KB5014754. Изменения проверки подлинности на основе сертификатов на контроллерах домена Windows

Не удалось найти строгие сопоставления сертификатов, и у сертификата не было нового расширения идентификатора безопасности (SID), которое мог бы проверить KDC.

Сертификат был выдан пользователю до того, как пользователь начал существовать в Active Directory, поэтому не удалось найти строгое сопоставление. Это событие регистрируется только тогда, когда KDC находится в режиме совместимости.

Идентификатор безопасности, содержащийся в новом расширении сертификата пользователей, не совпадает с идентификатором безопасности пользователя, что означает, что сертификат был выдан другому пользователю.

Примечание Некоторые поля, такие как издатель, тема и серийный номер, передаются в формате пересылки. При добавлении строки сопоставления в атрибут altSecurityIdentities необходимо изменить этот формат. Например, чтобы добавить сопоставление X509IssuerSerialNumber с пользователем, выполните поиск в полях "Издатель" и "Серийный номер" сертификата, который вы хотите сопоставить с пользователем. См. пример выходных данных ниже.

• Издатель: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Серийный номер: 2B0000000011AC0000000012

Затем обновите атрибут altSecurityIdentities пользователя в Active Directory, используя следующую строку:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC1100000002B"

Чтобы обновить этот атрибут с помощью PowerShell, можно использовать приведенную ниже команду. Помните, что по умолчанию только администраторы домена имеют разрешение на обновление этого атрибута.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Обратите внимание, что при обратном изменении SerialNumber необходимо сохранить порядок байтов. Это означает, что при изменении варианта SerialNumber "A1B2C3" должна получиться строка "C3B2A1", а не "3C2B1A". Дополнительные сведения см . в статье "Инструкции: сопоставление пользователя с сертификатом с помощью всех методов, доступных в атрибуте altSecurityIdentities".

После установки обновлений Windows от 10 мая 2022 г. устройства будут находиться в режиме совместимости. Если сертификат может быть строго сопоставлен с пользователем, проверка подлинности будет проходить должным образом. Если сертификат может быть слабо сопоставлен с пользователем, проверка подлинности будет проходить должным образом. Однако в журнал будет записываться предупреждающее сообщение, если только сертификат не старше пользователя. Если сертификат старше пользователя, а ключ реестра датирования сертификата задним числом отсутствует или диапазон находится за пределами компенсации датирования задним числом, проверка подлинности завершится ошибкой, и в журнал будет внесено сообщение об ошибке.  Если раздел реестра "Датирование сертификатов" настроен задним числом, в журнале событий будет выведено предупреждающее сообщение, если даты попадают в область компенсации датирования задним числом.

После установки обновлений Windows от 10 мая 2022 г. следите за предупреждениями, которые могут появиться через месяц или более. Если предупреждающие сообщения отсутствуют, настоятельно рекомендуется включить режим полного применения правил на всех контроллерах домена с использованием проверки подлинности на основе сертификатов. Вы можете использовать раздел реестра KDC , чтобы включить режим полного применения.

Если контроллеры домена не будут переведены в режим полного применения правил с помощью раздела реестра StrongCertificateBindingEnforcement ранее, они перейдут в режим полного применения правил при установке обновления для системы безопасности Windows за февраль 2025 г. Если сертификат не может быть строго сопоставлен, проверка подлинности будет запрещена. Возможность вернуться в режим совместимости сохранится до установки обновления для системы безопасности Windows от 9 сентября 2025 г. После этой даты раздел реестра StrongCertificateBindingEnforcement больше не будет поддерживаться

Если проверка подлинности на основе сертификатов основана на слабом сопоставлении, которое невозможно переместить из среды, вы можете перевести контроллеры домена в отключенный режим с помощью параметра раздела реестра. Корпорация Майкрософт не рекомендует этого делать, и мы снимем отключенный режим 11 апреля 2023 г.

После установки обновлений Windows от 13 февраля 2024 г. или более поздних версий на сервере Server 2019 и более поздних версий и поддерживаемых клиентов с установленной необязательной функцией RSAT сопоставление сертификатов в разделе "Пользователи & компьютеры Active Directory" будет по умолчанию выбирать строгое сопоставление с помощью X509IssuerSerialNumber вместо слабого сопоставления с использованием X509IssuerSubject. Параметр по-прежнему можно изменить по желанию.

Симптомы

Корпорация Майкрософт получила сообщения о том, что параметр "Обрабатывать, даже если объекты групповой политики не изменились" в объекте групповой политики "Конфигурация> компьютераАдминистративные шаблоны>"СистемаГрупповая>политикаНастройка>обработки политики реестра" может периодически мешать сопоставлению имен на контроллерах домена.

Возможное решение

Чтобы обойти эту проблему, отключите параметр "Процессировать, даже если объекты групповой политики не изменились" на контроллерах домена. Это следует делать только в том случае, если требуются сопоставления на основе имен, как определено в групповой политике "Конфигурация компьютера>:административные шаблоны>системы>KDC>Разрешить строгие сопоставления на основе имен для сертификатов". Дополнительные сведения см. в статье Включение строгого сопоставления на основе имен в сценариях государственных организаций.

Следующий этап

Мы изучаем эти сообщения и предоставим дополнительные сведения, когда они будут доступны.

• Используйте операционный журнал Kerberos на соответствующем компьютере, чтобы определить, какой контроллер домена не входит в систему. Перейдите к разделу "Просмотр событий>" Журналы\ приложений и службMicrosoft \Windows\Security - Kerberos\Operational.
• Найдите соответствующие события в журнале системных событий на контроллере домена, с которыми учетная запись пытается пройти проверку подлинности.
• Если сертификат старше учетной записи, перевыпустите сертификат или добавьте безопасное сопоставление altSecurityIdentities с учетной записью (см. Сопоставления сертификатов).
• Если сертификат содержит расширение SID, убедитесь, что идентификатор безопасности совпадает с учетной записью.
• Если сертификат используется для проверки подлинности нескольких разных учетных записей, каждой учетной записи потребуется отдельное сопоставление altSecurityIdentities .
• Если у сертификата нет безопасного сопоставления с учетной записью, добавьте его или оставьте домен в режиме совместимости, пока оно не будет добавлено.

Примером сопоставления сертификата TLS является использование веб-приложения интрасети IIS.

• После установки защиты CVE-2022-26391 и CVE-2022-26923 в этих сценариях по умолчанию используется протокол службы сертификатов Kerberos для пользователя (S4U) для сопоставления сертификатов и проверки подлинности.
• В протоколе S4U сертификата Kerberos запрос на проверку подлинности передается от сервера приложений к контроллеру домена, а не от клиента к контроллеру домена. Поэтому соответствующие события будут находиться на сервере приложений.

Этот раздел реестра будет не поддерживаться после установки обновлений для Windows, выпущенных в сентябре 2025 года или позже.

Если серверному приложению требуется проверка подлинности клиента, Schannel автоматически пытается сопоставить сертификат, который клиент TLS предоставляет учетной записи пользователя. Вы можете проверить подлинность пользователей, которые входят с помощью сертификата клиента, создав сопоставления, которые связывают сведения сертификата с учетной записью пользователя Windows. После создания и включения сопоставления сертификатов серверное приложение автоматически связывает этого пользователя с соответствующей учетной записью пользователя Windows.

Schannel будет пытаться сопоставить каждый включенный метод сопоставления сертификатов, пока не будет успешно выполнен один из них. Schannel сначала пытается сопоставить сопоставления Service-for-User-to-Self (S4U2Self). Сопоставления сертификатов субъекта/издателя, издателя и имени участника-пользователя теперь считаются слабыми и отключены по умолчанию. Сумма выбранных параметров в битовом виде определяет список доступных методов сопоставления сертификатов.

Раздел реестра SChannel по умолчанию был 0x1F, а теперь 0x18. При возникновении сбоев проверки подлинности в серверных приложениях на основе Schannel рекомендуется выполнить тест. Добавьте или измените значение раздела реестра CertificateMappingMethods на контроллере домена и задайте для него значение 0x1F. Посмотрите, устраняет ли это проблему. Для получения дополнительных сведений найдите в журналах системных событий на контроллере домена ошибки, перечисленные в этой статье. Имейте в виду, что возврат значения раздела реестра SChannel к предыдущему значению по умолчанию (0x1F) приведет отменить изменения к использованию слабых методов сопоставления сертификатов.

Дополнительные ресурсы и поддержку см. в разделе «Дополнительные ресурсы».

После установки обновлений, касающихся CVE-2022-26931 и CVE-2022-26923, проверка подлинности может завершиться сбоем в случаях, когда сертификаты пользователей старше времени создания пользователей. Этот раздел реестра позволяет успешно выполнять проверку подлинности, если в среде используется недостаточное сопоставление сертификатов , а время сертификата предшествует времени создания пользователя в заданном диапазоне. Этот раздел реестра не влияет на пользователей или компьютеры с надежными сопоставлениями сертификатов, так как время сертификата и время создания пользователя не проверяются с помощью сопоставлений надежных сертификатов. Этот раздел реестра не действует, если параметру StrongCertificateBindingEnforcement присвоено значение 2.

Использование этого раздела реестра является временным обходным решением для сред, где он требуется, и его следует применять с осторожностью. Использование этого раздела реестра для вашей среды означает следующее:

• Этот раздел реестра работает только в режиме совместимости , начиная с обновлений, выпущенных 10 мая 2022 г. Проверка подлинности будет разрешена в пределах смещения компенсации задним числом, но в журнал событий будет записываться предупреждение о слабой привязке.
• Включение этого раздела реестра позволяет выполнять проверку подлинности пользователя, когда время сертификата предшествует времени создания пользователя в заданном диапазоне в качестве слабого сопоставления. Слабые сопоставления не будут поддерживаться после установки обновлений для Windows, выпущенных в сентябре 2025 года или позже.

Вы выполняете следующую команду certutil , чтобы исключить сертификаты пользовательского шаблона из получения нового расширения.

1. Войдите на сервер центра сертификации или в клиент Windows 10, присоединенный к домену, с помощью администратора предприятия или эквивалентных учетных данных.
2. Откройте командную строку и выберите "Запуск от имени администратора".
3. Выполните certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Отключение добавления этого расширения приведет к отключению защиты, обеспечиваемой новым расширением. Эту операцию рекомендуется выполнять только после одного из следующих пунктов:

1. Вы подтверждаете, что соответствующие сертификаты неприемлемы для криптографии с открытым ключом для начальной проверки подлинности (PKINIT) при проверке подлинности протокола Kerberos в KDC
2. Для соответствующих сертификатов настроены другие строгие сопоставления сертификатов

Среды с развертываниями, не относящимися к центру сертификации Майкрософт, не будут защищены с помощью нового расширения SID после установки обновления Windows от 10 мая 2022 г. Затронутым клиентам следует обратиться к соответствующим поставщикам центров сертификации для устранения этой проблемы или рассмотреть возможность использования других сопоставлений сертификатов строгости, описанных выше.

Дополнительные ресурсы и поддержку см. в разделе «Дополнительные ресурсы».

Нет, продление не требуется. Центр сертификации будет поставляться в режиме совместимости. Если вам нужно создать строгое сопоставление с помощью расширения ObjectSID, вам потребуется новый сертификат.

В обновлении Windows от 11 февраля 2025 года устройства, которые еще не охвачены принудительным применением (значение реестра StrongCertificateBindingEnforcement равно 2), будут перемещены в принудительное применение. Если в проверке подлинности отказано, вы увидите идентификатор события 39 (или код события 41 для Windows Server 2008 R2 с пакетом обновления 1 (SP1) и Windows Server 2008 с пакетом обновления 2 (SP2)). На этом этапе вы можете вернуть разделу реестра значение 1 (режим совместимости).

В обновлении Windows от 9 сентября 2025 г. значение реестра StrongCertificateBindingEnforcement больше не будет поддерживаться.