微软紧急更新修复了Windows Server身份验证问题！

Microsoft 已发布带外更新，以解决与影响域控制器 （DC） 运行受支持版本的 Windows Server 的 Kerberos 委派方案相关的身份验证失败。

在受影响的系统上，最终用户无法 在本地 Active Directory 或混合 Azure Active Directory 环境中使用单一登录 （SSO） 登录服务或应用程序 。

这些问题会影响运行 Windows Server 2019 及更低版本的系统，包括 Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2 SP1 和 Windows Server 2008 SP2。

紧急更新解决了“一个已知问题，该问题可能导致与您从 Service for User to Self （S4U2self） 获取的 Kerberos 票证相关的身份验证失败”，微软在周日的公告中解释道。

“在运行 Windows Server 的域控制器 （DC） 上安装 2021 年 11 月 9 日的安全更新后，会出现此问题。”

微软周末发布的带外更新的完整列表包括：

Windows Server 2019：KB5008602

Windows Server 2016：KB5008601

Windows Server 2012 R2：KB5008603

Windows Server 2012：KB5008604

Windows Server 2008 R2 SP1：KB5008605

Windows Server 2008 SP2：KB5008606

如何部署 OOB 更新

您将无法通过 Windows 更新安装这些紧急更新，并且它们也不会自动安装在受影响的 DC 上。

要下载独立更新包，您必须在 Microsoft 更新目录中搜索它们（您也可以使用上面提供的下载链接）。

您可以使用Microsoft Update Catalog 中提供的说明手动将此更新导入 Windows Server Update Services （WSUS） 。

周四，当微软确认这些问题时，该公司表示用户可能会在受影响的系统上看到以下一个或多个错误：

事件查看器可能会显示系统事件日志中记录的Microsoft-Windows-Kerberos-Key-Distribution-Center事件 18

错误 0x8009030c 和文本 Web 应用程序代理遇到意外记录在 Azure AD 应用程序代理事件日志中 Microsoft-AAD 应用程序代理连接器事件 12027

网络跟踪包含类似于以下内容的以下签名：

7281 24:44 （644） 10.11.2.12 .contoso.com KerberosV5 KerberosV5:TGS 请求领域：CONTOSO.COM Sname：http/xxxxx-xxx.contoso.com

7282 7290 （0）.CONTOSO.COM