8. november 2022 – KB5020003 (samo varnostna posodobitev)

Simptom

Naslednji korak

Po namestitvi te posodobitve ali novejše posodobitve sistema Windows so lahko operacije združevanja domen neuspešne in pojavi se 0xaac (2732): NERR_AccountReuseBlockedByPolicy«. Poleg tega besedilo z besedilom »Račun z istim imenom obstaja v imeniku Active Directory. Morda je varnostni pravilnik blokiral ponovno uporabo računa.

Scenariji, na katere to vpliva, vključujejo nekatere postopke združevanja ali vnovičnega zajemanja slik domen, pri katerih je bil račun računalnika ustvarjen ali pa je bil vnaprej po stopnjah ustvarjen z drugačno identiteto kot identiteta, ki je bila uporabljena za pridružitev ali ponovno pridružitev računalniku domeni.

Če želite več informacij o tej težavi, glejte KB5020276 – Netjoin: spremembe pridruževanje domeni.

Opomba V izdajah potrošniškega namizja sistema Windows ta težava verjetno ne bo na voljo.

Za navodila o tej težavi glejte KB5020276 .

Po namestitvi posodobitev sistema Windows, izdanih 8. novembra 2022 ali 8. novembra 2022, v strežnikih Windows, ki uporabljajo vlogo krmilnika domene, lahko pride do težav s preverjanjem pristnosti Kerberos. Ta težava lahko vpliva na preverjanje pristnosti Kerberos v vašem okolju. Nekateri scenariji, na katere bi lahko vplivali:

• Vpis uporabnika domene morda ne uspe. To lahko vpliva tudi storitve ADFS preverjanje pristnosti storitve ADFS.

• Preverjanje pristnosti računov za upravljane storitve skupine (gMSA), ki se uporabljajo za storitve, kot so spletne storitve IIS (Internet Information Services), morda ne bo uspelo.

• Povezave z oddaljenim namizjem, ki uporabljajo uporabnike domene, morda ne bodo uspele vzpostaviti povezave.

• Morda ne boste mogli dostopati do map v skupni rabi v delovnih postajah in datote poštnih mapah v strežnikih.

• Tiskanje, ki zahteva preverjanje pristnosti uporabnika domene, morda ne bo uspelo.

Ko pride do te težave, se lahko v razdelku System v dnevniku dogodkov v krmilniku domene v krmilniku domene prikaže dogodek z ID-jem dogodka 4 v razdelku System v krmilniku domene s spodnjim besedilom.

Opomba V prizadetih dogodkih bo niz »manjkajoči ključ ima ID 1«:

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Opomba Ta težava od novembra 2022 od novembra 2022 ni pričakovan del varnostnega utrjenega oblikovanja za Netlogon in Kerberos. Tudi po odpravi te težave boste morali upoštevati navodila v teh člankih.

Ta težava ne vpliva na naprave s sistemom Windows, ki jih uporabniki uporabljajo doma, ali naprave, ki niso del domene na mestu uporabe. To ne vpliva na okolja imenika Azure Active Directory, ki niso Active Directory na mestu uporabe in nimajo nameščenih strežnikov.

Ta težava je odpravljena v posodobitvi KB5021652.

Po namestitvi te posodobitve ali novejše posodobitve v krmilniku domene (DC) lahko pride do puščanja pomnilnika s storitvijo podsistema LSASS,exe. Odvisno od delovne obremenitve vašega DC-ja in časa od zadnjega ponovnega zagona strežnika, lahko storitev LSASS ves čas uporabe pomnilnika stalno povečuje, strežnik pa se lahko neodzivno ali samodejno znova zažene.

Opomba Ta težava lahko vpliva na posodobitve zunaj pasu za računalnike, izdane 17. novembra 2022 in 18. novembra 2022.

Če želite to težavo ublažiti, odprite ukazni poziv kot skrbnik in z naslednjim ukazom nastavite registrski ključ KrbtgtFullPacSignature na 0:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Opomba Ko je ta znana težava odpravljena, nastavite KrbtgtFullPacSignature na višjo nastavitev, odvisno od tega, kaj bo vaše okolje omogočilo. Priporočamo, da omogočite način uveljavljanja takoj, ko je vaše okolje pripravljeno.

Če želite več informacij o tem registrskem ključu, glejte KB5020805: Kako upravljati spremembe protokola Kerberos, povezane s CVE-2022-37967.

Pripravljamo rešitev in bomo ponudili posodobitev v prihodnji izdaji.

Po namestitvi te posodobitve aplikacije, ki za dostop do zbirk podatkov uporabljajo povezave ODBC prek Microsoftovega gonilnika ODBC SQL Server Driver (sqlsrv32.dll), morda ne bodo vzpostavljali povezave. Poleg tega se lahko v aplikaciji prikaže napaka ali pa se v aplikaciji prikaže napaka SQL Server. Napake, ki se lahko prikaže, vključujejo ta sporočila:

• Sistem EMS je naletel na težavo.
  Sporočilo: [Microsoft][ODBC SQL Server Driver] Napaka protokola v toku TDS.

• Sistem EMS je naletel na težavo.
  Sporočilo: [Microsoft][ODBC SQL Server Driver] Unknown token received from SQL Server.

Opomba za razvijalce: Aplikacije, na katere vpliva ta težava, morda ne bodo pridobivale podatkov, na primer pri uporabi funkcije SQLFetch. Do te težave lahko pride pri klicanju funkcije SQLBindCol pred SQLFetch ali klicanjem funkcije SQLGetData po SQLFetch in ko je za argument »BufferLength« podana vrednost 0 (nič) za nespremenljive vrste podatkov, večje od 4 bajtov (na primer SQL_C_FLOAT).

Če se želite odločiti, ali uporabljate aplikacijo, na katero to vpliva, odprite aplikacijo, ki vzpostavi povezavo z zbirko podatkov. Odprite okno ukaznega poziva, vnesite ta ukaz in pritisnite tipko Enter:

tasklist /m sqlsrv32.dll

Če ukaz vrne opravilo, bo to morda vplivalo na aplikacijo.

Če želite to težavo ublažiti, lahko naredite nekaj od tega:

• Če vaša aplikacija že uporablja ali lahko uporablja ime vira podatkov (DSN) za izbiro povezav ODBC, namestite gonilnik Microsoft ODBC Driver 17 za SQL Server in ga izberite za uporabo z vašo aplikacijo z uporabo DSN.
  
  Opomba: Priporočamo najnovejšo različico gonilnika Microsoft ODBC driver 17 za SQL Server, saj je bolj združljiva z aplikacijami, ki trenutno uporabljajo starejši gonilnik Microsoft ODBC SQL Server (sqlsrv32.dll) kot gonilnik Microsoft ODBC 18 za SQL Server.

• Če vaša aplikacija ne more uporabljati omrežja DSN, morate aplikacijo spremeniti tako, da dovoli DSN ali uporablja novejši gonilnik ODBC od gonilnika Microsoft ODBC SQL Server (sqlsrv32.dll).

Ta težava je bila odpravljena v posodobitvi KB5022343. Če ste izvedejo zgoraj navedeno nadomestno rešitev, priporočamo, da še naprej uporabljate konfiguracijo v nadomestni rešitev.

Kanal izdaje

Na voljo

Naslednji korak

Windows Update in Microsoft Update

Ne

Spodaj si oglejte druge možnosti.

Katalog Microsoft Update

Da

Če želite pridobiti samostojni paket za to posodobitev, obiščite spletno mesto Katalog Microsoft Update.

Windows Server Update Services (WSUS)

Da

Ta posodobitev se bo samodejno sinhronizirala s storitvijo WSUS, če izdelke in klasifikacije konfigurirate, kot je navedeno spodaj:

Izdelek: Windows Server 2012, Windows Embedded 8 Standard

Klasifikacija: varnostna posodobitev