KB5014754: Promene potvrde identiteta zasnovane na certifikatima u Windows kontrolerima domena

Nije moguće pronaći mapiranje jakih certifikata, a certifikat nije imao proširenje novog bezbednosnog identifikatora (SID) čiju valjanost bi KDC mogao da proveri.

Certifikat je izdat korisniku pre nego što je on postojao u usluzi Active Directory, i nije moguće pronaći strogo mapiranje. Ovaj događaj se evidentira samo kada je KDC u režimu kompatibilnosti.

SID koji se nalazi u novom proširenju certifikata korisnika ne odgovara SID-u korisnika, što znači da je certifikat izdat drugom korisniku.

Napomena Određena polja, kao što su "Izdavač", "Tema" i "Serijski broj", prijavljuju se u formatu "prosleđivanje". Morate poništiti ovaj format kada dodate nisku za mapiranje u atribut altSecurityIdentities . Na primer, da biste korisniku dodali mapiranje X509IssuerSerialNumber, pretražite polja "Izdavač" i "Serijski broj" certifikata koji želite da mapirate za korisnika. Pogledajte uzorak izlaza u nastavku.

• Izdavač: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Serijski broj: 2B0000000011AC0000000012

Zatim ažurirajte altSecurityIdentities atribut korisnika u usluzi Active Directory pomoću sledeće niske:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Da biste ažurirali ovaj atribut pomoću programa PowerShell, možete da upotrebite dolenavedenu komandu. Imajte na umu da podrazumevano samo administratori domena imaju dozvolu da ažuriraju ovaj atribut.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Imajte na umu da kada obrnete vrednost serijskog broja, morate da zadržite redosled bajtova. To znači da preokretanje serijskog broja "A1B2C3" treba da rezultira niskom "C3B2A1", a ne "3C2B1A". Više informacija potražite u članku Kako da: Mapiranje korisnika u certifikat putem svih metoda dostupnih u atributu altSecurityIdentities.

Kada instalirate ispravke za Windows od 10. maja 2022, uređaji će biti u režimu kompatibilnosti. Ako je certifikat moguće snažno mapirati na korisnika, potvrda identiteta će se izvršiti na očekivani način. Ako se certifikat može slabo mapirati sa korisnikom, potvrda identiteta će se izvršiti na očekivani način. Međutim, poruka upozorenja će biti evidentirana, osim ako certifikat nije stariji od korisnika. Ako je certifikat stariji od korisnika, a ključ registratora za vraćanje početnih verzija certifikata nije prisutan ili je opseg izvan kompenzacije za vraćanje podataka, potvrda identiteta neće uspeti i evidentiraće se poruka o grešci.  Ako je ključ registratora "Datiranje povratnih verzija certifikata" konfigurisan, on će evidentirati poruku upozorenja u evidenciji događaja ako datumi spadaju u kompenzaciju za vraćanje datiranja.

Nakon instaliranja ispravki za Windows od 10. maja 2022, sačekajte na poruke upozorenja koje se mogu pojaviti posle mesec dana ili više. Ako nema poruka upozorenja, preporučujemo da omogućite režim potpunog nametanja na svim kontrolerima domena koji koriste potvrdu identiteta zasnovanu na certifikatu. Možete da koristite ključ registratora KDC da biste omogućili režim potpunog sprovođenja.

Osim ako se ranije ne ažuriraju na režim nadzora ili režim sprovođenja pomoću ključa registratora StrongCertificateBindingEnforcement , kontroleri domena će preći u režim potpunog sprovođenja kada se instalira bezbednosna ispravka za Windows iz februara 2025. Potvrda identiteta će biti odbijena ako nije moguće snažno mapirati certifikat. Opcija za povratak u režim kompatibilnosti ostaće na snazi dok se ne instalira bezbednosna ispravka za Windows od 9. septembra 2025. Nakon ovog datuma, ključ registratora StrongCertificateBindingEnforcement više neće biti podržan

Ako se potvrda identiteta zasnovana na certifikatu oslanja na slabo mapiranje koje nije moguće premestiti iz okruženja, možete da postavite kontrolere domena u onemogućeni režim pomoću postavke ključa registratora. Microsoft to ne preporučuje i uklonićemo onemogućeni režim 11. aprila 2023.

Kada instalirate Windows ispravke od 13. februara 2024. ili novije verzije na Server 2019 i novijim verzijama i podržane klijente sa instaliranom RSAT opcionalnom funkcijom, mapiranje certifikata u Active Directory Users & Computers podrazumevano bira snažno mapiranje pomoću X509IssuerSerialNumber umesto slabog mapiranja pomoću X509IssuerSubject. Postavka se i dalje može promeniti po želji.

Simptomi

Microsoft je primio izveštaje da je postavka "Obradi čak i ako se objekti Smernice grupe nisu promenili" u objektu Smernice grupe "Konfiguracija> računaraAdministrativni predlošci>Sistemske>Smernice grupeKonfigurisanje>obrade smernica registratora" može povremeno da ometa mapiranja zasnovana na imenu na kontrolerima domena.

Privremeno rešenje

Da biste rešili ovaj problem, onemogućite postavku "Obradi čak i ako se objekti Smernice grupe nisu promenili" na kontrolerima domena. Ovo uradite samo ako su potrebna mapiranja zasnovana na imenu kao što je definisano u Smernice grupe "Konfiguracija> računara, administrativnišabloni>, sistem>KDC>,Dozvoli snažna mapiranja zasnovana na imenu za certifikate". Više informacija potražite u članku Omogućavanje snažnog mapiranja zasnovanog na imenu u scenarijima sa državnim institucijama.

Sledeći korak

Istražujemo ove izveštaje i pružićemo vam više informacija kada budu dostupne.

• Koristite Kerberos operativnu evidenciju na relevantnom računaru da biste utvrdili koji kontroler domena ne uspeva da se prijavi. Idite u Prikazivač događajaEvidencije>\aplikacija i uslugaMicrosoft \Windows\bezbednost-Kerberos\operativno.
• Potražite relevantne događaje u evidenciji sistemskih događaja na kontroleru domena nad kojima nalog pokušava da potvrdi identitet.
• Ako je certifikat stariji od naloga, ponovo ga izdajte ili dodajte bezbedno mapiranje altSecurityIdentities na nalog (pogledajte članak "Mapiranja certifikata").
• Ako certifikat sadrži oznaku tipa SID, proverite da li se ona podudara sa nalogom.
• Ako se certifikat koristi za potvrdu identiteta nekoliko različitih naloga, za svaki nalog će biti potrebno posebno mapiranje altSecurityIdentities .
• Ako certifikat nema bezbedno mapiranje na nalog, dodajte ga ili ostavite domen u režimu kompatibilnosti dok ne bude moguće da ga dodate.

Primer mapiranja TLS certifikata jeste korišćenje IIS intranet veb aplikacije.

• Nakon instaliranja CVE-2022-26391 i CVE-2022-26923 zaštita, ovi scenariji podrazumevano koriste Kerberos Certificate Service For User (S4U) protokol za mapiranje certifikata i potvrdu identiteta.
• U Kerberos Certificate S4U protokolu zahtev za potvrdu identiteta teče od servera aplikacije do kontrolera domena, a ne od klijenta do kontrolera domena. Dakle, relevantni događaji će biti na serveru aplikacije.

Ovaj ključ registratora neće biti podržan nakon instaliranja ispravki za Windows objavljenih posle septembra 2025.

Kada aplikacija servera zahteva potvrdu identiteta klijenta, Schannel automatski pokušava da mapira certifikat koji TLS klijent isporučuje na korisnički nalog. Korisnike koji se prijavljuju pomoću certifikata klijenta možete potvrditi identitet kreiranjem mapiranja koja povezuju informacije o certifikatu sa Windows korisničkim nalogom. Kada kreirate i omogućite mapiranje certifikata, svaki put kada klijent prikaže certifikat klijenta, aplikacija servera automatski povezuje tog korisnika sa odgovarajućim Windows korisničkim nalogom.

Schannel će pokušati da mapira svaki metod mapiranja certifikata koji ste omogućili dok jedan ne uspe. Schannel pokušava prvo da mapira mapiranja Service-for-User-to-Self (S4U2Self). Mapiranja certifikata "Tema/izdavač", "Izdavač" i UPN certifikata sada se smatraju slabim i podrazumevano su onemogućena. Zbir izabranih opcija određuje listu dostupnih metoda mapiranja certifikata.

Podrazumevani ključ registratora SChannel je bio 0x1F i sada je 0x18. Ako naiđete na neuspešne potvrde identiteta sa aplikacijama servera zasnovanim na kanalu, predlažemo vam da izvršite test. Dodajte ili izmenite vrednost ključa registratora CertificateMappingMethods na kontroleru domena i podesite je na 0x1F da biste videli da li to rešava problem. U evidencijama sistemskih događaja na kontroleru domena potražite greške navedene u ovom članku za više informacija. Imajte na umu da će se promena vrednosti ključa registratora SChannel na prethodnu podrazumevanu vrednost (0x1F) vratiti na korišćenje slabih metoda mapiranja certifikata.

Dodatne resurse i podršku potražite u odeljku "Dodatni resursi".

Kada instalirate ispravke koje se odnose na CVE-2022-26931 i CVE-2022-26923, potvrda identiteta može da bude neuspešna u slučajevima kada su korisnički certifikati stariji od vremena kreiranja korisnika. Ovaj ključ registratora omogućava uspešnu potvrdu identiteta kada koristite slaba mapiranja certifikata u okruženju, a vreme certifikata je pre vremena kreiranja korisnika u okviru određenog opsega. Ovaj ključ registratora ne utiče na korisnike ili računare sa jakim mapiranjem certifikata jer se vreme certifikata i vreme kreiranja korisnika ne proveravaju pomoću jakih mapiranja certifikata. Ovaj ključ registratora nema efekta kad je StrongCertificateBindingEnforcement postavljen na 2.

Korišćenje ovog ključa registratora predstavlja privremeno zaobilazno rešenje za okruženja koja su mu potrebna i mora se obaviti pažljivo. Korišćenje tog ključa registratora znači sledeće za vaše okruženje:

• Ovaj ključ registratora funkcioniše samo u režimu kompatibilnosti , počevši od ispravki objavljenih 10. maja 2022. Potvrda identiteta će biti dozvoljena u okviru ofseta kompenzacije za vraćanje podataka, ali će biti evidentirano upozorenje evidencije događaja za slabo povezivanje.
• Omogućavanje ovog ključa registratora omogućava potvrdu identiteta korisnika kada je vreme certifikata pre vremena kreiranja korisnika unutar postavljenog opsega kao slabo mapiranje. Slaba mapiranja neće biti podržana nakon instaliranja ispravki za Windows objavljenih u septembru 2025. ili kasnije.

Pokrenite sledeću komandu certutil da biste izuzeli certifikate korisničkog predloška iz preuzimanja novog proširenja.

1. Prijavite se na server autoriteta certifikata ili Windows 10 klijent pridružen domenu pomoću administratora preduzeća ili ekvivalentnih akreditiva.
2. Otvorite komandnu liniju i odaberite stavku " Pokreni kao administrator".
3. Pokrenite certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Onemogućavanje dodavanja ovog proširenja ukloniće zaštitu koju pruža novo proširenje. Razmotrite to samo nakon nečega od sledećeg:

1. Potvrđujete da odgovarajući certifikati nisu prihvatljivi za kriptografiju javnog ključa za početnu potvrdu identiteta (PKINIT) u Kerberos protokol potvrdama identiteta na KDC-u
2. Odgovarajući certifikati imaju konfigurisana druga mapiranja jakih certifikata

Okruženja koja imaju primene autoriteta certifikata koji nisu Microsoft neće biti zaštićena pomoću nove SID oznake nakon instaliranja usluge Windows Update od 10. maja 2022. Pogođeni klijenti treba da rade sa odgovarajućim CA dobavljačima da bi rešili ovaj problem ili bi trebalo da razmotre korišćenje drugih jakih mapiranja certifikata opisanih iznad.

Dodatne resurse i podršku potražite u odeljku "Dodatni resursi".

Ne, obnavljanje nije potrebno. CA se isporučuje u režimu kompatibilnosti. Ako želite snažno mapiranje pomoću proširenja ObjectSID, biće vam potreban novi certifikat.

U usluzi Windows Update od 11. februara 2025. uređaji koji još nisu u fazi sprovođenja (vrednost registratora StrongCertificateBindingEnforcement je postavljena na 2) biće premešteni u sprovođenje. Ako potvrda identiteta nije dozvoljena, videćete ID događaja 39 (ili ID događaja 41 za Windows Server 2008 R2 SP1 i Windows Server 2008 SP2). U ovoj fazi imaćete opciju da vrednost ključa registratora vratite na 1 (režim kompatibilnosti).

U ažuriranju operativnog sistema Windows od 9. septembra 2025. vrednost registratora StrongCertificateBindingEnforcement više neće biti podržana.