KB5020276—Netjoin: การเปลี่ยนแปลงการขยายการเข้าร่วมโดเมน

บทสรุป

การอัปเดต Windows ที่เผยแพร่ในวันที่ 11 ตุลาคม 2022 และหลังจากนั้นจะมีการป้องกันเพิ่มเติมที่นําเสนอโดย CVE-2022-38042 การป้องกันเหล่านี้ป้องกันการดําเนินการเข้าร่วมโดเมนจากการใช้บัญชีคอมพิวเตอร์ที่มีอยู่ในโดเมนเป้าหมายอีกครั้งเว้นแต่ว่า:

• ผู้ใช้ที่พยายามดําเนินการเป็นผู้สร้างบัญชีที่มีอยู่

  หรือ

• คอมพิวเตอร์ถูกสร้างขึ้นโดยสมาชิกของผู้ดูแลโดเมน

  หรือ

• เจ้าของบัญชีคอมพิวเตอร์ที่นํามาใช้ใหม่เป็นสมาชิกของ "ตัวควบคุมโดเมน: อนุญาตให้ใช้บัญชีคอมพิวเตอร์อีกครั้งระหว่างการเข้าร่วมโดเมน" การตั้งค่านโยบายกลุ่ม การตั้งค่านี้จําเป็นต้องติดตั้งการอัปเดต Windows ที่เผยแพร่ในวันที่ 14 มีนาคม 2023 หรือหลังจากนั้น บนคอมพิวเตอร์ที่เป็นสมาชิกทั้งหมดและตัวควบคุมโดเมน

Updates วางจําหน่ายในวันที่ 14 มีนาคม 2023 และวันที่ 12 กันยายน 2023 และหลังจากนั้น จะมอบตัวเลือกเพิ่มเติมสําหรับลูกค้าที่ได้รับผลกระทบบน Windows Server 2012 R2 และสูงกว่าและไคลเอ็นต์ที่สนับสนุนทั้งหมด สําหรับข้อมูลเพิ่มเติม โปรดดูที่ส่วนลักษณะการทํางานและการดําเนินการของวันที่ 11 ตุลาคม 2022 

ลักษณะการทํางานก่อนวันที่ 11 ตุลาคม 2022

ก่อนที่คุณจะติดตั้งการอัปเดตแบบสะสมของวันที่ 11 ตุลาคม 2022 หรือใหม่กว่า คอมพิวเตอร์ไคลเอ็นต์จะคิวรี Active Directory สําหรับบัญชีที่มีอยู่ที่มีชื่อเดียวกัน คิวรีนี้เกิดขึ้นในระหว่างการเข้าร่วมโดเมนและการเตรียมใช้งานบัญชีคอมพิวเตอร์ หากมีบัญชีดังกล่าวอยู่ ลูกค้าจะพยายามนําบัญชีนั้นกลับมาใช้ใหม่โดยอัตโนมัติ

หมาย เหตุ ความพยายามนํากลับมาใช้ใหม่จะล้มเหลวถ้าผู้ใช้ที่พยายามดําเนินการเข้าร่วมโดเมนไม่มีสิทธิ์การเขียนที่เหมาะสม อย่างไรก็ตาม ถ้าผู้ใช้มีสิทธิ์เพียงพอการเข้าร่วมโดเมนจะสําเร็จ

มีสถานการณ์สมมติสองสถานการณ์สําหรับการเข้าร่วมโดเมนที่มีลักษณะการทํางานเริ่มต้นและค่าสถานะที่เกี่ยวข้องดังนี้:

• การเข้าร่วมโดเมน (NetJoinDomain)

  • ค่าเริ่มต้นสําหรับการนําบัญชีมาใช้ใหม่ (ยกเว้นมีการระบุค่าสถานะ NETSETUP_NO_ACCT_REUSE )

• การเตรียมใช้งานบัญชี (NetProvisionComputerAccountNetCreateProvisioningPackage)

  • ค่าเริ่มต้นเป็น ไม่มี การนํากลับมาใช้ใหม่ (ยกเว้นมีการระบุ NETSETUP_PROVISION_REUSE_ACCOUNT )

ลักษณะการทํางานของวันที่ 11 ตุลาคม 2022 

เมื่อคุณติดตั้งการอัปเดตแบบสะสมของ Windows บนคอมพิวเตอร์ไคลเอ็นต์ในวันที่ 11 ตุลาคม 2022 หรือใหม่กว่า ระหว่างการเข้าร่วมโดเมน ไคลเอ็นต์จะดําเนินการตรวจสอบความปลอดภัยเพิ่มเติมก่อนที่จะพยายามนําบัญชีคอมพิวเตอร์ที่มีอยู่มาใช้ใหม่ อัล กอ ริ ทึม:

1. ความพยายามนําบัญชีกลับมาใช้ใหม่จะได้รับอนุญาตหากผู้ใช้ที่พยายามดําเนินการเป็นผู้สร้างบัญชีที่มีอยู่

2. ความพยายามนําบัญชีกลับมาใช้ใหม่จะได้รับอนุญาตหากบัญชีถูกสร้างขึ้นโดยสมาชิกของผู้ดูแลระบบโดเมน

การตรวจสอบความปลอดภัยเพิ่มเติมเหล่านี้จะเสร็จสิ้นก่อนพยายามเข้าร่วมคอมพิวเตอร์ ถ้าการตรวจสอบเสร็จสมบูรณ์ การดําเนินการเข้าร่วมที่เหลือจะอยู่ภายใต้สิทธิ์ Active Directory เหมือนก่อนหน้านี้

การเปลี่ยนแปลงนี้ไม่มีผลต่อบัญชีใหม่

หมายเหตุ หลังจากติดตั้งการอัปเดตแบบสะสมของ Windows ในวันที่ 11 ตุลาคม 2022 หรือใหม่กว่า โดเมนที่เข้าร่วมกับบัญชีคอมพิวเตอร์อาจนํามาใช้ใหม่โดยเจตนาอาจล้มเหลวโดยมีข้อผิดพลาดต่อไปนี้:

0xaac ข้อผิดพลาด (2732): NERR_AccountReuseBlockedByPolicy: "บัญชีที่มีชื่อเดียวกันมีอยู่ใน Active Directory การใช้บัญชีอีกครั้งถูกบล็อกโดยนโยบายความปลอดภัย"

หากเป็นเช่นนั้น บัญชีจะได้รับการป้องกันโดยตั้งใจโดยลักษณะการทํางานแบบใหม่

รหัสเหตุการณ์ 4101 จะถูกทริกเกอร์เมื่อเกิดข้อผิดพลาดข้างต้นและจะเข้าสู่ระบบใน c:\windows\debug\netsetup.log โปรดทําตามขั้นตอนด้านล่างใน ดําเนินการ เพื่อทําความเข้าใจความล้มเหลวและแก้ไขปัญหา

ลักษณะการทํางานวันที่ 14 มีนาคม 2566

ในการอัปเดต Windows ที่เผยแพร่ในวันที่ 14 มีนาคม 2023 หรือหลังจากนั้น เราทําการเปลี่ยนแปลงบางอย่างกับการเพิ่มความปลอดภัย การเปลี่ยนแปลงเหล่านี้รวมถึงการเปลี่ยนแปลงทั้งหมดที่เราทําในวันที่ 11 ตุลาคม 2022

ก่อนอื่นเราได้ขยายขอบเขตของกลุ่มที่ได้รับการยกเว้นจากการชุบแข็งนี้ นอกจากผู้ดูแลระบบโดเมนแล้ว ผู้ดูแลระบบขององค์กรและกลุ่มผู้ดูแลระบบที่มีอยู่แล้วภายในจะได้รับการยกเว้นจากการตรวจสอบความเป็นเจ้าของ

ประการที่สองเราได้นําการตั้งค่านโยบายกลุ่มใหม่มาใช้ ผู้ดูแลระบบสามารถใช้เพื่อระบุรายการที่อนุญาตของเจ้าของบัญชีคอมพิวเตอร์ที่เชื่อถือได้ บัญชีคอมพิวเตอร์จะข้ามการตรวจสอบความปลอดภัยถ้าอย่างใดอย่างหนึ่งต่อไปนี้เป็นจริง:

• บัญชีเป็นของผู้ใช้ที่ระบุเป็นเจ้าของที่เชื่อถือได้ในนโยบายกลุ่ม "ตัวควบคุมโดเมน: อนุญาตให้ใช้บัญชีคอมพิวเตอร์อีกครั้งระหว่างการเข้าร่วมโดเมน"

• บัญชีผู้ใช้เป็นของผู้ใช้ที่เป็นสมาชิกของกลุ่มที่ระบุเป็นเจ้าของที่เชื่อถือได้ในนโยบายกลุ่ม "ตัวควบคุมโดเมน: อนุญาตให้ใช้บัญชีคอมพิวเตอร์อีกครั้งระหว่างการเข้าร่วมโดเมน"

เมื่อต้องการใช้นโยบายกลุ่มใหม่นี้ ตัวควบคุมโดเมนและคอมพิวเตอร์สมาชิกต้องมีการติดตั้งการอัปเดตวันที่ 14 มีนาคม 2023 หรือใหม่กว่าอย่างสม่ําเสมอ บางคนอาจมีบัญชีที่คุณใช้ในการสร้างบัญชีคอมพิวเตอร์อัตโนมัติ หากบัญชีเหล่านั้นมีความปลอดภัยจากการใช้งานในทางที่ผิด และคุณไว้วางใจให้พวกเขาสร้างบัญชีคอมพิวเตอร์ คุณสามารถยกเว้นได้ คุณจะยังคงปลอดภัยจากช่องโหว่เดิมที่บรรเทาจากการอัปเดต Windows ในวันที่ 11 ตุลาคม 2022

^{ลักษณะการทํางานของวันที่ 12 กันยายน 2023}

ในการอัปเดต Windows ที่เผยแพร่ในวันที่ 12 กันยายน 2023 หรือหลังจากนั้น เราทําการเปลี่ยนแปลงเพิ่มเติมเล็กน้อยในการเพิ่มความปลอดภัย การเปลี่ยนแปลงเหล่านี้รวมถึงการเปลี่ยนแปลงทั้งหมดที่เราทําในวันที่ 11 ตุลาคม 2022 และการเปลี่ยนแปลงตั้งแต่วันที่ 14 มีนาคม 2023

เราได้แก้ไขปัญหาที่การเข้าร่วมโดเมนโดยใช้การรับรองความถูกต้องสมาร์ทการ์ดล้มเหลวโดยไม่คํานึงถึงการตั้งค่านโยบาย เมื่อต้องการแก้ไขปัญหานี้ เราได้ย้ายการตรวจสอบความปลอดภัยที่เหลือกลับไปยังตัวควบคุมโดเมน ดังนั้น หลังจากการอัปเดตความปลอดภัยเดือนกันยายน 2023 เครื่องไคลเอ็นต์จะเรียก SAMRPC ที่ได้รับการรับรองความถูกต้องไปยังตัวควบคุมโดเมนเพื่อทําการตรวจสอบความปลอดภัยที่เกี่ยวข้องกับการใช้บัญชีคอมพิวเตอร์อีกครั้ง

อย่างไรก็ตาม อาจทําให้การเข้าร่วมโดเมนล้มเหลวในสภาพแวดล้อมที่มีการตั้งค่านโยบายต่อไปนี้: การเข้าถึงเครือข่าย: จํากัดไคลเอ็นต์ที่อนุญาตให้โทรระยะไกลไปยัง SAM  โปรดดูที่ส่วน "ปัญหาที่ทราบ" สําหรับข้อมูลเกี่ยวกับวิธีการแก้ไขปัญหานี้

เรายังวางแผนที่จะลบการตั้งค่ารีจิสทรี NetJoinLegacyAccountReuse เดิมออกในการอัปเดต Windows ในอนาคต [มกราคม 2024 - เริ่ม]การเอาออกนี้ได้รับการจัดกําหนดการอย่างไม่แน่นอนสําหรับการอัปเดตในวันที่ 13 สิงหาคม 2024 วันที่วางจําหน่ายอาจเปลี่ยนแปลงได้ [สิ้นสุด - มกราคม 2024]

หมาย เหตุ ถ้าคุณปรับใช้คีย์ NetJoinLegacyAccountReuse บนไคลเอ็นต์ของคุณและตั้งค่าเป็นค่า 1 คุณต้องลบคีย์นั้น (หรือตั้งค่าเป็น 0) เพื่อรับประโยชน์จากการเปลี่ยนแปลงล่าสุด 

ดำเนิน

กําหนดค่านโยบายรายการอนุญาตใหม่โดยใช้นโยบายกลุ่มบนตัวควบคุมโดเมน และเอาวิธีแก้ไขปัญหาชั่วคราวฝั่งไคลเอ็นต์แบบดั้งเดิมออก จากนั้นให้ทําดังต่อไปนี้:

1. คุณต้องติดตั้งการอัปเดตวันที่ 12 กันยายน 2023 หรือใหม่กว่าในคอมพิวเตอร์ที่เป็นสมาชิกและตัวควบคุมโดเมนทั้งหมด 

2. ในนโยบายกลุ่มใหม่หรือที่มีอยู่ที่นําไปใช้กับตัวควบคุมโดเมนทั้งหมด ให้กําหนดค่าการตั้งค่าในขั้นตอนด้านล่าง

3. ภายใต้ การกําหนดค่าคอมพิวเตอร์\นโยบาย\การตั้งค่า Windows\การตั้งค่าความปลอดภัย\นโยบายภายใน\ตัวเลือกความปลอดภัย ให้ดับเบิลคลิกที่ ตัวควบคุมโดเมน: อนุญาตให้ใช้บัญชีคอมพิวเตอร์อีกครั้งระหว่างการเข้าร่วมโดเมน

4. เลือก กําหนดการตั้งค่านโยบายนี้ และ <แก้ไขความปลอดภัย...>

5. ใช้ตัวเลือกวัตถุเพื่อเพิ่มผู้ใช้หรือกลุ่มของผู้สร้างบัญชีคอมพิวเตอร์ที่เชื่อถือได้และ เจ้าของไปยังอนุญาต สิทธิ์ (สําหรับแนวทางปฏิบัติที่ดีที่สุด เราขอแนะนําให้คุณใช้กลุ่มสําหรับสิทธิ์) อย่าเพิ่มบัญชีผู้ใช้ที่ทําการรวมโดเมน

   คำเตือน: จํากัดการเป็นสมาชิกของนโยบายไว้ที่ผู้ใช้และบัญชีบริการที่เชื่อถือได้ อย่าเพิ่มผู้ใช้ที่ได้รับการรับรองความถูกต้อง ทุกคน หรือกลุ่มขนาดใหญ่อื่นๆ ลงในนโยบายนี้ แต่ให้เพิ่มผู้ใช้ที่เชื่อถือได้และบัญชีบริการเฉพาะลงในกลุ่มและเพิ่มกลุ่มเหล่านั้นลงในนโยบายแทน

6. รอนโยบายกลุ่มช่วงเวลารีเฟรชหรือเรียกใช้ gpupdate /force บนตัวควบคุมโดเมนทั้งหมด

7. ตรวจสอบว่ามีการเติมรีจิสทรีคีย์ HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" ด้วย SDDL ที่ต้องการ ห้ามแก้ไขรีจิสทรีด้วยตนเอง

8. พยายามเข้าร่วมคอมพิวเตอร์ที่มีการติดตั้งการอัปเดตวันที่ 12 กันยายน 2023 หรือใหม่กว่า ตรวจสอบให้แน่ใจว่าบัญชีใดบัญชีหนึ่งที่แสดงอยู่ในนโยบายเป็นเจ้าของบัญชีคอมพิวเตอร์ และตรวจสอบให้แน่ใจว่ารีจิสทรีไม่ได้เปิดใช้งานคีย์ NetJoinLegacyAccountReuse (ตั้งค่าเป็น 1) ถ้าการเข้าร่วมโดเมนล้มเหลว ให้ตรวจสอบ c:\windows\debug\netsetup.log

ถ้าคุณยังต้องการวิธีแก้ไขปัญหาชั่วคราวอื่น ให้ตรวจทานเวิร์กโฟลว์การเตรียมใช้งานบัญชีคอมพิวเตอร์ และทําความเข้าใจว่ามีการเปลี่ยนแปลงหรือไม่ 

1. ดําเนินการเข้าร่วมโดยใช้บัญชีเดียวกับที่สร้างบัญชีคอมพิวเตอร์ในโดเมนเป้าหมาย

2. ถ้าบัญชีที่มีอยู่เก่า (ไม่ได้ใช้งาน) ให้ลบออกก่อนที่จะพยายามเข้าร่วมโดเมนอีกครั้ง

3. เปลี่ยนชื่อคอมพิวเตอร์และเข้าร่วมโดยใช้บัญชีผู้ใช้อื่นที่ยังไม่มีอยู่

4. หากบัญชีที่มีอยู่เป็นของหลักด้านความปลอดภัยที่เชื่อถือได้และผู้ดูแลระบบต้องการนําบัญชีกลับมาใช้ใหม่ ให้ทําตามคําแนะนําในส่วน ดําเนินการ เพื่อติดตั้งการอัปเดต Windows ในเดือนกันยายน 2023 หรือใหม่กว่า และกําหนดค่ารายการที่อนุญาต

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

ปัญหาที่ทราบแล้ว

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac