KB5020276 – Netjoin: Pridruživanje domenu otežavajućih promena

Rezime

Ispravke za Windows objavljene 11. oktobra 2022. i posle toga sadrže dodatne zaštite koje je uveo CVE-2022-38042. Ove zaštite namerno sprečavaju operacije spajanja domena da ponovo koristi postojeći računarski nalog u ciljnom domenu, osim ako:

• Korisnik koji pokušava da izvrši operaciju je autor postojećeg naloga.

  Ili

• Računar je kreirao član administratora domena.

  Ili

• Vlasnik računarskih naloga koji se ponovo koristi je član "Kontroler domena: Dozvoli ponovno korišćenje naloga računara tokom pridruživanja domenu". Postavka smernica grupe. Ova postavka zahteva instalaciju ispravki za Windows objavljenih 14. marta 2023. ili posle 14. marta 2023. na SVIM računarima članova i kontrolera domena.

Ispravke objavljene 14. marta 2023. i 12. septembra 2023. pružiće dodatne opcije za korisnike koji koriste Windows Server 2012 R2 i novije verzije i sve podržane klijente. Više informacija potražite u odeljcima Ponašanje od 11. oktobra 2022. iPreduzimanje radnje .

Nota Ovaj članak je prethodno upućio na NetJoinLegacyAccountReuse ključ registratora. Od 13. avgusta 2024. ovaj ključ registratora i njegove reference u ovom članku su uklonjeni. 

Ponašanje pre 11. oktobra 2022.

Pre nego što instalirate kumulativne ispravke od 11. oktobra 2022. ili novije, klijentski računar upiti aktivnog direktorijuma za postojeći nalog sa istim imenom. Ovaj upit se javlja tokom pridruživanja domenu i dodeljivanja naloga na računaru. Ako takav nalog postoji, klijent će automatski pokušati da ga ponovo koristi.

Nota Pokušaj ponovne upotrebe neće uspeti ako korisnik koji pokuša operaciju pridruživanja domenu nema odgovarajuće dozvole za pisanje. Međutim, ako korisnik ima dovoljno dozvola, pridruživanje domenu će uspeti.

Postoje dva scenarija za pridruživanje domenu sa odgovarajućim podrazumevanim ponašanjima i zastavicom na sledeći način:

• Pridruživanje domenu (NetJoinDomain)

  • Podrazumevane vrednosti za ponovnu upotrebu naloga ( osim NETSETUP_NO_ACCT_REUSE je navedena zastavica)

• Obezbeđivanje naloga (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Podrazumevano je da se ne koristi ponovna upotreba (NETSETUP_PROVISION_REUSE_ACCOUNT nije navedeno.)

Ponašanje 11. oktobra 2022. 

Kada instalirate 11. oktobar 2022. ili novije Windows kumulativne ispravke na klijentskom računaru, tokom pridruživanja domenu, klijent će izvršiti dodatne bezbednosne provere pre nego što pokuša da ponovo koristi postojeći računarski nalog. Algoritam:

1. Pokušaj ponovne upotrebe naloga biće dozvoljen ako je korisnik koji pokušava da izvrši operaciju autor postojećeg naloga.

2. Pokušaj ponovne upotrebe naloga biće dozvoljen ako je nalog kreirao član administratora domena.

Ove dodatne bezbednosne provere se proveravaju pre nego što pokušate da se pridružite računaru. Ako su provere uspešne, ostatak operacije spajanja podleže dozvolama aktivnog direktorijuma kao i ranije.

Ova promena ne utiče na nove naloge.

Napomena Nakon instaliranja kumulativnih ispravki za Windows 11. oktobar 2022. ili novije, ponovno korišćenje domena pomoću naloga računara može namerno da ne uspe uz sledeću grešku:

Greška 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Nalog sa istim imenom postoji u aktivnom direktorijumu. Ponovno korišćenje naloga je blokirano bezbednosnim smernicama."

Ako je tako, nalog se namerno štiti novim ponašanjem.

ID događaja 4101 će se aktivirati kada se pojavi gorenavedena greška i problem će biti evidentiran na c:\windows\debug\netsetup.log. Pratite dolenavedene korake u članku Preduzimanje radnje da biste razumeli neuspeh i rešili problem.

Ponašanje 14. marta 2023.

U ispravkama za Windows objavljenim 14. marta 2023. ili posle toga, izvršili smo nekoliko promena u bezbednosnom otežanju. Ove promene uključuju sve promene koje smo uneli 11. oktobra 2022. godine.

Prvo smo razvili opseg grupa koje su izuzete od ovog ojaиavanja. Pored administratora domena, administratori preduzeća i ugrađene administratorske grupe sada su izuzete iz provere vlasništva.

Zatim smo primenili novu postavku smernica grupe. Administratori mogu da ga koriste da bi naveli listu dozvoljenih vlasnika naloga računara. Nalog računara će zaobići bezbednosnu proveru ako je tačno nešto od sledećeg:

• Nalog je u vlasništvu korisnika navedenog kao pouzdanog vlasnika u smernicama grupe "Kontroler domena: Dozvoli ponovno korišćenje naloga računara tokom pridruživanja domenu".

• Nalog je u vlasništvu korisnika koji je član grupe navedene kao pouzdani vlasnik u smernicama grupe "Kontroler domena: Dozvoli ponovno korišćenje naloga na računaru tokom pridruživanja domenu".

Da biste koristili ove nove smernice grupe, kontroler domena i računar člana moraju dosledno da imaju instaliranu ispravku od 14. marta 2023. ili noviju. Neki od vas možda imaju određene naloge koje koristite za automatizovano kreiranje naloga na računaru. Ako su ti nalozi bezbedni od zloupotrebe i imate poverenja u njih da kreiraju računarske naloge, možete da ih izuzimate. I dalje ćete biti sigurni protiv prvobitne ranjivosti umanjene do 11. oktobra 2022. u ispravkama za Windows.

^{Ponašanje 12. septembra 2023.}

U Ispravkama za Windows objavljenim 12. septembra 2023. ili posle 12. septembra 2023. izvršili smo nekoliko dodatnih promena u bezbednosnom otežanju. Ove promene uključuju sve promene koje smo uneli 11. oktobra 2022. i promene od 14. marta 2023. godine.

Rešili smo problem gde pridruživanje domenu pomoću potvrde identiteta pametne kartice nije uspelo bez obzira na regulatornu postavku. Da bismo rešili ovaj problem, premestili smo preostale bezbednosne provere nazad na kontroler domena. Stoga, nakon bezbednosne ispravke od septembra 2023. klijentske mašine upućuju ovlašćene SAMRPC pozive kontroloru domena da bi izvršile provere bezbednosne provere valjanosti povezane sa ponovnim korisnicima naloga računara.

Međutim, to može dovesti do neuspeha pridruživanja domenu u okruženjima u kojima su postavljene sledeće smernice: Pristup mreži: Ograničavanje klijenata kojima je dozvoljeno da upućuju daljinske pozive SAM-u.  Informacije o tome kako da rešite ovaj problem potražite u odeljku "Poznati problemi".

Ponašanje 13. avgusta 2024.

U ispravkama za Windows objavljenim 13. avgusta 2024. ili posle toga, rešili smo sve poznate probleme sa kompatibilnošću sa smernicama Allowlist. Uklonili smo i podršku za ključ NetJoinLegacyAccountReuse . Oštar ponašanje će se nastaviti bez obzira na postavku ključa. Odgovarajući metodi za dodavanje izuzetka navedeni su u dolenavedenom odeljku Preduzimanje radnje. 

Preduzimanje radnje

Konfigurišite nove smernice liste dozvola pomoću smernica grupe na kontroleru domena i uklonite sva zastarela rešenja na strani klijenta. Zatim uradite sledeće:

1. Morate da instalirate ispravke od 12. septembra 2023. ili novije na svim računarima članova i upravljačima domena. 

2. U novim ili postojećim smernicama grupe koje se primenjuju na sve kontrolera domena konfigurišite postavke u dolenavedenim koracima.

3. U okviru Konfiguracija računara\Smernice\Windows Postavke\Bezbednosne postavke\Lokalne smernice\Bezbednosne opcije kliknite dvaput na kontroler domena: Dozvolite ponovno korišćenje naloga računara tokom pridruživanja domenu.

4. Izaberite stavku Definiši ovu regulatornu postavku i <Uredi bezbednost...>.

5. Koristite birač objekata da biste dodali korisnike ili grupe pouzdanih autora i vlasnika naloga računara u dozvolu Dozvoli . (Kao najbolju praksu, preporučujemo da koristite grupe za dozvole.) Nemojte da dodajete korisnički nalog koji izvršava spajanje domena.

   Upozorenje: Ograniči članstvo na smernice na pouzdane korisnike i naloge za uslugu. Nemojte da dodajete autorizovane korisnike, sve ili druge velike grupe u ove smernice. Umesto toga, dodajte određene pouzdane korisnike i naloge usluge u grupe i dodajte te grupe u smernice.

6. Sačekajte interval osvežavanja smernica grupe ili pokrenite gpupdate /force na svim kontrolere domena.

7. Proverite da li je ključ registratora HKLM\System\CCS\Control\SAM – ključ registratora "ComputerAccountReuseAllowList" popunjen željenim SDDL-om. Nemojte ručno uređivati registrator.

8. Pokušajte da se pridružite računaru koji ima instalirane ispravke od 12. septembra 2023. ili novije. Uverite se da jedan od naloga navedenih u smernicama poseduje računarski nalog. Ako spajanje domena ne uspe, proverite c:\windows\debug\netsetup.log.

Ako vam je i dalje potrebno alternativan način za zaobilaženje problema, pregledajte tokove posla dodeljivanja tokova posla na računaru i razumejte da li su potrebne promene. 

1. Izvršite operaciju spajanja pomoću istog naloga koji je kreirao računarski nalog u ciljnom domenu.

2. Ako je postojeći nalog zastareo (neiskorišćeno), izbrišite ga pre nego što ponovo pokušate da se pridružite domenu.

3. Preimenujte računar i pridružite se pomoću drugog naloga koji već ne postoji.

4. Ako je postojeći nalog u vlasništvu pouzdanog principala bezbednosti i administrator želi ponovo da koristi nalog, pratite uputstva u odeljku Preduzimanje radnje da biste instalirali ispravke za septembar 2023. ili novije verzije operativnog sistema Windows i konfigurisali listu dozvola.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Poznati problemi

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac