Izvirni datum objave: 14 julija, 2026
ID zbirke znanja: 5121391
V tem članku
- Povzetek
- Vzemite stvari v svoje roke
- Pričakovane spremembe varnega stanja
- Zavrnitev samodejnih popravkov
- Primer dogodka napake pri lastništvu (ID dogodka 1137)
- Shranite prejšnji SDDL (priporočeno)
- Obnovitev prejšnjega ACL-ja
- Sklici na dogodke
- Dnevnik sprememb
Povzetek
Seznam za nadzor dostopa (ACL) v vsebniku DKM (Distributed Key Manager) je vstopil v prvo fazo utrjevanja z varnostno posodobitvijo sistema Windows 14. julija 2026, ki je uvedla samodejno zaznavanje nevarnih seznamov ACL in mehanizem privolitve v sanacijo.
Od varnostne posodobitve sistema Windows z dne 13. oktobra 2026 storitve ADFS privzeto samodejno odpravljajo nezaščitene sezname ACL-jev vsebnika DKM. Skrbniki lahko zavrnejo to tako, da nastavijo RemediteDkmAcl na 0. Ta prizadevanja za utrjevanje naslavljajo prisvojitev privilegija (EOP), ki lahko nastane zaradi ranljivosti, dokumentirane v CVE-2026-56155 | Ranljivost prisvojitve pravic za storitve ADFS Federation Services.
Če povzamemo, storitve ADFS (Active Directory Federation Services) za shranjevanje simetričnih ključev, ki se uporabljajo za zaščito potrdil za podpisovanje žetonov in šifriranje žetonov zasebnih ključev, uporabljajo vsebnik DKM. Če je ACL vsebnika preveč dopusten, lahko napadalec z dostopom za branje gradiva ključa DKM dešifrira zasebne ključe, ki podpisujejo žetone.
Vzemite stvari v svoje roke
Če želite zaščititi okolje, dokončajte naslednje korake:
- Namestite ustrezno varnostno posodobitev sistema Windows, izdano 13. oktobra 2026 ali pozneje, v vse strežnike AD FS.
Pomembno
Preden namestite varnostno posodobitev, se odločite, ali morate zavrniti sodelovanje pri samodejnem popravljanju. Zavrnitev sodelovanja ni priporočljiva, ker ACL vsebnika DKM ostane v nezavarovanem stanju.
Če morate zavrniti določeno zahtevo za združljivost, pred namestitvijo posodobitve nastavite register RemediteDkmAcl na 0 v vsakem strežniku AD FS v gruči. Vsebnik DKM je en sam predmet imenika Active Directory, ki si ga delijo vsi strežniki ADFS v gruči, opravilo DKM ACL v ozadju pa se izvaja v vsakem strežniku. Če RemediteDkmAcl manjka ali če je nastavljena na neničelno vrednost samo v enem strežniku AD FS, lahko ta strežnik po namestitvi posodobitve samodejno popravi ACL vsebnika DKM v skupni rabi.
Po namestitvi storitev AD FS pregleda ACL vsebnika DKM vsakič, ko se storitev zažene, nato pa vsakih 24 ur. Če ACL ni zagotovljen, ADFS poskuša samodejno popravljati račun, razen če je RemediteDkmAcl nastavljen na 0.
V dnevniku dogodkov Skrbnika storitve AD FS preverite te dogodke:
ID dogodka: 1133 pomeni, da je seznam ACL vsebnika DKM varen. Izvesti vam ni treba nobenega dejanja.
ID dogodka: 1132 označuje, da je seznam ACL vsebnika DKM nevaren in da bo izvedeno samodejno popravljanje. Podrobnosti ACL se zapišejo v enega ali več poznejših vnosov dogodka z ID-jem 510 z istim ID-jem primerka. Preglejte ID-je dogodka 1135, 1136 ali 1137 za rezultat popravljanja in izvedite ta dejanja na podlagi rezultata.
ID dogodka: 1135 (popravek uspešen) Nadaljnji popravki niso potrebni. Shranite prejšnji ACL iz naslednjih vnosov 510 z ID-jem dogodka, kot je opisano v razdelku Shranjevanje prejšnjega SDDL-ja.
ID dogodka: 1136 (popravek ni uspel) Preglejte nadaljnje vnose dogodka z ID-jem 510 za trenutni ACL in podrobnosti izjeme, popravite temeljno napako in nato znova zaženite storitev AD FS ali počakajte na naslednji cikel zaznavanja.
ID dogodka: 1137 (sprememba lastništva ni uspela) Računu storitve AD FS dodelite dovoljenja »WriteOwner« in »WriteDacl« tako, da upoštevate navodila za primer napake pri lastništvu, nato pa znova zaženite storitev ADFS ali počakajte na naslednji cikel zaznavanja.
Dogodki ACL vsebnika AD FS DKM
| ID dogodka | Vrsta | Pomen |
|---|---|---|
| 1132 | Opozorilo | Seznam ACL vsebnika DKM se ne ujema s pričakovanim varnim stanjem. Preglejte dogodke popravljanja 1135, 1136 in 1137. |
| 1133 | Informacije | Seznam ACL vsebnika DKM je v pričakovanem varnem stanju. Zahtevano ni nobeno dejanje. |
| 1134 | Napaka | Pri opravilu zaznavanja je prišlo do napake (npr. napake pri povezljivosti protokola LDAP). Preglejte dnevnike iskanja napak storitve ADFS in popravite temeljno napako. |
| 1135 | Informacije | Popravek ACL-ja vsebnika DKM je bil uspešno dokončan. Shranite prejšnji SDDL. |
| 1136 | Napaka | Popravki vsebnika DKM ACL niso uspeli. Preglejte usklajene vnose dogodka z ID-jem 510 in sledi iskanja napak AD FS ter popravite temeljno napako. |
| 1137 | Napaka | Storitve ADFS niso mogle prevzeti lastništva vsebnika DKM, ker račun storitve nima zahtevanih dovoljenj. Odobritev zahtevanih dovoljenj |
| 510 | Informacije | Vsebuje podrobnosti o ACL-ju ali izjemi, ki se prekrivajo z ID-ji dogodkov 1132, 1135 ali 1136. Primerjanje vnosov glede na ID primerka. |
Pričakovane spremembe varnega stanja
Po popravljanju bodo imeli do vsebnika DKM dostop le ti principieli:
| glavnica | Pravice za dostop |
|---|---|
| Skrbniki domene | Splošno vse (poln nadzor) |
| Skrbniki za podjetja | Splošno vse (poln nadzor) |
| Sistem | Splošno vse (poln nadzor) |
| Račun storitve AD FS | Branje, pisanje, ustvarjanje otroka, pisanje lastnika, brisanje drevesa |
Opomba Dedovanje je onemogočeno in vsi podedovani ACE-ji so zavrženi. Vsi drugi eksplicitni ACE, ki niso na zgornjem seznamu, so odstranjeni.
Zavrnitev samodejnih popravkov
Pomembno
Ta razdelek, metoda ali opravilo vsebuje informacije o tem, kako spremeniti register. Vendar lahko pride do resnih težav, če register spremenite nepravilno. Natančno upoštevajte navodila. Za dodatno zaščito ustvarite varnostno kopijo registra, preden ga spremenite. Če pride do težave, lahko register obnovite. Če želite več informacij o varnostnem kopiranju in obnovitvi registra, glejte Kako varnostno kopirati in obnoviti register v sistemu Windows.
Popravki so privzeto omogočeni, če RemediateDkmAcl manjka ali je nastavljena na neničelno vrednost. Če morate zavrniti določeno zahtevo za združljivost, nastavite vrednost na 0 za vsak strežnik AD FS v gruči, preden namestite posodobitev. Zavrnitev sodelovanja ni priporočljiva, ker ACL vsebnika DKM ostane v nezavarovanem stanju.
| Informacije | Podrobnosti |
|---|---|
| Registrski ključ: | HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS |
| Vrednost: | RemediteDkmAcl |
| Vrsta: | DWORD |
| Podatki: | 0 |
Primer dogodka napake pri lastništvu (ID dogodka 1137)
ID dogodka: 1137 označuje, da storitve ADFS niso mogle prevzeti lastništva vsebnika DKM, ker račun storitve nima zahtevanih dovoljenj. Ta pogoj se najpogosteje pričakuje na gručah, ki so bile prvotno ustvarjene v sistemu Windows Server 2012 ali Windows Server 2012 R2. V tem primeru odobrite zahtevana dovoljenja za račun storitve ADFS tako, da upoštevate spodnje korake za kateri koli strežnik ADFS v gruči. V nasprotnem primeru poskusi popravljanja ne bodo uspeli.
Identificiranje DN vsebnika DKM:
$dkmContainerDn = (Get-AdfsProperties).CertificateSharingContainer $dkmContainerDnIdentificirajte račun storitve AD FS:
$serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName $serviceAccountOdobritev eksplicitnih dovoljenj ACE za WriteOwner in WriteDacl:
$sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( $sid, ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), [System.Security.AccessControl.AccessControlType]::Allow, [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All ) $entry.ObjectSecurity.AddAccessRule($rule) $entry.CommitChanges() $entry.Close()Ko so zahtevana dovoljenja dodeljena:
- Počakajte do 24 ur na naslednji cikel zaznavanja
- Znova zaženite storitev AD FS, da prej sprožite popravljanje
Po uspešnem popravljanju se ID dogodka: 1135 (informacije) zabeleži s prejšnjim ACL-jem v obliki zapisa SDDL.
Shranite prejšnji SDDL (priporočeno)
Kot previdnostni ukrep priporočamo, da prejšnji ACL (SDDL) shranite iz ID-ja dogodka: 510 vnosov, povezanih z ID-jem dogodka: 1135 po uspešni sanaciji. ID dogodka: 1135 vsebuje ID primerka, ki se uporablja za prepoznavanje povezanih vnosov z ID-jem dogodka: 510. Medtem ko prejšnji ACL v večini primerov ne bo potreben (ker so bila prvotna dovoljenja nevarna), njegova razpoložljivost predstavlja varnostno mrežo za vse nepredvidene težave z združljivostjo.
Opomba
Dnevniki dogodkov se lahko prenesejo zaradi omejitev velikosti. Če boste prejšnji SDDL potrebovali v prihodnosti in je bil dogodek prepisan, bo trajno izgubljen.
SDDL lahko ročno kopirate in združite iz vnosov z ID-jem dogodka: 510, pri katerih se ID primerka sklicuje na ID dogodka: 1135. Lahko pa uporabite naslednji skript PowerShell, da zberete korelirane vnose ID-ja dogodka: 510 in SDDL shranite v datoteko:
New-Item -ItemType Directory -Path 'C:\ADFSBackup' -Force | Out-Null
$event = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 1135
} -MaxEvents 1
if ($null -eq $event) {
throw 'Event ID 1135 was not found.'
}
if ($event.Message -notmatch 'Instance ID:\s*([0-9a-fA-F-]{36})') {
throw 'Instance ID was not found in Event ID 1135.'
}
$instanceId = $Matches[1]
$details = Get-WinEvent -FilterHashtable @{
LogName = 'AD FS/Admin'
Id = 510
StartTime = $event.TimeCreated
EndTime = $event.TimeCreated.AddMinutes(5)
} -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$instanceId*" } |
Sort-Object RecordId |
ForEach-Object {
if ($_.Message -match '(?s)Details:\s*(.*)$') {
$Matches[1]
}
}
if (-not $details) {
throw "No Event ID 510 entries were found for Instance ID $instanceId."
}
[System.IO.File]::WriteAllText('C:\ADFSBackup\dkm-acl-previous-sddl.txt', ($details -join '').TrimEnd())
Obnovitev prejšnjega ACL-ja
Če pride do težav po popravljanju in morate povrniti na prejšnji ACL:
# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>"
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>”
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn")
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All)
$entry.CommitChanges()
$entry.Close()
Opomba
Ta ukaz zahteva, da ima račun, ki ga izvaja, SeSecurityPrivilege (običajno ga imajo skrbniki domene). Zaženite to možnost v okviru seje PowerShell na skrbniški ravni v računalniku, pridruženem domeni.
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord
Po obnovitvi nastavite RemediateDkmAcl = 0 v vseh strežnikih ADFS v gruči, da preprečite ponovno popravljanje storitve v naslednjem ciklu.
Sklici na dogodke
ID dogodka: 1132 – ACL vsebnika DKM zahteva pregled
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | ADFS/Skrbnik |
| Vrsta dogodka | Opozorilo |
| Vir dogodka | ADFS |
| ID dogodka | 1132 |
| Besedilo dogodka | Storitve ADFS so zaznale, da se seznam ACL vsebnika DKM (Distributed Key Manager) ne ujema s pričakovanim stanjem varnosti. V vsebniku DKM so shranjeni simetrični ključi, ki se uporabljajo za zaščito ključnega materiala za podpisovanje žetonov. DN vsebnika: <DN> Pričakovano stanje varnosti je onemogočeno dedovanje, dostop pa imajo le skrbniki domene, skrbniki velikega poslovnega okolja, SYSTEM in račun storitve AD FS. Storitve ADFS bodo samodejno poskusile odpraviti ACL. Popravek se zažene takoj, nato pa vsakih 24 ur, dokler ACL ne doseže pričakovanega stanja varnosti. Za rezultat glejte dogodek 1135 (popravek je uspel) ali dogodek 1136/1137 (popravek ni uspel). Če želite zavrniti sodelovanje pri samodejni obdelavi, nastavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za navodila glejte razdelek https://go.microsoft.com/fwlink/?linkid=2369796. Dodatni podatki Dedovanje je onemogočeno: <Da/ne> Trenutni ACL (SDDL): Oglejte si vnose dogodka 510 z ID-jem primerka: <ID primerka> |
ID dogodka: 1133 – ACL vsebnika DKM je pravilen
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | ADFS/Skrbnik |
| Vrsta dogodka | Informacije |
| Vir dogodka | ADFS |
| ID dogodka | 1133 |
| Besedilo dogodka | Opravilo v ozadju seznama ACL DKM je pregledalo vsebnik ACL-ja za utrjevanje varnosti. Vsebnik ima pravilne nastavitve, zato ni potrebno nobeno nadaljnje dejanje. DN vsebnika: <DN> |
ID dogodka: 1134 – napaka zaznavanja
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | ADFS/Skrbnik |
| Vrsta dogodka | Napaka |
| Vir dogodka | ADFS |
| ID dogodka | 1134 |
| Besedilo dogodka | Opravilo preverjanja ACL vsebnika AD FS DKM je naletelo na napako. DN vsebnika: <DN> Dodatni podatki Podrobnosti o izjemi: <izjema> Dejanje uporabnika Če želite več podrobnosti, si oglejte dnevnike odpravljanja napak v storitvah AD FS. Prepričajte se, da ima račun storitve AD FS dostop do vsebnika skupine DKM v imeniku Active Directory. |
ID dogodka: 1135 – Sanacija uspešna
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | AD FS/Skrbnik |
| Vrsta dogodka | Informacije |
| Vir dogodka | ADFS |
| ID dogodka | 1135 |
| Besedilo dogodka | AD FS je uspešno okrepil ACL vsebnika DKM (Distributed Key Manager). DN vsebnika: <DN> Seznam ACL vsebnika zdaj omogoča dostop le skrbnikom domene, skrbnikom podjetja, SYSTEM in računu storitve AD FS. Dedovanje je blokirano, vsa druga dovoljenja pa so bila odstranjena. Opomba: Samodejna sanacija se ne bo znova zagnala, dokler se ACL ujema z osnovnim načrtom. Če želite trajno onemogočiti samodejno posredovanje, tudi če se seznam ACL v prihodnosti premakne, nastavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Prejšnji ACL je vključen v spodnjo obliko zapisa SDDL. Če želite obnoviti prvotna dovoljenja, glejte https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podatki Prejšnji ACL (SDDL): Oglejte si vnose v dogodek 510 z ID-jem primerka: <ID primerka> |
ID dogodka: 1136 – Odpravljanje ni uspelo
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | AD FS/Skrbnik |
| Vrsta dogodka | Napaka |
| Vir dogodka | ADFS |
| ID dogodka | 1136 |
| Besedilo dogodka | AD FS je poskušal popraviti ACL vsebnika DKM (Distributed Key Manager), vendar mu ni uspelo. DN vsebnika: <DN> Samodejno odpravljanje dejanja uporabnika bo poskusilo znova v naslednjem ciklu zaznavanja (v 24 urah). Če želite ročno popraviti ACL, preglejte in popravite ACE v vsebniku skupine DKM. Dostop naj imajo samo skrbniki domene, skrbniki podjetja, SYSTEM in račun storitve AD FS. Če želite onemogočiti samodejno posredovanje, nastavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za navodila glejte https://go.microsoft.com/fwlink/?linkid=2369796 Dodatni podatki Podrobnosti o trenutnem seznamu ACL (SDDL) in izjemah: Oglejte si vnose v dogodek 510 z ID-jem primerka: <ID primerka> |
ID dogodka: 1137 – Neuspešna sprememba lastništva
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | AD FS/Skrbnik |
| Vrsta dogodka | Napaka |
| Vir dogodka | ADFS |
| ID dogodka | 1137 |
| Besedilo dogodka | ADFS je poskušal popraviti ACL vsebnika DKM (Distributed Key Manager), vendar ni mogel prevzeti lastništva, ker račun storitve ADFS nima zahtevanih dovoljenj. To je pričakovano za gruče, ki so bile prvotno ustvarjene v sistemu Windows Server 2012 ali Windows Server 2012 R2. DN vsebnika: <DN> Dejanje uporabnika Dodelite zahtevana dovoljenja računu storitve AD FS, da bo popravek uspešen. Samodejno odpravljanje bo poskusilo znova v naslednjem ciklu zaznavanja (v 24 urah) ali ob vnovični zagonu storitve. Če želite ročno popraviti ACL, preglejte in popravite ACE v vsebniku skupine DKM. Dostop naj imajo samo skrbniki domene, skrbniki podjetja, SYSTEM in račun storitve AD FS. Če želite onemogočiti samodejno posredovanje, nastavite HKLM\SOFTWARE\Microsoft\ADFS\RemediateDkmAcl (DWORD) na 0. Za navodila glejte https://go.microsoft.com/fwlink/?linkid=2369796 |
ID dogodka: 510 – Dodatne informacije o ACL
| Informacije | Podrobnosti |
|---|---|
| Dnevnik dogodkov | AD FS/Skrbnik |
| Vrsta dogodka | Informacije |
| Vir dogodka | ADFS |
| ID dogodka | 510 |
| Besedilo dogodka | Več informacij za vnos dogodka z ID-jem> primerka ID <primerka. Morda bo več dogodkov z istim ID-jem primerka z več informacijami. ID primerka: <ID primerka> Podrobnosti: <Segment s podrobnostmi o seznamu ACL ali izjemi> Za velike sezname ACL je mogoče zabeležiti več vnosov z ID-jem dogodka 510. Najprej se zabeleži povezani ID dogodka 1132, 1135 ali 1136, nato pa vnosi ID dogodka 510 z istim ID-jem primerka. |
Dnevnik sprememb
| Spremeni datum | Opis spremembe |
|---|---|
| 13. oktober 2026 |
|