KB5020276 – Netjoin: зміни, що заготовляють приєднання до домену

Зведення

Оновлення Windows, випущені 11 жовтня 2022 року та після них, містять додаткові засоби захисту, введені CVE-2022-38042. Ці засоби захисту навмисно перешкоджають операціям приєднання до домену повторно використовувати наявний обліковий запис комп'ютера в цільовому домені, якщо:

• Користувач, який намагається виконати операцію, є автором наявного облікового запису.

  Або

• Комп'ютер створив член адміністраторів домену.

  Або

• Власник облікового запису комп'ютера, який використовується повторно, входить до складу "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену". Групова політика настройку. Для цього параметра потрібна інсталяція оновлень Windows, випущених 14 березня 2023 р. або пізніше, на всіх комп'ютерах-учасниках і контролерах домену.

Оновлення, випущені 14 березня 2023 року та після 12 вересня 2023 р., надаватимуть додаткові можливості для користувачів, яких це стосується, у Windows Server 2012 R2 і вище, і для всіх підтримуваних клієнтів. Докладні відомості див. в розділах Поведінка від 11 жовтня 2022 року та Дії . 

Поведінка до 11 жовтня 2022 р.

Перш ніж інсталювати сукупний пакет оновлень від 11 жовтня 2022 р. або пізнішої версії, клієнтський комп'ютер запитує Active Directory для наявного облікового запису з таким самим іменем. Цей запит виконується під час підготовки облікового запису до домену та комп'ютера. Якщо такий обліковий запис існує, клієнт автоматично спробує його використати повторно.

Примітка Спроба повторного використання завершиться помилкою, якщо користувач, який намагається приєднатися до домену, не має відповідних дозволів на записування. Однак, якщо користувач має достатньо дозволів, приєднання до домену буде успішним.

Існує два сценарії для приєднання до домену з відповідними поведінкою за промовчанням і позначками, як це відбувається:

• Приєднання до домену (NetJoinDomain)

  • Повторне використання облікового запису за замовчуванням (якщо не вказано позначку NETSETUP_NO_ACCT_REUSE )

• Підготовка облікового запису (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • За замовчуванням для повторного використання no (якщо не вказано NETSETUP_PROVISION_REUSE_ACCOUNT ).

Поведінка 11 жовтня 2022 р. 

Після інсталяції сукупних оновлень Windows від 11 жовтня 2022 р. або пізнішої версії на клієнтському комп'ютері під час приєднання до домену клієнт виконуватиме додаткові перевірки безпеки перед спробою повторного використання наявного облікового запису комп'ютера. Алгоритм:

1. Спроба повторного використання облікового запису буде дозволена, якщо користувач, який намагається виконати операцію, є автором наявного облікового запису.

2. Спроба повторного використання облікового запису дозволяється, якщо обліковий запис створив член адміністраторів домену.

Ці додаткові перевірки безпеки виконуються перед спробою приєднатися до комп'ютера. Якщо перевірки виконано успішно, інші операції об'єднання підпадають під дію дозволів Active Directory, як і раніше.

Ця зміна не впливає на нові облікові записи.

Нотатка Після інсталяції сукупних оновлень Windows від 11 жовтня 2022 р. або пізнішої версії, повторне використання домену з обліковим записом комп'ютера може навмисно не вдатися з такою помилкою:

Помилка 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Обліковий запис із таким іменем існує в Active Directory. Повторне використання облікового запису заблоковано політикою безпеки"."

У такому разі обліковий запис навмисно захищено новою поведінкою.

Подія з ідентифікатором 4101 буде ініційована після виникнення наведеної вище помилки та ввійти в систему c:\windows\debug\netsetup.log. Виконайте наведені нижче дії, щоб зрозуміти неполадку та вирішити її.

Поведінка 14 березня 2023 р.

В оновленнях Windows, випущених 14 березня 2023 р. або пізніше, ми внесли кілька змін до посилення безпеки. Ці зміни включають усі зміни, внесені в 11 жовтня 2022 року.

По-перше, ми розширили сферу груп, які звільняються від цього загартування. На додачу до адміністраторів домену, адміністратори підприємства та вбудовані групи адміністраторів тепер звільняються від перевірки власності.

По-друге, ми реалізували нову настройку Групова політика. За його допомогою адміністратори можуть указати список довірених власників облікових записів комп'ютера. Обліковий запис комп'ютера буде обходити перевірку безпеки, якщо виконується одна з таких умов:

• Обліковий запис належить користувачу, указаному як надійний власник у розділі "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену" Групова політика.

• Обліковий запис належить користувачу, який входить до групи, указаної як надійний власник у розділі "Контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену" Групова політика.

Щоб використовувати цю нову Групова політика, контролер домену та комп'ютер-учасник мають постійно інсталювати оновлення від 14 березня 2023 р. або пізнішої версії. Деякі з вас можуть мати певні облікові записи, які використовуються для автоматичного створення облікових записів комп'ютера. Якщо ці облікові записи захищені від зловживань і ви довіряєте їм створювати комп'ютерні облікові записи, ви можете звільнити їх. Ви все одно будете захищені від початкової вразливості, що пом'якшуватиметься до 11 жовтня 2022 року, оновлень Windows.

^{Поведінка 12 вересня 2023 року}

В оновленнях Windows, випущених 12 вересня 2023 р. або пізніше, ми внесли кілька додаткових змін до посилення безпеки. До цих змін належать усі зміни, внесені в 11 жовтня 2022 року, і зміни, внесені з 14 березня 2023 року.

Вирішено проблему, через яку не вдавалося приєднатися до домену за допомогою автентифікації смарт-картки незалежно від параметра політики. Щоб вирішити цю проблему, ми перенесли решту перевірок безпеки назад до контролера домену. Таким чином, після оновлення системи безпеки за вересень 2023 року клієнтські комп'ютери автентифіковані SAMRPC виклики контролер домену для виконання перевірки безпеки перевірки, пов'язані з повторного використання облікових записів комп'ютера.

Однак це може призвести до помилки приєднання до домену в середовищах, у яких налаштовано таку політику: Мережевий доступ: Обмежити клієнтам дозволено здійснювати віддалені виклики SAM.  Відомості про те, як вирішити цю проблему, див. в розділі "Відомі проблеми".

Ми також плануємо видалити вихідний параметр реєстру NetJoinLegacyAccountReuse в майбутньому оновленні Windows. [Січень 2024 – початок]Це видалення попередньо заплановано для оновлення від 13 серпня 2024 року. Дати випуску можуть змінюватися. [End – січень 2024 р.]

Примітка Якщо ви розгорнули ключ NetJoinLegacyAccountReuse у своїх клієнтах і встановили для нього значення 1, потрібно видалити цей ключ (або встановити його значення 0), щоб отримати вигоду від останніх змін. 

Вжити заходів

Настройте нову політику списку довірених користувачів за допомогою Групова політика на контролері домену та видаліть усі застарілі способи вирішення на боці клієнта. Потім виконайте наведені нижче дії.

1. Потрібно інсталювати оновлення від 12 вересня 2023 р. або пізнішої версії на всіх комп'ютерах-учасниках і контролерах домену. 

2. У новій або наявній груповій політиці, яка застосовується до всіх контролерів домену, настройте параметри на наведених нижче кроках.

3. У розділі Конфігурація комп'ютера\Політики\Настройки Windows\Параметри безпеки\Локальні політики\Параметри безпеки двічі клацніть контролер домену: дозволити повторне використання облікового запису комп'ютера під час приєднання до домену.

4. Виберіть Визначити цей параметр політики та <Редагувати безпеку...>.

5. Скористайтеся засобом вибору об'єктів, щоб додати користувачів або групи надійних авторів облікових записів комп'ютера та власників до дозволу "Дозволити ". (Рекомендовано використовувати групи для дозволів.) Не додавайте обліковий запис користувача, який виконує приєднання до домену.

   Попередження!: Обмежити членство в політиці довіреними користувачами та обліковими записами служб. Не додавайте до цієї політики автентифікованих користувачів, усіх або інших великих груп. Натомість додайте певних надійних користувачів і облікові записи служб до груп і додайте ці групи до політики.

6. Дочекайтеся інтервалу оновлення Групова політика або запустіть gpupdate /force на всіх контролерах домену.

7. Переконайтеся, що розділ реєстру HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" заповнено потрібним SDDL. Не редагуйте реєстр вручну.

8. Спробуйте приєднатися до комп'ютера, на якому інстальовано оновлення від 12 вересня 2023 року або пізнішої версії. Переконайтеся, що один з облікових записів, перелічених у політиці, належить до облікового запису комп'ютера. Також переконайтеся, що в його реєстрі не ввімкнуто розділ NetJoinLegacyAccountReuse (для параметра 1). Якщо не вдається приєднатися до домену, перевірте c:\windows\debug\netsetup.log.

Якщо вам усе одно знадобиться додатковий спосіб вирішення, перегляньте робочі цикли підготовки облікового запису комп'ютера та дізнайтеся, чи потрібні зміни. 

1. Виконайте операцію об'єднання, використовуючи той самий обліковий запис, який створив обліковий запис комп'ютера в цільовому домені.

2. Якщо наявний обліковий запис застарілий (не використовується), видаліть його, перш ніж знову спробувати приєднатися до домену.

3. Перейменуйте комп'ютер і приєднайтеся за допомогою іншого облікового запису, який ще не існує.

4. Якщо наявний обліковий запис належить надійному принципалу безпеки та адміністратор хоче повторно використовувати обліковий запис, дотримуйтеся вказівок у розділі "Вжити заходів", щоб інсталювати оновлення Windows за вересень 2023 р. або пізнішої версії та налаштувати список довірених осіб.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Відомі проблеми

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac