KB5020276—Netjoin: Etki alanı birleştirme sağlamlaştırma değişiklikleri

Özet

11 Ekim 2022 tarihinde ve sonrasında yayımlanan Windows güncelleştirmeleri, CVE-2022-38042 tarafından sunulan ek korumaları içerir. Bu korumalar, aşağıdaki durumlar dışında, etki alanına katılma işlemlerinin hedef etki alanında var olan bir bilgisayar hesabını yeniden kullanmasını kasıtlı olarak engeller:

• İşlemi deneyen kullanıcı mevcut hesabın oluşturucusudur veya
• Bilgisayar, etki alanı yöneticilerinin bir üyesi tarafından oluşturulmuştur veya

• Yeniden kullanılan bilgisayar hesabının sahibi "Etki alanı denetleyicisi: Etki alanına katılma sırasında bilgisayar hesabının yeniden kullanımına izin ver" üyesidir. Grup İlkesigrup ilkesi setting. Bu ayar, 14 Mart 2023 veya sonrasında yayımlanan Windows güncelleştirmelerinin TÜM üye bilgisayarlara ve etki alanı denetleyicilerine yüklenmesini gerektirir.

14 Mart 2023 ve 12 Eylül 2023 tarihinde ve sonrasında yayımlanan Güncelleştirmeler, Windows Server 2012 R2 ve üzeri sürümlerdeki etkilenen müşteriler ve desteklenen tüm istemciler için ek seçenekler sağlayacaktır. Daha fazla bilgi için 11 Ekim 2022 davranışı ve İşlem Yapın bölümlerine bakın.

11 Ekim'den önceki davranış. 2022

11 Ekim 2022 veya sonraki toplu güncelleştirmeleri yüklemeden önce, istemci bilgisayar aynı ada sahip var olan bir hesap için Active Directory'yi sorgular. Bu sorgu, etki alanına katılma ve bilgisayar hesabı sağlama sırasında oluşur. Böyle bir hesap varsa, istemci otomatik olarak bu hesabı yeniden kullanmaya çalışır.

Bunlar, aşağıdaki gibi ilgili varsayılan davranışlar ve bayraklarla etki alanına katılma için iki senaryodur:

• Etki Alanına Katılma (NetJoinDomain)

  • Varsayılan olarak hesabın yeniden kullanımı ( NETSETUP_NO_ACCT_REUSE bayrağı belirtilmediği sürece)

• Hesap sağlama (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Varsayılan değer yeniden kullanım YOKTUR ( NETSETUP_PROVISION_REUSE_ACCOUNT belirtilmediği sürece).

11 Ekim 2022 davranışı

İstemci bilgisayara 11 Ekim 2022 veya sonraki Windows toplu güncelleştirmelerini yükledikten sonra, etki alanına katılma sırasında istemci var olan bir bilgisayar hesabını yeniden kullanmaya çalışmadan önce ek güvenlik denetimleri gerçekleştirir. Algoritma:

1. İşlemi yapmaya çalışan kullanıcı mevcut hesabın oluşturucusuysa, hesabın yeniden kullanılması girişimine izin verilir.
2. Hesap, etki alanı yöneticilerinin bir üyesi tarafından oluşturulduysa hesabın yeniden kullanılması girişimine izin verilir.

Bu ek güvenlik denetimleri bilgisayara katılma girişiminde bulunulmadan önce yapılır. Denetimler başarılı olursa, birleştirme işleminin kalan bölümü daha önce olduğu gibi Active Directory izinlerine tabi olur.

Bu değişiklik yeni hesapları etkilemez.

14 Mart 2023 davranışı

14 Mart 2023 tarihinde veya sonrasında yayımlanan Windows güncelleştirmelerinde güvenlik güçlendirmesinde birkaç değişiklik yaptık. Bu değişiklikler, 11 Ekim 2022'de yaptığımız tüm değişiklikleri içerir.

İlk olarak, bu sertleşmeden muaf olan grupların kapsamını genişlettik. Etki Alanı Yöneticileri'ne ek olarak, Kuruluş Yöneticileri ve Yerleşik Yöneticiler grupları artık sahiplik denetiminden muaftır.

İkinci olarak, yeni bir grup ilkesi ayarı uyguladık. Yöneticiler, güvenilen bilgisayar hesabı sahiplerinin izin verilenler listesini belirtmek için bunu kullanabilir. Aşağıdakilerden biri doğruysa bilgisayar hesabı güvenlik denetimini atlar:

Hesap, "Etki alanı denetleyicisi: Etki alanına katılma sırasında bilgisayar hesabının yeniden kullanımına izin ver" grup ilkesi güvenilir sahip olarak belirtilen bir kullanıcıya aittir.

Hesap, "Etki alanı denetleyicisi: Etki alanına katılma sırasında bilgisayar hesabının yeniden kullanılmasına izin ver" grup ilkesi güvenilir sahip olarak belirtilen bir grubun üyesi olan bir kullanıcıya aittir.

Bu yeni grup ilkesi kullanmak için etki alanı denetleyicisinin ve üye bilgisayarın sürekli olarak 14 Mart 2023 veya sonraki güncelleştirmenin yüklü olması gerekir. Bazılarınızın otomatik bilgisayar hesabı oluşturma için kullandığınız belirli hesapları olabilir. Bu hesaplar kötüye kullanıma karşı güvenliyse ve bilgisayar hesapları oluşturma konusunda onlara güveniyorsanız bunları muaf tutabilirsiniz. 11 Ekim 2022 Windows güncelleştirmeleri tarafından azaltılan orijinal güvenlik açığına karşı hala güvende olacaksınız.

12 Eylül 2023 davranışı

12 Eylül 2023 tarihinde veya sonrasında yayımlanan Windows güncelleştirmelerinde güvenlik güçlendirmesinde birkaç ek değişiklik yaptık. Bu değişiklikler, 11 Ekim 2022'de yaptığımız tüm değişiklikleri ve 14 Mart 2023'ten itibaren yapılan değişiklikleri içerir.

İlke ayarına bakılmaksızın akıllı kart kimlik doğrulaması kullanılarak etki alanına katılımın başarısız olması sorunu giderildi. Bu sorunu çözmek için, kalan güvenlik denetimlerini Etki Alanı Denetleyicisi'ne geri taşıdık. Bu nedenle, Eylül 2023 güvenlik güncelleştirmesinin ardından istemci makineler, bilgisayar hesaplarının yeniden kullanılmasıyla ilgili güvenlik doğrulama denetimleri gerçekleştirmek için etki alanı denetleyicisine kimliği doğrulanmış SAMRPC çağrıları yapar.

Ancak bu, aşağıdaki ilkenin ayarlandığı ortamlarda etki alanına katılımın başarısız olmasına neden olabilir: Ağ erişimi: SAM'ye uzaktan çağrı yapmasına izin verilen istemcileri kısıtlayın.  Bu sorunun nasıl çözüleceği hakkında bilgi için "Bilinen Sorunlar" bölümüne bakın.

13 Ağustos 2024 davranışı

13 Ağustos 2024 tarihinde veya sonrasında yayımlanan Windows güncelleştirmelerinde, İzin Verilenler Listesi ilkesiyle ilgili bilinen tüm uyumluluk sorunlarını giderdik. Ayrıca NetJoinLegacyAccountReuse anahtarı desteğini kaldırdık. Sağlamlaştırma davranışı, anahtar ayarından bağımsız olarak devam eder. Muafiyet eklemek için uygun yöntemler aşağıdaki İşlem Yap bölümünde listelenmiştir.

Harekete Geçin

Etki alanı denetleyicisindeki grup ilkesi kullanarak yeni izin verilenler listesi ilkesini yapılandırın ve eski istemci tarafı geçici çözümlerini kaldırın. Sonra aşağıdakileri yapın:

1. 12 Eylül 2023 veya sonraki güncelleştirmeleri tüm üye bilgisayarlara ve etki alanı denetleyicilerine yüklemeniz gerekir.

2. Tüm etki alanı denetleyicileri için geçerli olan yeni veya mevcut bir grup ilkesinde, aşağıdaki adımlarda yer alan ayarları yapılandırın.

3. Bilgisayar Yapılandırması\İlkeler\Windows Ayarları\Güvenlik Ayarları\Yerel İlkeler\Güvenlik Seçenekleri altında Etki alanı denetleyicisine çift tıklayın: Etki alanına katılma sırasında bilgisayar hesabının yeniden kullanımına izin ver.

4. Bu ilke ayarını tanımla ve <Güvenliği Düzenle...>'yi seçin.

5. Güvenilen bilgisayar hesabı oluşturucuları ve sahiplerinden oluşan kullanıcı veya grupları İzin Ver iznine eklemek için nesne seçiciyi kullanın. (En iyi yöntem olarak, izinler için grupları kullanmanızı kesinlikle öneririz.) Etki alanına katılmayı gerçekleştiren kullanıcı hesabını eklemeyin.

   Uyarı

   İlke üyeliğini güvenilen kullanıcılar ve hizmet hesaplarıyla sınırlayın. Kimliği doğrulanmış kullanıcıları, herkesi veya diğer büyük grupları bu ilkeye eklemeyin. Bunun yerine, gruplara belirli güvenilen kullanıcıları ve hizmet hesaplarını ekleyin ve bu grupları ilkeye ekleyin.

6. grup ilkesi yenileme aralığını bekleyin veya tüm etki alanı denetleyicilerinde gpupdate /force komutunu çalıştırın.

7. HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" kayıt defteri anahtarının istenen SDDL ile doldurulduğunu doğrulayın. Kayıt defterini el ile düzenlemeyin.

8. 12 Eylül 2023 veya sonraki güncelleştirmelerin yüklü olduğu bir bilgisayara katılmayı deneyin. Bilgisayar hesabının ilkede listelenen hesaplardan birine ait olduğundan emin olun. Etki alanına katılma başarısız olursa, c:\windows\debug\netsetup.log denetleyin.

Hala alternatif bir geçici çözüme ihtiyacınız varsa, bilgisayar hesabı sağlama iş akışlarını gözden geçirin ve değişiklik gerekip gerekmediğini anlayın.

1. Hedef etki alanında bilgisayar hesabını oluşturduğunuz hesabı kullanarak birleştirme işlemini gerçekleştirin.
2. Var olan hesap eskiyse (kullanılmamışsa), etki alanına yeniden katılmayı denemeden önce bu hesabı silin.
3. Bilgisayarı yeniden adlandırın ve var olmayan farklı bir hesabı kullanarak katılın.
4. Mevcut hesap güvenilir bir güvenlik sorumlusuna aitse ve bir yönetici hesabı yeniden kullanmak istiyorsa Eylül 2023 veya sonraki Windows güncelleştirmelerini yüklemek ve bir izin verilenler listesi yapılandırmak için İşlem Yapın bölümündeki yönergeleri izleyin.

Çözümsüzler

• Domain Admins güvenlik grubuna hizmet hesapları veya sağlama hesapları eklemeyin.
• Önceki sahip hesabı silinmemişse, bu tür hesapların sahipliğini yeniden tanımlamak amacıyla bilgisayar hesaplarındaki güvenlik tanımlayıcısını el ile düzenlemeyin. Hesap sahibini düzenlemek yeni denetimlerin başarılı olmasını sağlasa da, bilgisayar hesabı açıkça gözden geçirilip kaldırılmadığı sürece özgün hesap için aynı riskli, istenmeyen izinleri koruyabilir.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Bilinen sorunlar