KB5020276—Netjoin: Modificări de întărire a asocierii la domeniu

Rezumat

Actualizările Windows lansate la și după 11 octombrie 2022 conțin protecții suplimentare introduse de CVE-2022-38042. Aceste protecții împiedică în mod intenționat operațiunile de asociere la domeniu să reutilizeze un cont de computer existent în domeniul țintă, cu excepția cazului în care

• Utilizatorul care încearcă operațiunea este creatorul contului existent sau
• Computerul a fost creat de un membru al administratorilor de domeniu sau

• Proprietarul contului de computer care este reutilizat este membru al "Controler de domeniu: Permiteți reutilizarea contului de computer în timpul asocierii la domeniu". Setarea Politicii de grup. Această setare necesită instalarea actualizărilor Windows lansate pe sau după 14 martie 2023 pe TOATE computerele membre și controlerele de domeniu.

Actualizările lansate la și după 14 martie 2023 și 12 septembrie 2023 vor oferi opțiuni suplimentare pentru clienții afectați din Windows Server 2012 R2 și versiunile mai recente și pentru toți clienții acceptați. Pentru mai multe informații, consultați secțiunile Comportament și Acționați din 11 octombrie 2022.

Comportament înainte de 11 octombrie. 2022

Înainte de a instala actualizările cumulative din 11 octombrie 2022 sau mai recente, computerul client interoghează Active Directory pentru un cont existent cu același nume. Această interogare are loc în timpul asocierii la domeniu și al accesului contului de computer. Dacă există un astfel de cont, clientul va încerca automat să-l reutilizeze.

Acestea sunt două scenarii pentru asocierea la domeniu cu comportamentele implicite respective și semnalizările, după cum urmează:

• Asociere la domeniu (NetJoinDomain)

  • Se setează implicit la reutilizarea contului (dacă nu se specifică NETSETUP_NO_ACCT_REUSE semnalizare)

• Asigurarea accesului contului (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Implicit la FĂRĂ reutilizare (cu excepția cazului în care se specifică NETSETUP_PROVISION_REUSE_ACCOUNT .)

Comportamentul din 11 octombrie 2022

După ce instalați actualizările cumulative Windows din 11 octombrie 2022 sau mai recente pe un computer client, în timpul asocierii la domeniu, clientul va efectua verificări suplimentare de securitate înainte de a încerca să reutilizeze un cont de computer existent. Algoritm:

1. Încercarea de reutilizare a contului va fi permisă dacă utilizatorul care încearcă operațiunea este creatorul contului existent.
2. Încercarea de reutilizare a contului va fi permisă în cazul în care contul a fost creat de un membru al administratorilor de domeniu.

Aceste verificări suplimentare de securitate se efectuează înainte de a încerca să vă asociați computerului. Dacă verificările sunt reușite, restul operațiunii de asociere se supune permisiunilor Active Directory ca înainte.

Această modificare nu afectează conturile noi.

Comportamentul din 14 martie 2023

În actualizările Windows lansate la sau după 14 martie 2023, am făcut câteva modificări la întărirea securității. Aceste modificări includ toate modificările pe care le-am făcut la 11 octombrie 2022.

În primul rând, am extins domeniul de aplicare al grupurilor care sunt exceptate de această întărire. În plus față de administratorii de domeniu, grupurile Administratori de întreprindere și Administratori predefinite sunt acum exceptate de la verificarea proprietății.

În al doilea rând, am implementat o nouă setare de Politică de grup. Administratorii o pot utiliza pentru a specifica o listă de permisiuni pentru proprietarii de conturi de computer de încredere. Contul de computer va trece de verificarea de securitate dacă este adevărată una dintre următoarele afirmații:

Contul este deținut de un utilizator specificat ca proprietar de încredere în Politica de grup "Controler de domeniu: Permiteți reutilizarea contului de computer în timpul asocierii la domeniu".

Contul este deținut de un utilizator care este membru al unui grup specificat ca proprietar de încredere în Politica de grup "Controler de domeniu: Permiteți reutilizarea contului de computer în timpul asocierii la domeniu".

Pentru a utiliza această nouă Politică de grup, controlerul de domeniu și computerul membru trebuie să aibă instalată în mod constant actualizarea din 14 martie 2023 sau o versiune mai recentă. Este posibil ca unii dintre dvs. să aveți anumite conturi pe care să le utilizați la crearea automată de conturi de computer. Dacă acele conturi sunt ferite de abuzuri și aveți încredere în ele pentru a crea conturi de computer, le puteți scuti. Veți fi în continuare în siguranță împotriva vulnerabilității inițiale atenuate de actualizările Windows din 11 octombrie 2022.

Comportamentul din 12 septembrie 2023

În actualizările Windows lansate la sau după 12 septembrie 2023, am făcut câteva modificări suplimentare la întărirea securității. Aceste modificări includ toate modificările pe care le-am făcut la 11 octombrie 2022 și modificările de la 14 martie 2023.

Am tratat o problemă în care asocierea la domeniu utilizând autentificarea cu smart card nu reușea, indiferent de setarea de politică. Pentru a remedia această problemă, am mutat verificările de securitate rămase înapoi la controlerul de domeniu. Prin urmare, după actualizarea de securitate din septembrie 2023, mașinile client efectuează apeluri SAMRPC autentificate către controlerul de domeniu pentru a efectua verificări de validare de securitate legate de reutilizarea conturilor de computer.

Totuși, acest lucru poate face ca asocierea la domeniu să nu reușească în mediile în care este setată următoarea politică: Acces la rețea: restricționați clienții cărora li se permite să efectueze apeluri la distanță către SAM.  Consultați secțiunea "Probleme cunoscute" pentru informații despre cum să rezolvați această problemă.

Comportamentul din 13 august 2024

În actualizările Windows lansate la sau după 13 august 2024, am tratat toate problemele cunoscute de compatibilitate cu politica privind listele de permisiuni. De asemenea, am eliminat suportul pentru cheia NetJoinLegacyAccountReuse. Comportamentul de întărire va persista indiferent de setarea cheii. Metodele corespunzătoare pentru adăugarea excepțiilor sunt listate în secțiunea Acționați de mai jos.

Luați măsuri

Configurați noua politică privind listele de permisiuni utilizând Politica de grup pe un controler de domeniu și eliminați orice soluții moștenite pe partea client. Apoi efectuați următoarele:

1. Trebuie să instalați actualizările din 12 septembrie 2023 sau mai recente pe toate computerele membre și controlerele de domeniu.

2. Într-o politică de grup nouă sau existentă care se aplică tuturor controlerelor de domeniu, configurați setările în pașii de mai jos.

3. Sub Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options, faceți dublu clic pe Domain controller: Allow computer account reuse during domain join.

4. Selectați Definiți această setare de politică și <Editați securitatea...>.

5. Utilizați selectorul de obiecte pentru a adăuga utilizatori sau grupuri de creatori și proprietari de conturi de computer de încredere la permisiunea Se permite . (Ca exemplu de bună practică, vă recomandăm insistent să utilizați grupuri pentru permisiuni.) Nu adăugați contul de utilizator care efectuează asocierea la domeniu.

   Avertisment

   Limitați apartenența la politică la utilizatori de încredere și conturi de serviciu. Nu adăugați utilizatori autentificați, oricine sau alte grupuri mari la această politică. În schimb, adăugați la grupuri anumiți utilizatori de încredere și conturi de serviciu și adăugați grupurile respective la politică.

6. Așteptați intervalul de reîmprospătare pentru Politica de grup sau executați gpupdate /force pe toate controlerele de domeniu.

7. Verificați dacă cheia de registry HKLM\System\CCS\Control\SAM - "ComputerAccountReuseAllowList" este populată cu SDDL-ul dorit. Nu editați manual registry.

8. Încercați să vă asociați la un computer care are instalate actualizările din 12 septembrie 2023 sau mai recente. Asigurați-vă că unul dintre conturile listate în politică deține contul de computer. Dacă asocierea la domeniu nu reușește, verificați \netsetup.log c:\windows\debug.

Dacă aveți în continuare nevoie de o soluție alternativă, revizuiți fluxurile de lucru de asigurare a accesului la conturile de computer și înțelegeți dacă sunt necesare modificări.

1. Efectuați operațiunea de asociere utilizând același cont care a creat contul de computer în domeniul țintă.
2. Dacă contul existent este învechit (neutilizat), ștergeți-l înainte de a încerca să vă asociați din nou la domeniu.
3. Redenumiți computerul și asociați-vă utilizând un alt cont care nu există deja.
4. În cazul în care contul existent este deținut de o entitate principală de securitate de încredere și un administrator dorește să reutilizeze contul, urmați instrucțiunile din secțiunea Acționați pentru a instala actualizările din septembrie 2023 sau mai recente Windows și a configura o listă de permisiuni.

Soluții nerezolvate

• Nu adăugați conturi de serviciu sau conturi de asigurare a accesului la grupul de securitate Administratori de domeniu.
• Nu editați manual descriptorul de securitate pentru conturile de computer în încercarea de a redefini proprietatea asupra unor astfel de conturi, cu excepția cazului în care a fost șters contul de proprietar anterior. Deși editarea proprietarului va permite ca noile verificări să reușească, contul de computer poate păstra aceleași permisiuni potențial riscante, nedorite pentru proprietarul inițial, dacă nu sunt revizuite și eliminate în mod explicit.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Probleme cunoscute