KB5020276— Netjoin: wijzigingen in domeindeelnamebeveiliging

Samenvatting

Windows-updates die zijn uitgebracht op en na 11 oktober 2022, bevatten aanvullende beveiligingen die zijn geïntroduceerd door CVE-2022-38042. Deze beveiligingen voorkomen opzettelijk dat domeindeelnamebewerkingen een bestaand computeraccount in het doeldomein opnieuw gebruiken, tenzij:

• De gebruiker die de bewerking probeert uit te voeren, is de maker van het bestaande account.

  Of

• De computer is gemaakt door een lid van domeinbeheerders.

  Of

• De eigenaar van het computeraccount dat opnieuw wordt gebruikt, is lid van de 'Domeincontroller: sta opnieuw gebruik van computeraccounts toe tijdens domeindeelname'. groepsbeleid instelling. Deze instelling vereist de installatie van Windows-updates die zijn uitgebracht op of na 14 maart 2023, op ALLE lidcomputers en domeincontrollers.

Updates uitgebracht op en na 14 maart 2023 en 12 september 2023, biedt extra opties voor betrokken klanten op Windows Server 2012 R2 en hoger en alle ondersteunde clients. Zie de secties Gedrag van 11 oktober 2022 en Actie ondernemen voor meer informatie. 

Gedrag vóór 11 oktober 2022

Voordat u de cumulatieve updates van 11 oktober 2022 of latere updates installeert, voert de clientcomputer een query uit op Active Directory voor een bestaand account met dezelfde naam. Deze query wordt uitgevoerd tijdens het inrichten van domein- en computeraccounts. Als een dergelijk account bestaat, probeert de client het automatisch opnieuw te gebruiken.

Opmerking De poging tot opnieuw gebruiken mislukt als de gebruiker die de domeindeelnamebewerking probeert, niet over de juiste schrijfmachtigingen beschikt. Als de gebruiker echter voldoende machtigingen heeft, slaagt de domeindeelname.

Er zijn twee scenario's voor domeindeelname met respectievelijk standaardgedrag en vlaggen als volgt:

• Domeindeelname (NetJoinDomain)

  • Standaard wordt het account opnieuw gebruikt (tenzij NETSETUP_NO_ACCT_REUSE vlag is opgegeven)

• Accountinrichting (NetProvisionComputerAccountNetCreateProvisioningPackage).

  • De standaardinstelling is NIET opnieuw gebruiken (tenzij NETSETUP_PROVISION_REUSE_ACCOUNT is opgegeven.)

Gedrag van 11 oktober 2022 

Zodra u de cumulatieve updates van Windows van 11 oktober 2022 of hoger op een clientcomputer hebt geïnstalleerd, voert de client tijdens domeindeelname extra beveiligingscontroles uit voordat een bestaand computeraccount opnieuw wordt gebruikt. Algoritme:

1. Poging om het account opnieuw te gebruiken, is toegestaan als de gebruiker die de bewerking probeert te maken, de maker van het bestaande account is.

2. Poging om het account opnieuw te gebruiken is toegestaan als het account is gemaakt door een lid van domeinbeheerders.

Deze aanvullende beveiligingscontroles worden uitgevoerd voordat u de computer probeert te koppelen. Als de controles zijn geslaagd, is de rest van de join-bewerking net als voorheen onderworpen aan Active Directory-machtigingen.

Deze wijziging is niet van invloed op nieuwe accounts.

Opmerking Na de installatie van de cumulatieve updates voor Windows van 11 oktober 2022 of hoger, kan domeindeelname met hergebruik van computeraccounts opzettelijk mislukken met de volgende fout:

Fout 0xaac (2732): NERR_AccountReuseBlockedByPolicy: 'Er bestaat een account met dezelfde naam in Active Directory. Het opnieuw gebruiken van het account is geblokkeerd door beveiligingsbeleid.

Als dat het zo is, wordt het account opzettelijk beveiligd door het nieuwe gedrag.

Gebeurtenis-id 4101 wordt geactiveerd zodra de bovenstaande fout optreedt en het probleem wordt vastgelegd in c:\windows\debug\netsetup.log. Volg de onderstaande stappen in Actie ondernemen om de fout te begrijpen en het probleem op te lossen.

Gedrag van 14 maart 2023

In de Windows-updates die zijn uitgebracht op of na 14 maart 2023, hebben we een paar wijzigingen aangebracht in de beveiligingsbeveiliging. Deze wijzigingen omvatten alle wijzigingen die we op 11 oktober 2022 hebben aangebracht.

Eerst hebben we het bereik van groepen die zijn vrijgesteld van deze beveiliging uitgebreid. Naast domeinbeheerders zijn de groepen Ondernemingsadministrators en Ingebouwde beheerders nu vrijgesteld van de eigendomscontrole.

Ten tweede hebben we een nieuwe groepsbeleid-instelling geïmplementeerd. Beheerders kunnen het gebruiken om een acceptatielijst met vertrouwde computeraccounteigenaren op te geven. Het computeraccount overtreedt de beveiligingscontrole als een van de volgende zaken waar is:

• Het account is eigendom van een gebruiker die is opgegeven als een vertrouwde eigenaar in de groepsbeleid 'Domeincontroller: opnieuw gebruik van computeraccount toestaan tijdens domeindeelname'.

• Het account is eigendom van een gebruiker die lid is van een groep die is opgegeven als een vertrouwde eigenaar in de groepsbeleid 'Domeincontroller: toestaan dat computeraccount opnieuw wordt gebruikt tijdens domeindeelname'.

Als u deze nieuwe groepsbeleid wilt gebruiken, moet de update van 14 maart 2023 of hoger op de domeincontroller en de lidcomputer consistent zijn geïnstalleerd. Sommigen van u hebben mogelijk specifieke accounts die u gebruikt bij het automatisch maken van computeraccounts. Als deze accounts veilig zijn voor misbruik en u erop vertrouwt dat ze computeraccounts maken, kunt u ze uitsluiten. U bent nog steeds beveiligd tegen het oorspronkelijke beveiligingsprobleem dat is opgelost door de Windows-updates van 11 oktober 2022.

^{Gedrag van 12 september 2023}

In de Windows-updates die zijn uitgebracht op of na 12 september 2023, hebben we een aantal extra wijzigingen aangebracht in de beveiligingsbeveiliging. Deze wijzigingen omvatten alle wijzigingen die we hebben aangebracht op 11 oktober 2022 en de wijzigingen vanaf 14 maart 2023.

Er is een probleem opgelost waarbij domeindeelname met smartcardverificatie mislukte, ongeacht de beleidsinstelling. Om dit probleem op te lossen, hebben we de resterende beveiligingscontroles teruggezet naar de domeincontroller. Daarom maken clientcomputers na de beveiligingsupdate van september 2023 geverifieerde SAMRPC-aanroepen naar de domeincontroller om beveiligingsvalidatiecontroles uit te voeren met betrekking tot het opnieuw gebruiken van computeraccounts.

Dit kan er echter toe leiden dat domeindeelname mislukt in omgevingen waarin het volgende beleid is ingesteld: Netwerktoegang: Clients beperken die externe aanroepen naar SAM mogen uitvoeren.  Raadpleeg de sectie Bekende problemen voor informatie over het oplossen van dit probleem.

We zijn ook van plan om de oorspronkelijke registerinstelling NetJoinLegacyAccountReuse te verwijderen in een toekomstige Windows-update. [januari 2024 - Begin]Deze verwijdering is voorlopig gepland voor de update van 13 augustus 2024. Releasedatums kunnen worden gewijzigd. [Einde - januari 2024]

Opmerking Als u de sleutel NetJoinLegacyAccountReuse op uw clients hebt geïmplementeerd en deze instelt op waarde 1, moet u deze sleutel nu verwijderen (of instellen op 0) om te profiteren van de meest recente wijzigingen. 

Actie ondernemen

Configureer het nieuwe beleid voor acceptatielijsten met behulp van de groepsbeleid op een domeincontroller en verwijder eventuele verouderde tijdelijke oplossingen aan de clientzijde. Ga vervolgens als volgt te werk:

1. U moet de updates van 12 september 2023 of hoger installeren op alle lidcomputers en domeincontrollers. 

2. Configureer in een nieuw of bestaand groepsbeleid dat van toepassing is op alle domeincontrollers de instellingen in de onderstaande stappen.

3. Dubbelklik onder Computerconfiguratie\Beleid\Windows-instellingen\Beveiligingsinstellingen\Lokaal beleid\Beveiligingsopties op Domeincontroller: Opnieuw gebruik van computeraccount toestaan tijdens domeindeelname.

4. Selecteer Deze beleidsinstelling definiëren en <Beveiliging bewerken...>.

5. Gebruik de objectkiezer om gebruikers of groepen vertrouwde computeraccountmakers en -eigenaren toe te voegen aan de machtiging Toestaan . (Als aanbevolen procedure raden we u ten zeerste aan groepen te gebruiken voor machtigingen.) Voeg niet het gebruikersaccount toe dat de domeindeelname uitvoert.

   Waarschuwing: Beperk het lidmaatschap van het beleid tot vertrouwde gebruikers en serviceaccounts. Voeg geen geverifieerde gebruikers, iedereen of andere grote groepen toe aan dit beleid. Voeg in plaats daarvan specifieke vertrouwde gebruikers en serviceaccounts toe aan groepen en voeg deze groepen toe aan het beleid.

6. Wacht op het groepsbeleid vernieuwingsinterval of voer gpupdate /force uit op alle domeincontrollers.

7. Controleer of de registersleutel HKLM\System\CCS\Control\SAM – 'ComputerAccountReuseAllowList' is gevuld met de gewenste SDDL. Bewerk het register niet handmatig.

8. Probeer lid te worden van een computer waarop de updates van 12 september 2023 of hoger zijn geïnstalleerd. Zorg ervoor dat een van de accounts in het beleid eigenaar is van het computeraccount. Zorg er ook voor dat de sleutel NetJoinLegacyAccountReuse niet is ingeschakeld (ingesteld op 1). Als de domeindeelname mislukt, controleert u de c:\windows\debug\netsetup.log.

Als u nog steeds een alternatieve tijdelijke oplossing nodig hebt, bekijkt u werkstromen voor het inrichten van computeraccounts en begrijpt u of er wijzigingen nodig zijn. 

1. Voer de joinbewerking uit met hetzelfde account dat het computeraccount in het doeldomein heeft gemaakt.

2. Als het bestaande account verouderd (ongebruikt) is, verwijdert u het voordat u opnieuw probeert deel te nemen aan het domein.

3. Wijzig de naam van de computer en voeg toe met een ander account dat nog niet bestaat.

4. Als het bestaande account eigendom is van een vertrouwde beveiligingsprincipal en een beheerder het account opnieuw wil gebruiken, volgt u de richtlijnen in de sectie Actie ondernemen om de Windows-updates van september 2023 of hoger te installeren en een acceptatielijst te configureren.

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

Bekende problemen

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac