KB5008382— การตรวจสอบที่ไม่ซ้ํากันสําหรับชื่อหลักของผู้ใช้ ชื่อหลักการบริการ และนามแฝงของชื่อหลักบริการ (CVE-2021-42282)

ชื่อหลักของผู้ใช้และชื่อหลักการบริการไม่ซ้ํากัน

คุณลักษณะนี้รับประกันว่า SPN จะไม่ซ้ํากันในฟอเรสต์ ซึ่งป้องกันไม่ให้คอมพิวเตอร์และตัวควบคุมโดเมนเพิ่ม SPN ที่ซ้ํากัน ฟังก์ชันการทํางานนี้มีอยู่แล้วใน Windows 8.1 ขึ้นไป และได้อธิบายไว้ใน SPN และ UPN uniqueness

เอกลักษณ์ของนามแฝง SPN

แอตทริบิวต์ AD ที่มีอยู่จะกําหนดนามแฝงสําหรับคลาสบริการทั่วไปจํานวนมากให้กับ HOST SPN ที่เทียบเท่าสําหรับบริการต่างๆ เช่น CIFS, HTTP และ RPC แอตทริบิวต์ AD ถูกกําหนดเป็นรายการในบริบทการตั้งชื่อการกําหนดค่าของฟอเรสต์ Active Directory ผู้ใช้ที่ไม่มีสิทธิ์ของผู้ดูแลระบบอาจไม่กําหนด SPN ที่ถูกกําหนดโดยนัยให้กับบัญชีอื่นโดยใช้นามแฝงนี้

หมายเหตุ การตรวจสอบนี้ดําเนินการนอกเหนือจากการตรวจสอบความเป็นเอกลักษณ์ของ UPN และ SPN

การตรวจสอบที่ไม่ซ้ํากันของนามแฝง SPN จะเปิดอยู่ตามค่าเริ่มต้น คุณสามารถปิดการตรวจสอบเหล่านี้ได้โดยการปรับเปลี่ยนอักขระ 21^st ของแอตทริบิวต์ dSHeuristics ซึ่งแปลเป็นชุดอักขระ แอตทริบิวต์ dSHeuristics ไม่มีอยู่ตามค่าเริ่มต้น แต่คุณสามารถเพิ่มภายใต้ชื่อที่แตกต่าง "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=support,DC=local" การตั้งค่าที่เป็นไปได้และค่าบิตที่สอดคล้องกันมีดังนี้:

• ค่า 0 – หมายถึง บังคับใช้ทั้งหมด (ไม่มีการตั้งค่าบิต 000) ค่าเริ่มต้น

• ค่า 1 – หมายถึง ปิดใช้งานการตรวจสอบ UPN Uniqueness (บิต 0 ชุด - 001)

• ค่า 2 – หมายถึง ปิดใช้งานการตรวจสอบที่ไม่ซ้ํากัน SPN (บิต 1 ชุด - 010)

• ค่า 3 – หมายถึง ปิดใช้งานการตรวจสอบ UPN Uniqueness และ SPN Uniqueness (บิต 0 และ 1 ชุด - 011)

• ค่า 4 – หมายถึง ปิดใช้งานการตรวจสอบนามแฝงที่ไม่ซ้ํากันของ SPN (ชุดบิต 2 - 100)

• ค่า 5 – หมายถึง ปิดใช้งานนามแฝง SPN และการตรวจสอบที่ไม่ซ้ํากันของ UPN (บิต 2 และชุด 0 บิต - 101)

• ค่า 6 - หมายถึง ปิดใช้งานนามแฝง SPN และค่าที่ไม่ซ้ํากันของ SPN (บิต 2 และชุด 1 บิต - 110)

• ค่า 7 – หมายความว่า ปิดใช้งานทั้งหมด (บิตทั้งหมดตั้งค่าเป็น 111)

ตัว อย่าง เช่น: ถ้าคุณไม่ได้เปิดใช้งานการตั้งค่า dSHeuristics อื่นๆ ในฟอเรสต์ของคุณ และคุณต้องการปิดใช้งานการตรวจสอบที่ไม่ซ้ํากันของนามแฝง SPN เท่านั้น แอตทริบิวต์ dSHeuristics ควรตั้งค่าเป็น: "000000000100000000024"

อักขระที่ตั้งค่าในกรณีนี้คือ:
10^char : ต้องตั้งค่าเป็น 1 ถ้าแอตทริบิวต์ dSHeuristics มีอักขระอย่างน้อย 10 ตัว
20^char : ต้องตั้งค่าเป็น 2 ถ้าแอตทริบิวต์ dSHeuristics มีอักขระอย่างน้อย 20 ตัว
21^st char: ต้องตั้งค่าเป็นค่าในรายการด้านบน ค่า 4 หมายถึง ปิดใช้งานนามแฝง SPN ที่ไม่ซ้ํากัน

หมายเหตุ ถ้าแอตทริบิวต์ dSHeuristics ถูกตั้งค่าไว้แล้ว ตรวจสอบให้แน่ใจว่าได้ผสานการตั้งค่าที่มีอยู่เข้ากับสตริงแอตทริบิวต์ dSHeuristics ใหม่ของคุณ และยืนยันว่าอักขระที่ 10, 20 และ 21st ถูกตั้งค่าตามด้านบน อักขระอื่นๆ ที่ถูกตั้งค่าไว้แล้วจะยังคงไม่เปลี่ยนแปลง

สําหรับข้อมูลเพิ่มเติมเกี่ยวกับการกําหนดค่าอักขระ dSHeuristics โปรดดูเอกสารต่อไปนี้:

• ข้อมูลจําเพาะของแอตทริบิวต์ dSHeuristics

• สรุปแอตทริบิวต์ dSHeuristics และรายละเอียด Version-Specific ระบบปฏิบัติการ

ข้อมูลเพิ่มเติม

ชื่อหลักเกณฑ์การบริการคืออะไร

ชื่อหลักการบริการ (SPN) คือตัวระบุเฉพาะสําหรับอินสแตนซ์ของบริการ การรับรองความถูกต้อง Kerberos ใช้ SPN เพื่อเชื่อมโยงอินสแตนซ์บริการกับบัญชีการลงชื่อเข้าใช้บริการ ซึ่งช่วยให้แอปพลิเคชันไคลเอ็นต์สามารถร้องขอให้บริการรับรองความถูกต้องของบัญชีได้ แม้ว่าไคลเอ็นต์จะไม่มีชื่อบัญชีก็ตาม โปรดดู ชื่อหลักเกณฑ์การบริการ สําหรับรายละเอียดเพิ่มเติม

ชื่อหลักของผู้ใช้คืออะไร

ชื่อหลักของผู้ใช้ (UPN) คือชื่อในการลงชื่อเข้าใช้แบบอีเมลสําหรับผู้ใช้ตามมาตรฐานอินเทอร์เน็ต RFC 822 สําหรับรายละเอียดเพิ่มเติม โปรดดูแอตทริบิวต์ User-Principal-Name