KB5014754：Windows 網域控制器上的憑證認證變更

找不到強憑證對應，且該憑證也沒有 KDC 可驗證的新安全識別碼 (SID) 擴充。

憑證是在使用者尚未出現在 Active Directory 之前就已簽發給該使用者，且找不到強映射。 此事件僅在 KDC 處於相容模式下時被記錄。

使用者憑證新擴充中包含的 SID 與使用者的 SID 不符，暗示該憑證已簽發給另一位使用者。

註 某些欄位，如發行人、主題及序號，則以「轉發」格式報告。 當你將映射字串加入 altSecurityIdentities 屬性時，必須反轉這個格式。 例如，要將 X509IssuerSerialNumber 映射到使用者，請搜尋你想映射到使用者的憑證中的「Issuer」和「Serial Number」欄位。 請參考下方的範例輸出。

• 發行人：CN=CONTOSO-DC-CA，DC=contoso，DC=com
• 序號：2B000000011AC0000000012

接著，將使用者在 Active Directory 中的 altSecurityIdentities 屬性更新為以下字串：

• “X509：<I>DC=com，DC=contoso，CN=CONTOSO-DC-CA<SR>12000000000AC110000000002B”

要用 Powershell 更新這個屬性，你可以使用下面的指令。 請記住，預設情況下，只有網域管理員有權限更新此屬性。

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= “X509：<I>DC=com，DC=contoso，CN=CONTOSO-DC-CA<SR>1200000000000AC11000000002B”}

請注意，當你反轉序號時，必須保留位元組順序。 這表示將序號「A1B2C3」反向應產生「C3B2A1」字串， 而非 「3C2B1A」。 欲了解更多資訊，請參閱 HowTo：透過 altSecurityIdentity 屬性中所有可用的方法將使用者映射到憑證。

安裝 2022 年 5 月 10 日的 Windows 更新後，裝置將進入相容模式。 如果憑證能強映射到使用者，認證將如預期般發生。 如果憑證只能弱映射到使用者，認證會如預期般發生。 不過，除非憑證比使用者還舊，否則會記錄警告訊息。 若憑證比使用者更早，且憑證回溯登錄金鑰不存在，或範圍超出回溯補償範圍，認證將失敗，並會記錄錯誤訊息。  如果設定了憑證回溯登錄金鑰，若日期落在回溯補償範圍內，會在事件日誌中記錄警告訊息。

安裝 2022 年 5 月 10 日的 Windows 更新後，請留意任何可能在一個月或更久後出現的警告訊息。 若無警告訊息，我們強烈建議您在所有網域控制站啟用基於憑證的驗證的全面強制模式。 你可以使用 KDC 登錄檔金鑰 來啟用全面執行模式。

除非先前使用 StrongCertificateBindingEnforcement 登錄檔金鑰更新至稽核模式或強制模式，否則 2025 年 2 月的 Windows 安全更新安裝後，網域控制站將切換至全面強制模式。 若憑證無法被強映射，認證將被拒絕。 回到相容模式的選項將持續到2025年9月9日的Windows安全更新安裝完成。 此日期之後， StrongCertificateBindingEnforcement 登錄金鑰將不再支援

如果憑證式驗證依賴於一個你無法從環境中移動的弱映射，你可以利用 登錄檔金鑰設定將網域控制器設為停用模式。 Microsoft 不建議 這麼做，我們將於 2023 年 4 月 11 日移除停用模式。

一旦您在 Server 2019 及以上版本安裝 2024 年 2 月 13 日或之後的 Windows 更新，並安裝了 RSAT 可選功能的支援用戶端，Active Directory 使用者 & 電腦中的憑證映射將預設為使用 X509IssuerSerialNumber 的強映射，而非使用 X509IssuerSubject 的弱映射。 設定仍可依照喜好調整。

問題

Microsoft 收到報告指出，在群組原則物件「電腦組態>管理範本系統>>群組原則>配置登錄檔政策處理」下，設定「即使群組原則物件未變更仍處理」可能會間歇性干擾網域控制器上的名稱映射。

因應措施

要解決這個問題，請在網域控制器中停用「即使群組原則物件未變更仍處理」的設定。 只有在需要群組原則「電腦配置>管理範本系統>>KDC> 允許憑證強映射名稱」中定義的基於名稱的映射時，才會使用此操作。 欲了解更多資訊，請參閱 「在政府情境中啟用強名稱基礎映射」。

後續步驟

我們正在調查這些報告，並在有更多資訊時提供。

• 使用相關電腦上的 Kerberos 操作日誌來判斷是哪個網域控制器未能登入。 前往事件檢視器>應用與服務日誌\Microsoft \Windows\安全-Kerberos\運作。
• 在網域控制器的系統事件日誌中尋找該帳戶嘗試驗證的相關事件。
• 若憑證比帳號更舊，請重新核發憑證或為帳號新增安全的 altSecurityIdentities 映射 (詳見 憑證映射) 。
• 如果憑證中有 SID 延伸，請確認 SID 是否與帳號相符。
• 如果憑證被用來驗證多個不同的帳號，每個帳號都需要獨立的 altSecurityIdentities 映射。
• 如果憑證沒有安全對應到帳號，請新增一個，或將網域維持在相容模式，直到能新增。

TLS 憑證映射的一個範例是使用 IIS 內聯網網頁應用程式。

• 安裝 CVE-2022-26391 與 CVE-2022-26923 保護後，這些情境預設使用 Kerberos 憑證服務用戶 (S4U) 協定進行憑證映射與認證。
• 在 Kerberos 憑證 S4U 協定中，認證請求是從應用伺服器流向網域控制器，而非從用戶端傳送到網域控制器。 因此，相關事件會顯示在應用程式伺服器上。

安裝 Windows 更新後，此登錄檔金鑰將不再支援。

當伺服器應用程式需要客戶端認證時，Schannel 會自動嘗試將 TLS 客戶端提供的憑證映射到使用者帳號。 你可以透過建立將憑證資訊與 Windows 使用者帳號關聯起來的映射，來驗證使用客戶端憑證登入的使用者。 建立並啟用憑證映射後，每次用戶端呈現用戶端憑證時，伺服器應用程式會自動將該使用者與相應的 Windows 使用者帳號關聯。

Schannel 會嘗試映射你啟用的每一種憑證映射方法，直到其中一種成功為止。 Schannel 嘗試先將 S4U2Self) 映射映射為用戶服務（Service-For-User-To-Self） ( 主體/發行者、發行者及 UPN 憑證映射現被視為弱，預設已停用。 所選選項的位元遮罩總和決定可用的憑證映射方法清單。

SChannel 登錄檔金鑰的預設值是0x1F，現在是0x18。 如果您在使用 Schannel 伺服器應用程式時遇到認證失敗，建議您進行測試。 在網域控制器上新增或修改 CertificateMappingMethods 的登錄鍵值，並將其設為 0x1F，看看是否能解決問題。 請查看網域控制器的系統事件日誌，尋找本文中列出的任何錯誤資訊。 請注意，將 SChannel 登錄檔金鑰值改回先前的預設 (0x1F) 會回復到使用弱憑證映射方法。

如需更多資源與支援，請參閱「額外資源」章節。

在安裝針對 CVE-2022-26931 和 CVE-2022-26923 的更新後，若使用者憑證比使用者建立時間還舊，認證可能會失敗。 當你在環境中使用較弱 的憑證映射 ，且憑證時間在設定範圍內先於使用者建立時間時，這個登錄金鑰能成功驗證。 此登錄檔金鑰不會影響擁有強憑證映射的使用者或機器，因為憑證時間與建立時間不會被強憑證映射檢查。 當 StrongCertificateBindingEnforcement 設為 2 時，此登錄金鑰不生效。

使用此登錄檔金鑰是對需要使用該登錄檔的環境的臨時變通，且必須謹慎使用。 使用此登錄檔金鑰對您的環境意味著以下情況：

• 此登錄檔金鑰僅能在 相容模式下 運作，從 2022 年 5 月 10 日釋出的更新開始。 在回溯補償抵消範圍內允許認證，但弱綁定會記錄事件日誌警告。
• 啟用此登錄檔金鑰可於憑證時間在設定範圍內先於使用者建立時間時，作為弱映射進行使用者認證。 在 2025 年 9 月或之後安裝 Windows 更新後，弱映射將不再支援。

你執行以下 certutil 指令，將 使用者 範本的憑證排除在新擴充功能之外。

1. 請以企業管理員或等效憑證登入憑證管理中心伺服器或已加入網域的 Windows 10 用戶端。
2. 打開命令提示字元，選擇 以管理員身份執行。
3. Run certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000.

停用此延伸將移除新擴展所提供的保護。 請考慮在以下其中一項之後進行：

1. 你確認對應的憑證不適用於 KDC 的 Kerberos 協議認證中 (PKINIT) 的公開金鑰密碼學初始認證
2. 對應的憑證則有其他強憑證映射配置

安裝 2022 年 5 月 10 日 Windows 更新後，非 Microsoft CA 部署的環境將無法受到新 SID 擴充功能的保護。 受影響的客戶應與相應的憑證憑證供應商合作解決此問題，或考慮使用上述其他強韌的憑證映射。

如需更多資源與支援，請參閱「額外資源」章節。

不，不需要續約。 CA 會以相容模式出貨。 如果你想用 ObjectSID 擴充功能建立強映射，就需要新的憑證。

在 2025 年 2 月 11 日的 Windows 更新中，尚未進入強制執行 (StrongCertificateBindingEnforcement 登錄值設為 2) 的裝置，將被移至強制執行狀態。 若驗證被拒，您將看到 2008 R2 SP1 Windows Server 事件 ID 39 (或事件 ID 41，Windows Server 2008 SP2) 。 此階段你可以選擇將登錄鍵值設回 1 (相容模式) 。

在 2025 年 9 月 9 日的 Windows 更新中， StrongCertificateBindingEnforcement 登錄檔值將不再支援。