Zlyhania overovania Kerberos a NTLM v dôsledku duplicitných identifikátorov SID

Príznaky 

V zariadeniach s duplicitnými identifikátormi zabezpečenia (SID) sa môžu vyskytnúť zlyhania overenia protokolom Kerberos a new technology LAN Manager (NTLM). Tento problém sa môže vyskytnúť v Windows 11 verzii 24H2, Windows 11, verzii 25H2 a Windows Server 2025 po inštalácii aktualizácií Windowsu vydaných v nasledujúcich verziách: 

• 29. augusta 2025 – KB5064081 (zostava operačného systému 26100.5074) Preview

• 9. septembra 2025 – KB5065426 (zostava operačného systému 26100.6584)

Tieto zlyhania overovania sa môžu prejaviť ako rôzne príznaky vrátane týchto: 

• Používateľom sa opakovane zobrazuje výzva na zadanie poverení.

• Požiadavky na prístup s platnými povereniami zlyhajú s chybami na obrazovke, napríklad:

  • Pokus o prihlásenie zlyhal.

  • Prihlásenie zlyhalo/vaše poverenia nefungovali.

  • V ID počítača sa vyskytla čiastočná nezhoda.

  • Meno používateľa alebo heslo je nesprávne.

• K zdieľaným sieťovým priečinkom nie je možné získať prístup prostredníctvom IP adresy alebo názvu hostiteľa.

• Pripojenia vzdialenej pracovnej plochy nie je možné vytvoriť, vrátane relácií RDP (Remote Desktop Protocol) iniciovaných prostredníctvom riešení PAM (Privileged Access Management) alebo nástrojov tretích strán.

• Zabezpečenie pred zlyhaním klastrovania zlyhá s chybou "prístup odmietnutý".

• Zobrazovač udalostí môžu v denníkoch windowsu zobraziť jednu z nasledujúcich chýb:

  • Denník zabezpečenia obsahuje chybu SEC_E_NO_CREDENTIALS .

  • Denník systému obsahuje identifikáciu udalosti lokálnej služby servera zabezpečenia (lsasrv.dll): 6167 s textom správy:

    V ID počítača sa vyskytla čiastočná nezhoda. Znamená to, že lístok bol buď spracovať, alebo patrí do inej relácie spúšťania.

Príčina

Aktualizácie Windowsu vydané 29. augusta 2025 a po nich zahŕňajú pridanú ochranu zabezpečenia, ktorá vynucuje kontroly identifikátorov SID, čo spôsobuje zlyhanie overenia v prípade, že zariadenia majú duplicitné identifikátory SID. Táto zmena návrhu blokuje podanie rúk pri overovaní medzi týmito zariadeniami. Neúspešné požiadavky na overenie súvisiace s týmito ochranami zabezpečenia sú identifikované identifikáciou udalosti lokálnej služby security authority Server Service (lsasrv.dll): 6167 v denníku udalostí systému. 

Duplicitné identifikátory SID je možné vytvoriť pri vykonávaní nepodporovaného klonovania alebo duplikácie inštalácie systému Windows bez spustenia nástroja Sysprep. Jedinečnosť identifikátora SID povolená funkciou Sysprep sa vyžaduje na duplikovanie operačného systému v Windows 11, verziách 24H2 a 25H2 a Windows Server 2025 po inštalácii aktualizácií Windowsu 29. augusta 2025 a po ich skončení. 

Ďalšie informácie nájdete v politike spoločnosti Microsoft týkajúcej sa duplikovania inštalácií Windowsu na disku. 

Riešenie

V prípade trvalého rozlíšenia sa zariadenia obsahujúce duplicitné identifikátory SID budú musieť znova vytvoriť pomocou podporovaných metód na klonovanie alebo duplikovanie inštalácie Windowsu , aby mali jedinečné identifikátory SID. 

Správcovia IT môžu dočasne vyriešiť tento problém inštaláciou a konfiguráciou špeciálneho skupinová politika. Ak chcete získať túto špeciálnu skupinová politika, obráťte sa na technickú podporu spoločnosti Microsoft pre podniky.