2022. november 8. – KB5020003 (csak biztonsági frissítés)

Tünet

Következő lépés

A frissítés vagy egy újabb Windows-frissítés telepítése után előfordulhat, hogy a tartományhoz való csatlakozás sikertelen lesz, és "0xaac (2732): NERR_AccountReuseBlockedByPolicy" hibaüzenet jelenik meg. Emellett a következő szöveg is szerepel: "Egy azonos nevű fiók létezik az Active Directoryban. Előfordulhat, hogy a fiók újbóli használatát a biztonsági szabályzat letiltotta" üzenet jelenhet meg.

Az érintett forgatókönyvek közé tartoznak azok a tartományhoz való csatlakoztatási vagy újraképezendő műveletek, ahol a számítógépfiókot egy másik identitás hozta létre vagy előkészítette, mint a számítógép tartományhoz való csatlakoztatásához vagy újbóli csatlakoztatásához használt identitás.

További információ erről a problémáról: KB5020276 – Netjoin: Tartományhoz való csatlakozás korlátozásának módosításai.

Megjegyzés A Windows Consumer Desktop kiadásaiban nem valószínű, hogy ez a probléma jelentkezik.

A problémával kapcsolatos útmutatásért tekintse meg a KB5020276-os tudásbáziscikket .

A tartományvezérlői szerepkört használó Windows-kiszolgálókon 2022. november 8-án vagy azt követően kiadott Windows-frissítések telepítése után problémák merülhetnek fel a Kerberos-hitelesítéssel kapcsolatban. Ez a probléma hatással lehet a környezetben található Kerberos-hitelesítésre. Néhány forgatókönyv, amelyet érinthet:

• A tartományi felhasználó bejelentkezése sikertelen lehet. Ez hatással lehet Active Directory összevonási szolgáltatások (AD FS) (AD FS) hitelesítésre is.

• Előfordulhat, hogy a szolgáltatásokhoz, például az Internet Information Serviceshez (IIS-webkiszolgálóhoz) használt csoportosan felügyelt szolgáltatásfiókok (gMSA) hitelesítése sikertelen lehet.

• Előfordulhat, hogy a tartományi felhasználókat használó távoli asztali kapcsolatok nem csatlakoznak.

• Előfordulhat, hogy nem tud hozzáférni a munkaállomások megosztott mappáihoz és a kiszolgálókon lévő fájlmegosztásokhoz.

• A tartományi felhasználó hitelesítését igénylő nyomtatás sikertelen lehet.

Ha ez a probléma merül fel, előfordulhat, hogy a tartományvezérlő eseménynaplójának Rendszer szakaszában 4-es hibaesemény jelenik meg a Microsoft-Windows-Kerberos-Key-Distribution-Center eseményazonosítóban az alábbi szöveggel.

Megjegyzés Az érintett események "a hiányzó kulcs azonosítója 1" sztringet tartalmaznak:

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Megjegyzés Ez a probléma nem része a Netlogon és a Kerberos 2022. novemberi biztonsági frissítéssel kezdődő biztonsági megerősítésének. A probléma megoldása után is követnie kell az ezekben a cikkekben található útmutatást.

Ez a probléma nem érinti a fogyasztók vagy a helyszíni tartomány részét nem képező eszközök által otthon használt Windows-eszközöket. A nem hibrid és helyi Active Directory kiszolgálóval nem rendelkező Azure Active Directory-környezetekre nincs hatással.

Ezt a problémát a KB5021652-ös frissítés kezeli.

A frissítés vagy egy későbbi frissítés tartományvezérlőre (DC) való telepítése után memóriavesztés léphet fel a helyi biztonsági hatóság alrendszerszolgáltatásában (LSASS,exe). A tartományvezérlő számítási feladataitól és a kiszolgáló utolsó újraindítása óta eltelt időtől függően az LSASS a kiszolgáló üzemidejével folyamatosan növelheti a memóriahasználatot, és előfordulhat, hogy a kiszolgáló nem válaszol vagy automatikusan újraindul.

Megjegyzés A 2022. november 17-én és 2022. november 18-án kiadott, sávon kívüli frissítéseket érintheti ez a probléma.

A probléma megoldásához nyisson meg egy parancssort rendszergazdaként, és a következő paranccsal állítsa a KrbtgtFullPacSignature beállításkulcsot 0-ra:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Megjegyzés Az ismert probléma megoldása után állítsa a KrbtgtFullPacSignature beállítást egy magasabb értékre attól függően, hogy a környezet mit fog engedélyezni. Javasoljuk, hogy amint a környezet készen áll, engedélyezze a Kényszerítési módot.

További információ erről a beállításkulcsról: KB5020805: A CVE-2022-37967-hez kapcsolódó Kerberos protokollmódosítások kezelése.

Dolgozunk a probléma megoldásán, és egy későbbi kiadásban biztosítunk frissítést.

A frissítés telepítése után előfordulhat, hogy azok az alkalmazások, amelyek ODBC-kapcsolatokat használnak a Microsoft ODBC SQL Server Illesztőprogramon (sqlsrv32.dll) keresztül az adatbázisok eléréséhez, előfordulhat, hogy nem csatlakoznak. Emellett előfordulhat, hogy hibaüzenetet kap az alkalmazásban, vagy hibaüzenetet kap a SQL Server. A következő hibaüzenetek jelenhetnek meg:

• Az EMS-rendszer hibát észlelt.
  Üzenet: [Microsoft][ODBC SQL Server Illesztőprogram] Protokollhiba a TDS Streamben.

• Az EMS-rendszer hibát észlelt.
  Üzenet: [Microsoft][ODBC SQL Server Illesztőprogram] Ismeretlen jogkivonat érkezett SQL Server.

Megjegyzés fejlesztőknek: Előfordulhat, hogy a probléma által érintett alkalmazások nem kérnek le adatokat, például az SQLFetch függvény használatakor. Ez a probléma akkor fordulhat elő, ha az SQLBindCol függvényt az SQLFetch előtt hívja meg, vagy az SQLGetData függvényt az SQLFetch után hívja meg, és ha a 4 bájtnál nagyobb rögzített adattípusok (például SQL_C_FLOAT) "BufferLength" argumentumának értéke 0 (nulla).

Annak eldöntéséhez, hogy egy érintett alkalmazást használ-e, nyissa meg az adatbázishoz csatlakozó alkalmazást. Nyisson meg egy parancssori ablakot, írja be a következő parancsot, majd nyomja le az Enter billentyűt:

tasklist /m sqlsrv32.dll

Ha a parancs feladatot ad vissza, akkor az alkalmazás érintett lehet.

A probléma megoldásához tegye a következők egyikét:

• Ha az alkalmazás már használja vagy használhatja az adatforrás nevét (DSN) az ODBC-kapcsolatok kiválasztásához, telepítse a Microsoft ODBC Driver 17 for SQL Server alkalmazást, és válassza ki az alkalmazáshoz a DSN használatával való használatra.
  
  Megjegyzés: Javasoljuk, hogy a Microsoft ODBC Driver 17 legújabb verzióját használja a SQL Server, mivel kompatibilisebb azokkal az alkalmazásokkal, amelyek jelenleg az örökölt Microsoft ODBC SQL Server Illesztőprogramot (sqlsrv32.dll) használják, mint a Microsoft ODBC Driver 18 for SQL Server.

• Ha az alkalmazás nem tudja használni a DSN-t, módosítani kell az alkalmazást, hogy engedélyezhesse a DSN-t, vagy újabb ODBC-illesztőprogramot használjon, mint a Microsoft ODBC SQL Server Illesztőprogram (sqlsrv32.dll).

Ezt a problémát a KB5022343-ban megoldottuk. Ha implementálta a fenti áthidaló megoldást, javasoljuk, hogy folytassa a konfiguráció használatát a kerülő megoldásban.

Kiadási csatorna

Elérhető

Következő lépés

Windows Update és Microsoft Update

Nem

Az alábbiakban megtekintheti az egyéb lehetőségeket.

Microsoft Update katalógus

Igen

A frissítés különálló csomagjának beszerzéséhez látogasson el a Microsoft Update Catalog webhelyére.

Windows Server Update Services (WSUS)

Igen

A frissítés automatikusan szinkronizálni fog a WSUS-sel, ha a Termékek és besorolások beállításaként a következőket adja meg:

Termék: Windows Server 2012, Windows Embedded 8 Standard

Besorolás: Biztonsági frissítés