KB4577252：管理 CVE-2020-16996 的 RBCD/受保护用户更改的部署

摘要

如果使用受保护用户 和基于资源的约束委派 (RBCD)， 则 Active Directory 域控制器上可能存在安全漏洞。 要了解有关此安全漏洞的更多信息，请参阅 CVE-2020-16996。

更新时间

这些 Windows 更新将分两个阶段发布：

• 2020 年 12 月 8 日或之后发布 Windows 更新后开始初始部署阶段。

• 2021 年 3 月 9 日或之后发布的 Windows 更新的执行阶段。

安装指南

步骤 2：启用强制模式

更新所有承载 Active Directory 域控制器角色的设备后，至少等待一整天，以允许用户自行 (S4U2self) Kerberos 服务票证过期。 然后，通过部署强制模式启用完全保护。 为此，请启用“强制”模式注册表项。

警告 使用注册表编辑器或其他方法修改注册表不当可能会出现严重问题。 这些问题可能需要您重新安装操作系统。 Microsoft 不能保证可解决这些问题。 请自行承担修改注册表的风险。

备注 不通过安装此更新创建此注册表值。 你必须手动添加此注册表值。

关于 " NonForwardableDelegation" 注册表值的说明：

• 如果设置了注册表值，它将优先于 2021 年 3 月 9 日 Windows 更新中包含的强制模式设置。

  • 如果注册表值设置为 1（已禁用），则允许在未标记为可转发的 Kerberos 服务票证上转发。

  • 如果注册表值设置为 0（已禁用），则不允许在未标记为可转发的 Kerberos 服务票证上转发。

• 如果你的域包含 Windows Server 2008 R2 或更低版本的 Active Directory 域控制器，则不必设置“强制”模式，因为这些域控制器不支持 RBCD。

• 启用“强制”模式时未能一致地更新所有 Active Directory 域控制器将导致间歇性服务委派失败。

• 设置“强制”模式之前：

  • 所有 Active Directory 域控制器都必须使用 2020 年 12 月 8 日 Windows 更新或更高版本的 Windows 更新进行更新，并且

  • 在完成所有 Active Directory 域控制器的 Windows 更新部署后一天，所有未完成的 S4USelf Kerberos 服务票证必须已过期。

其他注意事项

启用此保护时，它将基于资源的约束委派 (RBCD) 的逻辑与原始约束委派统一。 这可能会在以下两种情况下导致问题：

• 单个服务在使用 RBCD 并协议转换到一个目标时，还可同时使用原始 Kerberos 约束委派 (KCD)，而无需协议未转换到另一个目标。 此更改后，拒绝协议转换将适用于两种委派方式。

• RBCD 用于以下域中：使用未使用 CVE-2020-16996 更新的域控制器或运行没有 CVE-2020-16996 可用更新的旧版本 Windows Server（早于 Windows Server 2012）的域。 未更新的密钥发行中心 (KDC) 不会将 S4USelf Kerberos 服务票证标记为可以委派，并且协议转换将被拒绝。