KB5020276 - Netjoin：域加入强化更改

摘要

2022 年 10 月 11 日及之后发布的 Windows 更新包含 CVE-2022-38042 引入的其他保护。 这些保护故意阻止域加入操作重用目标域中的现有计算机帐户，除非：

• 尝试操作的用户是现有帐户的创建者。

  或

• 计算机由域管理员的成员创建。

  或

• 要重用的计算机帐户的所有者是“域控制器：允许在加入域期间重复使用计算机帐户”的成员。 组策略设置。 此设置要求在所有成员计算机和域控制器上安装 2023 年 3 月 14 日或之后发布的 Windows 更新。

汇报在 2023 年 3 月 14 日和 2023 年 9 月 12 日及之后发布，将为Windows Server 2012 R2 及更高版本以及所有受支持的客户端上的受影响客户提供其他选项。 有关详细信息，请参阅 2022 年 10 月 11 日行为 和 采取操作 部分。 

2022 年 10 月 11 日之前的行为

在安装 2022 年 10 月 11 日或更高版本的累积更新之前，客户端计算机会查询 Active Directory 中具有相同名称的现有帐户。 此查询在域加入和计算机帐户预配期间发生。 如果存在此类帐户，客户端将自动尝试重复使用它。

备注 如果尝试域加入操作的用户没有相应的写入权限，则重用尝试将失败。 但是，如果用户具有足够的权限，则域加入将成功。

有两种使用各自的默认行为和标志加入域的方案，如下所示：

• 域加入 (NetJoinDomain)

  • 除非) 指定 了NETSETUP_NO_ACCT_REUSE 标志，否则默认为帐户重用 (

• 帐户预配 (NetProvisionComputerAccountNetCreateProvisioningPackage) 。

  • 除非指定NETSETUP_PROVISION_REUSE_ACCOUNT，否则默认为 NO 重用 ( 。)

2022 年 10 月 11 日行为 

在客户端计算机上安装 2022 年 10 月 11 日或更高版本的 Windows 累积更新后，在加入域期间，客户端将在尝试重用现有计算机帐户之前执行其他安全检查。 算法：

1. 如果尝试操作的用户是现有帐户的创建者，则允许帐户重用尝试。

2. 如果帐户是由域管理员的成员创建的，将允许帐户重用尝试。

这些额外的安全检查是在尝试加入计算机之前完成的。 如果检查成功，则加入操作的其余部分将像以前一样受到 Active Directory 权限的约束。

此更改不会影响新帐户。

注意 安装 2022 年 10 月 11 日或更高版本的 Windows 累积更新后，使用计算机帐户重用的域加入可能会有意失败，并出现以下错误：

0xaac (2732 错误) ：NERR_AccountReuseBlockedByPolicy：“Active Directory 中存在同名帐户。 安全策略阻止了重新使用该帐户。”

如果是这样，则帐户受到新行为的有意保护。

发生上述错误后，将触发事件 ID 4101，并将问题记录在 c：\windows\debug\netsetup.log 中。 请按照“采取措施”中的以下步骤了解故障并解决问题。

2023 年 3 月 14 日行为

在 2023 年 3 月 14 日或之后发布的 Windows 更新中，我们对安全强化进行了一些更改。 这些更改包括我们在 2022 年 10 月 11 日所做的所有更改。

首先，我们扩展了从此强化中免除的组的范围。 除了域管理员，企业管理员和内置管理员组现在不受所有权检查。

其次，我们实现了新的组策略设置。 管理员可以使用它来指定受信任的计算机帐户所有者的允许列表。 如果存在以下情况之一，计算机帐户将绕过安全检查：

• 该帐户由在“域控制器：允许计算机帐户在域加入期间重复使用”组策略中指定为受信任所有者的用户拥有。

• 该帐户由用户拥有，该用户是“域控制器：允许在加入域期间重复使用计算机帐户”组策略中指定为受信任所有者的组的成员。

若要使用此新组策略，域控制器和成员计算机必须始终安装 2023 年 3 月 14 日或更高版本的更新。 你们中的一些人可能有用于自动创建计算机帐户的特定帐户。 如果这些帐户不受滥用，并且你信任他们创建计算机帐户，则可以免除这些帐户。 2022 年 10 月 11 日 Windows 更新所缓解的原始漏洞仍可保护你。

^{2023 年 9 月 12 日行为}

在 2023 年 9 月 12 日或之后发布的 Windows 更新中，我们对安全强化进行了一些其他更改。 这些更改包括我们在 2022 年 10 月 11 日所做的所有更改，以及 2023 年 3 月 14 日以来的更改。

我们解决了使用智能卡身份验证的域加入失败（无论策略设置如何）的问题。 为了解决此问题，我们将剩余的安全检查移回域控制器。 因此，在 2023 年 9 月安全更新之后，客户端计算机对域控制器进行经过身份验证的 SAMRPC 调用，以执行与重用计算机帐户相关的安全验证检查。

但是，这可能会导致在设置了以下策略的环境中域加入失败： 网络访问：限制允许对 SAM 进行远程调用的客户端。  有关如何解决此问题的信息，请参阅“已知问题”部分。

我们还计划在将来的 Windows 更新中删除原始 NetJoinLegacyAccountReuse 注册表设置。 [2024 年 1 月 - 开始]此删除暂定于 2024 年 8 月 13 日更新。 发布日期可能会更改。 [结束 - 2024 年 1 月]

备注 如果在客户端上部署了 NetJoinLegacyAccountReuse 密钥并将其设置为值 1，则现在必须删除该密钥 (或将其设置为 0) 才能从最新更改中受益。 

采取操作

使用域控制器上的组策略配置新的允许列表策略，并删除任何旧的客户端解决方法。 然后，执行以下操作：

1. 必须在所有成员计算机和域控制器上安装 2023 年 9 月 12 日或更高版本的更新。 

2. 在适用于所有域控制器的新组策略或现有组策略中，配置以下步骤中的设置。

3. 在 “计算机配置\策略\Windows 设置\安全设置\本地策略\安全选项”下， 双击“ 域控制器：允许计算机帐户在域加入期间重复使用”。

4. 选择“定义此策略设置”，<编辑安全性...>。

5. 使用对象选取器将受信任的计算机帐户创建者和所有者的用户或组添加到 “允许” 权限。 (作为最佳做法，强烈建议使用组作为 permissions。) 不要添加执行域加入的用户帐户。

   警告: 将策略的成员身份限制为受信任的用户和服务帐户。 请勿将经过身份验证的用户、每个人或其他大型组添加到此策略。 相反，请将特定的受信任用户和服务帐户添加到组，并将这些组添加到策略。

6. 等待组策略刷新间隔，或者在所有域控制器上运行 gpupdate /force。

7. 验证 HKLM\System\CCS\Control\SAM – “ComputerAccountReuseAllowList”注册表项是否填充了所需的 SDDL。 请勿手动编辑注册表。

8. 尝试加入安装了 2023 年 9 月 12 日或更高版本更新的计算机。 确保策略中列出的其中一个帐户拥有计算机帐户。 此外，请确保其注册表未启用 NetJoinLegacyAccountReuse 密钥， (设置为 1) 。 如果域加入失败，检查 c：\windows\debug\netsetup.log。

如果仍需要备用解决方法，请查看计算机帐户预配工作流，并了解是否需要进行更改。 

1. 使用在目标域中创建计算机帐户的同一帐户执行联接操作。

2. 如果现有帐户已过时 (未使用) ，请先将其删除，然后再尝试再次加入域。

3. 重命名计算机并使用尚不存在的其他帐户加入。

4. 如果现有帐户归受信任的安全主体所有，并且管理员想要重复使用该帐户，请按照“采取操作”部分中的指导安装 2023 年 9 月或更高版本的 Windows 更新并配置允许列表。

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

已知问题

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac