KB5020276 – Netjoin: spremembe utrjevanja pridružitve domeni

Povzetek

Posodobitve sistema Windows, izdane 11. oktobra 2022 in kasneje, vsebujejo dodatne zaščite, ki jih je uvedl CVE-2022-38042. Te zaščite namerno preprečujejo operacijam pridružitve domeni vnovično uporabo obstoječega računa računalnika v ciljni domeni, razen če sploh:

• Uporabnik, ki poskuša izvesti operacijo, je ustvarjalec obstoječega računa ali
• Računalnik je ustvaril član skrbnikov domene ali

• Lastnik računa računalnika, ki ga boste znova uporabili, je član skupine »Krmilnik domene: dovoli ponovno uporabo računa računalnika med pridružitvijo domeni«. Nastavitev pravilnik skupine. Ta nastavitev zahteva namestitev posodobitev sistema Windows, izdanih 14. marca 2023 ali pozneje, v VSE računalnike člane in krmilnike domene.

Posodobitve, izdane 14. marca 2023 in pozneje ter 12. septembra 2023, bodo uporabnikom, na katere vpliva sistem Windows Server 2012 R2 in novejšim, ter vsem podprtim odjemalcem, zagotovile dodatne možnosti. Če želite več informacij, glejte razdelka »Delovanje« z dne 11. oktobra 2022 in »Ukrepajte «.

Vedenje pred 11. oktobrom. 2022

Preden namestite zbirne posodobitve z dne 11. oktobra 2022 ali novejše, odjemalski računalnik pošlje poizvedbo imeniku Active Directory za obstoječi račun z istim imenom. Ta poizvedba se pojavi med pridruževanjem domeni in omogočanjem uporabe računa računalnika. Če tak račun obstaja, ga bo odjemalec samodejno poskušal znova uporabiti.

To sta dva scenarija za pridružitev domeni z ustreznimi privzetimi vedenji in zastavicami, kot je navedeno spodaj:

• Pridružitev domeni (NetJoinDomain)

  • Privzeta nastavitev je vnovična uporaba računa (razen če je določena zastavica NETSETUP_NO_ACCT_REUSE )

• omogočanje uporabe računa (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Privzeta nastavitev je BREZ vnovične uporabe (razen če NETSETUP_PROVISION_REUSE_ACCOUNT določeno).

11. oktober 2022 vedenje

Ko v odjemalski računalnik namestite zbirne posodobitve sistema Windows z dne 11. oktobra 2022 ali novejše, bo odjemalec med pridružitvijo domeni izvedel dodatna varnostna preverjanja, preden bo poskusil znova uporabiti obstoječi račun računalnika. Algoritem:

1. Poskus vnovične uporabe računa je dovoljen, če je uporabnik, ki poskuša izvesti operacijo, ustvaril obstoječi račun.
2. Poskus vnovične uporabe računa bo dovoljen, če je račun ustvaril član skrbnikov domene.

Ta dodatna varnostna preverjanja se opravijo, preden se poskusite pridružiti računalniku. Če so preverjanja uspešna, za preostanek operacije združevanja veljajo dovoljenja imenika Active Directory kot prej.

Ta sprememba ne vpliva na nove račune.

14. marec 2023 vedenje

V posodobitvah sistema Windows, izdanih 14. marca 2023 ali kasneje, smo nekoliko spremenili utrjevanje varnosti. Te spremembe vključujejo vse spremembe, ki smo jih naredili 11. oktobra 2022.

Najprej smo razširili obseg skupin, ki so izvzete iz tega utrjevanja. Poleg skrbnikov domene so skupine skrbnikov podjetja in vgrajenih skrbnikov zdaj izvzete iz preverjanja lastništva.

Drugič, uvedli smo novo nastavitev pravilnik skupine. Skrbniki lahko z njim določijo seznam dovoljenih zaupanja vrednih lastnikov računalniških računov. Račun računalnika bo zaobšel varnostno preverjanje, če je izpolnjena ena od teh trditev:

Račun je v lasti uporabnika, ki je bil določen kot zaupanja vreden lastnik v pravilnik skupine »Krmilnik domene: dovoli ponovno uporabo računa računalnika med pridružitvijo domeni«.

Lastnik računa je uporabnik, ki je član skupine, ki je kot zaupanja vreden lastnik navedena v pravilnik skupine »Krmilnik domene: dovoli ponovno uporabo računa računalnika med pridružitvijo domeni«.

Če želite uporabiti ta novi pravilnik skupine, morata imeti krmilnik domene in računalnik član dosledno nameščeno posodobitev z dne 14. marca 2023 ali novejšo različico. Nekateri imate morda določene račune, ki jih uporabljate pri samodejnem ustvarjanju računov v računalniku. Če so ti računi varni pred zlorabo in jim zaupate, da ustvarijo račune v računalnikih, jih lahko izključite. Še vedno boste zaščiteni pred prvotno ranljivostjo, ki so jo ublažile posodobitve sistema Windows z dne 11. oktobra 2022.

12. september 2023 vedenje

V posodobitvah sistema Windows, izdanih 12. septembra 2023 ali kasneje, smo uvedli nekaj dodatnih sprememb varnostnega utrjevanja. Te spremembe vključujejo vse spremembe, ki smo jih naredili 11. oktobra 2022, in spremembe od 14. marca 2023.

Odpravili smo težavo, pri kateri pridružitev domeni s preverjanjem pristnosti pametne kartice ne uspe ne glede na nastavitev pravilnika. Če smo želeli odpraviti to težavo, smo preostala varnostna preverjanja premaknili nazaj v krmilnik domene. Zato po varnostni posodobitvi iz septembra 2023 odjemalski računalniki izvedejo preverjanje pristnosti SAMRPC v krmilniku domene, da izvedejo varnostna preverjanja veljavnosti v zvezi s ponovno uporabo računalniških računov.

Vendar pa lahko to povzroči neuspešno pridružitev domeni v okoljih, kjer je nastavljen naslednji pravilnik: Dostop do omrežja: Omejite odjemalce, ki lahko opravljajo oddaljene klice v SAM.  Informacije o odpravljanju te težave najdete v razdelku »Znane težave«.

13. avgust 2024 vedenje

V posodobitvah sistema Windows, izdanih 13. avgusta 2024 ali kasneje, smo odpravili vse znane težave z združljivostjo s pravilnikom o seznamu dovoljenih. Odstranili smo tudi podporo za ključ NetJoinLegacyAccountReuse. Utrjevanje se bo ohranilo ne glede na nastavitev tipke. Ustrezni načini za dodajanje izjem so navedeni v spodnjem razdelku Ukrepajte.

Vzemite stvari v svoje roke

Konfigurirajte nov pravilnik o seznamu dovoljenih s pravilnik skupine v krmilniku domene in odstranite vse podedovane odjemalske rešitve. Nato storite naslednje:

1. Posodobitve z dne 12. septembra 2023 ali novejše morate namestiti v vse računalnike člane in krmilnike domene.

2. V novem ali obstoječem pravilniku skupine, ki velja za vse krmilnike domene, konfigurirajte nastavitve po navodilih spodaj.

3. V razdelku Konfiguracija računalnika\Pravilniki\Nastavitve za Windows\Varnostne nastavitve\Lokalni pravilniki\Varnostne možnosti dvokliknite Krmilnik domene: Dovoli ponovno uporabo računa računalnika med pridružitvijo domeni.

4. Izberite »Določite to nastavitev pravilnika« in »Uredi <varnost.«>.

5. Z izbirnikom predmetov lahko dodate uporabnike ali skupine avtorjev in lastnikov zaupanja vrednih računalniških računov dovoljenju » Dovoli« . (V skladu z najboljšimi praksami priporočamo, da za dovoljenja uporabite skupine.) Ne dodajajte uporabniškega računa, ki izvede pridružitev domeni.

   Opozorilo

   Članstvo v pravilniku omejite na zaupanja vredne uporabnike in račune storitve. V ta pravilnik ne dodajajte uporabnikov s preverjeno pristnostjo, vseh ali drugih velikih skupin. Namesto tega skupinam dodajte določene zaupanja vredne uporabnike in račune storitev ter dodajte te skupine v pravilnik.

6. Počakajte interval osveževanja pravilnik skupine ali pa zaženite gpupdate /force na vseh krmilnikih domene.

7. Prepričajte se, da je registrski ključ HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" izpolnjen z želenim SDDL-jem. Registra ne urejajte ročno.

8. Poskusite se pridružiti računalniku, v katerem so nameščene posodobitve iz 12. septembra 2023 ali novejše. Zagotovite, da je eden od računov, navedenih v pravilniku, lastnik računa računalnika. Če pridružitev domeni ne uspe, preverite \netsetup.log c:\windows\debug.

Če še vedno potrebujete nadomestno rešitev, preglejte poteke dela omogočanja uporabe računa računalnika in se seznanite z morebitnimi spremembami.

1. Operacijo pridružitve izvedite z uporabo istega računa, s katerim je bil ustvarjen račun računalnika v ciljni domeni.
2. Če je obstoječi račun zastarel (se ne uporablja), ga izbrišite, preden se poskusite znova pridružiti domeni.
3. Preimenujte računalnik in se pridružite z drugim računom, ki še ne obstaja.
4. Če je obstoječi račun v lasti zaupanja vrednega varnostnega upravnika varnosti in ga skrbnik želi znova uporabiti, upoštevajte navodila v razdelku Ukrepajte, da namestite posodobitve sistema Windows iz septembra 2023 ali novejše in konfigurirate seznam dovoljenih.

Nonsolutions

• V varnostno skupino Domain Admins ne dodajte računov storitve ali računov za omogočanje uporabe.
• Varnostnega deskriptorja v računalniških računih ne urejajte ročno, da bi na novo določili lastništvo teh računov, razen če je bil prejšnji račun lastnika izbrisan. Medtem ko boste z urejanjem lastnika omogočili uspeh novih preverjanj, bodo v računu računalnika morda ohranjena ista morebitno tvegana, neželena dovoljenja za izvirnega lastnika, razen če jih izrecno pregledate in odstranite.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Znane težave