KB5020276 – Netjoin: зміни посилення об'єднання доменів

Зведення

Оновлення Windows, випущені 11 жовтня 2022 р. та пізніше, містять додаткові засоби захисту, запроваджені CVE-2022-38042. Ці засоби захисту навмисно перешкоджають повторному використанню наявного облікового запису комп'ютера в цільовому домені, якщо:

• Користувач, який намагається виконати операцію, є автором існуючого облікового запису, або
• комп'ютер створив учасник адміністрування домену ;

• Власник облікового запису комп'ютера, який використовується повторно, – учасник групи "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену". Group PolicyГрупова політика setting. Цей параметр вимагає інсталяції оновлень Windows, випущених 14 березня 2023 р. або пізніше, на ВСІХ комп'ютерах учасників і контролерах доменів.

Оновлення випущені 14 березня 2023 р. та 12 вересня 2023 р. та 12 вересня 2023 р., надаватимуть додаткові можливості для користувачів, яких це стосується, для користувачів версій Windows Server 2012 R2 і пізніших версій, а також для всіх клієнтів, що підтримуються. Докладні відомості див. в розділах " Поведінка від 11 жовтня 2022 року" та " Вжиття заходів ".

Поведінка до 11 жовтня. 2022

Перш ніж інсталювати сукупні оновлення від 11 жовтня 2022 року або пізнішої версії, клієнтський комп'ютер запитує в Active Directory наявний обліковий запис із таким самим іменем. Цей запит виконується під час приєднання до домену та підготовки облікового запису комп'ютера. Якщо такий обліковий запис існує, клієнт автоматично спробує його повторно використати.

Нижче наведено два сценарії приєднання до домену з відповідною стандартною поведінкою та позначками, як показано нижче:

• Підключення до домену (NetJoinDomain)

  • За замовчуванням використовується повторне використання облікового запису ( NETSETUP_NO_ACCT_REUSE якщо не вказано позначку)

• Підготовка облікового запису (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • За замовчуванням використовується NO reuse (якщо не вказано NETSETUP_PROVISION_REUSE_ACCOUNT ).

11 жовтня 2022 р. поведінка

Після інсталяції сукупних оновлень Windows від 11 жовтня 2022 р. або пізнішої версії на клієнтському комп'ютері під час приєднання до домену клієнт виконає додаткові перевірки безпеки, перш ніж спробувати повторно використати наявний обліковий запис комп'ютера. Алгоритм дій:

1. Спроба повторного використання облікового запису буде дозволена, якщо користувач, який намагається виконати операцію, є творцем існуючого облікового запису.
2. Спроба повторного використання облікового запису буде дозволена, якщо обліковий запис створено членом команди адміністраторів домену.

Ці додаткові перевірки безпеки виконуються перед спробою приєднатися до комп'ютера. Якщо перевірки завершено успішно, до решти операції приєднання застосовуються дозволи Active Directory, як і раніше.

Ця зміна не впливає на нові облікові записи.

Поведінка за 14 березня 2023 р.

В оновленнях Windows від 14 березня 2023 р. або пізніше ми внесли кілька змін у посилення безпеки. Ці зміни включають усі зміни, які ми внесли 11 жовтня 2022 року.

По-перше, ми розширили коло груп, які звільнені від цього посилення. Крім адміністраторів домену, перевірка власності тепер звільняється від перевірки власності для адміністраторів підприємства та груп вбудованих адміністраторів.

По-друге, ми впровадили новий параметр Групова політика. Адміністратори можуть скористатися нею, щоб визначити список довірених власників облікових записів комп'ютера. Обліковий запис комп'ютера обходить перевірку безпеки, якщо виконується одна з таких умов:

Обліковий запис належить користувачу, вказаному як довірений власник у розділі "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену" Group PolicyГрупова політика.

Обліковий запис належить користувачу, який є учасником групи, зазначеної як довірений власник у розділі "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену" Group PolicyГрупова політика.

Щоб використовувати цю нову Групова політика, на контролері домену та комп'ютері-учаснику має бути послідовно інстальовано оновлення від 14 березня 2023 р. або пізніше. Деякі з вас можуть мати особливі облікові записи, які використовуються для автоматичного створення облікових записів комп'ютера. Якщо ці облікові записи захищені від зловживань і ви довіряєте їм створення облікових записів на комп'ютері, ви можете звільнити їх. Ви й надалі будете захищені від початкової вразливості, пом'якшеної в оновленнях Windows від 11 жовтня 2022 року.

Поведінка 12 вересня 2023 р.

В оновленнях Windows від 12 вересня 2023 р. або пізніше ми внесли кілька додаткових змін до посилення безпеки. Ці зміни включають усі зміни, внесені 11 жовтня 2022 року та зміни від 14 березня 2023 року.

Вирішено проблему, через яку не вдавалося приєднатися до домену за допомогою автентифікації смарт-картки незалежно від параметрів політики. Щоб вирішити цю проблему, ми перенесли решту перевірок безпеки назад до контролера домену. Таким чином, після оновлення системи безпеки за вересень 2023 р. клієнтські комп'ютери здійснюють автентифіковані виклики SAMRPC до контролера домену, щоб виконати перевірки безпеки, пов'язані з повторним використанням облікових записів комп'ютера.

Однак, це може призвести до збою підключення до домену в середовищах, у яких встановлено таку політику: Доступ до мережі: обмежити клієнтам, яким дозволено здійснювати віддалені виклики до SAM.  Відомості про те, як вирішити цю проблему, див. в розділі "Відомі проблеми".

13 серпня 2024 р. поведінка

В оновленнях Windows, випущених 13 серпня 2024 р. або пізніше, ми усунули всі відомі проблеми сумісності з політикою Lowlist. Ми також видалили підтримку ключа NetJoinLegacyAccountReuse. Поведінка загартовування збережеться незалежно від налаштування клавіш. Відповідні методи додавання винятків наведено в розділі "Вжиття заходів" нижче.

Дійте рішучо

Налаштуйте нову політику списку довірених осіб за допомогою Групова політика на контролері домену та вилучіть усі застарілі способи вирішення на боці клієнта. Потім зробіть ось що:

1. Потрібно інсталювати оновлення від 12 вересня 2023 р. або пізнішої версії на всіх комп'ютерах учасників і контролерах доменів.

2. У новій або наявній груповій політиці, яка застосовується до всіх контролерів доменів, налаштуйте параметри, як описано нижче.

3. У розділі Конфігурація комп'ютера\Політики\Настройки Windows\Настройки безпеки\Локальні політики\Параметри безпеки, двічі клацніть пункт "Контролер домену". Дозволити повторне використання облікового запису комп'ютера під час приєднання до домену.

4. Виберіть "Визначити цей параметр політики та <редагувати параметри безпеки...>"

5. Скористайтеся засобом вибору об'єктів, щоб додати користувачів або групи творців і власників довірених облікових записів комп'ютерів до дозволу Permission . (Для забезпечення дозволів рекомендовано використовувати групи.) Не додавайте обліковий запис користувача, який виконує підключення до домену.

   Попередження

   Обмежте членство в політиці довіреними користувачами та обліковими записами служб. Не додавайте до цієї політики автентифікованих користувачів, усіх або інші великі групи. Натомість додайте до груп певних довірених користувачів і облікові записи служб і додайте такі групи до політики.

6. Дочекайтеся інтервалу оновлення Group PolicyГрупова політика або запустіть gpupdate /force на всіх контролерах домену.

7. Переконайтеся, що розділ реєстру HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" заповнено потрібним SDDL. Не редагуйте реєстр вручну.

8. Спробуйте приєднатися до комп'ютера, на якому інстальовано оновлення від 12 вересня 2023 року або пізнішої версії. Переконайтеся, що один з облікових записів, зазначених у політиці, є власником облікового запису комп'ютера. Якщо підключення до домену завершується помилкою, перевірте \netsetup.log c:\windows\debug.

Якщо вам ще потрібен альтернативний спосіб вирішення, перегляньте робочі цикли підготовки облікових записів комп'ютера та з'ясуйте, чи потрібні зміни.

1. Виконайте операцію з'єднання з використанням облікового запису, який створив обліковий запис комп'ютера в цільовому домені.
2. Якщо наявний обліковий запис застарілий (не використовується), видаліть його, перш ніж повторювати спробу приєднання до домену.
3. Перейменуйте комп'ютер і приєднайтеся до наради, використовуючи інший обліковий запис, який ще не існує.
4. Якщо наявний обліковий запис належить довіреному керівнику безпеки, а адміністратор хоче повторно використовувати його, дотримуйтеся вказівок у розділі "Дії", щоб інсталювати оновлення Windows за вересень 2023 р. або пізніші й налаштувати список довірених осіб.

Нерішення

• Не додавайте облікові записи служб або ініціалізації до групи безпеки "Адміністратори домену".
• Не редагуйте вручну дескриптор безпеки в облікових записах комп'ютерів, намагаючись перевизначити право власності на такі облікові записи, якщо обліковий запис попереднього власника не було видалено. Хоча редагування власника забезпечить успішність нових перевірок, обліковий запис комп'ютера може зберігати ті самі потенційно ризиковані, небажані дозволи для початкового власника, якщо їх явно не переглянути та не видалити.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Відомі проблеми