KB5020276 – Netjoin: promjene očjenjivanja pridruživanja domeni

Sažetak

Ažuriranja sustava Windows objavljena 11. listopada 2022. i nakon toga sadrže dodatne zaštite koje je uveo CVE-2022-38042. Te zaštite namjerno onemogunjuju operacijama pridruživanja domeni ponovno korištenje postojećeg računa računala u ciljnoj domeni, osim ako:

• Korisnik koji je pokušao operaciju autor je postojećeg računa.

  Ili

• Računalo je stvorio član administratora domene.

  Ili

• Vlasnik računa računala koji se ponovno koristi član je kontrolera domene: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni." Postavka pravilnika grupe. Za tu je postavku potrebna instalacija ažuriranja sustava Windows objavljenih 14. ožujka 2023. ili kasnije na svim računalima i domenski kontrolerima.

Ažuriranja objavljena 14. ožujka 2023. i 12. rujna 2023. pružit će dodatne mogućnosti zahvaćenim korisnicima u sustavu Windows Server 2012 R2 i novijim i svim podržanim klijentima. Dodatne informacije potražite u odjeljcima Ponašanje od 11. listopada 2022 . i Radnja .

Bilješka U ovom se članku prethodno referencira ključ registra NetJoinLegacyAccountReuse . Od 13. kolovoza 2024. uklonjeni su ključ registra i njegove reference u ovom članku. 

Ponašanje prije 11. listopada 2022.

Prije nego što instalirate kumulativna ažuriranja od 11. listopada 2022. ili novija, klijentsko računalo upitit će Active Directory za postojeći račun s istim nazivom. Taj se upit pojavljuje tijekom pridruživanja domeni i dodjele resursa računu računala. Ako takav račun postoji, klijent će ga automatski pokušati ponovno koristiti.

Bilješka Pokušaj ponovnog korištenja neće uspjeti ako korisnik koji pokuša operaciju pridruživanja domeni nema odgovarajuće dozvole za pisanje. No ako korisnik ima dovoljno dozvola, pridruživanje domeni će uspjeti.

Dva su scenarija za pridruživanje domeni s odgovarajućim zadanim ponašanjem i zastavicama na sljedeći način:

• Pridruživanje domeni (NetJoinDomain)

  • Zadano ponovno korištenje računa (osim ako NETSETUP_NO_ACCT_REUSE navedena zastavica)

• Dodjela resursa računu (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • Zadano na NE ponovno korištenje ( osim NETSETUP_PROVISION_REUSE_ACCOUNT nije navedeno.)

Ponašanje 11. listopada 2022. 

Kada instalirate kumulativna ažuriranja sustava Windows od 11. listopada 2022. ili novija na klijentskom računalu, tijekom pridruživanja domeni klijent će provesti dodatne sigurnosne provjere prije ponovnog korištenja postojećeg računa računala. Algoritam:

1. Pokušaj ponovnog korištenja računa bit će dopušten ako je korisnik koji pokušava izvesti operaciju autor postojećeg računa.

2. Pokušaj ponovnog korištenja računa bit će dopušten ako je račun stvorio član administratora domene.

Te se dodatne sigurnosne provjere izvršavaju prije pokušaja pridruživanja računalu. Ako su provjere uspješne, ostatak operacije pridruživanja podliježe dozvolama servisa Active Directory kao i prije.

Ta promjena ne utječe na nove račune.

Napomena Nakon instalacije kumulativnih ažuriranja za Windows od 11. listopada 2022. ili novije verzije, ponovno korištenje domene s računom računala možda neće uspjeti uz sljedeću pogrešku:

Pogreška 0xaac (2732): NERR_AccountReuseBlockedByPolicy: "Račun s istim nazivom postoji u servisu Active Directory. Ponovno korištenje računa blokirano je sigurnosnim pravilnikom."

Ako je tako, račun je namjerno zaštićen novim ponašanjem.

ID događaja 4101 aktivirat će se kada se pojavi pogreška iznad i problem će se prijaviti u c:\windows\debug\netsetup.log. Slijedite korake u nastavku u odjeljku Poduzmi radnju da biste razumjeli neuspjeh i riješili problem.

14. ožujka 2023.

U ažuriranjima sustava Windows objavljenima 14. ožujka 2023. ili kasnije unijeli smo nekoliko promjena u otegu sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli 11. listopada 2022.

Najprije smo proširili opseg grupa koje su izuzete od tog oteživanja. Osim administratora domene, administratori u tvrtki ili ustanovi i grupe ugrađenih administratora sada su izuzeti iz provjere vlasništva.

Drugo, implementirani smo novu postavku pravilnika grupe. Administratori ga mogu koristiti za određivanje popisa dopuštenih vlasnika računa pouzdanih računala. Račun računala zaobilazi sigurnosnu provjeru ako je istinito nešto od sljedećeg:

• Račun je u vlasništvu korisnika navedenog kao pouzdanog vlasnika u pravilniku grupe "Domain controller: Allow computer account re-use during domain join" (Kontroler domene: dopusti ponovno korištenje računa računala tijekom pridruživanja domeni).

• Račun je u vlasništvu korisnika koji je član grupe određene kao pouzdani vlasnik u pravilniku grupe "Domain controller: Allow computer account re-use during domain join" (Kontroler domene: dopusti ponovno korištenje računa računala tijekom pridruživanja domeni).

Da biste koristili novi pravilnik grupe, kontroler domene i računalo članova moraju dosljedno imati instalirano ažuriranje od 14. ožujka 2023. ili novije. Neki od vas možda imaju određene račune koje koristite pri automatskom stvaranju računa računala. Ako su ti računi sigurni od zloupotrebe i smatrate ih pouzdanima za stvaranje računa računala, možete ih izuzeti. I dalje ćete biti sigurni od izvorne ranjivosti umanjite ažuriranjem sustava Windows od 11. listopada 2022.

^{Ponašanje 12. rujna 2023.}

U ažuriranjima sustava Windows objavljenima 12. rujna 2023. ili kasnije izvršili smo nekoliko dodatnih promjena u poboljšanju sigurnosti. Te promjene obuhvaćaju sve promjene koje smo unijeli u listopadu 11. listopada 2022. i promjene od 14. ožujka 2023.

Riješili smo problem zbog kojeg pridruživanje domeni pomoću provjere autentičnosti pametne kartice nije uspjelo bez obzira na postavku pravilnika. Da bismo riješili taj problem, preostale sigurnosne provjere vratili smo na domenski kontroler. Stoga nakon sigurnosnog ažuriranja za rujan 2023. klijentska računala provjeravaju autentičnost SAMRPC poziva domenskom kontroleru radi provjere sigurnosne provjere valjanosti povezane s ponovnim korištenjem računa računala.

No to može uzrokovati neuspjeh pridruživanja domeni u okruženjima u kojima je postavljen sljedeći pravilnik: pristup mreži: ograničavanje klijenata radi udaljenih poziva samu.  Informacije o rješavanju tog problema potražite u odjeljku "Poznati problemi".

Ponašanje 13. kolovoza 2024.

U ažuriranjima sustava Windows objavljenima 13. kolovoza 2024. ili kasnije riješili smo sve poznate probleme s kompatibilnošću pravilnika Allowlist. Uklonili smo i podršku za ključ NetJoinLegacyAccountReuse . Ponašanje otegljivanja će se nastaviti bez obzira na postavku ključa. Odgovarajuće metode za dodavanje iznimki navedene su u odjeljku Radnja u nastavku. 

Akcija

Konfigurirajte novi pravilnik popisa dopuštenih pomoću pravilnika grupe na domenskom kontroleru i uklonite sva naslijeđena klijentska zaobilazna rješenja. Zatim učinite sljedeće:

1. Ažuriranja od 12. rujna 2023. ili novije morate instalirati na svim računalima i domenski kontrolerima članova. 

2. U novom ili postojećem pravilniku grupe koji se odnosi na sve kontrolere domene konfigurirajte postavke u koracima u nastavku.

3. U odjeljku Konfiguracija računala\Pravilnici\Postavke sustava Windows\Sigurnosne postavke\Lokalni pravilnici\ Sigurnosne mogućnosti dvokliknite Domenski kontroler: Dopusti ponovno korištenje računa računala tijekom pridruživanja domeni.

4. Odaberite Definiraj ovu postavku pravilnika i <Uređivanje sigurnosti...>.

5. Pomoću alata za odabir objekata korisnicima ili grupama pouzdanih autora računa i vlasnika računala dodajte dozvolu Dopusti . (Preporučujemo da kao najbolju praksu koristite grupe za dozvole.) Nemojte dodavati korisnički račun koji izvodi pridruživanje domeni.

   Upozorenje: Ograničite članstvo na pravilnik na pouzdane korisnike i račune servisa. U pravilnik nemojte dodavati provjerene korisnike, sve ili druge velike grupe. Umjesto toga dodajte određene pouzdane korisnike i račune servisa u grupe i dodajte te grupe u pravilnik.

6. Pričekajte interval osvježavanja pravilnika grupe ili pokrenite gpupdate /force na svim kontrolorima domene.

7. Provjerite je li ključ registra HKLM\System\CCS\Control\SAM – "ComputerAccountReuseAllowList" popunjen željenim SDDL-om. Registar nemojte ručno uređivati.

8. Pokušajte se pridružiti računalu na kojem su instalirana ažuriranja od 12. rujna 2023. ili novija. Provjerite je li jedan od računa navedenih u pravilniku vlasnik računa računala. Ako pridruživanje domeni ne uspije, provjerite c:\windows\debug\netsetup.log.

Ako vam je i dalje potrebno alternativno zaobilazno rješenje, pregledajte tijekove rada za dodjelu resursa računa računala i provjerite jesu li potrebne promjene. 

1. Operaciju pridruživanja provedite pomoću istog računa koji je stvorio račun računala u ciljnoj domeni.

2. Ako je postojeći račun u mirovanju (ne koristi se), izbrišite ga prije ponovnog pokušaja pridruživanja domeni.

3. Preimenujte računalo i pridružite se pomoću drugog računa koji već ne postoji.

4. Ako je postojeći račun u vlasništvu pouzdanog upravitelja sigurnosti i administrator želi ponovno koristiti račun, slijedite upute u odjeljku Poduzmi akciju da biste instalirali ažuriranja za Rujan 2023. ili novije verzije sustava Windows i konfigurirali popis dopuštenih.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

Poznati problemi

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac