KB5014754: Các thay đổi xác thực dựa trên chứng chỉ trên bộ điều khiển miền Windows

Không thể tìm thấy ánh xạ chứng chỉ mạnh và chứng chỉ không có phần mở rộng mã định danh bảo mật (SID) mới mà KDC có thể xác thực.

Chứng chỉ đã được cấp cho người dùng trước khi người dùng tồn tại trong Active Directory và không thể tìm thấy ánh xạ mạnh nào. Sự kiện này chỉ được ghi nhật ký khi KDC ở chế độ Tương thích.

SID có trong phần mở rộng mới của chứng chỉ người dùng không khớp với SID người dùng, ngụ ý rằng chứng chỉ đã được cấp cho một người dùng khác.

Lưu ý Các trường nhất định, chẳng hạn như Người cấp, Chủ đề và Số Sê-ri, được báo cáo ở định dạng "chuyển tiếp". Bạn phải đảo ngược định dạng này khi thêm chuỗi ánh xạ vào thuộc tính altSecurityIdentities . Ví dụ: để thêm ánh xạ X509IssuerSerialNumber tới người dùng, hãy tìm kiếm các trường "Người cấp" và "Số Sê-ri" của chứng chỉ mà bạn muốn ánh xạ tới người dùng. Hãy xem kết quả đầu ra mẫu dưới đây.

• Người cấp: CN=CONTOSO-DC-CA, DC=contoso, DC=com
• Số sê-ri: 2B0000000011AC0000000012

Sau đó, cập nhật thuộc tính altSecurityIdentities của người dùng trong Active Directory với chuỗi sau:

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Để cập nhật thuộc tính này bằng Powershell, bạn có thể sử dụng lệnh bên dưới. Hãy nhớ rằng, theo mặc định, chỉ người quản trị tên miền mới có quyền cập nhật thuộc tính này.

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

Lưu ý rằng khi bạn đảo ngược Số sê-ri, bạn phải giữ thứ tự byte. Điều này có nghĩa là đảo ngược Số Sê-ri "A1B2C3" sẽ tạo ra chuỗi "C3B2A1" chứ không phải "3C2B1A". Để biết thêm thông tin, hãy xem Cách thức: Ánh xạ người dùng tới chứng chỉ thông qua tất cả các phương pháp có sẵn trong thuộc tính altSecurityIdentities.

Sau khi bạn đã cài đặt bản cập nhật Windows ngày 10 tháng 5 năm 2022, các thiết bị sẽ ở chế độ Tương thích. Nếu một chứng chỉ có thể được ánh xạ mạnh tới người dùng, việc xác thực sẽ diễn ra như mong đợi. Nếu chứng chỉ chỉ có thể ánh xạ yếu đến người dùng, việc xác thực sẽ diễn ra như mong đợi. Tuy nhiên, thông báo cảnh báo sẽ được ghi nhật ký trừ khi chứng chỉ cũ hơn người dùng. Nếu chứng chỉ cũ hơn người dùng và khóa đăng ký Lùi Chứng chỉ không hiện diện hoặc phạm vi ngoài phạm vi bù ngày lùi, thì sẽ không xác thực được và thông báo lỗi sẽ được ghi nhật ký.  Nếu khóa đăng ký Certificate Backdates được cấu hình, nó sẽ ghi lại thông báo cảnh báo trong nhật ký sự kiện nếu các ngày này nằm trong khoản đền bù ngày lùi.

Sau khi bạn cài đặt bản cập nhật Windows ngày 10 tháng 5 năm 2022, hãy theo dõi bất kỳ thông báo cảnh báo nào có thể xuất hiện sau một tháng trở lên. Nếu không có thông báo cảnh báo, chúng tôi khuyên bạn nên bật chế độ Thực thi Đầy đủ trên tất cả các bộ kiểm soát miền bằng cách sử dụng xác thực dựa trên chứng chỉ. Bạn có thể sử dụng khóa đăng ký KDC để bật chế độ Thực thi Đầy đủ.

Trừ khi được cập nhật lên chế độ Kiểm tra hoặc chế độ Cưỡng bức bằng cách sử dụng khóa đăng ký StrongCertificateBindingEnforcement trước đó, bộ kiểm soát miền sẽ chuyển sang chế độ Thực thi đầy đủ khi bản cập nhật bảo mật Windows tháng 02 năm 2025 được cài đặt. Xác thực sẽ bị từ chối nếu chứng chỉ không thể ánh xạ mạnh. Tùy chọn để chuyển trở lại chế độ tương thích sẽ vẫn tồn tại cho đến khi bản cập nhật bảo mật Windows ngày 9 tháng 9 năm 2025 được cài đặt. Sau ngày này, khóa đăng ký StrongCertificateBindingEnforcement sẽ không còn được hỗ trợ

Nếu xác thực dựa trên chứng chỉ dựa vào ánh xạ yếu mà bạn không thể di chuyển khỏi môi trường, bạn có thể đặt bộ kiểm soát miền ở chế độ Vô hiệu lực bằng cách sử dụng thiết đặt khóa đăng ký. Microsoft không khuyến nghị điều này và chúng tôi sẽ loại bỏ Chế độ Vô hiệu hóa vào ngày 11 tháng 4 năm 2023.

Sau khi bạn đã cài đặt các bản cập nhật Windows ngày 13 tháng 2 năm 2024 trở lên trên Server 2019 trở lên và các máy khách được hỗ trợ có cài đặt tính năng tùy chọn RSAT, ánh xạ chứng chỉ trong Người dùng Active Directory & Máy tính sẽ mặc định chọn ánh xạ mạnh bằng cách sử dụng X509IssuerSerialNumber thay vì ánh xạ yếu sử dụng X509IssuerSubject. Bạn vẫn có thể thay đổi cài đặt theo ý muốn.

Triệu chứng

Microsoft đã nhận được báo cáo rằng cài đặt "Quy trình ngay cả khi đối tượng chính sách nhóm không thay đổi" trong đối tượng chính sách nhóm "Mẫuquản> trị cấu hình máy> tính, hệthống>chính sách nhóm>" thỉnh thoảng có thể can thiệp vào ánh xạ dựa trên tên trên bộ điều khiển miền.

Giải pháp

Để khắc phục sự cố này, hãy tắt cài đặt "Quy trình ngay cả khi đối tượng Chính sách nhóm không thay đổi" trên bộ điều khiển miền. Chỉ thực hiện việc này khi cần ánh xạ dựa trên tên như được xác định trong chính sách nhóm "Hệthống mẫu>quản> trị cấu hình máy> tínhKDC>cho phép ánh xạ mạnh dựa trên tên cho chứng chỉ". Để biết thêm thông tin, hãy xem Bật ánh xạ dựa trên tên mạnh trong các kịch bản của chính phủ.

Bước tiếp theo

Chúng tôi đang điều tra các báo cáo này và sẽ cung cấp thêm thông tin khi có sẵn.

• Sử dụng nhật ký Hoạt động Kerberos trên máy tính liên quan để xác định bộ điều khiển miền nào không đăng nhập được. Đi tới Trình xem sự kiệnNhật>ký Ứng\ dụng và Dịch vụMicrosoft Windows \\Security-Kerberos\Hoạt động.
• Tìm kiếm các sự kiện liên quan trong Nhật ký Sự kiện Hệ thống trên bộ kiểm soát miền mà tài khoản đang cố gắng xác thực.
• Nếu chứng chỉ cũ hơn tài khoản, hãy cấp lại chứng chỉ hoặc thêm ánh xạ altSecurityIdentities bảo mật tới tài khoản (xem Ánh xạ chứng chỉ).
• Nếu chứng chỉ chứa phần mở rộng SID, hãy xác minh rằng SID khớp với tài khoản.
• Nếu chứng chỉ đang được sử dụng để xác thực một số tài khoản khác nhau, mỗi tài khoản sẽ cần ánh xạ altSecurityIdentities riêng.
• Nếu chứng chỉ không có ánh xạ bảo mật tới tài khoản, hãy thêm một ánh xạ hoặc để miền ở chế độ Tương thích cho đến khi có thể thêm một ánh xạ.

Một ví dụ về ánh xạ chứng chỉ TLS là sử dụng ứng dụng web mạng nội bộ IIS.

• Sau khi cài đặt các biện pháp bảo vệ CVE-2022-26391 và CVE-2022-26923 , các kịch bản này sử dụng giao thức Dịch vụ chứng chỉ Kerberos cho người dùng (S4U) để ánh xạ và xác thực chứng chỉ theo mặc định.
• Trong giao thức S4U Chứng chỉ Kerberos, yêu cầu xác thực chảy từ máy chủ ứng dụng đến bộ điều khiển miền, không phải từ máy khách đến bộ điều khiển miền. Do đó, các sự kiện liên quan sẽ nằm trên máy chủ ứng dụng.

Khóa đăng ký này sẽ không được hỗ trợ sau khi cài đặt các bản cập nhật cho Windows được phát hành vào hoặc sau tháng 9 năm 2025.

Khi ứng dụng máy chủ yêu cầu xác thực máy khách, Schannel sẽ tự động cố gắng ánh xạ chứng chỉ mà máy khách TLS cung cấp tới tài khoản người dùng. Bạn có thể xác thực những người dùng đăng nhập bằng chứng chỉ máy khách bằng cách tạo ánh xạ liên kết thông tin chứng chỉ với tài khoản người dùng Windows. Sau khi bạn tạo và bật ánh xạ chứng chỉ, mỗi lần máy khách xuất trình chứng chỉ máy khách, ứng dụng máy chủ của bạn sẽ tự động liên kết người dùng đó với tài khoản người dùng Windows thích hợp.

Schannel sẽ cố gắng ánh xạ từng phương pháp ánh xạ chứng chỉ bạn đã bật cho đến khi một phương pháp thành công. Schannel sẽ cố gắng ánh xạ Service-For-User-To-Self (S4U2Self) trước tiên. Ánh xạ chứng chỉ Chủ đề/Người cấp, Người phát hành và UPN hiện được coi là yếu và đã bị vô hiệu hóa theo mặc định. Tổng bitmasked của các tùy chọn đã chọn sẽ xác định danh sách các phương pháp ánh xạ chứng chỉ sẵn dùng.

Mặc định khóa đăng ký SChannel đã được 0x1F và hiện đang 0x18. Nếu bạn gặp lỗi xác thực với các ứng dụng máy chủ dựa trên Schannel, chúng tôi khuyên bạn nên thực hiện một bài kiểm tra. Thêm hoặc sửa đổi giá trị khóa đăng ký CertificateMappingMethods trên bộ điều khiển miền và đặt thành 0x1F và xem liệu điều đó có giải quyết được sự cố hay không. Xem trong Nhật ký sự kiện hệ thống trên bộ điều khiển miền để biết bất kỳ lỗi nào được liệt kê trong bài viết này để biết thêm thông tin. Hãy nhớ rằng việc thay đổi giá trị khóa đăng ký SChannel trở về mặc định trước đó (0x1F) sẽ chuyển sang sử dụng phương pháp ánh xạ chứng chỉ yếu.

Để biết thêm tài nguyên và hỗ trợ, hãy xem mục "Các tài nguyên bổ sung".

Sau khi bạn cài đặt các bản cập nhật có địa chỉ CVE-2022-26931 và CVE-2022-26923, có thể không xác thực được trong trường hợp chứng chỉ người dùng cũ hơn thời gian tạo người dùng. Khóa đăng ký này cho phép xác thực thành công khi bạn đang sử dụng ánh xạ chứng chỉ yếu trong môi trường của mình và thời gian chứng chỉ nằm trước thời gian tạo người dùng trong phạm vi đã đặt. Khóa đăng ký này không ảnh hưởng đến người dùng hoặc máy có ánh xạ chứng chỉ mạnh, vì thời gian chứng chỉ và thời gian tạo người dùng không được kiểm tra bằng ánh xạ chứng chỉ mạnh. Khóa đăng ký này không có bất kỳ hiệu lực nào khi StrongCertificateBindingEnforcement được đặt là 2.

Việc sử dụng khóa đăng ký này là một giải pháp tạm thời cho các môi trường yêu cầu và phải được thực hiện một cách thận trọng. Việc sử dụng khóa đăng ký này có ý nghĩa như sau đối với môi trường của bạn:

• Khóa đăng ký này chỉ hoạt động ở Chế độ tương thích kể từ các bản cập nhật được phát hành vào ngày 10 tháng 5 năm 2022. Xác thực sẽ được phép trong khoảng bù bù ngày lùi, nhưng cảnh báo nhật ký sự kiện sẽ được ghi lại đối với gắn kết yếu.
• Việc bật khóa đăng ký này cho phép xác thực người dùng khi thời gian chứng chỉ nằm trước thời gian tạo người dùng trong một phạm vi đặt dưới dạng ánh xạ yếu. Ánh xạ yếu sẽ không được hỗ trợ sau khi cài đặt các bản cập nhật cho Windows được phát hành vào hoặc sau tháng 9 năm 2025.

Bạn hãy chạy lệnh certutil sau để loại trừ các chứng chỉ của mẫu người dùng khỏi việc nhận phần mở rộng mới.

1. Đăng nhập vào máy chủ Cơ quan cấp Chứng chỉ hoặc máy khách Windows 10 đã gia nhập theo tên miền bằng người quản trị doanh nghiệp hoặc thông tin xác thực tương đương.
2. Mở dấu nhắc lệnh và chọn Chạy với tư cách người quản trị.
3. Chạy certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

Việc tắt việc thêm tiện ích mở rộng này sẽ loại bỏ bảo vệ do tiện ích mở rộng mới cung cấp. Hãy cân nhắc thực hiện điều này chỉ sau một trong các bước sau:

1. Bạn xác nhận rằng các chứng chỉ tương ứng không được chấp nhận cho Mã hóa Khóa Công khai để Xác thực Ban đầu (PKINIT) trong xác thực Giao thức Kerberos tại KDC
2. Các chứng chỉ tương ứng được cấu hình các ánh xạ chứng chỉ mạnh khác

Các môi trường có triển khai CA không phải của Microsoft sẽ không được bảo vệ bằng tiện ích mở rộng SID mới sau khi cài đặt bản cập nhật Windows ngày 10 tháng 5 năm 2022. Khách hàng bị ảnh hưởng nên làm việc với các nhà cung cấp CA tương ứng để giải quyết vấn đề này hoặc nên xem xét sử dụng các ánh xạ chứng chỉ mạnh khác được mô tả ở trên.

Để biết thêm tài nguyên và hỗ trợ, hãy xem mục "Các tài nguyên bổ sung".

Không, gia hạn không bắt buộc. CA sẽ xuất xưởng trong Chế độ tương thích. Nếu bạn muốn ánh xạ mạnh bằng cách sử dụng phần mở rộng ObjectSID, bạn sẽ cần một chứng chỉ mới.

Trong bản cập nhật Windows ngày 11 tháng Hai năm 2025, các thiết bị chưa ở trạng thái Thực thi (giá trị đăng ký StrongCertificateBindingEnforcement được đặt thành 2) sẽ được chuyển sang Thực thi. Nếu xác thực bị từ chối, bạn sẽ thấy ID Sự kiện 39 (hoặc ID Sự kiện 41 cho Windows Server 2008 R2 SP1 và Windows Server 2008 SP2). Bạn sẽ có tùy chọn đặt giá trị khóa đăng ký trở lại 1 (Chế độ tương thích) ở giai đoạn này.

Trong bản cập nhật Windows ngày 9 tháng 9 năm 2025, giá trị đăng ký StrongCertificateBindingEnforcement sẽ không còn được hỗ trợ.