAccessRule($rule) $entry.CommitChanges() $entry.Close()Após a concessão das permissões necessárias:
- Aguarde até 24 horas pelo próximo ciclo de deteção
- Reinicie o serviço AD FS para acionar a remediação mais cedo
Após a remediação bem-sucedida, a ID do Evento: 1135 (Informações) é registrada com a ACL anterior no formato SDDL.
Guardar a SDDL anterior (Recomendado)
Como medida de precaução, recomendamos salvar a ACL anterior (SDDL) da ID do Evento: 510 entradas correlacionadas com a ID do Evento: 1135 após a correção bem-sucedida. ID de evento: 1135 contém o ID de instância usado para identificar o ID de evento relacionado: 510 entradas. Embora não se espere que a ACL anterior seja necessária na maioria dos casos (uma vez que as permissões originais eram inseguras), tê-la disponível fornece uma rede de segurança para quaisquer problemas de compatibilidade imprevistos.
Nota
Os registos de eventos podem ser ignorados devido a limites de tamanho. Se precisar da SDDL anterior no futuro e o evento tiver sido substituído, será perdido permanentemente.
Pode copiar e combinar manualmente a SDDL a partir das entradas de ID de Evento: 510 que têm o ID de Instância referenciado pelo ID de Evento: 1135. Em alternativa, utilize o seguinte script do PowerShell para recolher o ID de Evento correlacionado: 510 entradas e guarde o SDDL num ficheiro:
New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null
$event = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 1135
} -MaxEvents 1
if ($null -eq $event) {
throw 'Event ID 1135 was not found.'
}
if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
throw 'Instance ID was not found in Event ID 1135.'
}
$instanceId = $Matches[1]
$details = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 510
StartTime = $event.TimeCreated
EndTime = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$instanceId*" } |
Sort-Object RecordId |
ForEach-Object {
if ($_.Message -match '(?s)Details:\s*(.*)$') {
$Matches[1]
}
}
if (-not $details) {
throw "No Event ID 510 entries were found for Instance ID $instanceId."
}
[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())
Como restaurar a ACL anterior
Se tiver problemas após a remediação e precisar reverter para a ACL anterior:
# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>"
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>”
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn")
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All)
$entry.CommitChanges()
$entry.Close()
Nota
Este comando requer que a conta que o executa tenha SeSecurityPrivilege (normalmente os Administradores de Domínio têm este comando). Execute isto a partir de uma sessão elevada do PowerShell numa máquina associada a um domínio.
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord
Após a restauração, defina RemediateDkmAcl = 0 em todos os servidores AD FS no farm para impedir que o serviço seja remediado no ciclo seguinte.
Referências de eventos
ID do Evento: 1132 — A ACL do contentor DKM necessita de revisão
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Aviso |
| Origem do evento | AD FS |
| ID de Evento | 1132 |
| Texto do evento | O AD FS detetou que a ACL do contentor DKM (Distributed Key Manager) não corresponde ao estado seguro esperado. O contêiner DKM armazena chaves simétricas usadas para proteger o material da chave de assinatura de tokens. DN do contentor: <DN> O estado seguro esperado é a herança desativada e apenas os Administradores de Domínio, os Administradores de Empresa, o Sistema e a conta de serviço do AD FS têm acesso. O AD FS tentará remediar a ACL automaticamente. A remediação é executada imediatamente e, posteriormente, a cada 24 horas até que a ACL corresponda ao estado de segurança esperado. Consulte o evento 1135 (remediação com êxito) ou o evento 1136/1137 (remediação falhada) para obter o resultado. Se quiser optar ativamente por não participar na remediação automática, defina HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) como 0. Para obter orientações, consulte https://go.microsoft.com/fwlink/?linkid=2369796. Dados Adicionais Herança Desativada: <Sim/Não> ACL atual (SDDL): Veja as entradas do evento 510 com ID de instância: <ID de instância> |
ID do evento: 1133 — A ACL do contentor DKM está em bom estado de funcionamento
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Informações |
| Origem do evento | AD FS |
| ID de Evento | 1133 |
| Texto do evento | A tarefa em segundo plano da ACL DKM revisou a ACL do contêiner para proteção de segurança. O contentor tem as definições corretas e não é necessária mais nenhuma ação. DN do contentor: <DN> |
ID do Evento: 1134 — Erro de deteção
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Erro |
| Origem do evento | AD FS |
| ID de Evento | 1134 |
| Texto do evento | A tarefa em segundo plano de verificação em segundo plano da ACL do contentor AD FS DKM encontrou um erro. DN do contentor: <DN> Dados Adicionais Detalhes da exceção: <exceção> Ação do Usuário Consulte os registos de depuração do AD FS para obter mais detalhes. Verifique se a conta de serviço do AD FS tem acesso ao contêiner do grupo DKM no Active Directory. |
ID do evento: 1135 — Remediação bem-sucedida
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Informações |
| Origem do evento | AD FS |
| ID de Evento | 1135 |
| Texto do evento | O AD FS protegeu com êxito a ACL do contentor DKM (Distributed Key Manager). DN do contentor: <DN> A ACL de contentor concede agora acesso apenas a Administradores de Domínio, Administradores de Empresa, Sistema e à conta de serviço do AD FS. A herança foi bloqueada e todas as outras permissões foram removidas. Observação: A remediação automática não será executada novamente enquanto a ACL corresponder à linha de base. Se quiser optar ativamente por não participar na remediação automática, mesmo que haja um desvio de ACL no futuro, defina HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) como 0. A ACL anterior está incluída no formato SDDL abaixo. Se precisar de restaurar as permissões originais, consulte https://go.microsoft.com/fwlink/?linkid=2369796 Dados Adicionais ACL anterior (SDDL): Veja as entradas do evento 510 com ID de instância: <ID de instância> |
ID do Evento: 1136 — Falha na remediação
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Erro |
| Origem do evento | AD FS |
| ID de Evento | 1136 |
| Texto do evento | O AD FS tentou remediar a ACL do contentor do Gestor de Chaves Distribuídas (DKM), mas falhou. DN do contentor: <DN> A Remediação automática do usuário tentará novamente no próximo ciclo de detecção (dentro de 24 horas). Se preferir corrigir a ACL manualmente, revise e corrija as ACEs no contêiner do grupo DKM. Apenas os Administradores de Domínio, os Administradores de Empresa, o Sistema e a conta de serviço do AD FS devem ter acesso. Para desativar a remediação automática, defina HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) como 0. Para obter orientações, consulte https://go.microsoft.com/fwlink/?linkid=2369796 Dados Adicionais ACL atual (SDDL) e detalhes de exceção: Veja as entradas do evento 510 com ID de instância: <ID de instância> |
ID do Evento: 1137 — Falha de alteração de propriedade
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Erro |
| Origem do evento | AD FS |
| ID de Evento | 1137 |
| Texto do evento | O AD FS tentou remediar a ACL do contentor do Gestor de Chaves Distribuídas (DKM), mas não conseguiu assumir a propriedade porque a conta de serviço do AD FS não possui as permissões necessárias. Isso é esperado para farms criados originalmente em Windows Server 2012 ou Windows Server 2012 R2. DN do contentor: <DN> Ação do Usuário Conceda as permissões necessárias à conta de serviço AD FS para que a remediação seja bem-sucedida. A remediação automática será tentada novamente no próximo ciclo de detecção (dentro de 24 horas) ou na reinicialização do serviço. Se preferir corrigir a ACL manualmente, revise e corrija as ACEs no contêiner do grupo DKM. Apenas os Administradores de Domínio, os Administradores de Empresa, o Sistema e a conta de serviço do AD FS devem ter acesso. Para desativar a remediação automática, defina HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) como 0. Para obter orientações, consulte https://go.microsoft.com/fwlink/?linkid=2369796 |
ID do evento: 510 — Informações adicionais sobre a ACL
| Informação | Detalhes |
|---|---|
| Registo de eventos | AD FS/Administração |
| Tipo de evento | Informações |
| Origem do evento | AD FS |
| ID de Evento | 510 |
| Texto do evento | Mais informações para a entrada de evento com ID <da Instância, ID> da Instância. Poderão existir mais eventos com o mesmo ID de Instância e mais informações. ID da instância: <ID da instância> Detalhes: <ACL ou segmento de detalhes de exceção> Para ACLs grandes, várias entradas de ID de Evento 510 podem ser registradas. O ID de Evento relacionado 1132, 1135 ou 1136 é registado em primeiro lugar, seguido pelas entradas de ID de Evento 510 com o mesmo ID de Instância. |
Registo de alterações
| Alterar data | Descrição da alteração |
|---|---|
| 13 de outubro de 2026 |
|