Chyba CredSSP na vzdálené ploše: Požadovaná funkce není podporována.

Zpráva „Požadovaná funkce není podporována“ ve Vzdálené ploše Může se zobrazit spolu s odkazem na opravu šifrovacího orakula CredSSP. V takovém případě byste měli zkontrolovat aktualizace a bezpečnostní zásady klienta i vzdáleného počítače.

Některé průvodci doporučují přímou úpravu AllowEncryptionOracle a přiřaďte hodnotu 2Tato změna sice může povolit určitá připojení, ale aktivuje režim s názvem ZranitelnýPřed použitím identifikujte chybu a zkontrolujte, zda lze nekompatibilitu vyřešit aktualizací obou konců.

Jak identifikovat chybu CredSSP ve Vzdálené ploše

Společnost Microsoft dokumentuje scénář, ve kterém připojení RDP zobrazuje chybu ověřování, indikuje, že požadovaná funkce není podporována, a přidává odkaz na Náprava šifrování CredSSP Oracle.

CredSSP umožňuje delegovat přihlašovací údaje pro vzdálené ověřování. Jeho možnosti kompatibility mohou zabránit připojením, která by se spoléhala na zranitelné verze protokolu.

Před změnou jakéhokoli nastavení si zkopírujte celou zprávu a všechny zobrazené kódy. Tyto situace vyžadují odlišnou diagnostiku:

Zpráva nebo příznak	Co byste měli zkontrolovat
Požadovaná funkce není podporována a oznámení zmiňuje CredSSP.	Směrnice o aktualizacích a opravách kryptografického Oracle.
Token předaný funkci je neplatný s kódem 0xC000000D.	Konkrétní dopad RDP a ochrany správce, pokud splňuje vaše podmínky.
Upozornění ohledně identity nebo certifikátu zařízení.	Název připojení, důvěryhodnost a platnost certifikátu.
Zařízení nereaguje nebo vypršel časový limit připojení.	Dostupnost cíle, konektivita a pravidla přístupu.

Pro tuto diagnózu je důležitý explicitní odkaz na CredSSP. Nepřipisujte této direktivě žádnou chybu ověřování jen proto, že obsahuje slovo „funkce“.

Aktualizace klienta a vzdáleného týmu

Pro zdokumentovaný scénář nekompatibility společnost Microsoft doporučuje Instalace aktualizací CredSSP na klienta i serveruaby bylo možné bezpečně navázat spojení.

Klient je počítač, ze kterého otevíráte připojení. Server nebo hostitel je počítač, ke kterému se pokoušíte přistupovat.

1. Identifikujte verzi a sestavení systému Windows na obou počítačích pomocí winver.
2. Zkontrolujte historii jeho aktualizací.
3. Nainstalujte aktualizace platné pro každou verzi prostřednictvím služby Windows Update nebo systému správy vaší organizace.
4. Dokončete restartování požadované instalací.
5. Před úpravou kompatibility CredSSP znovu otestujte připojení.

Zranitelnost, která vedla k těmto možnostem, je identifikována jako CVE-2018-0886Některé oficiální pokyny zahrnují historické záplaty pro starší systémy: tyto identifikátory by neměly být automaticky přeneseny do aktuální instalace Windows 11.

Pokud nemůžete aktualizovat cíl, protože je blokován protokol RDP, použijte lokální přístup nebo dostupnou konzoli pro správu. V případě virtuálních počítačů se podívejte na možnosti obnovení poskytované vaší platformou.

Co znamenají hodnoty AllowEncryptionOracle?

Směrnice Náprava šifrovacího Oracle, neboli oprava šifrovacího orakula, řídí kompatibilitu se zranitelnými verzemi CredSSP.

Hodnota	Režim	Chování
0	Vynutit aktualizaci klientů.	Zabraňuje používání nezabezpečených verzí a odmítá klienty bez aktualizací.
1	Zmírněno.	Klient se nevrátí k nezabezpečené verzi, ale server může přijímat klienty bez aktualizace.
2	Zranitelný.	Umožňuje kompatibilitu s nezabezpečenými verzemi a přijímá klienty bez aktualizací.

Tyto hodnoty nepředstavují tři ekvivalentní úrovně pro řešení chyby. Mění podmínky zabezpečení a kompatibility připojení.

Než budete požadovat aktualizované klienty pomocí nejomezující možnosti, zkontrolujte, zda všechna zařízení, která potřebují komunikovat, mají odpovídající aktualizace.

Jak nahlédnout do směrnice bez jejích změn

V počítačích s Editorem zásad skupiny můžete nastavení zkontrolovat tímto způsobem:

Konfigurace počítače > Šablony pro správu > Systém > Delegování pověření > Oprava šifrování Oracle.

Na spravovaném počítači také zkontrolujte, který objekt GPO nebo profil správy nastavuje hodnotu. Lokální konfigurace může podléhat organizačním zásadám.

Chcete-li zkontrolovat hodnotu registru bez její změny, otevřete konzoli a spusťte:

reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle

Pokud hodnota existuje, poznamenejte si výsledek a porovnejte ho s použitou zásadou. Pokud se nezobrazí, před ručním vytvořením položky se podívejte na skutečnou konfiguraci a chování dané verze systému Windows.

Předchozí dotaz nemění konfiguraci. Jeho účelem je například zjistit, zda stará výjimka zůstává nastavena v režimu Vulnerable.

Proč by AllowEncryptionOracle=2 nemělo být permanentní pole

Společnost Microsoft dokumentuje zranitelný režim jako dočasné řešení pro určité scénáře nekompatibility. Také varuje, že umožňuje nezabezpečená připojení a vystavuje vzdálený počítač útokům.

Jen proto, že připojení funguje po nastavení hodnoty na 2, neznamená to, že zranitelnost byla opravena. Kontrola kompatibility byla zmírněna.

Pokud organizace potřebuje tuto výjimku použít, musí nejprve zdokumentovat předchozí nastavení, omezit jeho rozsah a připravit se na aktualizaci zařízení. Poté musí výjimku odstranit a ověřit, zda RDP funguje v souladu se zamýšlenou ochrannou politikou.

Scénáře a jejich podmínky si můžete prohlédnout v Oficiální dokumentace společnosti Microsoft k chybě CredSSP.

Kdy zkontrolovat připojení a nastavení RDP

Pokud se zpráva neshoduje s chybou CredSSP nebo cíl vůbec nereaguje, nejprve zkontrolujte, zda je počítač zapnutý, připojený a zda má povolenou vzdálenou plochu.

Ve Windows 11 se tato možnost nachází v Nastavení > Systém > Vzdálená plochaDomácí edice nemohou fungovat jako hostitel pro integrovanou službu RDP, i když se mohou připojit jako klienti k jiným kompatibilním počítačům.

Povolení vzdálené pomoci je jiné nastavení a nenahrazuje povolení vzdálené plochy.

Pro přímé připojení RDP s použitím obvyklého portu můžete zkontrolovat připojení TCP z PowerShellu:

Test-NetConnection -ComputerName "PC-OFICINA" -Port 3389

Nahrazuje PC-OFICINA podle názvu nebo adresy cíle a použije jeho skutečný port, pokud se změnil.

TcpTestSucceeded: True Znamená to, že TCP připojení k danému portu bylo úspěšně navázáno. Nepotvrzuje se, že jsou přihlašovací údaje správné ani že bude dokončeno ověřování RDP.

Pokud používáte bránu RDS, zkontrolujte směrování a specifické požadavky dané implementace. Zkontrolujte pravidla brány firewall pro zamýšlený přístup a vyhněte se bezdůvodnému povolování síťových profilů nebo zpřístupnění portu internetu.

Jak zkontrolovat, zda nejsou uložené nesprávné přihlašovací údaje

Pokud zpráva uvádí, že účet nebo heslo je nesprávné, zkontrolujte, jakou identitu klient používá. K názvu nebo adrese vzdáleného počítače mohou být stále přiřazeny staré přihlašovací údaje.

1. Otevřete Správce pověření z vyhledávače Windows.
2. Zadejte Přihlašovací údaje systému Windows.
3. Vyhledejte položku odpovídající dotčenému cíli.
4. Pokud ji potřebujete nahradit a máte aktuální přihlašovací údaje, smažte pouze tuto položku.
5. Znovu se připojte a zadejte správný účet.

Také zkontrolujte, zda potřebujete účet místního počítače nebo účet domény. Přejmenujte uživatele pomocí netplwiz Toto není postup pro opravu hesla uloženého v klientovi.

Tato kontrola se týká problémů s identitou. Nenahrazuje aktualizaci CredSSP, pokud varování identifikuje tuto nekompatibilitu.

Co je třeba zkontrolovat, než problém považujete za vyřešený

Po aktualizaci systémů a kontrole zásad zahajte novou relaci s uživatelem, u kterého se problém vyskytl. Ověřte, zda se můžete ověřit bez udržování zbytečné výjimky ve zranitelném režimu.

Pokud problém přetrvává, shromážděte celou zprávu, verzi obou systémů, všechny nainstalované aktualizace a použitá nastavení. Pokud se zobrazí varování týkající se konkrétního certifikátu, zkontrolujte tento certifikát podle postupů vaší implementace.

Úprava certifikátů, snížení rozlišení nebo aktualizace síťových ovladačů by neměly být součástí automatické sekvence pro každou chybu ověřování. Další krok by měl řešit přetrvávající příznak.