CVE-2026-56155: ACL-härdning för AD FS Distributed Key Manager-behållare

1. Välj att åtgärda genom att ange registernyckeln RemediateDkmAcl till 1. Mer information finns i avsnittet Windows Server 2016 och senare i avsnittet Åtgärder för att välja själv.

2. Om registernyckeln inte har konfigurerats senast den 13 oktober 2026 åtgärdar uppdateringen automatiskt osäkra ACL:er. Om du vill avanmäla dig från automatisk reparation anger du registernyckeln till 0.

1. Bevilja AD FS-tjänstkontobehörigheter för att åtgärda mer information finns i avsnittet Windows Server 2012 och Windows Server 2012 R2 i avsnittet Välja att använda åtgärden

2. Därefter väljer du att åtgärda genom att ange registernyckeln RemediateDkmAcl till 1.

När du har installerat uppdateringen för juli 2026 körs identifieringen automatiskt en minut efter att AD FS-tjänsten har startats och sedan var 24:e timme därefter. Kontrollera AD FS/Admins händelselogg för följande händelser.

Anteckning Inga automatiska ändringar görs av ACL i granskningsläge.

Använd den plattformsspecifika reparationsvägledningen nedan.

Windows Server 2016 och senare

Vi rekommenderar starkt att administratörer åtgärdar under granskningslägesfasen för att identifiera och lösa eventuella kompatibilitetsproblem innan tillämpningen börjar i oktober 2026. Du aktiverar åtgärden genom att ange följande registernyckel på en AD FS-server i servergruppen.

När registernyckeln har angetts kan du antingen:

• Vänta upp till 24 timmar på nästa identifieringscykel, eller

• Starta om AD FS-tjänsten för att utlösa reparationen tidigare

Vid lyckad reparation loggas händelse 1135 (information) med föregående ACL i SDDL-format.

Windows Server 2012 och Windows Server 2012 R2

För dessa plattformar beviljar du de behörigheter som krävs till AD FS-tjänstkontot genom att följa stegen nedan på en AD FS-server i servergruppen innan du aktiverar RemediateDkmAcl-registret . Annars misslyckas reparationsförsöken.

1. Identifiera DKM-behållarens DN:

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. Identifiera AD FS-tjänstkontot:

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. Bevilja explicita tillåt ACE:er för WriteOwner och WriteDacl:

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. När de behörigheter som krävs har beviljats anger du följande registernyckel på en AD FS-server i servergruppen för att aktivera åtgärd.

   Kontaktuppgifter	Information
   Registernyckel	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   Värde:	RemediateDkmAcl
   Typ:	DWORD
   Data:	1
   Obs	Om "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" inte finns skapar du nyckeln "ADFS" först och anger sedan RemediateDkmAcl under den nyckeln.

5. När registernyckeln har angetts kan du antingen:

• Vänta upp till 24 timmar på nästa identifieringscykel, eller

• Starta om AD FS-tjänsten för att utlösa reparationen tidigare

Vid lyckad reparation loggas händelse 1135 (information) med föregående ACL i SDDL-format.

Spara föregående SDDL (rekommenderas)

Som en försiktighetsåtgärd rekommenderar vi att du sparar den tidigare ACL:en (SDDL) från händelse 1135 efter en lyckad reparation. Även om den tidigare ACL:en inte förväntas behövas i de flesta fall (eftersom de ursprungliga behörigheterna var osäkra), ger den ett skyddsnät för oförutsedda kompatibilitetsproblem.

Anteckning Händelseloggar kan rulla över på grund av storleksbegränsningar. Om du behöver den tidigare SDDL i framtiden och händelsen har skrivits över kommer den att gå förlorad permanent.

Så här sparar du SDDL till en fil:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

Så här återställer du föregående ACL

Om du får problem efter reparationen och behöver återgå till föregående ACL:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

Anteckning Det här kommandot kräver att kontot som kör det har SeSecurityPrivilege (vanligtvis har domänadministratörer detta). Kör detta från en upphöjd PowerShell-session på en domänansluten dator.

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

När du har återställt anger du RemediateDkmAcl = 0 för att förhindra att tjänsten repareras igen i nästa cykel.

Från och med uppdateringen i oktober 2026 körs reparation som standard utan att registernyckeln krävs. Beteendet motsvarar att ha RemediateDkmAcl = 1 angett.

Automatiska åtgärder för disciplinära åtgärder gäller inte för Windows Server 2012 eller Windows Server 2012 R2. För dessa plattformar kan du åtgärda manuellt genom att följa anvisningarna i avsnittet Windows Server 2012 och Windows Server 2012 R2 i avsnittet Åtgärder för att välja själv.

Om du behöver inaktivera automatisk reparation efter uppdateringen i oktober 2026 anger du värdet RemediateDkmAcl i registret.

Detta inaktiverar uttryckligen sanering. Identifieringen (händelse 1132) fortsätter att utlösas, så administratörerna är medvetna om det osäkra tillståndet.

Viktigt Om du väljer bort den blir din DKM-behållare sårbar. Använd bara detta om du har specifika kompatibilitetskrav och planerar att härda ACL:en manuellt.