KB5020276 - Netjoin: ドメイン参加の強化の変更

概要

2022 年 10 月 11 日以降にリリースされた Windows 更新プログラムには、 CVE-2022-38042 によって導入された追加の保護が含まれています。 これらの保護により、次の場合を除き、ドメイン参加操作がターゲット ドメイン内の既存のコンピューター アカウントを意図的に再利用できないようにします。

• 操作を試みるユーザーは、既存のアカウントの作成者です。

  または

• コンピューターは、ドメイン管理者のメンバーによって作成されました。

  または

• 再利用されるコンピューター アカウントの所有者は、"ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する" のメンバーです。 グループ ポリシー設定。 この設定では、2023 年 3 月 14 日以降にリリースされた Windows 更新プログラムをすべてのメンバー コンピューターとドメイン コントローラーにインストールする必要があります。

2023 年 3 月 14 日以降にリリースされた更新プログラムと 2023 年 9 月 12 日以降にリリースされた更新プログラムでは、Windows Server 2012 R2 以降およびサポートされているすべてのクライアントで影響を受けるお客様に追加のオプションが提供されます。 詳細については、「 2022 年 10 月 11 日の動作 」および「 アクションの実行」 セクションを参照してください。

手記 この記事では、以前に NetJoinLegacyAccountReuse レジストリ キーを参照しました。 2024 年 8 月 13 日の時点で、このレジストリ キーとそのこの記事の参照は削除されました。 

2022 年 10 月 11 日より前の動作

2022 年 10 月 11 日以降の累積的な更新プログラムをインストールする前に、クライアント コンピューターは Active Directory に同じ名前の既存のアカウントを照会します。 このクエリは、ドメイン参加とコンピューター アカウントのプロビジョニング中に発生します。 このようなアカウントが存在する場合、クライアントは自動的に再利用を試みます。

注ドメイン参加操作を試みるユーザーに適切な書き込みアクセス許可がない場合、再利用の試行は失敗します。 ただし、ユーザーに十分なアクセス許可がある場合、ドメイン参加は成功します。

ドメイン参加には、それぞれ既定の動作とフラグを次の 2 つのシナリオがあります。

• ドメイン参加 (NetJoinDomain)

  • 既定値はアカウントの再利用です ( NETSETUP_NO_ACCT_REUSE フラグが指定されていない限り)

• アカウント プロビジョニング (NetProvisionComputerAccountNetCreateProvisioningPackage)。

  • 既定値は NO 再利用です ( NETSETUP_PROVISION_REUSE_ACCOUNT が指定されていない限り)。

2022 年 10 月 11 日の動作 

2022 年 10 月 11 日以降の Windows 累積的な更新プログラムをクライアント コンピューターにインストールすると、ドメイン参加中に、クライアントは既存のコンピューター アカウントを再利用する前に追加のセキュリティ チェックを実行します。 アルゴリズム：

1. 操作を試みるユーザーが既存のアカウントの作成者である場合、アカウントの再利用試行が許可されます。

2. アカウントがドメイン管理者のメンバーによって作成された場合、アカウントの再利用試行が許可されます。

これらの追加のセキュリティ チェックは、コンピューターへの参加を試みる前に行われます。 チェックが成功した場合、参加操作の残りの部分は、以前と同様に Active Directory のアクセス許可の対象になります。

この変更は、新しいアカウントには影響しません。

注 2022 年 10 月 11 日以降の Windows 累積的な更新プログラムをインストールすると、コンピューター アカウントの再利用によるドメイン参加が意図的に失敗し、次のエラーが発生する可能性があります。

エラー 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "同じ名前のアカウントが Active Directory に存在します。 アカウントを再利用すると、セキュリティ ポリシーによってブロックされました。

その場合、アカウントは意図的に新しい動作によって保護されます。

上記のエラーが発生すると、イベント ID 4101 がトリガーされ、問題は c:\windows\debug\netsetup.log に記録されます。 次の「アクションの実行」の手順に従って、エラーを理解し、問題を解決してください。

2023 年 3 月 14 日の動作

2023 年 3 月 14 日以降にリリースされた Windows 更新プログラムでは、セキュリティ強化にいくつかの変更を加えた。 これらの変更には、2022 年 10 月 11 日に行われたすべての変更が含まれます。

まず、この強化から除外されるグループの範囲を拡張しました。 ドメイン管理者に加えて、エンタープライズ管理者グループと組み込み管理者グループは所有権チェックから除外されるようになりました。

次に、新しいグループ ポリシー設定を実装しました。 管理者は、これを使用して、信頼されたコンピューター アカウント所有者の許可リストを指定できます。 次のいずれかが当てはまる場合、コンピューター アカウントはセキュリティ チェックをバイパスします。

• アカウントは、"ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する" グループ ポリシーで信頼された所有者として指定されたユーザーによって所有されます。

• アカウントは、"ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する" グループ ポリシーで信頼された所有者として指定されたグループのメンバーであるユーザーが所有しています。

この新しいグループ ポリシーを使用するには、ドメイン コントローラーとメンバー コンピューターに、2023 年 3 月 14 日以降の更新プログラムが一貫してインストールされている必要があります。 一部のユーザーは、自動コンピューター アカウントの作成で使用する特定のアカウントを持っている可能性があります。 これらのアカウントが不正使用から安全であり、コンピューター アカウントを作成するために信頼している場合は、それらを除外できます。 2022 年 10 月 11 日の Windows 更新プログラムによって軽減された元の脆弱性に対して、引き続きセキュリティで保護されます。

^{2023 年 9 月 12 日の動作}

2023 年 9 月 12 日以降にリリースされた Windows 更新プログラムでは、セキュリティ強化にいくつかの追加の変更を加えた。 これらの変更には、2022 年 10 月 11 日に行われたすべての変更と、2023 年 3 月 14 日からの変更が含まれます。

ポリシー設定に関係なく、スマート カード認証を使用したドメイン参加が失敗する問題に対処しました。 この問題を解決するために、残りのセキュリティ チェックをドメイン コントローラーに戻しました。 そのため、2023 年 9 月のセキュリティ更新プログラムの後、クライアント マシンはドメイン コントローラーに対して認証された SAMRPC 呼び出しを行い、コンピューター アカウントの再利用に関連するセキュリティ検証チェックを実行します。

ただし、次のポリシーが設定されている環境では、ドメイン参加が失敗する可能性があります。 ネットワーク アクセス: SAM へのリモート呼び出しを許可するクライアントを制限します。  この問題を解決する方法については、「既知の問題」セクションを参照してください。

2024 年 8 月 13 日の動作

2024 年 8 月 13 日以降にリリースされた Windows 更新プログラムでは、Allowlist ポリシーに関する既知のすべての互換性の問題に対処しました。 NetJoinLegacyAccountReuse キーのサポートも削除されました。 セキュリティ強化の動作は、キー設定に関係なく保持されます。 除外を追加するための適切な方法は、以下の「アクションの実行」セクションに記載されています。 

対処方法

ドメイン コントローラーのグループ ポリシーを使用して新しい許可リスト ポリシーを構成し、従来のクライアント側の回避策を削除します。 次に、次の操作を行います。

1. 2023 年 9 月 12 日以降の更新プログラムは、すべてのメンバー コンピューターとドメイン コントローラーにインストールする必要があります。 

2. すべてのドメイン コントローラーに適用される新しいグループ ポリシーまたは既存のグループ ポリシーで、以下の手順で設定を構成します。

3. [ コンピューターの構成]\[ポリシー]\[Windows 設定]\[セキュリティ設定]\[ローカル ポリシー]\[セキュリティ オプション] で、[ ドメイン コントローラー: ドメイン参加中にコンピューター アカウントの再利用を許可する] をダブルクリックします。

4. [このポリシー設定を定義する] を選択し、[セキュリティの編集]を <します。..>。

5. オブジェクト ピッカーを使用して、信頼されたコンピューター アカウントの作成者と所有者のユーザーまたはグループを [許可 ] アクセス許可に追加します。 (ベスト プラクティスとして、アクセス許可にはグループを使用することを強くお勧めします)。 ドメイン参加を実行するユーザー アカウントを追加しないでください。

   警告: 信頼されたユーザーとサービス アカウントに対して、ポリシーへのメンバーシップを制限します。 認証されたユーザー、すべてのユーザー、またはその他の大規模なグループをこのポリシーに追加しないでください。 代わりに、特定の信頼されたユーザーとサービス アカウントをグループに追加し、それらのグループをポリシーに追加します。

6. グループ ポリシーの更新間隔を待機するか、すべてのドメイン コントローラーで gpupdate /force を実行します。

7. HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" レジストリ キーに目的の SDDL が設定されていることを確認します。 レジストリを手動で編集しないでください。

8. 2023 年 9 月 12 日以降の更新プログラムがインストールされているコンピューターへの参加を試みます。 ポリシーに記載されているアカウントの 1 つがコンピューター アカウントを所有していることを確認します。 ドメイン参加が失敗した場合は、c:\windows\debug\netsetup.log を確認します。

別の回避策が必要な場合は、コンピューター アカウントのプロビジョニング ワークフローを確認し、変更が必要かどうかを理解します。 

1. ターゲット ドメインでコンピューター アカウントを作成したのと同じアカウントを使用して、参加操作を実行します。

2. 既存のアカウントが古い (未使用) 場合は、ドメインに再度参加する前に削除します。

3. コンピューターの名前を変更し、まだ存在しない別のアカウントを使用して参加します。

4. 既存のアカウントが信頼できるセキュリティ プリンシパルによって所有されていて、管理者がアカウントを再利用する場合は、アクションの実行セクションのガイダンスに従って、2023 年 9 月以降の Windows 更新プログラムをインストールし、許可リストを構成します。

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

既知の問題

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac