KB5020276 – Netjoin: Ändringar av härdning av domänkoppling

Sammanfattning

Windows-uppdateringar som släpptes 11 oktober 2022 och som släppts 11 oktober 2022 innehåller ytterligare skydd som införts av CVE-2022-38042. Dessa skydd förhindrar avsiktligt domänanslutningsåtgärder från att återanvända ett befintligt datorkonto i måldomänen om inte:

• Användaren som försöker utföra åtgärden är skaparen av det befintliga kontot.

  Eller

• Datorn skapades av en medlem av domänadministratörerna.

  Eller

• Ägaren till det datorkonto som återanvänds är medlem i domänkontrollanten: Tillåt återanvändning av datorkonto under domänanslutning. grupprincip inställning. Den här inställningen kräver installation av Windows-uppdateringar som släpptes den 14 mars 2023 eller senare på ALLA medlemsdatorer och domänkontrollanter.

Uppdateringar som släpptes den 14 mars 2023 och efter 14 mars 2023 tillhandahåller ytterligare alternativ för berörda kunder på Windows Server 2012 R2 och senare samt för alla klienter som stöds. Mer information finns i avsnitten 11 oktober 2022 och Vidta åtgärder . 

Beteende före 11 oktober 2022

Innan du installerar de kumulativa uppdateringarna från 11 oktober 2022 eller senare frågar klientdatorn Active Directory efter ett befintligt konto med samma namn. Den här frågan inträffar under domänanslutning och datorkontoetablering. Om det finns ett sådant konto försöker klienten automatiskt återanvända det.

Observera Återanvändningsförsöket misslyckas om användaren som försöker ansluta till domänen inte har rätt skrivbehörighet. Men om användaren har tillräckligt med behörigheter kommer domänanslutningen att lyckas.

Det finns två scenarier för domänanslutning med respektive standardbeteende och flaggor enligt följande:

• Domänanslutning (NetJoinDomain)

  • Standardinställningar för återanvändning av konton (om inte NETSETUP_NO_ACCT_REUSE flagga anges)

• Kontoetablering (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Standardvärdet INGEN återanvändning (om inte NETSETUP_PROVISION_REUSE_ACCOUNT anges.)

Beteende 11 oktober 2022 

När du installerar de kumulativa uppdateringarna för Windows från 11 oktober 2022 eller senare på en klientdator under domänanslutningen utför klienten ytterligare säkerhetskontroller innan de försöker återanvända ett befintligt datorkonto. Algoritm:

1. Försök till återanvändning av konto tillåts om användaren som försöker utföra åtgärden är skaparen av det befintliga kontot.

2. Försök att återanvända konto tillåts om kontot skapades av en medlem av domänadministratörerna.

Dessa ytterligare säkerhetskontroller utförs innan du försöker ansluta till datorn. Om kontrollerna lyckas omfattas resten av anslutningsåtgärden av Active Directory-behörigheter som tidigare.

Den här ändringen påverkar inte nya konton.

Obs! När du har installerat de kumulativa uppdateringarna från 11 oktober 2022 eller senare windows kan domänanslutning med återanvändning av datorkonto avsiktligt misslyckas med följande fel:

Fel 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Ett konto med samma namn finns i Active Directory. Återanvändning av kontot har blockerats av säkerhetsprincipen."

I så fall skyddas kontot avsiktligt av det nya beteendet.

Händelse-ID 4101 utlöses när felet ovan inträffar och problemet loggas i c:\windows\debug\netsetup.log. Följ stegen nedan i Vidta åtgärder för att förstå felet och lösa problemet.

Beteende 14 mars 2023

I Windows-uppdateringarna som släpptes 14 mars 2023 eller senare har vi gjort några ändringar i säkerhetshärdningen. Dessa ändringar inkluderar alla ändringar vi gjorde i oktober 11, 2022.

Först utökade vi omfattningen av grupper som är undantagna från denna härdning. Utöver domänadministratörer är företagsadministratörer och inbyggda administratörsgrupper nu undantagna från ägarskapskontrollen.

För det andra har vi implementerat en ny grupprincip inställning. Administratörer kan använda den för att ange en lista över betrodda datorkontoägare. Datorkontot kringgår säkerhetskontrollen om något av följande stämmer:

• Kontot ägs av en användare som anges som betrodd ägare i grupprincip "Domänkontrollant: Tillåt återanvändning av datorkonto under domänanslutning".

• Kontot ägs av en användare som är medlem i en grupp som anges som betrodd ägare i grupprincip "Domänkontrollant: Tillåt återanvändning av datorkonto under domänanslutning".

Om du vill använda den nya grupprincip måste domänkontrollanten och medlemsdatorn konsekvent ha uppdateringen från 14 mars 2023 eller senare installerad. Vissa av er kanske har särskilda konton som du använder när du skapar ett datorkonto automatiskt. Om dessa konton är säkra från missbruk och du litar på att de skapar datorkonton kan du undanta dem. Du kommer fortfarande att vara säker mot den ursprungliga säkerhetsrisken som minimerats i Windows-uppdateringarna från 11 oktober 2022.

^{[10 augusti 2023 – Start]}

Vi planerar också att ta bort den ursprungliga NetJoinLegacyAccountReuse-registerinställningen i en framtida Windows-uppdatering. Borttagningen schemaläggs preliminärt för uppdateringen från 13 februari 2024. Utgivningsdatum kan komma att ändras. ^{[Slut – 10 augusti 2023]}

Observera Om du har distribuerat nyckeln NetJoinLegacyAccountReuse på klienterna och ställt in den på värdet 1, måste du nu ta bort nyckeln (eller ange värdet 0) för att dra nytta av de senaste ändringarna. 

Vidta åtgärder

Konfigurera den nya principen för tillåtna listor med hjälp av grupprincip på en domänkontrollant. Ta bort äldre lösningar på klientsidan så snart som möjligt före september 2023. Gör sedan följande:

1. Du måste installera uppdateringarna från 14 mars 2023 på alla medlemsdatorer och domänkontrollanter. 

2. I en ny eller befintlig grupprincip som gäller för alla domänkontrollanter konfigurerar du inställningarna i stegen nedan.

3. Under Datorkonfiguration\Principer\Windows-inställningar\Säkerhetsinställningar\Lokala principer\Säkerhetsalternativ dubbelklickar du på Domänkontrollant: Tillåt återanvändning av datorkonto under domänanslutning.

4. Välj Definiera den här principinställningen och <Redigera säkerhet...>.

5. Använd objektväljaren för att lägga till användare eller grupper av betrodda datorkontoskapare och ägare i behörigheten Tillåt . (Vi rekommenderar starkt att du använder grupper för behörigheter.) Lägg inte till användarkontot som utför domänanslutningen.

   Varning!: Begränsa medlemskapet till principen till betrodda användare och tjänstkonton. Lägg inte till autentiserade användare, alla eller andra stora grupper i den här principen. Lägg i stället till specifika betrodda användare och tjänstkonton i grupper och lägg till dessa grupper i principen.

6. Vänta på grupprincip uppdateringsintervall eller kör gpupdate /force på alla domänkontrollanter.

7. Kontrollera att registernyckeln HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" är ifylld med önskad SDDL. Redigera inte registret manuellt.

8. Försök ansluta till en dator där uppdateringen från 14 mars 2023 eller senare har installerats. Kontrollera att ett av kontona som anges i principen äger datorkontot. Se också till att dess register inte har NetJoinLegacyAccountReuse-nyckeln aktiverad (inställd på 1). Om domänanslutningen misslyckas kontrollerar du c:\windows\debug\netsetup.log.

Om du fortfarande behöver en alternativ lösning kan du granska arbetsflöden för tillhandahållande av datorkonton och förstå om ändringar krävs. 

1. Utför anslutningsåtgärden med samma konto som skapade datorkontot i måldomänen.

2. Om det befintliga kontot är inaktuellt (oanvänt) tar du bort det innan du försöker ansluta till domänen igen.

3. Byt namn på datorn och anslut med ett annat konto som inte redan finns.

4. Om det befintliga kontot ägs av ett betrott säkerhetshuvudnamn och en administratör vill återanvända kontot följer du anvisningarna i avsnittet Vidta åtgärder för att installera Windows-uppdateringen för mars 2023 och konfigurera en lista över tillåtna.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac