KB5020276 — Netjoin: Alterações de proteção da associação a um domínio

Resumo

As atualizações do Windows lançadas em e depois de 11 de outubro de 2022 contêm proteções adicionais introduzidas pelo CVE-2022-38042. Estas proteções impedem intencionalmente que as operações de associação a um domínio reutilizem uma conta de computador existente no domínio de destino, a menos que:

• O utilizador que está a tentar a operação é o criador da conta existente.

  Ou

• O computador foi criado por um membro dos administradores de domínio.

  Ou

• O proprietário da conta de computador que está a ser reutilizada é membro do "Controlador de domínio: Permitir a reutilização da conta de computador durante a associação a um domínio". Política de Grupo definição. Esta definição requer a instalação de atualizações do Windows lançadas em ou depois de 14 de março de 2023, em TODOS os computadores membros e controladores de domínio.

Atualizações lançados em e depois de 14 de março de 2023 e 12 de setembro de 2023, fornecerão opções adicionais para clientes afetados no Windows Server 2012 R2 e acima e em todos os clientes suportados. Para obter mais informações, consulte as secções Comportamento de 11 de outubro de 2022 e Tomar Medidas . 

Comportamento antes de 11 de outubro de 2022

Antes de instalar as atualizações cumulativas de 11 de outubro de 2022 ou posteriores, o computador cliente consulta o Active Directory para uma conta existente com o mesmo nome. Esta consulta ocorre durante a associação a um domínio e o aprovisionamento de contas de computador. Se essa conta existir, o cliente tentará reutilizá-la automaticamente.

Nota A tentativa de reutilização falhará se o utilizador que tentar a operação de associação a um domínio não tiver as permissões de escrita adequadas. No entanto, se o utilizador tiver permissões suficientes, a associação a um domínio será bem-sucedida.

Existem dois cenários para associação a um domínio com os respetivos comportamentos e sinalizadores predefinidos da seguinte forma:

• Associação a Um Domínio (NetJoinDomain)

  • Predefinições para reutilização da conta (a menos que seja especificado NETSETUP_NO_ACCT_REUSE sinalizador)

• Aprovisionamento de contas (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • A predefinição é NÃO reutilizar (a menos que NETSETUP_PROVISION_REUSE_ACCOUNT seja especificado.)

Comportamento de 11 de outubro de 2022 

Depois de instalar as atualizações cumulativas do Windows de 11 de outubro de 2022 ou posteriores num computador cliente, durante a associação a um domínio, o cliente efetuará verificações de segurança adicionais antes de tentar reutilizar uma conta de computador existente. Algoritmo:

1. A tentativa de reutilização da conta será permitida se o utilizador que está a tentar a operação for o criador da conta existente.

2. A tentativa de reutilização da conta será permitida se a conta tiver sido criada por um membro dos administradores de domínio.

Estas verificações de segurança adicionais são efetuadas antes de tentar associar o computador. Se as verificações forem efetuadas com êxito, o resto da operação de associação estará sujeito a permissões do Active Directory, tal como anteriormente.

Esta alteração não afeta as novas contas.

Nota Depois de instalar as atualizações cumulativas do Windows de 11 de outubro de 2022 ou posteriores, a associação a um domínio com a reutilização da conta de computador pode falhar intencionalmente com o seguinte erro:

Erro 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Existe uma conta com o mesmo nome no Active Directory. A reutilização da conta foi bloqueada pela política de segurança."

Em caso afirmativo, a conta está intencionalmente a ser protegida pelo novo comportamento.

O ID do Evento 4101 será acionado assim que ocorrer o erro acima e o problema será registado em c:\windows\debug\netsetup.log. Siga os passos abaixo em Tomar Medidas para compreender a falha e resolver o problema.

Comportamento de 14 de março de 2023

Nas atualizações do Windows lançadas em ou depois de 14 de março de 2023, fizemos algumas alterações à proteção de segurança. Estas alterações incluem todas as alterações que fizemos em 11 de outubro de 2022.

Em primeiro lugar, expandimos o âmbito dos grupos que estão isentos desta proteção. Além dos Administradores de Domínio, os grupos Administradores do Enterprise e Administradores Incorporados estão agora excluídos da verificação de propriedade.

Em segundo lugar, implementámos uma nova definição de Política de Grupo. Os administradores podem utilizá-lo para especificar uma lista de permissões de proprietários de contas de computador fidedignas. A conta de computador ignorará a verificação de segurança se uma das seguintes opções for verdadeira:

• A conta pertence a um utilizador especificado como proprietário fidedigno no Política de Grupo "Controlador de domínio: Permitir a reutilização da conta de computador durante a associação a um domínio".

• A conta pertence a um utilizador que é membro de um grupo especificado como proprietário fidedigno no Política de Grupo "Controlador de domínio: Permitir a reutilização da conta de computador durante a associação a um domínio".

Para utilizar este novo Política de Grupo, o controlador de domínio e o computador membro têm de ter consistentemente instalada a atualização de 14 de março de 2023 ou posterior. Alguns podem ter contas específicas que utiliza na criação automatizada de contas de computador. Se essas contas estiverem a salvo de abusos e confiar nas mesmas para criar contas de computador, pode isentar as mesmas. Continuará protegido contra a vulnerabilidade original mitigada pelas atualizações do Windows de 11 de outubro de 2022.

^{Comportamento de 12 de setembro de 2023}

Nas atualizações do Windows lançadas em ou depois de 12 de setembro de 2023, fizemos algumas alterações adicionais à proteção de segurança. Estas alterações incluem todas as alterações efetuadas em 11 de outubro de 2022 e as alterações a partir de 14 de março de 2023.

Resolvemos um problema em que a associação a um domínio através da autenticação de smart card falhou, independentemente da definição de política. Para corrigir este problema, movemos as restantes verificações de segurança para o Controlador de Domínio. Por conseguinte, após a atualização de segurança de setembro de 2023, os computadores cliente efetuam chamadas SAMRPC autenticadas para o controlador de domínio para efetuar verificações de validação de segurança relacionadas com a reutilização de contas de computador.

No entanto, isto pode fazer com que a associação a um domínio falhe em ambientes onde a seguinte política está definida: Acesso à rede: Restringir clientes autorizados a fazer chamadas remotas para SAM.  Consulte a secção "Problemas Conhecidos" para obter informações sobre como resolver este problema.

Também planeamos remover a definição de registo NetJoinLegacyAccountReuse original numa futura atualização do Windows. [Janeiro de 2024 - Iniciar]Esta remoção está agendada em modo de tentativa para a atualização datada de 13 de agosto de 2024. As datas de lançamento estão sujeitas a alterações. [Fim - janeiro de 2024]

Nota Se implementou a chave NetJoinLegacyAccountReuse nos seus clientes e a definiu como valor 1, tem agora de remover essa chave (ou defini-la como 0) para beneficiar das alterações mais recentes. 

Tomar Medidas

Configure a nova política de lista de permissões com o Política de Grupo num controlador de domínio e remova quaisquer soluções do lado do cliente legadas. Em seguida, faça o seguinte:

1. Tem de instalar as atualizações de 12 de setembro de 2023 ou posteriores em todos os computadores membros e controladores de domínio. 

2. Numa política de grupo nova ou existente que se aplique a todos os controladores de domínio, configure as definições nos passos abaixo.

3. Em Configuração do Computador\Políticas\Definições do Windows\Definições de Segurança\Políticas Locais\Opções de Segurança, faça duplo clique em Controlador de domínio: Permitir a reutilização da conta de computador durante a associação a um domínio.

4. Selecione Definir esta definição de política e <Editar Segurança...>.

5. Utilize o seletor de objetos para adicionar utilizadores ou grupos de criadores e proprietários de contas de computador fidedignos à permissão Permitir . (Como melhor prática, recomendamos vivamente que utilize grupos para permissões.) Não adicione a conta de utilizador que efetua a associação a um domínio.

   Aviso: Limitar a associação à política a utilizadores fidedignos e contas de serviço. Não adicione utilizadores autenticados, todos ou outros grupos grandes a esta política. Em vez disso, adicione utilizadores fidedignos e contas de serviço específicos a grupos e adicione esses grupos à política.

6. Aguarde o intervalo de atualização Política de Grupo ou execute gpupdate /force em todos os controladores de domínio.

7. Verifique se a chave de registo HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" está preenchida com o SDDL pretendido. Não edite manualmente o registo.

8. Tente associar um computador com as atualizações de 12 de setembro de 2023 ou posterior instaladas. Certifique-se de que uma das contas listadas na política é proprietária da conta de computador. Certifique-se também de que o respetivo registo não tem a chave NetJoinLegacyAccountReuse ativada (definida como 1). Se a associação ao domínio falhar, verifique c:\windows\debug\netsetup.log.

Se ainda precisar de uma solução alternativa, reveja os fluxos de trabalho de aprovisionamento de contas de computador e compreenda se são necessárias alterações. 

1. Execute a operação de associação com a mesma conta que criou a conta de computador no domínio de destino.

2. Se a conta existente estiver obsoleta (não utilizada), elimine-a antes de tentar associar novamente o domínio.

3. Mude o nome do computador e adira com uma conta diferente que ainda não existe.

4. Se a conta existente for propriedade de um principal de segurança fidedigno e um administrador quiser reutilizar a conta, siga as orientações na secção Tomar Medidas para instalar as atualizações do Windows de setembro de 2023 ou posteriores e configurar uma lista de permissões.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Problemas conhecidos

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac