8 Kasım 2022—KB5020003 (Yalnızca güvenlikle ilgili güncelleştirme)

Belirti

Sonraki adım

Bu güncelleştirme veya sonraki bir Windows güncelleştirmesi yüklendikten sonra etki alanına katılma işlemleri başarısız olabilir ve "0xaac (2732): NERR_AccountReuseBlockedByPolicy" hatası oluşur. Buna ek olarak, "Active Directory'de aynı ada sahip bir hesap var. Hesabı yeniden kullanmak güvenlik ilkesi tarafından engellendi" ifadesi görüntülenebilir.

Etkilenen senaryolar, bir bilgisayar hesabının oluşturulduğu veya bilgisayarı etki alanına yeniden katmak veya yeniden birleştirmek için kullanılan kimlikten farklı bir kimlik tarafından önceden hazırlanmış olduğu bazı etki alanına katılma veya yeniden görüntüleme işlemlerini içerir.

Bu sorun hakkında daha fazla bilgi için bkz. KB5020276—Netjoin: Etki alanına katılma sağlamlaştırma değişiklikleri.

Not Windows'un Tüketici Masaüstü sürümlerinin bu sorunla karşılaşma olasılığı düşüktür.

Bu sorunla ilgili yönergeler için bkz. KB5020276 .

Etki Alanı Denetleyicisi rolünü kullanan Windows Sunucularına 8 Kasım 2022 veya sonrasında yayımlanan Windows güncelleştirmelerini yükledikten sonra, Kerberos kimlik doğrulamasıyla ilgili sorunlarla karşılaşabilirsiniz. Bu sorun ortamınızdaki tüm Kerberos kimlik doğrulamalarını etkileyebilir. Etkilenebilecek bazı senaryolar:

• Etki alanı kullanıcısı oturum açma işlemi başarısız olabilir. Bu, Active Directory Federasyon Hizmetleri (AD FS) (AD FS) kimlik doğrulamasını da etkileyebilir.

• Internet Information Services (IIS Web Sunucusu) gibi hizmetler için kullanılan Grup Yönetilen Hizmet Hesapları (gMSA) kimlik doğrulaması başarısız olabilir.

• Etki alanı kullanıcılarını kullanan Uzak Masaüstü bağlantıları bağlanamayabilir.

• İş istasyonlarındaki paylaşılan klasörlere ve sunuculardaki dosya paylaşımlarına erişemeyebilirsiniz.

• Etki alanı kullanıcı kimlik doğrulaması gerektiren yazdırma işlemi başarısız olabilir.

Bu sorunla karşılaşıldığında, Etki Alanı Denetleyicinizdeki olay günlüğünün Sistem bölümünde aşağıdaki metinle bir Microsoft-Windows-Kerberos-Key-Distribution-Center Olay Kimliği 4 hata olayı alabilirsiniz.

Not Etkilenen olaylar "eksik anahtarın kimliği 1" dizesini içerir:

While processing an AS request for target service <service>, the account <account name> did not have a suitable key for generating a Kerberos ticket (the missing key has an ID of 1). The requested etypes : 18 3. The accounts available etypes : 23 18 17. Changing or resetting the password of <account name> will generate a proper key.

Not Bu sorun, Kasım 2022 güvenlik güncelleştirmesi ile başlayarak Netlogon ve Kerberos için güvenlik sağlamlaştırmasının beklenen bir parçası değildir. Bu sorun çözüldükten sonra bile bu makalelerdeki yönergeleri izlemeniz gerekir.

Şirket içi etki alanının parçası olmayan tüketiciler veya cihazlar tarafından evde kullanılan Windows cihazları bu sorundan etkilenmez. Karma olmayan ve şirket içi Active Directory sunucusu olmayan Azure Active Directory ortamları etkilenmez.

Bu sorun KB5021652 güncelleştirmesinde giderilmektedir.

Bu güncelleştirmeyi veya daha sonraki bir güncelleştirmeyi bir etki alanı denetleyicisine (DC) yükledikten sonra, Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti (LSASS,exe) ile bellek sızıntısıyla karşılaşabilirsiniz. DC'nizin iş yüküne ve sunucunun son yeniden başlatılmasından bu yana geçen süreye bağlı olarak, LSASS sunucunun çalışma süresiyle bellek kullanımını sürekli artırabilir ve sunucu yanıt vermemeye veya otomatik olarak yeniden başlatmaya devam edebilir.

Not 17 Kasım 2022 ve 18 Kasım 2022'de yayımlanan DC'ler için bant dışı güncelleştirmeler bu sorundan etkilenebilir.

Bu sorunu azaltmak için Yönetici olarak bir Komut İstemi açın ve krbtgtFullPacSignature kayıt defteri anahtarını 0 olarak ayarlamak için aşağıdaki komutu kullanın:

reg add "HKLM\System\CurrentControlSet\services\KDC" -v "KrbtgtFullPacSignature" -d 0 -t REG_DWORD

Not Bu bilinen sorun çözüldükten sonra, ortamınızın izin vereceklerine bağlı olarak KrbtgtFullPacSignature'ı daha yüksek bir ayara ayarlamanız gerekir. Ortamınız hazır olduğunda Zorlama modunu etkinleştirmenizi öneririz.

Bu kayıt defteri anahtarı hakkında daha fazla bilgi için bkz. KB5020805: CVE-2022-37967 ile ilgili Kerberos protokolü değişikliklerini yönetme.

Çözüm üzerinde çalışıyoruz ve sonraki bir sürümde güncelleştirme sağlayacağız.

Bu güncelleştirmeyi yükledikten sonra, veritabanlarına erişmek için Microsoft ODBC SQL Server Sürücüsü (sqlsrv32.dll) aracılığıyla ODBC bağlantıları kullanan uygulamalar bağlanmayabilir. Ayrıca, uygulamada bir hata alabilir veya SQL Server bir hata alabilirsiniz. Alabileceğiniz hatalar aşağıdaki iletileri içerir:

• EMS Sistemi bir sorunla karşılaştı.
  İleti: [Microsoft][ODBC SQL Server Sürücüsü] TDS Akışında protokol hatası.

• EMS Sistemi bir sorunla karşılaştı.
  İleti: [Microsoft][ODBC SQL Server Sürücüsü] SQL Server bilinmeyen belirteç alındı.

Geliştiriciler için not: Bu sorundan etkilenen uygulamalar, örneğin SQLFetch işlevini kullanırken veri getiremeyebilir. Bu sorun, SQLFetch'ten önce SQLBindCol işlevini çağırırken veya SQLFetch'ten sonra SQLGetData işlevini çağırırken ve 4 bayttan büyük sabit veri türleri için 'BufferLength' bağımsız değişkeni için 0 (sıfır) değeri verildiğinde (SQL_C_FLOAT gibi) oluşabilir.

Etkilenen bir uygulamayı kullanıp kullanmadığınıza karar vermek için veritabanına bağlanan uygulamayı açın. Bir Komut İstemi penceresi açın, aşağıdaki komutu yazın ve Enter tuşuna basın:

tasklist /m sqlsrv32.dll

Komut bir görev döndürürse uygulama etkilenebilir.

Bu sorunu azaltmak için aşağıdakilerden birini yapabilirsiniz:

• Uygulamanız ODBC bağlantılarını seçmek için veri kaynağı adını (DSN) kullanıyor veya kullanabiliyorsa, SQL Server için Microsoft ODBC Sürücüsü 17'yi yükleyin ve DSN kullanarak uygulamanızla kullanmak üzere seçin.
  
  Not: SQL Server için Microsoft ODBC Sürücüsü 17'nin en son sürümünü öneririz; bu sürüm şu anda eski Microsoft ODBC SQL Server Sürücüsü (sqlsrv32.dll) kullanan uygulamalarla SQL Server için Microsoft ODBC Sürücüsü 18'e göre daha uyumludur.

• Uygulamanız DSN'yi kullanamıyorsa, uygulamanın DSN'ye izin verecek veya Microsoft ODBC SQL Server Sürücüsü'nden (sqlsrv32.dll) daha yeni bir ODBC sürücüsü kullanacak şekilde değiştirilmesi gerekir.

Bu sorun KB5022343 tarafından giderilmiştir. Yukarıdaki geçici çözümü uyguladıysanız, geçici çözümde yapılandırmayı kullanmaya devam etmek önerilir.

Sürüm Kanalı

Kullanılabilir

Sonraki Adım

Windows Update ve Microsoft Update

Hayır

Aşağıdaki diğer seçeneklere bakın.

Microsoft Update Kataloğu

Evet

Bu güncelleştirmenin tek başına paketini almak için Microsoft Update Kataloğu web sitesine gidin.

Windows Server Update Services (WSUS)

Evet

Ürün ve Sınıflandırmalar'ı aşağıdaki gibi yapılandırırsanız bu güncelleştirme WSUS ile otomatik olarak eşitlenir:

Ürün: Windows Server 2012, Windows Embedded 8 Standard

Sınıflandırma: Güvenlik Güncelleştirmesi