Delegierung von gespeicherten Anmeldeinformationen zulassen
Diese Computerrichtlinie legt fest, an welche Server Anwendungen mit Credential Security Support Provider (CredSSP), beispielsweise die Remotedesktopverbindung, gespeicherte Anmeldeinformationen eines Benutzers delegieren dürfen.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (3)
HKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentialsHKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\ConcatenateDefaults_AllowSavedHKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials\<nummerierter Wertname>
Diese Computerrichtlinie legt fest, an welche Server Anwendungen mit Credential Security Support Provider (CredSSP), beispielsweise die Remotedesktopverbindung, gespeicherte Anmeldeinformationen eines Benutzers delegieren dürfen. Als gespeichert gelten dabei Anmeldeinformationen, die der Benutzer im Windows-Anmeldeinformations-Manager speichern ließ.
Die Richtlinie gilt für Verbindungen, bei denen der Zielserver durch Kerberos oder ein vertrauenswürdiges X.509-Zertifikat authentifiziert wurde. Die Delegierung bei ausschließlicher NTLM-Serverauthentifizierung wird von der separaten Richtlinie „Delegierung von gespeicherten Anmeldeinformationen mit reiner NTLM-Serverauthentifizierung zulassen“ gesteuert.
AllowSavedCredentials ist ein REG_DWORD-Wert und bestimmt den Richtlinienstatus: 1 aktiviert die Richtlinie, 0 untersagt die Delegierung gespeicherter Anmeldeinformationen. Fehlt der Wert, gilt die Richtlinie als nicht konfiguriert. In diesem Zustand lässt Windows die Delegierung nach ordnungsgemäßer gegenseitiger Authentifizierung standardmäßig für Remotedesktop-Sitzungshosts zu, die dem Dienstprinzipalnamen-Muster TERMSRV/* entsprechen.
Bei aktivierter Richtlinie enthält der Unterschlüssel HKLM\Software\Policies\Microsoft\Windows\CredentialsDelegation\AllowSavedCredentials die zulässigen Ziele. Die Daten seiner nummerierten REG_SZ-Werte sind Dienstprinzipalnamen (Service Principal Names, SPNs), beispielsweise TERMSRV/server.example.com. Ein einzelnes Platzhalterzeichen ist zulässig, sodass ein Eintrag wie TERMSRV/* sämtliche entsprechend authentifizierten Remotedesktop-Sitzungshosts erfasst.
Der REG_DWORD-Wert ConcatenateDefaults_AllowSaved bestimmt, ob Windows seine vordefinierten Ziele zusätzlich zur angegebenen SPN-Liste berücksichtigt. Bei 1 werden die Betriebssystemvorgaben mit der benutzerdefinierten Liste zusammengeführt; dazu gehört für diese Richtlinie TERMSRV/*. Bei 0 gelten nur die ausdrücklich eingetragenen Ziele.
Hinweise
Sicherheit
CredSSP übermittelt die vollständigen Anmeldeinformationen des Benutzers an den authentifizierten Zielserver. Es handelt sich nicht um eine eingeschränkte Delegierung. Ein kompromittierter oder böswilliger Server, der von einem zulässigen SPN-Muster erfasst wird, kann daher die delegierten Anmeldeinformationen stehlen oder im Sicherheitskontext des Benutzers missbrauchen.
Weit gefasste Muster wie TERMSRV/* vergrößern die Anzahl der Server, denen gespeicherte Anmeldeinformationen anvertraut werden. Ist ConcatenateDefaults_AllowSaved auf 1 gesetzt, bleibt dieses Betriebssystemmuster zusätzlich zu einer möglicherweise engeren benutzerdefinierten Liste wirksam.
Die Richtlinie gewährt dem Benutzer weder Administratorrechte noch zusätzliche Zugriffsrechte auf dem Zielserver. Ob eine Anmeldung oder ein Ressourcenzugriff erfolgreich ist, richtet sich weiterhin nach dem delegierten Konto und den Berechtigungen des Zielsystems.
Mögliche Nebenwirkungen
Wenn die Delegierung deaktiviert ist oder der Zielserver keinem zulässigen SPN entspricht, können CredSSP-basierte Anwendungen gespeicherte Anmeldeinformationen nicht für die Verbindung verwenden. Abhängig von der Anwendung führt dies zu einer erneuten Anmeldeaufforderung oder zu einem Authentifizierungsfehler.
Hinweise
Die Richtlinie „Delegierung von gespeicherten Anmeldeinformationen verweigern“ kann Ziele ausschließen, die durch diese Zulassungsliste oder ein Platzhaltermuster erfasst würden.
Bei aktivierter Windows Defender Credential Guard-Funktion kann CredSSP keine gespeicherten oder für einmaliges Anmelden vorgesehenen Anmeldeinformationen verwenden. Bei einer Smartcardanmeldung für Remotedesktopdienste werden die Richtlinien für gespeicherte und standardmäßige Anmeldeinformationen ebenfalls nicht berücksichtigt.
Microsoft-Dokumentation
Microsoft Learn: Richtlinien-CSP – ADMX_CredSsp
Microsoft Learn: Unterstützungsanbieter für Anmeldeinformationen
Microsoft Learn: Überlegungen und bekannte Probleme bei der Verwendung von Credential Guard