8 november 2022, KB5020003 (alleen beveiligingsupdate)

Symptoom

Volgende stap

Nadat deze update of een latere Windows-update is geïnstalleerd, zijn bewerkingen voor domeindeelname mogelijk mislukt en treedt de fout '0xaac (2732): NERR_AccountReuseBlockedByPolicy' op. Daarnaast tekst met de tekst 'Er bestaat een account met dezelfde naam in Active Directory. Het opnieuw gebruiken van het account is geblokkeerd door beveiligingsbeleid' kan worden weergegeven.

Betrokken scenario's omvatten enkele bewerkingen voor domeindeelname of re-imaging waarbij een computeraccount is gemaakt of vooraf is gefaseerd door een andere identiteit dan de identiteit die wordt gebruikt om de computer aan het domein te koppelen of opnieuw toe te voegen.

Zie KB5020276— Netjoin: Wijzigingen in domeindeelnamebeveiliging voor meer informatie over dit probleem.

Opmerking Het is onwaarschijnlijk dat consumentenversies van Windows dit probleem ondervinden.

Zie KB5020276 voor hulp bij dit probleem.

Na de installatie van Windows-updates die zijn uitgebracht op of na 8 november 2022 op Windows-servers die gebruikmaken van de domeincontrollerrol, kunt u problemen ondervinden met Kerberos-verificatie. Dit probleem kan van invloed zijn op Kerberos-verificatie in uw omgeving. Enkele scenario's die kunnen worden beïnvloed:

• Het aanmelden van domeingebruikers kan mislukken. Dit kan ook van invloed zijn op de verificatie van Active Directory Federation Services (AD FS).

• GMSA (Group Managed Service Accounts) die worden gebruikt voor services zoals Internet Information Services (IIS-webserver) kunnen mogelijk niet worden geverifieerd.

• Extern bureaublad-verbindingen die domeingebruikers gebruiken, kunnen mogelijk geen verbinding maken.

• Mogelijk hebt u geen toegang tot gedeelde mappen op werkstations en bestandsshares op servers.

• Afdrukken waarvoor domeingebruikersverificatie is vereist, kan mislukken.

Wanneer dit probleem zich voordoet, ontvangt u mogelijk een gebeurtenis microsoft-Windows-Kerberos-Key-Distribution-Center gebeurtenis-id 4 in de sectie Systeem van het gebeurtenislogboek op uw domeincontroller met de onderstaande tekst.

Opmerking Betrokken gebeurtenissen bevatten de tekenreeks 'de ontbrekende sleutel heeft een id van 1':

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Opmerking Dit probleem is geen verwacht onderdeel van de beveiligingsbeveiliging voor Netlogon en Kerberos vanaf de beveiligingsupdate van november 2022. U moet nog steeds de richtlijnen in deze artikelen volgen, zelfs nadat dit probleem is opgelost.

Windows-apparaten die thuis worden gebruikt door consumenten of apparaten die geen deel uitmaken van een on-premises domein, worden niet beïnvloed door dit probleem. Azure Active Directory-omgevingen die niet hybride zijn en geen on-premises Active Directory servers hebben, worden niet beïnvloed.

Dit probleem is opgelost in update KB5021652.

Nadat u deze update of een latere update op een domeincontroller (DC) hebt geïnstalleerd, kan er een geheugenlek optreden met de Local Security Authority Subsystem Service (LSASS, exe). Afhankelijk van de workload van uw DC en de hoeveelheid tijd sinds de laatste herstart van de server, kan LSASS het geheugengebruik voortdurend verhogen met de up-time van de server en kan de server mogelijk niet meer reageren of automatisch opnieuw opstarten.

Opmerking De out-of-band-updates voor DC's die zijn uitgebracht op 17 november 2022 en 18 november 2022, kunnen worden beïnvloed door dit probleem.

U kunt dit probleem oplossen door een opdrachtprompt te openen als beheerder en de volgende opdracht te gebruiken om de registersleutel KrbtgtFullPacSignature in te stellen op 0:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Opmerking Nadat dit bekende probleem is opgelost, moet u KrbtgtFullPacSignature instellen op een hogere instelling, afhankelijk van wat uw omgeving toestaat. We raden u aan de afdwingingsmodus in te schakelen zodra uw omgeving klaar is.

Zie KB5020805: Kerberos-protocolwijzigingen beheren met betrekking tot CVE-2022-37967 voor meer informatie over deze registersleutel.

We werken aan een oplossing en komen met een update in een toekomstige release.

Na de installatie van deze update kunnen apps die gebruikmaken van ODBC-verbindingen via Microsoft ODBC SQL Server Driver (sqlsrv32.dll) voor toegang tot databases mogelijk geen verbinding maken. Daarnaast kan er een fout worden weergegeven in de app of een fout van de SQL Server. Fouten die u mogelijk ontvangt, zijn onder andere de volgende berichten:

• Er is een probleem opgetreden in het EMS-systeem.
  Bericht: [Microsoft][ODBC SQL Server Driver] Protocolfout in TDS Stream.

• Er is een probleem opgetreden in het EMS-systeem.
  Bericht: [Microsoft][ODBC SQL Server-stuurprogramma] Onbekend token ontvangen van SQL Server.

Opmerking voor ontwikkelaars: Apps die door dit probleem worden beïnvloed, kunnen mogelijk geen gegevens ophalen, bijvoorbeeld wanneer u de functie SQLFetch gebruikt. Dit probleem kan optreden bij het aanroepen van de functie SQLBindCol vóór SQLFetch of het aanroepen van de functie SQLGetData na SQLFetch en wanneer een waarde van 0 (nul) wordt opgegeven voor het argument BufferLength voor vaste gegevenstypen groter dan 4 bytes (zoals SQL_C_FLOAT).

Als u wilt bepalen of u een betrokken app gebruikt, opent u de app die verbinding maakt met een database. Open een opdrachtpromptvenster, typ de volgende opdracht en druk op Enter:

tasklist /m sqlsrv32.dll

Als de opdracht een taak retourneert, kan dit gevolgen hebben voor de app.

U kunt dit probleem op een van de volgende manieren oplossen:

• Als uw app al gegevensbronnaam (DSN) gebruikt of kan gebruiken om ODBC-verbindingen te selecteren, installeert u Microsoft ODBC-stuurprogramma 17 voor SQL Server en selecteert u dit voor gebruik met uw app met behulp van DSN.
  
  Opmerking: We raden de nieuwste versie van Microsoft ODBC-stuurprogramma 17 voor SQL Server aan, omdat deze compatibeler is met apps die momenteel gebruikmaken van het verouderde Microsoft ODBC SQL Server-stuurprogramma (sqlsrv32.dll) dan Microsoft ODBC-stuurprogramma 18 voor SQL Server.

• Als uw app geen DSN kan gebruiken, moet de app worden gewijzigd om DSN toe te staan of om een nieuwer ODBC-stuurprogramma te gebruiken dan Microsoft ODBC SQL Server Driver (sqlsrv32.dll).

Dit probleem is opgelost in KB5022343. Als u de bovenstaande tijdelijke oplossing hebt geïmplementeerd, is het raadzaam om de configuratie in de tijdelijke oplossing te blijven gebruiken.

Uitgebracht via

Beschikbaar

Volgende stap

Windows Update en Microsoft Update

Nee

Zie hieronder de overige opties.

Microsoft Update-catalogus

Ja

Als u het zelfstandige pakket voor deze update wilt downloaden, gaat u naar de website Microsoft Update-catalogus.

Windows Server Update Services (WSUS)

Ja

Deze update wordt automatisch als volgt gesynchroniseerd met WSUS als je Producten en categorieën configureert:

Product: Windows Server 2012, Windows Embedded 8 Standard

Categorie: Beveiligingsupdate