KB5014754: Certifikatbaserad autentisering ändras på Windows-domänkontrollanter

Inga starka certifikatmappningar kunde hittas och certifikatet hade inte det nya SID-tillägget (Security Identifier) som KDC kunde validera.

Certifikatet utfärdades till användaren innan användaren fanns i služba Active Directory och det gick inte att hitta någon stark mappning. Händelsen loggas bara när KDC är i kompatibilitetsläge.

SID i det nya tillägget av användarcertifikatet matchar inte användarens SID, vilket innebär att certifikatet har utfärdats till en annan användare.

Anteckning Vissa fält, till exempel utfärdare, ämne och serienummer, rapporteras i ett framåtformat. Du måste vända på det här formatet när du lägger till mappningssträngen i attributet altSecurityIdentities . Om du till exempel vill lägga till mappningen X509IssuerSerialNumber till en användare söker du i fälten "Issuer" och "Serial Number" för det certifikat som du vill mappa till användaren. Se exemplen nedan.

• Utfärdare: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Serienummer: 2B0000000011AC000000012

Uppdatera sedan användarens altSecurityIdentities-attribut i služba Active Directory med följande sträng:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Om du vill uppdatera det här attributet med PowerShell kan du använda kommandot nedan. Tänk på att som standard har endast domänadministratörer behörighet att uppdatera det här attributet.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Observera att när du vänder på serienumret måste du behålla byteordningen. Det innebär att om du vänder på serienumret "A1B2C3" ska strängen "C3B2A1" och inte "3C2B1A" visas. Mer information finns i HowTo: Mappa en användare till ett certifikat via alla metoder som är tillgängliga i attributet altSecurityIdentities.

När du har installerat Windows-uppdateringarna från 10 maj 2022 är enheterna i kompatibilitetsläge. Om ett certifikat kan mappas starkt till en användare sker autentiseringen som förväntat. Om ett certifikat bara kan mappas svagt till en användare sker autentiseringen som förväntat. Ett varningsmeddelande kommer dock att loggas om inte certifikatet är äldre än användaren. Om certifikatet är äldre än användaren och registernyckeln för bakåtdatering av certifikat inte finns eller om intervallet ligger utanför bakåtdateringskompensationen, misslyckas autentiseringen och ett felmeddelande loggas.  Om registernyckeln för bakåtdatering av certifikat är konfigurerad loggar den ett varningsmeddelande i händelseloggen om datumen faller inom bakåtdateringskompensationen.

När du har installerat Windows-uppdateringarna från 10 maj 2022 kan du hålla utkik efter varningsmeddelanden som kan visas efter en månad eller mer. Om det inte finns några varningsmeddelanden rekommenderar vi starkt att du aktiverar fullständigt tvingande läge på alla domänkontrollanter med hjälp av certifikatbaserad autentisering. Du kan använda KDC-registernyckeln för att aktivera fullständigt tvingande läge.

Om de inte uppdateras till granskningsläge eller tvingande läge med hjälp av registernyckeln StrongCertificateBindingEnforcement tidigare flyttas domänkontrollanterna till fullständigt tvingande läge när Windows-säkerhetsuppdateringen för februari 2025 installeras. Autentisering nekas om ett certifikat inte kan mappas starkt. Alternativet att gå tillbaka till kompatibilitetsläget finns kvar tills Windows-säkerhetsuppdateringen den 9 september 2025 installeras. Efter detta datum stöds inte längre registernyckeln StrongCertificateBindingEnforcement

Om certifikatbaserad autentisering förlitar sig på en svag mappning som du inte kan flytta från miljön kan du placera domänkontrollanter i inaktiverat läge med hjälp av en registernyckelinställning. Microsoft rekommenderar inte detta och vi kommer att ta bort inaktiverat läge den 11 april 2023.

När du har installerat Windows-uppdateringarna från den 13 februari 2024 eller senare på Server 2019 och senare och stöder klienter med den valfria RSAT-funktionen installerad, väljer certifikatmappningen i služba Active Directory Users & Computers som standard stark mappning med hjälp av X509IssuerSerialNumber i stället för svag mappning med X509IssuerSubject. Inställningen kan fortfarande ändras efter behov.

Symtom

Microsoft har fått rapporter om att inställningen "Bearbeta även om grupprincipobjekten inte har ändrats" under grupprincip-objektet "Datorkonfiguration>administrativa mallar>SystemGrupprincipKonfigurera>>registerprincipbearbetning" kan periodvis störa de namnbaserade mappningarna på domänkontrollanter.

Tillfällig lösning

Lös problemet genom att inaktivera inställningen "Process även om grupprincipobjekten inte har ändrats" för domänkontrollanter. Gör bara detta om namnbaserade mappningar enligt definitionen i grupprincipen "Computer Configuration>Administrative Templates>System>KDC>Allow name-based strong mappings for certificates" behövs. Mer information finns i Aktivera stark namnbaserad mappning i myndighetsscenarier.

Nästa steg

Vi undersöker dessa rapporter och kommer att ge mer information när den är tillgänglig.

• Använd Kerberos-driftloggen på den aktuella datorn för att avgöra vilken domänkontrollant som inte kan logga in. Gå till LoggbokenProgram>- och tjänstloggar\Microsoft \Windows-säkerhet-Kerberos\\Operational.
• Leta efter relevanta händelser i systemhändelseloggen på domänkontrollanten som kontot försöker autentisera mot.
• Om certifikatet är äldre än kontot utfärdar du certifikatet på nytt eller lägger till en säker altSecurityIdentities-mappning till kontot (se Certifikatmappningar).
• Om certifikatet innehåller ett SID-tillägg kontrollerar du att SID matchar kontot.
• Om certifikatet används för att autentisera flera olika konton behöver varje konto en separat altSecurityIdentities-mappning .
• Om certifikatet inte har någon säker mappning till kontot lägger du till en, eller låter domänen vara i kompatibilitetsläge tills en kan läggas till.

Ett exempel på TLS-certifikatmappning är att använda ett IIS-intranätwebbprogram.

• När du har installerat CVE-2022-26391 - och CVE-2022-26923-skydd använder dessa scenarier Kerberos-certifikattjänsten för användare (S4U) för certifikatmappning och autentisering som standard.
• I Kerberos-certifikatets S4U-protokoll flödar autentiseringsbegäran från programservern till domänkontrollanten, inte från klienten till domänkontrollanten. Därför kommer relevanta händelser att finnas på programservern.

Den här registernyckeln stöds inte när du har installerat uppdateringar för Windows som släpptes i september 2025 eller senare.

När ett serverprogram kräver klientautentisering försöker Schannel automatiskt mappa certifikatet som TLS-klienten tillhandahåller till ett användarkonto. Du kan autentisera användare som loggar in med ett klientcertifikat genom att skapa mappningar som relaterar certifikatinformationen till ett Windows-användarkonto. När du har skapat och aktiverat en certifikatmappning associerar serverprogrammet användaren med rätt Windows-användarkonto varje gång en klient visar ett klientcertifikat.

Schannel försöker mappa varje certifikatmappningsmetod som du har aktiverat tills en lyckas. Schannel försöker mappa mappningarna av Service-For-User-To-Self (S4U2Self) först. Certifikatmappningarna Ämne/utfärdare, Utfärdare och UPN anses nu vara svaga och har inaktiverats som standard. Den bitmaskerade summan av de valda alternativen avgör listan med certifikatmappningsmetoder som är tillgängliga.

Standardregisternyckeln SChannel var 0x1F och är nu 0x18. Om du stöter på autentiseringsproblem med Schannel-baserade serverprogram föreslår vi att du utför ett test. Lägg till eller ändra registernyckelvärdet CertificateMappingMethods på domänkontrollanten och ställ in det på 0x1F och se om det åtgärdar problemet. Leta i systemhändelseloggarna på domänkontrollanten för eventuella fel som anges i den här artikeln för mer information. Tänk på att om du ändrar SChannel-registernyckelvärdet tillbaka till föregående standard (0x1F) återgår du till att använda svaga certifikatmappningsmetoder.

Ytterligare resurser och support finns i avsnittet Ytterligare resurser.

När du har installerat uppdateringar som adresserar CVE-2022-26931 och CVE-2022-26923 kan autentiseringen misslyckas i fall där användarcertifikaten är äldre än tidpunkten då användarna skapades. Den här registernyckeln tillåter lyckad autentisering när du använder svaga certifikatmappningar i miljön och certifikattiden ligger före tiden då användaren skapades inom ett angivet intervall. Den här registernyckeln påverkar inte användare eller datorer med starka certifikatmappningar, eftersom tiden för certifikatet och tidpunkten då användarna skapades inte kontrolleras med starka certifikatmappningar. Den här registernyckeln har ingen effekt när StrongCertificateBindingEnforcement är inställt på 2.

Att använda den här registernyckeln är en tillfällig lösning för miljöer där det krävs och måste göras med försiktighet. Användning av den här registernyckeln innebär följande för din miljö:

• Den här registernyckeln fungerar bara i kompatibilitetsläge från och med uppdateringar som släpptes 10 maj 2022. Autentisering tillåts inom kompensationsförskjutningen för bakåtdatering, men en varning i händelseloggen loggas för den svaga bindningen.
• Om du aktiverar den här registernyckeln kan du autentisera användaren när certifikattiden ligger före tiden då användaren skapades inom ett angivet intervall som en svag mappning. Svaga mappningar stöds inte efter installation av uppdateringar för Windows som släpptes i september 2025 eller senare.

Du kör följande certutil-kommando för att undanta certifikat för användarmallen från att hämta det nya tillägget.

1. Logga in på en certifikatutfärdarserver eller en domänansluten Windows 10 klient med företagsadministratör eller motsvarande autentiseringsuppgifter.
2. Öppna en kommandotolk och välj Kör som administratör.
3. Kör certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Om du inaktiverar tillägget av det här tillägget tas skyddet som tillhandahålls av det nya tillägget bort. Överväg att göra det här först efter något av följande:

1. Du bekräftar att motsvarande certifikat inte är godtagbara för PKINIT (Public Key Cryptography for Initial Authentication) i Kerberos Protocol-autentiseringar på KDC
2. Motsvarande certifikat har andra starka certifikatmappningar konfigurerade

Miljöer som har distributioner som inte kommer från Microsoft CA skyddas inte med det nya SID-tillägget efter installation av Windows-uppdateringen från 10 maj 2022. Berörda kunder bör arbeta med motsvarande CA-leverantörer för att åtgärda detta eller bör överväga att använda andra starka certifikatmappningar som beskrivs ovan.

Ytterligare resurser och support finns i avsnittet Ytterligare resurser.

Nej, förnyelse krävs inte. Certifikatutfärdaren levereras i kompatibilitetsläge. Om du vill ha en stark mappning med hjälp av ObjectSID-tillägget behöver du ett nytt certifikat.

Under Windows-uppdateringen från 11 februari 2025 flyttas enheter som inte redan är i tillämpning (registervärdet StrongCertificateBindingEnforcement är inställt på 2) till Tvingande. Om autentisering nekas visas Händelse-ID 39 (eller Händelse-ID 41 för Windows Server 2008 R2 SP1 och Windows Server 2008 SP2). I det här skedet har du möjlighet att ange registernyckelvärdet tillbaka till 1 (kompatibilitetsläge).

I Windows-uppdateringen den 9 september 2025 stöds inte längre registervärdet StrongCertificateBindingEnforcement .