KB5020276 – Netjoin: Zmeny týkajúce sa pripojenia k doméne sa stvrdnú

Zhrnutie

Aktualizácie Windowsu vydané 11. októbra 2022 a po ich vydaní obsahujú ďalšie ochrany, ktoré zaviedla verzia CVE-2022-38042. Tieto ochrany zámerne zabraňujú operáciám pripojenia domény opätovne použiť existujúce konto počítača v cieľovej doméne, pokiaľ:

• Používateľ, ktorý sa pokúša o operáciu, je tvorcom existujúceho konta.

  Alebo

• Počítač vytvoril člen správcov domény.

  Alebo

• Vlastník konta počítača, ktoré sa opätovne používa, je členom radiča domény: Povolenie opätovného použitia konta počítača počas pripojenia k doméne. Nastavenie skupinovej politiky. Toto nastavenie vyžaduje inštaláciu aktualizácií Windowsu vydaných 14. marca 2023 alebo po ich vydaní v počítačoch všetkých členov a radičoch domény.

Aktualizácie vydané 14. marca 2023 a 12. septembra 2023 a po ich vydaní poskytnú ďalším možnosti pre dotknutých zákazníkov v systéme Windows Server 2012 R2 a novších verziách a pre všetkých podporovaných klientov. Ďalšie informácie nájdete v častiach Správanie a Akcia z 11. októbra 2022.

Nota Tento článok predtým odkazoval na kľúč databázy Registry NetJoinLegacyAccountReuse . Od 13. augusta 2024 bol tento kľúč databázy Registry a jeho odkazy v tomto článku odstránené. 

Správanie pred 11. októbrom 2022

Pred inštaláciou kumulatívnych aktualizácií z 11. októbra 2022 alebo novšej verzie klientsky počítač dotazuje službu Active Directory na existujúce konto s rovnakým názvom. Tento dotaz sa vyskytuje počas pripájania domény a poskytovania konta počítača. Ak takéto konto existuje, klient sa ho automaticky pokúsi znova použiť.

Nota Pokus o opätovné použitie zlyhá, ak používateľ, ktorý sa pokúsi o operáciu pripojenia k doméne, nemá príslušné povolenia na zápis. Ak má však používateľ dostatočné povolenia, pripojenie k doméne bude úspešné.

Existujú dva scenáre pre pripojenie k doméne s príslušnými predvolenými správaniami a príznakmi takto:

• Pripojenie k doméne (NetJoinDomain)

  • Predvolené nastavenie opätovného použitia konta (pokiaľ nie je zadaný príznak NETSETUP_NO_ACCT_REUSE )

• Poskytovanie konta (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Predvolene sa použije možnosť ŽIADNE opätovné použitie (pokiaľ nie je zadaná NETSETUP_PROVISION_REUSE_ACCOUNT .)

Správanie z 11. októbra 2022 

Po inštalácii kumulatívnych aktualizácií Windowsu z 11. októbra 2022 alebo novšej verzie v klientskom počítači vykoná klient počas pripojenia k doméne ďalšie kontroly zabezpečenia pred pokusom o opätovné použitie existujúceho konta počítača. Algoritmus:

1. Pokus o opätovné použitie konta bude povolený, ak používateľ, ktorý sa pokúša o operáciu, je tvorcom existujúceho konta.

2. Pokus o opätovné použitie konta bude povolený, ak konto vytvoril člen správcu domény.

Tieto dodatočné kontroly zabezpečenia sa vykonávajú pred pokusom o pripojenie k počítaču. Ak sú kontroly úspešné, zvyšok operácie pripojenia podlieha povoleniam služby Active Directory ako predtým.

Táto zmena nemá vplyv na nové kontá.

Poznámka Po inštalácii kumulatívnych aktualizácií Windowsu 11. októbra 2022 alebo novšej verzie môže opätovné použitie pripojenia domény s kontom počítača úmyselne zlyhať s nasledujúcou chybou:

Chyba 0xaac (2732): NERR_AccountReuseBlockedByPolicy: V službe Active Directory existuje konto s rovnakým názvom. Opätovné použitie konta bolo zablokované politikou zabezpečenia."

Ak áno, konto je zámerne chránené novým správaním.

Identifikácia udalosti 4101 sa spustí po výskyte vyššie uvedenej chyby a problém sa zapíše do denníka c:\windows\debug\netsetup.log. Ak chcete porozumieť zlyhaniu a vyriešiť problém, postupujte podľa krokov uvedených nižšie v časti Vykonať akciu.

Správanie zo 14. marca 2023

V aktualizáciách Windowsu vydaných 14. marca 2023 alebo po ňom sme vykonali niekoľko zmien v spevnení zabezpečenia. Tieto zmeny zahŕňajú všetky zmeny, ktoré sme vykonali 11. októbra 2022.

Po prvé, rozšírili sme rozsah skupín, ktoré sú oslobodené od tohto stvrdnutia. Okrem správcov domén sú teraz skupiny podnikových správcov a vstavaných správcov vyňaté z kontroly vlastníctva.

Po druhé, implementovali sme nové nastavenie skupinovej politiky. Správcovia ho môžu použiť na zadanie zoznamu povolených dôveryhodných vlastníkov kont počítača. Konto počítača obíde kontrolu zabezpečenia, ak je pravdivá niektorá z nasledujúcich možností:

• Konto vlastní používateľ zadaný ako dôveryhodný vlastník v skupinovej politike Radič domény: Povoliť opätovné použitie konta počítača počas pripojenia k doméne.

• Konto vlastní používateľ, ktorý je členom skupiny určenej ako dôveryhodný vlastník v skupinovej politike Radič domény: Povoliť opätovné použitie konta počítača počas pripojenia k doméne.

Ak chcete používať túto novú skupinovú politiku, radič domény a členský počítač musia mať neustále nainštalovanú aktualizáciu zo 14. marca 2023 alebo novšiu. Niektorí z vás môžu mať konkrétne kontá, ktoré používate pri automatickom vytváraní kont v počítači. Ak sú tieto kontá v bezpečí pred zneužitím a dôverujete im pri vytváraní počítačových kont, môžete ich vyňať. Naďalej budete v bezpečí proti pôvodnému nedostatočnému zabezpečeniu zmierneným aktualizáciami Windowsu z 11. októbra 2022.

^{Správanie z 12. septembra 2023}

V aktualizáciách Windowsu vydaných 12. septembra 2023 alebo po ňom sme urobili niekoľko ďalších zmien v spevnení zabezpečenia. Tieto zmeny zahŕňajú všetky zmeny, ktoré sme vykonali 11. októbra 2022, a zmeny vykonané od 14. marca 2023.

Vyriešili sme problém, pri ktorom pripojenie domény pomocou overovania kartou Smart Card zlyhalo bez ohľadu na nastavenie politiky. Na vyriešenie tohto problému sme presunuli zostávajúce kontroly zabezpečenia späť do radiča domény. Preto po aktualizácii zabezpečenia zo septembra 2023 klientske počítače vykonávajú overené volania SAMRPC radiču domény na vykonávanie kontrol overenia zabezpečenia súvisiacich s opätovným pripojením kont počítačov.

Môže to však spôsobiť zlyhanie pripojenia k doméne v prostrediach, v ktorých je nastavená nasledujúca politika: Prístup k sieti: Obmedzte klientov povolených na uskutočňovanie vzdialených volaní do systému SAM.  Informácie o riešení tohto problému nájdete v časti Známe problémy.

Správanie z 13. augusta 2024

V aktualizáciách Windowsu vydaných 13. augusta 2024 alebo po ich skončení sme sa zaoberali všetkými známymi problémami kompatibility s politikou Allowlist. Odstránili sme aj podporu pre kľúč NetJoinLegacyAccountReuse . Správanie stvrdnutia bude pretrvávať bez ohľadu na nastavenie kľúča. Vhodné metódy na pridanie výnimiek sú uvedené v časti Prijať akciu nižšie. 

Vykonať akciu

Nakonfigurujte novú politiku zoznamu povolených položiek pomocou skupinovej politiky na radiči domény a odstráňte všetky alternatívne riešenia na strane staršieho klienta. Potom postupujte takto:

1. Aktualizácie z 12. septembra 2023 alebo novšej musíte nainštalovať do všetkých počítačov členov a radičov domény. 

2. V novej alebo existujúcej skupinovej politike, ktorá sa vzťahuje na všetky radiče domény, nakonfigurujte nastavenia v nasledujúcich krokoch.

3. V časti Konfigurácia počítača\Politiky\Nastavenia systému Windows\Nastavenia zabezpečenia\Lokálne politiky\Možnosti zabezpečenia dvakrát kliknite na radič domény: Povoľte opätovné použitie konta počítača počas pripojenia k doméne.

4. Vyberte položku Definovať toto nastavenie politiky a <Upraviť zabezpečenie...>.

5. Pomocou výberu objektu môžete do povolenia Povoliť pridať používateľov alebo skupiny dôveryhodných tvorcov a vlastníkov počítačových kont. (Ako najvhodnejší postup dôrazne odporúčame, aby ste na povolenia používali skupiny.) Nepridávajte používateľské konto, ktoré vykonáva pripojenie k doméne.

   Upozornenie: Obmedzte členstvo na politiku na dôveryhodných používateľov a kontá služieb. Do tejto politiky nepridávajte overených používateľov, všetkých ani iné veľké skupiny. Namiesto toho pridajte konkrétnych dôveryhodných používateľov a kontá služieb do skupín a pridajte tieto skupiny do politiky.

6. Počkajte na interval obnovenia skupinovej politiky alebo spustite gpupdate /force na všetkých radičoch domény.

7. Overte, či je kľúč databázy Registry HKLM\System\CCS\Control\SAM – kľúč databázy Registry ComputerAccountReuseAllowList vyplnený požadovaným kľúčom SDDL. Databázu Registry neupravujte manuálne.

8. Pokúste sa pripojiť k počítaču s nainštalovanou aktualizáciou z 12. septembra 2023 alebo novšou verziou. Skontrolujte, či niektoré z kont uvedených v politike vlastní konto počítača. Ak pripojenie k doméne zlyhá, skontrolujte \netsetup.log c:\windows\debug.

Ak stále potrebujete alternatívne riešenie, skontrolujte pracovné postupy poskytovania konta počítača a zistite, či sú potrebné zmeny. 

1. Vykonajte operáciu pripojenia pomocou rovnakého konta, ktoré vytvorilo konto počítača v cieľovej doméne.

2. Ak je existujúce konto zastarané (nepoužíva sa), pred opätovným pokusom o pripojenie k doméne ho odstráňte.

3. Premenujte počítač a pripojte sa pomocou iného konta, ktoré ešte neexistuje.

4. Ak je existujúce konto vo vlastníctve dôveryhodného subjektu zabezpečenia a správca chce konto opätovne použiť, podľa pokynov v časti Prijať akciu nainštalujte aktualizácie Windowsu zo septembra 2023 alebo novšej verzie a nakonfigurujte zoznam povolených položiek.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Známe problémy

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac