KB5020276— Netjoin：網域加入硬化變更

摘要

Windows 更新於 2022 年 10 月 11 日及之後發行，包含 CVE-2022-38042 提供的額外保護。 這些保護會刻意防止網域加入作業在目標網域中重複使用現有的計算機帳戶，除非：

• 嘗試執行此作業的用戶是現有帳戶的建立者。

  或者

• 計算機是由網域系統管理員成員所建立。

  或者

• 正在重複使用的電腦帳戶擁有者是「域控制器：允許計算機帳戶在加入網域期間重複使用」的成員。 群組原則 設定。 此設定需要在 2023 年 3 月 14 日或之後於 ALL 成員電腦和域控制器上安裝 Windows 更新。

匯報 於 2023 年 3 月 14 日到 2023 年 9 月 12 日之後發行，將會為 Windows Server 2012 R2 及以上及所有受支援用戶端上受影響的客戶提供其他選項。 如需詳細資訊，請參閱 2022 年 10 月 11 日行為 和 採取行動 一節。 

2022 年 10 月 11 日之前的行為

在您安裝 2022 年 10 月 11 日或更新版本的累積更新之前，用戶端計算機會針對名稱相同的現有帳戶查詢 Active Directory。 此查詢會在網域加入和計算機帳戶布建期間發生。 如果這類帳戶存在，客戶將會自動嘗試重複使用。

附註　如果嘗試加入網域作業的用戶沒有適當的寫入許可權，則重複使用嘗試將會失敗。 不過，如果使用者有足夠的許可權，網域加入將會成功。

網域加入有兩種案例，分別具有默認行為和標幟，如下所示：

• NetJoinDomain (網域加入)

  • 除非) 指定 NETSETUP_NO_ACCT_REUSE 標幟，否則帳戶重複使用 (的預設值

• 帳戶布建 (NetProvisionComputerAccountNetCreateProvisioningPackage) 。

  • 除非指定NETSETUP_PROVISION_REUSE_ACCOUNT， 否則預設不會 重複使用 ( 。)

2022 年 10 月 11 日的行為 

當您在用戶端電腦上安裝 2022 年 10 月 11 日或更新版本的 Windows 累積更新之後，在加入網域期間，用戶端會執行額外的安全性檢查，然後再嘗試重複使用現有的計算機帳戶。 演算法：

1. 如果嘗試執行此作業的使用者是現有帳戶的建立者，則允許帳戶重複使用嘗試。

2. 如果帳戶是由網域系統管理員成員所建立，則允許重複使用帳戶。

這些額外的安全性檢查是在嘗試加入電腦之前完成。 如果檢查成功，則聯結作業的其餘部分會像之前一樣受限於Active Directory 許可權。

這項變更不會影響新帳戶。

注意 安裝 2022 年 10 月 11 日或更新的 Windows 累積更新之後，使用電腦帳戶重複使用的網域加入可能會刻意失敗，並出現下列錯誤：

錯誤0xaac (2732) ：NERR_AccountReuseBlockedByPolicy：「Active Directory 中存在名稱相同的帳戶。 重新使用帳戶已被安全策略封鎖」。

若是如此，帳戶即刻意受到新行為的保護。

發生上述錯誤后，事件標識碼 4101 便會觸發，並將問題記錄在 c：\windows\debug\netsetup.log。 請遵循下列「採取行動」中的步驟以了解失敗並解決問題。

2023 年 3 月 14 日的行為

在 2023 年 3 月 14 日或之後發行的 Windows 更新中，我們對安全性強化做了一些變更。 這些變更包含我們在 2022 年 10 月 11 日所做的所有變更。

首先，我們擴大了免除此強化功能之群組的範圍。 除了網域系統管理員之外，企業系統管理員和內建系統管理員群組現在可以免於擁有權檢查。

第二，我們實作了新的 群組原則 設定。 系統管理員可以使用它來指定信任的計算機帳戶擁有者允許清單。 如果下列其中一項為 True，計算機帳戶將會略過安全性檢查：

• 該帳戶由在「域控制器：允許計算機帳戶在加入網域期間重複使用」群組原則 指定為信任擁有者的使用者所擁有。

• 該帳戶由「域控制器：允許計算機帳戶在加入網域期間重複使用」群組原則 中指定為信任擁有者的群組成員的使用者所擁有。

若要使用此新 群組原則，域控制器和成員計算機必須一致地安裝 2023 年 3 月 14 日或更新版本。 有些人可能會有您在建立自動電腦帳戶時使用的特定帳戶。 如果這些帳戶不受濫用，而且您信任它們建立計算機帳戶，您可以免除這些帳戶。 在 2022 年 10 月 11 日 Windows 更新之前，您仍可安全地抵禦原本的弱點。

^{2023 年 9 月 12 日的行為}

在 2023 年 9 月 12 日或之後發行的 Windows 更新中，我們對安全性強化做了一些額外的變更。 這些變更包含我們在 2022 年 10 月 11 日所做的所有變更，以及 2023 年 3 月 14 日的變更。

我們已解決無論原則設定為何，使用智慧卡驗證加入網域失敗的問題。 若要修正此問題，我們已將其餘的安全性檢查移回域控制器。 因此，在 2023 年 9 月的安全性更新之後，用戶端電腦會撥打已驗證的 SAMRPC 電話給域控制器，以執行與重複使用電腦帳戶相關的安全性驗證檢查。

不過，在設定下列原則的環境中，這可能會導致網域聯結失敗： 網路存取：限制允許遠端呼叫 SAM 的用戶端。  如需如何解決此問題的相關信息，請參閱一節。

我們也計劃在未來的 Windows 更新中移除原本 的 NetJoinLegacyAccount重複使用 登錄設定。 [2024 年 1 月 - 開始]這項移除作業暫訂排定於 2024 年 8 月 13 日的更新。 發行日期可能會變更。 [結束 - 2024 年 1 月]

附註　如果您已在用戶端上部署 NetJoinLegacyAccountReuse 金鑰，並將它設為值 1，您現在必須移除該金鑰 (或設為 0) 才能從最新變更獲益。 

採取行動

使用域控制器上的 群組原則 來設定新的允許清單原則，並移除任何舊版的用戶端因應措施。 然後，執行下列動作：

1. 您必須在所有成員計算機和域控制器上安裝 2023 年 9 月 12 日或更新版本。 

2. 在套用至所有域控制器的全新或現有組策略中，請在下列步驟中設定設定。

3. 在 [計算機設定\原則\Windows 設定\安全性設定\Local Policies\Security Options ] 底下，按兩下 [ 域控制器：允許計算機帳戶在加入網域時重複使用]。

4. 選 取 [定義此原則設定 ]，<[編輯安全性...>] 。

5. 使用物件選擇器將受信任計算機帳戶建立者和擁有者的使用者或群組新增至 [允許] 權 限。 (最佳作法是強烈建議您使用群組進行許可權。) 請勿新增執行網域加入的用戶帳戶。

   警告: 將成員資格限制為受信任的用戶和服務帳戶。 請勿將已驗證的使用者、所有人或其他大型群組新增至此原則。 請改為將特定信任的使用者和服務帳戶新增至群組，並將這些群組新增至原則。

6. 等待 群組原則 重新整理間隔，或在所有域控制器上執行 gpupdate /force。

7. 確認已填入想要的 SDDL HKLM\System\CCS\Control\SAM – “ComputerAccountReuseAllowList” 登錄機碼。 請勿手動編輯登錄。

8. 嘗試加入已安裝 2023 年 9 月 12 日或更新版本更新的電腦。 確定原則中列出的其中一個帳戶擁有計算機帳戶。 此外，請確定其登錄沒有啟用 NetJoinLegacyAccountReuse 金鑰， (設定為 1) 。 如果網域聯結失敗，請檢查 c：\windows\debug\netsetup.log。

如果您仍需要替代的因應措施，請檢閱計算機帳戶布建工作流程，並瞭解是否需要變更。 

1. 使用在目標網域中建立計算機帳戶的同一個帳戶來執行聯結作業。

2. 如果現有帳戶過舊 (未使用) ，請先刪除該帳戶，再嘗試再次加入網域。

3. 使用不存在的其他帳戶重新命名計算機並加入。

4. 如果現有帳戶由受信任的安全性主體擁有，且系統管理員想要重複使用該帳戶，請依照一節中的指導方針來安裝 2023 年 9 月或更新版本的 Windows 更新，並設定允許清單。

NetpGetComputerObjectDn: Crack results: (Account already exists) DN = CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=Computer2,CN=Computers,DC=contoso,DC=com
NetpCheckIfAccountShouldBeReused: Account was created through joinpriv and does not belong to this user. Blocking re-use of account.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac
NetpProvisionComputerAccount: LDAP creation failed: 0xaac
ldap_unbind status: 0x0
NetpJoinCreatePackagePart: status:0xaac.
NetpJoinDomainOnDs: Function exits with status of: 0xaac
NetpJoinDomainOnDs: status of disconnecting from '\\DC1.contoso.com': 0x0
NetpResetIDNEncoding: DnsDisableIdnEncoding(RESETALL) on 'contoso.com' returned 0x0
NetpJoinDomainOnDs: NetpResetIDNEncoding on 'contoso.com': 0x0
NetpDoDomainJoin: status: 0xaac

NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=contoso,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: 0, NetStatus: 0
NetpDsValidateComputerAccountReuseAttempt: returning Result: TRUE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x0.
NetpCheckIfAccountShouldBeReused: Account re-use attempt was permitted by Active Directory Policy.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: TRUE, NetStatus:0x0

已知問題

09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c0000022, NetStatus: 5
09/18/2023 13:37:15:379 NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused: Active Directory Policy check with SAM_DOMAIN_JOIN_POLICY_LEVEL_V2 returned NetStatus:0x5.
09/18/2023 13:37:15:379 NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
09/18/2023 13:37:15:379 NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
09/18/2023 13:37:15:379 NetpProvisionComputerAccount: LDAP creation failed: 0xaac

NetpGetADObjectOwnerAttributes: Looking up attributes for machine account: CN=LT-NIClientBA,CN=Computers,DC=contoso,DC=com
NetpGetADObjectOwnerAttributes: Ms-Ds-CreatorSid is empty.
NetpGetNCData: Reading NC data
NetpReadAccountReuseModeFromAD: Searching '<WKGUID=AB1D30F3768811D1ADED00C04FD8D5CD,DC=LT2k16dom,DC=com>' for '(&(ObjectClass=ServiceConnectionPoint)(KeyWords=NetJoin*))'.
NetpReadAccountReuseModeFromAD: Got 0 Entries.
Returning NetStatus: 0, ADReuseMode: 0
IsLegacyAccountReuseSetInRegistry: RegQueryValueEx for 'NetJoinLegacyAccountReuse' returned Status: 0x2. 
IsLegacyAccountReuseSetInRegistry returning: 'FALSE''.
NetpDsValidateComputerAccountReuseAttempt: returning NtStatus: c00000bb, NetStatus: 32 
NetpDsValidateComputerAccountReuseAttempt: returning Result: FALSE
NetpCheckIfAccountShouldBeReused: Active Directory Policy check returned NetStatus:0x32.
NetpCheckIfAccountShouldBeReused:fReuseAllowed: FALSE, NetStatus:0x0
NetpModifyComputerObjectInDs: Account exists and re-use is blocked by policy. Error: 0xaac 
NetpProvisionComputerAccount: LDAP creation failed: 0xaac