Säkerhetsgrupp för skyddade användare

Skyddade användare är en global säkerhetsgrupp för Active Directory som är utformad för att skydda mot stöld av autentiseringsuppgifter. Gruppen utlöser ett icke-konfigurerbart skydd på enheter och värddatorer för att förhindra att autentiseringsuppgifter cachelagras när gruppmedlemmar loggar in.

Prerequisites

Systemet måste uppfylla följande krav innan du kan distribuera en grupp med skyddade användare:

• Värdar måste köra något av följande operativsystem:

  • Windows 10 eller Windows 11
  • Windows Server 2012 R2 eller senare med de senaste säkerhetsuppdateringarna installerade

• Domänfunktionsnivån måste vara Windows Server 2012 R2 eller senare. Mer information om funktionsnivåer finns i Funktionsnivåer för skog och domän.

• Medlemskap i globala säkerhetsgrupper för skyddade användare begränsar medlemmar till att endast använda Advanced Encryption Standard (AES) för Kerberos. Medlemmar i gruppen Skyddade användare måste kunna autentisera med hjälp av AES.

Skydd som tillämpas av Active Directory

Att bli medlem i gruppen Skyddade användare innebär att Active Directory automatiskt tillämpar vissa förkonfigurerade kontroller som användarna inte kan ändra om de inte slutar vara gruppmedlemmar.

Enhetsskydd för inloggade skyddade användare

När den inloggade användaren är medlem i gruppen Skyddade användare ger gruppen följande skydd:

• CredSSP cachelagrar inte användarens okrypterade autentiseringsuppgifter, även när användaren aktiverar grupprincipinställningen Tillåt delegering av standardautentiseringsuppgifter.

• Windows Digest cachelagr inte användarens autentiseringsuppgifter i klartext även när de har aktiverat Windows Digest.

• NTLM slutar att cachelagra användarens autentiseringsuppgifter i klartext eller den NT-enkelriktade funktionen (NTOWF).

• Kerberos slutar skapa DES-nycklar (Data Encryption Standard) eller RC4-nycklar. Kerberos cachelagrar inte heller användarens autentiseringsuppgifter i klartext eller långsiktiga nycklar efter att ha hämtat den första biljettbeviljande biljetten (TGT).

• Systemet skapar inte en cachelagrad kontrollant vid användarens inloggning eller upplåsning, så medlemssystemen stöder inte längre offlineinloggning.

När du har lagt till ett nytt användarkonto i gruppen Skyddade användare aktiveras dessa skydd när den nya skyddade användaren loggar in på sin enhet.

Domänkontrollantskydd för skyddade användare

Skyddade användarkonton som autentiserar till en domän som kör Windows Server kan inte göra följande:

• Autentisera med NTLM-autentisering.

• Använd DES- eller RC4-krypteringstyper i Kerberos-förautentisering.

• Delegera med obegränsad eller begränsad delegering.

• Förnya Kerberos-TGT:er efter deras ursprungliga fyratimmarslivslängd.

Gruppen Skyddade användare tillämpar icke-konfigurerbara inställningar på TGT-förfallodatum för varje medlemskonto. Normalt anger domänkontrollanten TGT-livslängden och förnyelsen baserat på följande två domänprinciper:

• Maximal livslängd för användarbiljett
• Maximal livslängd för förnyelse av användarbiljett

För medlemmar i skyddade användare anger gruppen automatiskt dessa livslängdsgränser till 240 minuter. Användaren kan inte ändra den här gränsen om de inte lämnar gruppen.

Så här fungerar gruppen Skyddade användare

Du kan lägga till användare i gruppen Skyddade användare med hjälp av följande metoder:

• Gränssnittsverktyg, till exempel Active Directory Administrationscenter eller Active Directory Användare och datorer.
• För att använda PowerShell, använd cmdleten Add-ADGroupMember.

Medlemmar i gruppen Skyddade användare kan bara autentisera med Kerberos med AES. Den här metoden kräver AES-nycklar för kontot i Active Directory. Den inbyggda administratören har ingen AES-nyckel om inte lösenordet för domänen som kör Windows Server 2008 eller senare ändras. Alla konton som har ändrat sitt lösenord av en domänkontrollant som kör en tidigare version av Windows Server är utelåst från autentisering.

För att undvika utelåsningar och saknade AES-nycklar rekommenderar vi att du följer dessa riktlinjer:

• Kör inte tester i domäner om inte alla domänkontrollanter kör Windows Server 2008 eller senare.

• Om du har migrerat konton från andra domäner måste du återställa lösenordet så att kontona har AES-hashvärden. Annars kan dessa konton inte autentiseras.

• Användare måste ändra lösenord när de har bytt till en domänfunktionsnivå i Windows Server 2008 eller senare. Detta säkerställer att de har AES-lösenordshashvärden när de har blivit medlemmar i gruppen Skyddade användare.

Active Directory-egenskaper för gruppen Skyddade användare

I följande tabell anges Active Directory-egenskaperna för gruppen Skyddade användare.

Händelseloggar

Det finns två administrativa loggar för drift som hjälper dig att felsöka händelser som är relaterade till skyddade användare. Dessa nya loggar finns i Händelseloggaren och är inaktiverade som förvalt. De finns under Program- och tjänstloggar\Microsoft\Windows\Authentication.

Så här aktiverar du insamling av loggarna:

1. Högerklicka på Start och välj sedan Händelseloggen.

2. Öppna Program- och tjänstloggar\Microsoft\Windows\Authentication.

3. Högerklicka på loggnamnet för varje logg som du vill aktivera och välj sedan Aktivera logg.

Relaterat innehåll

• Skydd och hantering av autentiseringsuppgifter

• Autentiseringsprinciper och silor för autentiseringsprinciper

• Konfigurera skyddade konton