KB5020276- Netjoin: 도메인 조인 강화 변경

요약

2022년 10월 11일 이후 릴리스된 Windows 업데이트에는 CVE-2022-38042에서 도입된 추가 보호가 포함되어 있습니다. 이러한 보호는 다음과 같은 경우가 아니면 도메인 조인 작업에서 대상 도메인의 기존 컴퓨터 계정을 다시 사용하지 못하도록 의도적으로 방지합니다.

• 작업을 시도하는 사용자가 기존 계정의 작성자입니다.

  또는

• 도메인 관리자의 구성원이 컴퓨터를 만들었습니다.

  또는

• 재사용 중인 컴퓨터 계정의 소유자는 "도메인 컨트롤러: 도메인 가입 중에 컴퓨터 계정을 다시 사용할 수 있도록 허용"의 구성원입니다. 그룹 정책 설정. 이 설정을 사용하려면 모든 구성원 컴퓨터 및 도메인 컨트롤러에서 2023년 3월 14일 또는 그 이후에 릴리스된 Windows 업데이트를 설치해야 합니다.

2023년 3월 14일 및 2023년 9월 12일 이후에 릴리스된 업데이트는 Windows Server 2012 R2 이상 및 지원되는 모든 클라이언트에서 영향을 받는 고객에게 추가 옵션을 제공합니다. 자세한 내용은 2022년 10월 11일 동작 및 작업 수행 섹션을 참조하세요.

메모 이 문서에서는 이전에 NetJoinLegacyAccountReuse 레지스트리 키를 참조했습니다. 2024년 8월 13일부터 이 레지스트리 키와 이 문서의 참조가 제거되었습니다. 

2022년 10월 11일 이전의 동작

2022년 10월 11일 이상 누적 업데이트를 설치하기 전에 클라이언트 컴퓨터는 동일한 이름의 기존 계정에 대해 Active Directory를 쿼리합니다. 이 쿼리는 도메인 가입 및 컴퓨터 계정 프로비저닝 중에 발생합니다. 이러한 계정이 있는 경우 클라이언트는 자동으로 다시 사용하려고 시도합니다.

참고 도메인 조인 작업을 시도하는 사용자에게 적절한 쓰기 권한이 없는 경우 다시 사용 시도가 실패합니다. 그러나 사용자에게 충분한 권한이 있는 경우 도메인 가입이 성공합니다.

다음과 같이 각 기본 동작 및 플래그를 사용하는 도메인 조인에 대한 두 가지 시나리오가 있습니다.

• 도메인 조인(NetJoinDomain)

  • 계정 재사용 기본값( NETSETUP_NO_ACCT_REUSE 플래그가 지정되지 않은 경우)

• 계정 프로비저닝(NetProvisionComputerAccountNetCreateProvisioningPackage).

  • 기본값은 NO 재사용( NETSETUP_PROVISION_REUSE_ACCOUNT 지정되지 않은 경우)입니다.

2022년 10월 11일 동작 

2022년 10월 11일 이상 Windows 누적 업데이트를 클라이언트 컴퓨터에 설치하면 도메인 가입 중에 클라이언트가 기존 컴퓨터 계정을 다시 사용하려고 시도하기 전에 추가 보안 검사를 수행합니다. 알고리즘:

1. 작업을 시도하는 사용자가 기존 계정의 작성자인 경우 계정 재사용 시도가 허용됩니다.

2. 도메인 관리자의 구성원이 계정을 만든 경우 계정 재사용 시도가 허용됩니다.

이러한 추가 보안 검사는 컴퓨터에 가입하기 전에 수행됩니다. 확인에 성공하면 나머지 조인 작업에는 이전과 같이 Active Directory 권한이 적용됩니다.

이 변경 내용은 새 계정에 영향을 주지 않습니다.

참고 2022년 10월 11일 이상 Windows 누적 업데이트를 설치한 후 컴퓨터 계정 재사용을 사용한 도메인 가입은 다음 오류와 함께 의도적으로 실패할 수 있습니다.

오류 0xaac(2732): NERR_AccountReuseBlockedByPolicy: "이름이 같은 계정이 Active Directory에 있습니다. 계정을 다시 사용하는 것이 보안 정책에 의해 차단되었습니다."

이 경우 계정은 의도적으로 새 동작으로 보호됩니다.

위의 오류가 발생하고 문제가 c:\windows\debug\netsetup.log 기록되면 이벤트 ID 4101이 트리거됩니다. 작업 수행의 아래 단계에 따라 오류를 이해하고 문제를 해결하세요.

2023년 3월 14일 동작

2023년 3월 14일 또는 그 이후에 릴리스된 Windows 업데이트에서 보안 강화를 몇 가지 변경했습니다. 이러한 변경 내용에는 2022년 10월 11일에 적용된 모든 변경 내용이 포함되었습니다.

먼저 이 강화에서 제외되는 그룹의 범위를 확장했습니다. 도메인 관리자 외에도 엔터프라이즈 관리자 및 기본 제공 관리자 그룹은 이제 소유권 검사에서 제외됩니다.

둘째, 새 그룹 정책 설정을 구현했습니다. 관리자는 이를 사용하여 신뢰할 수 있는 컴퓨터 계정 소유자의 허용 목록을 지정할 수 있습니다. 다음 중 하나가 true인 경우 컴퓨터 계정은 보안 검사를 무시합니다.

• 이 계정은 "도메인 컨트롤러: 도메인 가입 중에 컴퓨터 계정을 다시 사용할 수 있도록 허용" 그룹 정책에서 신뢰할 수 있는 소유자로 지정된 사용자가 소유합니다.

• 이 계정은 "도메인 컨트롤러: 도메인 가입 중에 컴퓨터 계정을 다시 사용할 수 있도록 허용" 그룹 정책에서 신뢰할 수 있는 소유자로 지정된 그룹의 구성원인 사용자가 소유합니다.

이 새 그룹 정책을 사용하려면 도메인 컨트롤러와 구성원 컴퓨터에 2023년 3월 14일 이상 업데이트가 일관되게 설치되어 있어야 합니다. 일부 사용자는 자동화된 컴퓨터 계정 만들기에 사용하는 특정 계정이 있을 수 있습니다. 이러한 계정이 남용으로부터 안전하며 컴퓨터 계정을 만들도록 신뢰하는 경우 해당 계정을 제외할 수 있습니다. 2022년 10월 11일 Windows 업데이트로 완화된 원래 취약성에 대해 여전히 안전합니다.

^{2023년 9월 12일 동작}

2023년 9월 12일 또는 그 이후에 릴리스된 Windows 업데이트에서 보안 강화를 몇 가지 추가 변경했습니다. 이러한 변경 내용에는 2022년 10월 11일에 적용된 모든 변경 내용과 2023년 3월 14일의 변경 내용이 포함되었습니다.

정책 설정에 관계없이 스마트 카드 인증을 사용하여 도메인 가입이 실패한 문제를 해결했습니다. 이 문제를 해결하기 위해 나머지 보안 검사를 도메인 컨트롤러로 다시 이동했습니다. 따라서 2023년 9월 보안 업데이트 이후 클라이언트 컴퓨터는 도메인 컨트롤러에 인증된 SAMRPC 호출을 수행하여 컴퓨터 계정 재사용과 관련된 보안 유효성 검사를 수행합니다.

그러나 이로 인해 네트워크 액세스: SAM에 대한 원격 호출을 수행할 수 있는 클라이언트 제한 정책이 설정된 환경에서 도메인 조인이 실패할 수 있습니다.  이 문제를 해결하는 방법에 대한 자세한 내용은 "알려진 문제" 섹션을 참조하세요.

2024년 8월 13일 동작

2024년 8월 13일 또는 그 이후에 릴리스된 Windows 업데이트에서 허용 목록 정책과 관련된 알려진 모든 호환성 문제를 해결했습니다. 또한 NetJoinLegacyAccountReuse 키에 대한 지원도 제거했습니다. 강화 동작은 키 설정에 관계없이 유지됩니다. 예외를 추가하는 적절한 방법은 아래 작업 수행 섹션에 나열되어 있습니다. 

조치 취하기

도메인 컨트롤러에서 그룹 정책을 사용하여 새 허용 목록 정책을 구성하고 레거시 클라이언트 쪽 해결 방법을 제거합니다. 그런 다음, 다음을 수행합니다.

1. 모든 멤버 컴퓨터 및 도메인 컨트롤러에 2023년 9월 12일 이상 업데이트를 설치해야 합니다. 

2. 모든 도메인 컨트롤러에 적용되는 새 그룹 또는 기존 그룹 정책에서 아래 단계에서 설정을 구성합니다.

3. 컴퓨터 구성\정책\Windows 설정\보안 설정\로컬 정책\보안 옵션에서 도메인 컨트롤러: 도메인 가입 중에 컴퓨터 계정을 다시 사용하도록 허용을 두 번 클릭합니다.

4. 이 정책 설정 정의를 선택하고 보안 편집...><.

5. 개체 선택기를 사용하여 신뢰할 수 있는 컴퓨터 계정 작성자 및 소유자의 사용자 또는 그룹을 허용 권한에 추가합니다. (모범 사례로 사용 권한에 그룹을 사용하는 것이 좋습니다.) 도메인 조인을 수행하는 사용자 계정을 추가하지 마세요.

   경고: 정책의 멤버 자격을 신뢰할 수 있는 사용자 및 서비스 계정으로 제한합니다. 인증된 사용자, 모든 사용자 또는 기타 큰 그룹을 이 정책에 추가하지 마세요. 대신 그룹에 신뢰할 수 있는 특정 사용자 및 서비스 계정을 추가하고 해당 그룹을 정책에 추가합니다.

6. 그룹 정책 새로 고침 간격을 기다리거나 모든 도메인 컨트롤러에서 gpupdate /force를 실행합니다.

7. HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" 레지스트리 키가 원하는 SDDL로 채워져 있는지 확인합니다. 레지스트리를 수동으로 편집하지 마세요.

8. 2023년 9월 12일 이상 업데이트가 설치된 컴퓨터에 가입하려고 시도합니다. 정책에 나열된 계정 중 하나가 컴퓨터 계정을 소유하는지 확인합니다. 도메인 조인이 실패하면 c:\windows\debug\netsetup.log 확인합니다.

대체 해결 방법이 여전히 필요한 경우 컴퓨터 계정 프로비저닝 워크플로를 검토하고 변경이 필요한지 이해합니다. 

1. 대상 도메인에서 컴퓨터 계정을 만든 동일한 계정을 사용하여 조인 작업을 수행합니다.

2. 기존 계정이 부실(사용되지 않음)인 경우 도메인 가입을 다시 시도하기 전에 삭제합니다.

3. 컴퓨터 이름을 바꾸고 아직 존재하지 않는 다른 계정을 사용하여 조인합니다.

4. 기존 계정이 신뢰할 수 있는 보안 주체가 소유하고 관리자가 계정을 다시 사용하려는 경우 작업 수행 섹션의 지침에 따라 2023년 9월 이상의 Windows 업데이트를 설치하고 허용 목록을 구성합니다.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

알려진 문제

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac