KB5020276 – Netjoin: Zmeny sprísnenia pripojenia k doméne

Súhrn

Aktualizácie Windowsu vydané 11. októbra 2022 a neskôr obsahujú ďalšie ochrany zavedené CVE-2022-38042. Tieto ochrany zámerne zabraňujú operáciám pripojenia k doméne v opätovnom použití existujúceho konta počítača v cieľovej doméne, pokiaľ:

• používateľ, ktorý sa pokúša operáciu, je tvorcom existujúceho konta, alebo
• Počítač bol vytvorený členom správcov domény alebo

• Vlastník konta počítača, ktoré sa opätovne používa, je členom skupiny "Radič domény: povoliť opätovné použitie konta počítača počas pripojenia k doméne". Nastavenie skupinovej politiky. Toto nastavenie vyžaduje inštaláciu aktualizácií Windowsu vydaných 14. marca 2023 alebo neskôr na VŠETKÝCH členských počítačoch a radičoch domény.

Aktualizácie vydané 14. marca 2023 a 12. septembra 2023 a neskôr poskytnú ďalšie možnosti pre ovplyvnených zákazníkov s Windows Server 2012 R2 a vyšším a všetkými podporovanými klientmi. Ďalšie informácie nájdete v častiach Správanie z 11. októbra 2022 a Vykonanie akcie .

Správanie pred 11. októbrom. 2022

Pred inštaláciou kumulatívnych aktualizácií z 11. októbra 2022 alebo neskorších kumulatívnych aktualizácií klientsky počítač dotazuje službu Active Directory existujúce konto s rovnakým názvom. Tento dotaz sa vyskytuje počas pripájania k doméne a poskytovania konta počítača. Ak takéto konto existuje, klient sa ho automaticky pokúsi znova použiť.

Toto sú dva scenáre pripojenia k doméne s príslušnými predvolenými správaniami a príznakmi nasledovne:

• Pripojenie k doméne (NetJoinDomain)

  • Predvolene sa nastaví opakované použitie konta (pokiaľ nie je zadaný príznak NETSETUP_NO_ACCT_REUSE )

• Poskytovanie konta (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Predvolene sa nastaví ŽIADNE opätovné použitie (pokiaľ nie je zadané NETSETUP_PROVISION_REUSE_ACCOUNT ).

Správanie z 11. októbra 2022

Po nainštalovaní kumulatívnych aktualizácií Windowsu z 11. októbra 2022 alebo novších v klientskom počítači klient počas pripojenia k doméne vykoná ďalšie kontroly zabezpečenia predtým, ako sa pokúsi znova použiť existujúce konto počítača. Algoritmus:

1. Pokus o opätovné použitie konta bude povolený, ak používateľ, ktorý sa pokúša operáciu, je autorom existujúceho konta.
2. Pokus o opätovné použitie konta bude povolený, ak konto vytvoril člen správcov domény.

Tieto ďalšie kontroly zabezpečenia sa vykonávajú pred pokusom o pripojenie k počítaču. Ak sú kontroly úspešné, na zvyšok operácie spojenia sa vzťahujú povolenia služby Active Directory ako predtým.

Táto zmena nemá vplyv na nové kontá.

Správanie zo 14. marca 2023

V aktualizáciách Windowsu vydaných 14. marca 2023 alebo neskôr sme vykonali niekoľko zmien sprísnenia zabezpečenia. Tieto zmeny zahŕňajú všetky zmeny, ktoré sme vykonali 11. októbra 2022.

Najprv sme rozšírili rozsah skupín, ktoré sú vyňaté z tohto sprísnenia. Okrem správcov domény sú teraz z kontroly vlastníctva oslobodené aj skupiny podnikoví správcovia a vstavaní správcovia.

Po druhé, zaviedli sme nové nastavenie skupinovej politiky. Správcovia ju môžu použiť na určenie zoznamu povolených vlastníkov dôveryhodných počítačových kont. Konto počítača obíde kontrolu zabezpečenia, ak je splnená jedna z nasledujúcich podmienok:

Konto vlastní používateľ, ktorý je uvedený ako dôveryhodný vlastník v skupinovej skupinovej politike "Radič domény: povoliť opätovné použitie konta počítača počas pripojenia k doméne".

Konto vlastní používateľ, ktorý je členom skupiny označenej ako dôveryhodný vlastník v skupinovej politike "Radič domény: Povoliť opätovné použitie konta počítača počas pripojenia k doméne".

Ak chcete použiť túto novú skupinovú politiku, radič domény a členský počítač musia mať neustále nainštalovanú aktualizáciu zo 14. marca 2023 alebo novšiu. Niektorí z vás môžu mať konkrétne kontá, ktoré používajú na automatické vytváranie kont v počítači. Ak sú tieto kontá v bezpečí pred zneužitím a ak im dôverujete, že môžu vytvárať kontá počítačov, môžete ich vylúčiť. Stále budete v bezpečí proti pôvodnému ohrozeniu zabezpečenia, ktoré zmiernili aktualizácie systému Windows z 11. októbra 2022.

Správanie z 12. septembra 2023

V aktualizáciách Windowsu vydaných 12. septembra 2023 alebo neskôr sme vykonali niekoľko ďalších zmien sprísnenia zabezpečenia. Tieto zmeny zahŕňajú všetky zmeny, ktoré sme vykonali 11. októbra 2022, a zmeny od 14. marca 2023.

Vyriešili sme problém, kedy pripojenie k doméne pomocou overenia karty Smart Card zlyhalo bez ohľadu na nastavenie politiky. Aby sme tento problém vyriešili, presunuli sme zostávajúce kontroly zabezpečenia späť do radiča domény. Preto po aktualizácii zabezpečenia zo septembra 2023 klientske počítače uskutočňujú overené volania SAMRPC radiču domény na vykonanie kontrol overenia zabezpečenia súvisiacich s opätovným používaním počítačových kont.

Môže to však spôsobiť zlyhanie pripojenia k doméne v prostrediach, v ktorých je nastavená nasledujúca politika: Prístup k sieti: Obmedzte klientov, ktorí môžu uskutočňovať vzdialené hovory do SAM.  Informácie o tom, ako tento problém vyriešiť, nájdete v časti "Známe problémy".

Správanie z 13. augusta 2024

V aktualizáciách Windowsu vydaných 13. augusta 2024 alebo neskôr sme vyriešili všetky známe problémy s kompatibilitou s politikou zoznamu povolených položiek. Odstránili sme tiež podporu pre kľúč NetJoinLegacyAccountReuse. Správanie sprísnenia bude pretrvávať bez ohľadu na nastavenie klávesu. Vhodné spôsoby na pridanie výnimiek sú uvedené v časti Prijatie opatrení nižšie.

Prijatie opatrenia

Nakonfigurujte novú politiku zoznamu povolených položiek pomocou skupinovej politiky na radiči domény a odstráňte všetky staršie alternatívne riešenia na strane klienta. Potom postupujte takto:

1. Aktualizácie z 12. septembra 2023 alebo novšie aktualizácie je potrebné nainštalovať do všetkých členských počítačov a radičov domény.

2. V novej alebo existujúcej skupinovej politike, ktorá sa vzťahuje na všetky radiče domény, nakonfigurujte nastavenia podľa nižšie uvedených krokov.

3. V časti Konfigurácia počítača\Politiky\Nastavenia Windowsu\Nastavenia zabezpečenia\Lokálne politiky\Možnosti zabezpečenia dvakrát kliknite na položku Radič domény: Povoliť opätovné použitie konta počítača počas pripojenia k doméne.

4. Vyberte položku Definovať toto nastavenie politiky a <Upraviť zabezpečenie...>.

5. Pomocou výberu objektov môžete do povolenia Povoliť pridať používateľov alebo skupiny tvorcov a vlastníkov dôveryhodných počítačových kont. (Ako najvhodnejší postup dôrazne odporúčame ako povolenia používať skupiny.) Nepridávajte používateľské konto, ktoré vykonáva pripojenie k doméne.

   Upozornenie

   Obmedzte členstvo v politike na dôveryhodných používateľov a kontá služieb. Do tejto politiky nepridávajte overených používateľov, všetkých ani iné veľké skupiny. Namiesto toho do skupín pridajte konkrétnych dôveryhodných používateľov a kontá služieb a pridajte tieto skupiny do politiky.

6. Počkajte na interval obnovenia skupinovej politiky alebo spustite gpupdate /force na všetkých radičoch domény.

7. Overte, či kľúč databázy Registry HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" je vyplnený požadovanou SDDL. Databázu Registry neupravujte manuálne.

8. Pokúste sa pripojiť k počítaču, ktorý má nainštalované aktualizácie z 12. septembra 2023 alebo novšie aktualizácie. Uistite sa, že konto počítača vlastní jedno z kont uvedených v politike. Ak pripojenie k doméne zlyhá, skontrolujte c:\windows\debug\netsetup.log.

Ak stále potrebujete alternatívne riešenie, skontrolujte pracovné postupy zriaďovania konta počítača a zistite, či sú potrebné zmeny.

1. Operáciu pripojenia vykonajte s rovnakým kontom, ktoré vytvorilo konto počítača v cieľovej doméne.
2. Ak je existujúce konto zastarané (nepoužívané), pred opätovným pokusom o pripojenie k doméne ho odstráňte.
3. Premenujte počítač a pripojte sa pomocou iného konta, ktoré ešte neexistuje.
4. Ak existujúce konto vlastní dôveryhodný subjekt zabezpečenia a správca chce konto znova použiť, podľa pokynov v časti Vykonanie opatrení nainštalujte aktualizácie Windowsu zo septembra 2023 alebo novšie a nakonfigurujte zoznam povolených položiek.

Neriešenia

• Do skupiny zabezpečenia Domain Admins nepridávajte kontá služieb ani kontá poskytovania.
• Neupravujte manuálne popisovač zabezpečenia v kontách počítačov pri pokuse o opätovné definovanie vlastníctva takých kont, pokiaľ nebolo predchádzajúce konto vlastníka odstránené. Zatiaľ čo úpravy vlastníka umožnia nové kontroly úspešné, konto počítača si môže zachovať rovnaké potenciálne rizikové, nechcené povolenia ako pôvodný vlastník, pokiaľ ich explicitne nepreskúma a neodstráni.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Známe problémy