KB5020276 - Netjoin: Modificări de consolidare asociere la domeniu

Rezumat

Actualizările Windows lansate la și după 11 octombrie 2022 conțin protecții suplimentare introduse de CVE-2022-38042. Aceste protecții împiedică în mod intenționat operațiunile de asociere la domeniu să reutilizeze un cont de computer existent în domeniul țintă, cu excepția cazului în care:

• Utilizatorul care încearcă operațiunea este creatorul contului existent.

  Sau

• Computerul a fost creat de un membru al administratorilor de domeniu.

  Sau

• Proprietarul contului de computer care este reutilizat este membru al "Controlerului de domeniu: Se permite reutilizarea contului de computer în timpul asocierii la domeniu". Politică de grup setare. Această setare necesită instalarea actualizărilor Windows lansate la sau după 14 martie 2023 pe TOATE computerele și controlerele de domeniu ale membrilor.

Actualizări lansat la și după 14 martie 2023 și 12 septembrie 2023 vor oferi opțiuni suplimentare pentru clienții afectați pe Windows Server 2012 R2 și mai recent și pentru toți clienții acceptați. Pentru mai multe informații, consultați secțiunile Comportament din 11 octombrie 2022 și Acțiune . 

Comportament înainte de 11 octombrie 2022

Înainte de a instala actualizările cumulative din 11 octombrie 2022 sau mai recente, computerul client interoghează Active Directory pentru un cont existent cu același nume. Această interogare are loc în timpul asocierii la domeniu și asigurării accesului la contul de computer. Dacă există un astfel de cont, clientul va încerca automat să-l reutilizeze.

Notă Încercarea de reutilizare nu va reuși dacă utilizatorul care încearcă operațiunea de asociere la domeniu nu are permisiunile de scriere corespunzătoare. Totuși, dacă utilizatorul are suficiente permisiuni, asocierea la domeniu va reuși.

Există două scenarii pentru asocierea la domeniu cu comportamentele și semnalizările implicite respective, după cum urmează:

• Asociere la domeniu (NetJoinDomain)

  • Setările implicite pentru reutilizarea contului (cu excepția cazului în care este specificat semnalizatorul NETSETUP_NO_ACCT_REUSE )

• Asigurarea accesului la cont (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Valori implicite pentru NU se reutilizează (cu excepția cazului în care NETSETUP_PROVISION_REUSE_ACCOUNT este specificat.)

Comportamentul din 11 octombrie 2022 

După ce instalați actualizările cumulative Windows din 11 octombrie 2022 sau mai recente pe un computer client, în timpul asocierii la domeniu, clientul va efectua verificări de securitate suplimentare înainte de a încerca să reutilizeze un cont de computer existent. Algoritm:

1. Încercarea de reutilizare a contului va fi permisă dacă utilizatorul care încearcă operațiunea este creatorul contului existent.

2. Încercarea de reutilizare a contului va fi permisă dacă contul a fost creat de un membru al administratorilor de domeniu.

Aceste verificări suplimentare de securitate sunt efectuate înainte de a încerca asocierea la computer. Dacă verificările au reușit, restul operațiunii de asociere se supune permisiunilor Active Directory la fel ca înainte.

Această modificare nu afectează conturile noi.

Notă După instalarea actualizărilor cumulative Windows din 11 octombrie 2022 sau mai recente, asocierea la domeniu cu reutilizarea contului de computer poate să nu reușească intenționat, cu următoarea eroare:

Eroare 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Un cont cu același nume există în Active Directory. Reutilizarea contului a fost blocată de politica de securitate."

În acest caz, contul este protejat intenționat de noul comportament.

ID-ul de eveniment 4101 va fi declanșat după ce apare eroarea de mai sus și problema va fi înregistrată în c:\windows\debug\netsetup.log. Urmați pașii de mai jos din Luați măsuri pentru a înțelege eroarea și a rezolva problema.

14 martie 2023 comportament

În actualizările Windows lansate pe sau după 14 martie 2023, am făcut câteva modificări la consolidarea securității. Aceste modificări includ toate modificările pe care le-am făcut în 11 octombrie 2022.

În primul rând, am extins domeniul de aplicare a grupurilor care sunt exceptate de la această consolidare. În plus față de administratorii de domeniu, administratorii enterprise și grupurile administratorilor încorporați sunt acum exceptați de la verificarea calității de proprietar.

În al doilea rând, am implementat o nouă setare de Politică de grup. Administratorii îl pot utiliza pentru a specifica o listă de permisiuni de proprietari de conturi de computer de încredere. Contul de computer va ignora verificarea de securitate dacă este adevărată una dintre următoarele:

• Contul este deținut de un utilizator specificat ca proprietar de încredere în Politică de grup "Controler de domeniu: Permiteți reutilizarea contului de computer în timpul asocierii la domeniu".

• Contul este deținut de un utilizator care este membru al unui grup specificat ca proprietar de încredere în Politică de grup "Controler de domeniu: Se permite reutilizarea contului de computer în timpul asocierii la domeniu".

Pentru a utiliza acest Politică de grup nou, controlerul de domeniu și computerul membru trebuie să aibă instalată în mod constant actualizarea din 14 martie 2023 sau mai recentă. Unele dintre dvs. pot avea anumite conturi pe care le utilizați în crearea automată a conturilor de computer. În cazul în care aceste conturi sunt sigure de abuz și aveți încredere în ele pentru a crea conturi de computer, puteți să le exceptați. Veți fi în continuare în siguranță împotriva vulnerabilității inițiale atenuate de actualizările Windows din 11 octombrie 2022.

^{Comportamentul din 12 septembrie 2023}

În actualizările Windows lansate la sau după 12 septembrie 2023, am făcut câteva modificări suplimentare la consolidarea securității. Aceste modificări includ toate modificările pe care le-am efectuat în 11 octombrie 2022 și modificările de la 14 martie 2023.

Am tratat o problemă în care asocierea la domeniu utilizând autentificarea cu smart card nu reușea, indiferent de setarea de politică. Pentru a remedia această problemă, am mutat verificările de securitate rămase înapoi în controlerul de domeniu. Prin urmare, după actualizarea de securitate din septembrie 2023, computerele client efectuează apeluri SAMRPC autentificate către controlerul de domeniu pentru a efectua verificări de validare de securitate legate de reutilizarea conturilor de computer.

Totuși, acest lucru poate face ca asocierea la domeniu să nu reușească în mediile în care este setată următoarea politică: Acces la rețea: Restricționarea clienților care au permisiunea de a efectua apeluri la distanță către SAM.  Consultați secțiunea "Probleme cunoscute" pentru informații despre cum să rezolvați această problemă.

De asemenea, planificăm să eliminăm setarea inițială de registry NetJoinLegacyAccountReuse într-o actualizare Windows viitoare. [Ianuarie 2024 - Start]Această eliminare este planificată cu titlu de încercare pentru actualizarea din 13 august 2024. Datele de lansare se pot modifica. [Sfârșit - ianuarie 2024]

Notă Dacă ați implementat cheia NetJoinLegacyAccountReuse pe clienții dvs. și ați setat-o la valoarea 1, acum trebuie să eliminați acea cheie (sau să o setați la 0) pentru a beneficia de cele mai recente modificări. 

Acționați

Configurați noua politică de listă de permisiuni utilizând Politică de grup pe un controler de domeniu și eliminați toate soluțiile moștenite pe partea client. Apoi procedați astfel:

1. Trebuie să instalați actualizările din 12 septembrie 2023 sau mai recente pe toate computerele și controlerele de domeniu membre. 

2. Într-o politică de grup nouă sau existentă care se aplică tuturor controlerelor de domeniu, configurați setările din pașii de mai jos.

3. Sub Configurație computer\Politici\Setări Windows\Setări de securitate\Politici locale\Opțiuni de securitate, faceți dublu clic pe Controler de domeniu: Permiteți reutilizarea contului de computer în timpul asocierii la domeniu.

4. Selectați Definiți această setare de politică și <Editare securitate...>.

5. Utilizați selectorul de obiecte pentru a adăuga utilizatori sau grupuri de creatori și proprietari de conturi de computer de încredere la permisiunea Se permite . (Ca exemplu de bună practică, vă recomandăm ferm să utilizați grupuri pentru permisiuni.) Nu adăugați contul de utilizator care efectuează asocierea la domeniu.

   Avertisment: Limitați apartenența la politică la utilizatori și conturi de servicii de încredere. Nu adăugați utilizatori autentificați, oricine sau alte grupuri mari la această politică. În schimb, adăugați anumiți utilizatori de încredere și conturi de serviciu la grupuri și adăugați acele grupuri la politică.

6. Așteptați intervalul de reîmprospătare Politică de grup sau rulați gpupdate /force pe toate controlerele de domeniu.

7. Verificați dacă cheia de registry HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" este populată cu SDDL-ul dorit. Nu editați manual registry.

8. Încercați să vă asociați unui computer care are instalate actualizările din 12 septembrie 2023 sau mai recente. Asigurați-vă că unul dintre conturile listate în politică deține contul de computer. De asemenea, asigurați-vă că registry-ul său nu are cheia NetJoinLegacyAccountReuse activată (setată la 1). Dacă asocierea la domeniu nu reușește, verificați c:\windows\debug\netsetup.log.

Dacă aveți în continuare nevoie de o soluție alternativă, revizuiți fluxurile de lucru de asigurare a accesului la contul de computer și înțelegeți dacă sunt necesare modificări. 

1. Efectuați operațiunea de asociere utilizând același cont care a creat contul de computer în domeniul țintă.

2. În cazul în care contul existent este învechit (neutilizat), ștergeți-l înainte de a încerca să vă asociați din nou la domeniu.

3. Redenumiți computerul și asociați-vă utilizând un alt cont care nu există deja.

4. În cazul în care contul existent este deținut de un cont principal de securitate de încredere și un administrator dorește să reutilizeze contul, urmați instrucțiunile din secțiunea Luați măsuri pentru a instala actualizările Windows din septembrie 2023 sau mai recente și a configura o listă de permisiuni.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Probleme cunoscute

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac