Microsoft разследва нов известен проблем, който причинява неуспешни влизания в Kerberos и други проблеми с удостоверяването след инсталиране на кумулативни актуализации за Windows, пуснати с ъпдейта този месец.
Kerberos замени протокола NTLM като протокол за удостоверяване по подразбиране за устройства, свързани с домейна, във всички версии на Windows над Windows 2000.
Известният проблем, който се проучва активно от Redmond, може да се отнесе до всеки сценарий за удостоверяване с Kerberos в засегнатите корпоративни среди.
„След инсталиране на актуализации, пуснати на 8 ноември 2022г. или по-късно, на Windows сървъри с роля Domain Controller, може да имате проблеми с Kerberos удостоверяването“, обясниха от Microsoft.
„При възникването на този проблем може да получите събитие за грешка Microsoft-Windows-Kerberos-Key-Distribution-Center Event ID 14 в раздела System на Event Log на вашия Domain Controller .“
Грешките, регистрирани в системните дневници за събития на засегнатите системи, ще бъдат маркирани с ключовата фраза „липсващият ключ има идентификатор 1“.
„При обработката на AS заявка за целева услуга <услуга>, акаунтът <име на акаунт> не разполагаше с подходящ ключ за генериране на Kerberos билет (липсващият ключ има ID 1)“, гласят регистрираните грешки.
Списъкът на сценариите за удостоверяване чрез Kerberos включва, но не се ограничава до следното:
- Вписването на потребител на домейн може да се окаже неуспешно. Това може да засегне и удостоверяването на Active Directory Federation Services (AD FS).
- Удостоверяването на акаунти за услуги, управлявани от групи (Group Managed Service Accounts – gMSA), използвани за услуги като Internet Information Services (IIS Web Server), може да се провали.
- Връзките с отдалечен работен плот, използващи потребители от домейна, може да не успеят да се свържат.
- Възможно е да не можете да получите достъп до споделени папки на работни станции и файлови споделяния на сървъри.
- Принтирането, което изисква удостоверяване на потребител на домейна, може да не успее.
Засяга клиентски и сървърни платформи
Пълният списък на засегнатите платформи включва както клиентски, така и сървърни версии:
- Клиент: Windows 7 SP1, Windows 8.1, Windows 10 Enterprise LTSC 2019, Windows 10 Enterprise LTSC 2016, Windows 10 Enterprise 2015 LTSB, Windows 10 20H2 или по-нова версия и Windows 11 21H2 или по-нова версия
- Сървър: Windows Server 2008 SP2 или по-нова версия, включително най-новата версия, Windows Server 2022.
Макар че Microsoft започна да налага засилване на сигурността за Netlogon и Kerberos, започвайки от ноемврийския Patch Tuesday, компанията казва, че този бъг не е очакван.
Проблемът не засяга устройствата, използвани от домашни клиенти, и тези, които не са регистрирани в локален домейн. Също така, той не оказва влияние върху хибридните среди на Azure Active Directory и тези, които нямат локални сървъри на Active Directory.
Microsoft работи по отстраняване на бъга и смята, че решението ще бъде налично през следващите седмици.
От Редмънд също така са се справили с подобни случаи с удостоверяването на Kerberos, засягащи системи Windows, причинени от актуализации на сигурността, публикувани като част от November 2020 Patch Tuesday.
