KB4577252：管理針對 CVE-2020-16996 所做之 RBCD/受保護的使用者變更的部署

摘要

如果您使用受保護的使用者與資源型限制委派 (RBCD)，Active Directory 網域控制站上可能存在安全性弱點。 若要深入了解安全性弱點，請參閱 CVE-2020-16996。

更新時間

這些 Windows 更新會分成兩階段發行：

• 於 2020 年 12 月 8 日或之後發行的 Windows 更新，均屬於初始部署階段。

• 於 2021 年 3 月 9 日或之後發行的 Windows 更新，則屬於強制階段。

安裝指引

步驟 2：啟用 Enforcement 模式

完成更新所有主控 Active Directory 網域控制站角色的裝置後，至少靜候一整天，讓所有流通在外的 Service for User to Self (S4U2self) Kerberos 服務票證到期。 然後，透過部署強制模式啟用全面保護。 若要執行此動作，請啟用強制模式登錄機碼。

警告 如果您使用「登錄編輯程式」或其他方法不當地修改登錄，可能會發生嚴重問題。 您可能需要重新安裝作業系統才能解決這些問題。 Microsoft 不保證可以解決這些問題。 請自行承擔修改登錄的一切風險。

附註： 安裝此更新並不會建立此登錄值。 必須手動新增此登錄值。

請記下 " NonForwardableDelegation" 登錄值。

• 如果設定了登錄值，則其優先順序高於 2021 年 3 月 9 日 Windows 更新中包含的強制模式設定。

  • 如果登錄值設定為 1 (停用)，即允許轉寄「未」標示為可轉寄的服務票證。

  • 如果登錄值設定為 0 (停用)，即「不」允許轉寄「未」標示為可轉寄的服務票證。

• 如果網域包含 Windows Server 2008 R2 或舊版 Active Directory 網域控制站，則不必設定強制模式，因為這些網域控制站不支援 RBCD。

• 啟用強制模式時，若無法一致地更新所有 Active Directory 網域控制站，則會導致間歇發生服務委派失敗。

• 設定強制模式前：

  • 所有 Active Directory 網域控制站都必須使用 2020 年 12 月 8 日的 Windows 更新或以後的 Windows 更新進行更新，並且

  • 完成對所有 Active Directory 網域控制站部署 Windows 更新之後，務必靜候一天，讓所有流通在外的 S4USelf Kerberos 服務票證逾期。

其他考量

啟用此保護時會統一資源型限制委派 (RBCD) 與原始限制委派的邏輯。 這在下列兩種情況下可能會導致發生問題：

• 單一服務同時使用不會將通訊協定轉換為一個目標的原始 Kerberos 限制委派 (KCD)，以及使用會將通訊協定轉換為另一個目標的 RBCD。 在此變更之後，兩種委派模式都將拒絕通訊協定轉換。

• 使用 RBCD 的網域中所使用的網域控制站未更新 CVE-2020-16996，或執行沒有 CVE-2020-16996 可用更新的舊版 Windows Server (Window Server 2012 以前的版本) 。 未經過更新的金鑰發佈中心 (KDC) 不會將 S4USelf Kerberos 服務票證標示為可供委派，並會拒絕通訊協定轉換。