KB5014754: Windows etki alanı denetleyicilerinde sertifika tabanlı kimlik doğrulama değişiklikleri

Sağlam sertifika eşlemeleri bulunamadı ve sertifika, KDC'nin doğrulayabileceği yeni güvenlik tanımlayıcısı (SID) uzantısına sahip değildi.

Sertifika, kullanıcı Active Directory'de var olmadan önce verilmiş ve güçlü eşleme bulunamamıştır. Bu olay yalnızca KDC Uyumluluk modundayken günlüğe kaydedilir.

Kullanıcı sertifikasının yeni uzantısında yer alan SID, kullanıcı SID'si ile eşleşmez, bu da sertifikanın başka bir kullanıcıya verildiği anlamına gelir.

Notlar Veren, Konu ve Seri Numarası gibi belirli alanlar "iletme" biçiminde raporlanır. Eşleme dizesini altSecurityIdentities özniteliğine eklerken bu biçimi tersine çevirmeniz gerekir. Örneğin, X509IssuerSerialNumber eşlemesini bir kullanıcıya eklemek için, kullanıcıyla eşleştirmek istediğiniz sertifikanın "Veren" ve "Seri Numarası" alanlarını arayın. Aşağıdaki örnek çıktıya bakın.

• Veren: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Seri Numarası: 2B0000000011AC0000000012

Ardından, kullanıcının Active Directory'deki altSecurityIdentities özniteliğini aşağıdaki dizeyle güncelleştirin:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Bu özniteliği PowerShell kullanarak güncelleştirmek için aşağıdaki komutu kullanabilirsiniz. Varsayılan olarak yalnızca etki alanı yöneticilerinin bu özelliği güncelleştirme iznine sahip olduğunu unutmayın.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

SerialNumber'ı ters çevirdiğinizde, bayt sırasını korumanız gerektiğini unutmayın. Bu, "A1B2C3" SeriNumarasının ters çevrilmesinin "3C2B1A" değil "C3B2A1" dizesiyle sonuçlanması gerektiği anlamına gelir. Daha fazla bilgi için bkz. Nasıl yapılır: AltSecurityIdentities özniteliğinde kullanılabilen tüm yöntemler yoluyla kullanıcıyı bir sertifikayla eşleme.

10 Mayıs 2022 Windows güncelleştirmelerini yükledikten sonra cihazlar Uyumluluk modunda olacaktır. Sertifika bir kullanıcıyla güçlü bir şekilde eşlenebiliyorsa, kimlik doğrulaması beklendiği gibi gerçekleşir. Sertifika bir kullanıcıyla yalnızca zayıf bir şekilde eşlenebiliyorsa, kimlik doğrulaması beklendiği gibi gerçekleşir. Ancak, sertifika kullanıcıdan daha eski değilse bir uyarı iletisi günlüğe kaydedilir. Sertifika kullanıcıdan daha eskiyse ve Sertifika Geriye Dönük kayıt defteri anahtarı yoksa veya aralık geriye dönük tarih telafisi dışındaysa, kimlik doğrulaması başarısız olur ve bir hata iletisi günlüğe kaydedilir.  Sertifika Geriye Dönük Kayıt Defteri anahtarı yapılandırılmışsa, tarihler geriye dönük tarih telafisi kapsamına giriyorsa, olay günlüğüne bir uyarı iletisi kaydeder.

10 Mayıs 2022 Windows güncelleştirmelerini yükledikten sonra, bir ay veya daha uzun bir süre sonra görünebilecek uyarı iletilerini izleyin. Uyarı iletisi yoksa, sertifika tabanlı kimlik doğrulaması kullanan tüm etki alanı denetleyicilerinde Tam Zorlama modunu etkinleştirmenizi kesinlikle öneririz. Tam Zorlama modunu etkinleştirmek için KDC kayıt defteri anahtarını kullanabilirsiniz.

Daha önce StrongCertificateBindingEnforcement kayıt defteri anahtarı kullanılarak Denetim veya Zorlama moduna güncelleştirilmediği sürece, etki alanı denetleyicileri Şubat 2025 Windows güvenlik güncelleştirmesi yüklendiğinde Tam Zorlama moduna geçer. Sertifika güçlü bir şekilde eşlenemezse, kimlik doğrulaması reddedilir. Uyumluluk moduna geri dönme seçeneği, 9 Eylül 2025 Windows güvenlik güncelleştirmesi yüklenene kadar kalacaktır. Bu tarihten sonra StrongCertificateBindingEnforcement kayıt defteri anahtarı artık desteklenmeyecektir

Sertifika tabanlı kimlik doğrulaması, ortamdan taşıyamayacağınız zayıf bir eşlemeye bağlıysa, bir kayıt defteri anahtarı ayarı kullanarak etki alanı denetleyicilerini Devre Dışı moduna geçirebilirsiniz. Microsoft bunu önermez ve 11 Nisan 2023'te Devre Dışı modunu kaldıracağız.

Server 2019 ve üzeri sürümlere 13 Şubat 2024 veya sonraki Windows güncelleştirmelerini yükledikten ve isteğe bağlı RSAT özelliği yüklü istemcileri destekledikten sonra, Active Directory Kullanıcıları & Bilgisayarlar'daki sertifika eşlemesi varsayılan olarak X509IssuerSubject kullanarak zayıf eşleme yerine X509IssuerSerialNumber kullanılarak güçlü eşleme seçilir. Ayar yine de istenildiği gibi değiştirilebilir.

Belirtiler

Microsoft, "Bilgisayar Yapılandırması> YönetimŞablonları>Sistemi>grup ilkesi>Kayıt defteri ilkesi işlemeyi yapılandır" grup ilkesi nesnesinin altındaki "grup ilkesi nesneler değişmemiş olsa bile işlem" ayarının kullanıldığını belirten raporlar aldı", etki alanı denetleyicilerindeki ad tabanlı eşlemeleri zaman zaman etkileyebilir.

Geçici çözüm

Bu sorunu geçici olarak çözmek için, etki alanı denetleyicilerinde "grup ilkesi nesneler değişmemiş olsa bile işlem" ayarını devre dışı bırakın. Bunu yalnızca, "Bilgisayar Yapılandırması>Yönetim Şablonları>Sistemi>KDC>:Sertifikalar için ad tabanlı güçlü eşlemelere izin ver" grup ilkesi içinde tanımlandığı gibi ad tabanlı eşlemeler gerekiyorsa yapın. Daha fazla bilgi için bkz: Kamu senaryolarında güçlü ad tabanlı eşlemeyi etkinleştirme.

Sonraki adım

Bu raporları araştırıyoruz ve daha fazla bilgi mevcut olduğunda sizi bilgilendireceğiz.

• Hangi etki alanı denetleyicisinin oturum açamadığını belirlemek için ilgili bilgisayarda Kerberos İşlem günlüğünü kullanın. TEvent ViewerOlay GörüntüleyicisiApplications>and Services Logs\Microsoft \Windows\Security-Kerberos\Operational bölümüne gidin.
• Etki alanı denetleyicisindeki Sistem Olay Günlüğü'nde hesabın kimlik doğrulaması yapmaya çalıştığı ilgili olayları arayın.
• Sertifika hesaptan daha eskiyse, sertifikayı yeniden yayınlayın veya hesaba güvenli bir altSecurityIdentities eşlemesi ekleyin (bkz.
• Sertifika bir SID uzantısı içeriyorsa, SID'nin hesapla eşleştiğini doğrulayın.
• Sertifika birkaç farklı hesabın kimliğini doğrulamak için kullanılıyorsa, her hesabın ayrı bir altSecurityIdentities eşlemesine ihtiyacı olur.
• Sertifikanın hesapla güvenli bir eşlemesi yoksa, bir hesap ekleyin veya eklenene kadar etki alanını Uyumluluk modunda bırakın.

IIS intranet web uygulamasının kullanılması, TLS sertifika eşlemesine örnek olarak gösterilebilir.

• CVE-2022-26391 ve CVE-2022-26923 korumalarını yükledikten sonra, bu senaryolar varsayılan olarak sertifika eşleme ve kimlik doğrulaması için Kerberos Kullanıcı Sertifika Hizmeti (S4U) protokolünü kullanır.
• Kerberos Certificate S4U protokolünde, kimlik doğrulama isteği istemciden etki alanı denetleyicisine değil, uygulama sunucusundan etki alanı denetleyicisine akar. Bu nedenle, ilgili olaylar uygulama sunucusunda olacaktır.

Bu kayıt defteri anahtarı, Eylül 2025 veya sonrasında yayımlanan Windows güncelleştirmeleri yüklendikten sonra desteklenmeyecektir.

Bir sunucu uygulaması istemci kimlik doğrulaması gerektirdiğinde Schannel, TLS istemcisinin sağladığı sertifikayı otomatik olarak bir kullanıcı hesabına eşlemeye çalışır. Sertifika bilgilerini bir Windows kullanıcı hesabıyla ilişkilendiren eşlemeler oluşturarak, istemci sertifikasıyla oturum açan kullanıcıların kimliklerini doğrulayabilirsiniz. Sertifika eşlemesini oluşturup etkinleştirdikten sonra, istemci her istemci sertifikası sunduğunda, sunucu uygulamanız o kullanıcıyı otomatik olarak uygun Windows kullanıcı hesabıyla ilişkilendirir.

Schannel, biri başarılı olana kadar etkinleştirdiğiniz her sertifika eşleme yöntemini eşlemeye çalışır. Schannel, önce Service-For-User-To-Self (S4U2Self) eşlemelerini eşlemeye çalışır. Konu/Veren, Veren ve UPN sertifika eşlemeleri artık zayıf olarak kabul edilir ve varsayılan olarak devre dışı bırakılmıştır. Belirtilen seçeneklerin bit maskeli toplamı, kullanılabilir sertifika eşleme yöntemlerinin listesini belirler.

SChannel kayıt defteri anahtarı varsayılanı 0x1F idi ve şimdi 0x18. Schannel tabanlı sunucu uygulamalarında kimlik doğrulama hatalarıyla karşılaşırsanız, bir test gerçekleştirmenizi öneririz. Etki alanı denetleyicisinde CertificateMappingMethods kayıt defteri anahtarı değerini ekleyin veya değiştirin ve 0x1F olarak ayarlayın ve bunun sorunu giderip gidermediğine bakın. Daha fazla bilgi için, bu makalede listelenen hatalar için etki alanı denetleyicisindeki Sistem olay günlüklerine bakın. SChannel kayıt defteri anahtarı değerini önceki varsayılana (0x1F) geri döndürmenin, zayıf sertifika eşleme yöntemlerini kullanmaya geri döneceğini unutmayın.

Ek kaynaklar ve destek için "Ek kaynaklar" bölümüne bakın.

CVE-2022-26931 ve CVE-2022-26923 adreslerine sahip güncelleştirmeleri yükledikten sonra, kullanıcı sertifikalarının kullanıcının oluşturulma zamanından daha eski olması durumunda kimlik doğrulaması başarısız olabilir. Bu kayıt defteri anahtarı, ortamınızda zayıf sertifika eşlemeleri kullandığınızda ve sertifika zamanı, ayarlanan bir aralıkta kullanıcının oluşturulduğu zamandan önce olduğunda başarılı bir kimlik doğrulamasına olanak tanır. Sertifika zamanı ve kullanıcı oluşturma zamanı güçlü sertifika eşlemeleriyle denetlenmediğinden, bu kayıt defteri anahtarı güçlü sertifika eşlemeleri olan kullanıcıları veya makineleri etkilemez. StrongCertificateBindingEnforcement 2 olarak ayarlandığında, bu kayıt defteri anahtarının hiçbir etkisi olmaz.

Bu kayıt defteri anahtarının kullanılması, bunu gerektiren ortamlar için geçici bir çözümdür ve dikkatle yapılması gerekir. Bu kayıt defteri anahtarını kullanmak, ortamınız için şu anlama gelir:

• Bu kayıt defteri anahtarı, 10 Mayıs 2022'de yayımlanan güncelleştirmelerden itibaren yalnızca Uyumluluk modunda çalışır. Geriye dönük telafi mahsup içinde kimlik doğrulamasına izin verilir, ancak zayıf bağlama için bir olay günlüğü uyarısı günlüğe kaydedilir.
• Bu kayıt defteri anahtarının etkinleştirilmesi, sertifika zamanı zayıf eşleme olarak ayarlanmış bir aralıkta kullanıcı oluşturma zamanından önce olduğunda kullanıcının kimliğinin doğrulanmasına izin verir. Eylül 2025 veya sonrasında yayımlanan Windows güncelleştirmeleri yüklendikten sonra zayıf eşlemeler desteklenmeyecektir.

Kullanıcı şablonunun sertifikalarının yeni uzantıyı almasını engellemek için aşağıdaki certutil komutunu çalıştırın.

1. Sertifika Yetkilisi sunucusunda veya etki alanına katılmış Windows 10Windows 10 istemcisinde kuruluş yöneticisi veya eşdeğer kimlik bilgileriyle oturum açın.
2. Bir komut istemi açın ve Yönetici olarak çalıştır'ı seçin.
3. certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000 komutunu çalıştırın.

Bu uzantının eklenmesini devre dışı bırakmak, yeni uzantı tarafından sağlanan korumayı kaldırır. Bunu yalnızca aşağıdakilerden sonra yapmayı düşünün:

1. KDC'de Kerberos Protokolü kimlik doğrulamalarında İlk Kimlik Doğrulaması için Ortak Anahtar Şifrelemesi (PKINIT) için karşılık gelen sertifikaların kabul edilebilir olmadığını onaylıyorsunuz
2. Karşılık gelen sertifikalarda yapılandırılmış başka güçlü sertifika eşlemeleri vardır

Microsoft dışı CA dağıtımları olan ortamlar, 10 Mayıs 2022 Windows güncelleştirmesi yüklendikten sonra yeni SID uzantısı kullanılarak korunmaz. Etkilenen müşteriler, bu sorunu çözmek için ilgili CA satıcılarıyla birlikte çalışmalı veya yukarıda açıklanan diğer güçlü sertifika eşlemelerini kullanmayı düşünmelidir.

Ek kaynaklar ve destek için "Ek kaynaklar" bölümüne bakın.

Hayır, yenileme gerekli değildir. CA, Uyumluluk modunda gönderilir. ObjectSID uzantısını kullanarak güçlü bir eşleme istiyorsanız yeni bir sertifikaya ihtiyacınız vardır.

11 Şubat 2025 Windows güncelleştirmesinde, halihazırda Zorlamada olmayan cihazlar (StrongCertificateBindingEnforcement kayıt defteri değeri 2 olarak ayarlanır), Uygulamaya taşınacaktır. Kimlik doğrulaması reddedilirse, Olay Kimliği 39 (veya Windows Server 2008 R2 SP1 ve Windows Server 2008 SP2 için Olay Kimliği 41) görürsünüz. Bu aşamada kayıt defteri anahtarı değerini yeniden 1 (Uyumluluk modu) olarak ayarlama seçeneğiniz olacaktır.

9 Eylül 2025 Windows güncelleştirmesinde StrongCertificateBindingEnforcement kayıt defteri değeri artık desteklenmeyecek.