Win10 KB4586781导致Kerberos身份验证错误

11月17日消息 微软在Windows 10的列表中增加了一个新的bug20H2版本已知问题。在影响企业环境中的WindowsServer和Windows 10设备/应用程序时，Windows Maker表示“您的企业中的域控制器可能会在安装了Build 19042.630之后遇到Kerberos身份验证问题”(KB 4586781)，这是上周在Patch周二发布的。

该问题影响到Windows 10 2020 Update(Server，Version 20H2)以及一些旧版本的操作系统，包括Windows Server 2004、1909、1903和1809。它还影响到WindowsServer 2019、WindowsServer 2016、WindowsServer 2012 R2和WindowsServer 2012。

该公司表示，它正在制定解决方案，“一旦获得更多信息，将提供最新情况”。

Windows 10 Kerberos身份验证错误的详细信息

安装后KB 4586781在您的环境中的域控制器(DC)和只读域控制器(RODC)上，您可能会遇到Kerberos身份验证问题。这是由一个问题引起的CVE-2020-17049在这些更新中得到了解决。如上文所述CVE-2020-17049，PerformTicketSignature有三个注册表设置值来控制它，但是在当前的实现中，您可能会遇到不同的问题：

在使用S4U方案时，将值设置为0可能会导致身份验证问题，例如调度任务、群集和服务(例如业务线应用程序)。

默认值设置1可能导致非Windows客户端使用Kerberos对Windows域进行身份验证以体验身份验证问题。

在设置1的情况下，尝试更新Kerberos票证的客户端应在更新为KB 4586781如果Kerberos票证是从未安装2020年11月11日发布的更新程序或运行Windows Server 2008 R2 SP1或Windows Server 2008 SP2的DC发出的，则将无法更新Kerberos票证。

从0到1也可能导致此问题，因为可能有未执行的Kerberos票证标记为可续订，但更新后的DC不会更新。

如果默认值设置为1，则还可能具有交叉域转介用于Kerberos推荐票的Windows和非Windows设备上的故障通过尚未安装2020年11月11日发布的更新的域DC或任何运行Windows Server 2008 R2 SP1或Windows Server 2008 SP2的DC。如果域环境部分更新或至少包含一个WindowsServer2008R2 SP1或WindowsServer2008SP2，则可能发生此问题。

将值设置为2是为了执行模式，并将在并非所有DC都被更新的环境中产生问题，因为它将显式拒绝某些类型的不兼容的Kerberos票证。如果您的环境包含运行WindowsServer2008R2 SP1或WindowsServer2008SP2的DC，此时也不应该使用它。