KB5020276 – Netjoin: Ändringar i domänanslutningshärdning

Sammanfattning

Windows-uppdateringar som släpptes den 11 oktober 2022 och senare innehåller ytterligare skydd som introducerades av CVE-2022-38042. Dessa skydd förhindrar avsiktligt domänanslutningsåtgärder från att återanvända ett befintligt datorkonto i måldomänen såvida inte:

• Användaren som försöker utföra åtgärden är skaparen av det befintliga kontot, eller
• Datorn har skapats av en medlem av domänadministratörerna, eller

• Ägaren till det datorkonto som återanvänds är medlem i "Domänkontrollant: Tillåt återanvändning av datorkonto vid domänanslutning". Inställningen Grupprincip. Den här inställningen kräver installation av Windows-uppdateringar som släpptes den 14 mars 2023 eller senare på ALLA medlemsdatorer och domänkontrollanter.

Uppdateringar som släppts 14 mars 2023 och 12 september 2023 ger ytterligare alternativ för berörda kunder på Windows Server 2012 R2 och senare och alla klienter som stöds. Mer information finns i avsnitten Beteende och Vidta åtgärderfrån 11 oktober 2022.

Beteende före 11 oktober. 2022

Innan du installerar de kumulativa uppdateringarna från 11 oktober 2022 eller senare frågar klientdatorn služba Active Directory efter ett befintligt konto med samma namn. Den här frågan inträffar under domänanslutning och etablering av datorkonton. Om det finns ett sådant konto försöker klienten automatiskt återanvända det.

Det här är två scenarier för domänanslutning med respektive standardbeteenden och flaggor enligt följande:

• Domänanslutning (NetJoinDomain)

  • Standardinställningen är återanvändning av konton (om inte NETSETUP_NO_ACCT_REUSE flagga har angetts)

• Kontoetablering (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Standardvärdet är INGEN återanvändning (om NETSETUP_PROVISION_REUSE_ACCOUNT inte har angetts).

Beteende 11 oktober 2022

När du har installerat de kumulativa uppdateringarna för Windows från 11 oktober 2022 eller senare på en klientdator, under domänanslutningen, kommer klienten att utföra ytterligare säkerhetskontroller innan försök att återanvända ett befintligt datorkonto. Algoritm:

1. Försök att återanvända kontot tillåts om användaren som försöker utföra åtgärden är skaparen av det befintliga kontot.
2. Försök att återanvända kontot tillåts om kontot har skapats av en medlem av domänadministratörer.

Dessa ytterligare säkerhetskontroller utförs innan du försöker ansluta till datorn. Om kontrollerna lyckas är resten av kopplingsåtgärden föremål för služba Active Directory-behörigheter som tidigare.

Den här ändringen påverkar inte nya konton.

Beteende 14 mars 2023

I Windows-uppdateringarna som släpptes 14 mars 2023 eller senare har vi gjort några ändringar i säkerhetshärdningen. Dessa ändringar omfattar alla ändringar vi gjorde i oktober 11, 2022.

För det första utökade vi omfattningen av grupper som är undantagna från denna härdning. Förutom domänadministratörer är företagsadministratörer och inbyggda administratörsgrupper nu undantagna från ägarskapskontrollen.

För det andra implementerade vi en ny grupprincip inställning. Administratörer kan använda den för att ange en lista över tillåtna datorkontoinnehavare. Datorkontot kringgår säkerhetskontrollen om något av följande stämmer:

Kontot ägs av en användare som angetts som en betrodd ägare i grupprincipen "Domänkontrollant: Tillåt återanvändning av datorkonto under domänanslutning".

Kontot ägs av en användare som är medlem i en grupp som anges som en betrodd ägare i grupprincipen "Domänkontrollant: Tillåt återanvändning av datorkonto under domänanslutning".

Om du vill använda den här nya grupprincipen måste domänkontrollanten och medlemsdatorn konsekvent ha uppdateringen från 14 mars 2023 eller senare installerad. En del av er kanske har särskilda konton som du använder för att automatiskt skapa datorkonton. Om dessa konton är säkra från missbruk och du litar på att de skapar datorkonton kan du undanta dem. Du är fortfarande skyddad mot den ursprungliga säkerhetsrisken som åtgärdades av Windows-uppdateringarna från 11 oktober 2022.

Beteende 12 september 2023

I Windows-uppdateringarna som släpptes 12 september 2023 eller senare har vi gjort några ytterligare ändringar i säkerhetshärdningen. Dessa ändringar omfattar alla ändringar vi gjorde den 11 oktober 2022 och ändringarna från den 14 mars 2023.

Vi har åtgärdat ett problem där domänanslutning med smartkortautentisering misslyckades oavsett principinställning. För att åtgärda problemet flyttade vi tillbaka de återstående säkerhetskontrollerna till domänkontrollanten. Efter säkerhetsuppdateringen i september 2023 gör klientdatorer därför autentiserade SAMRPC-anrop till domänkontrollanten för att utföra säkerhetsverifieringskontroller relaterade till återanvändning av datorkonton.

Det kan dock göra att domänanslutningen misslyckas i miljöer där följande princip har angetts: Nätverksåtkomst: Begränsa klienter som tillåts göra fjärranrop till SAM.  Se avsnittet "Kända problem" för information om hur du löser det här problemet.

Beteende 13 augusti 2024

I de Windows-uppdateringar som släpptes den 13 augusti 2024 eller senare har vi åtgärdat alla kända kompatibilitetsproblem med principen Allowlist. Vi har också tagit bort stödet för nyckeln NetJoinLegacyAccountReuse. Härdningsbeteendet kommer att kvarstå oavsett tangentinställning. Lämpliga metoder för att lägga till undantag anges i avsnittet Vidta åtgärder nedan.

Vidta åtgärder

Konfigurera den nya tillåtna listprincipen med grupprincip på en domänkontrollant och ta bort eventuella äldre lösningar på klientsidan. Gör sedan något av följande:

1. Du måste installera uppdateringarna från 12 september 2023 eller senare på alla medlemsdatorer och domänkontrollanter.

2. I en ny eller befintlig grupprincip som gäller för alla domänkontrollanter konfigurerar du inställningarna i stegen nedan.

3. Under Datorkonfiguration\Principer\Windows-inställningar\Säkerhetsinställningar\Lokala principer\Säkerhetsalternativ dubbelklickar du på Domänkontrollant: Tillåt återanvändning av datorkonto vid domänanslutning.

4. Välj Definiera den här principinställningen och <Redigera säkerhet...>.

5. Använd objektväljaren för att lägga till användare eller grupper av betrodda datorkontoskapare och ägare i behörigheten Tillåt . (Vi rekommenderar starkt att du använder grupper för behörigheter.) Lägg inte till användarkontot som utför domänanslutningen.

   Varning!

   Begränsa medlemskap i principen till betrodda användare och tjänstkonton. Lägg inte till autentiserade användare, alla eller andra stora grupper i den här principen. Lägg i stället till specifika betrodda användare och tjänstkonton i grupper och lägg till dessa grupper i principen.

6. Vänta på uppdateringsintervallet för grupprincipen eller kör gpupdate /force på alla domänkontrollanter.

7. Kontrollera att registernyckeln HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" är ifylld med önskad SDDL. Redigera inte registret manuellt.

8. Försök ansluta till en dator som har uppdateringar från 12 september 2023 eller senare installerade. Kontrollera att ett av kontona som anges i principen äger datorkontot. Om domänanslutningen misslyckas kontrollerar du\netsetup.log c:\windows\debug.

Om du fortfarande behöver en alternativ lösning kan du granska arbetsflödena för etablering av datorkonton och ta reda på om ändringar krävs.

1. Utför kopplingsåtgärden med samma konto som skapade datorkontot i måldomänen.
2. Om det befintliga kontot är inaktuellt (används inte) tar du bort det innan du försöker ansluta till domänen igen.
3. Byt namn på datorn och anslut med ett annat konto som inte redan finns.
4. Om det befintliga kontot ägs av ett betrott säkerhetsobjekt och en administratör vill återanvända kontot följer du anvisningarna i avsnittet Vidta åtgärder för att installera Windows-uppdateringar från september 2023 eller senare och konfigurera en lista över tillåtna.

Icke-lösningar

• Lägg inte till tjänstkonton eller etableringskonton i säkerhetsgruppen Domänadministratörer.
• Redigera inte säkerhetsbeskrivningen för datorkonton manuellt i ett försök att omdefiniera ägarskap för sådana konton, såvida inte det tidigare ägarkontot har tagits bort. När du redigerar ägaren kan de nya kontrollerna lyckas, men datorkontot kan behålla samma potentiellt riskabla, oönskade behörigheter för den ursprungliga ägaren om de inte uttryckligen granskas och tas bort.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Kända problem