“OS:Windows Server 2025”的版本间差异

来自MS-Heritage
跳转到导航 跳转到搜索
小
小 （文字替换 -“OSProduction”替换为“OSProductionDesktop”）
标签：移动版网页编辑 移动版编辑
 
（未显示2个用户的4个中间版本）
第1行： 第1行：
−
{{OSProductionWindowsDesktop
+
{{OSProductionDesktop
 
|osfamily=Windows 服务器及高性能计算操作系统
 
|osfamily=Windows 服务器及高性能计算操作系统
−
|osprod=Windows Server 2025
+
|osname=Windows Server 2025
 
|oslogo=WinSrv-logo.png
 
|oslogo=WinSrv-logo.png
 
|codename=未知
 
|codename=未知
第38行： 第38行：
  
 
* 电子邮件和帐户
 
* 电子邮件和帐户
−
现在可以在 Windows '''设置'''中， '''帐户''' > '''电子邮件 & 帐户'''下添加以下类型的帐户， 以用于 Windows Server 2025：
+
现在可以在'''设置'''中， '''帐户''' > '''电子邮件 & 帐户'''下添加以下类型的帐户， 以用于 Windows Server 2025：
 
:* Microsoft Entra ID。
 
:* Microsoft Entra ID。
 
:* Microsoft 帐户。
 
:* Microsoft 帐户。
第65行： 第65行：
  
 
* <abbr title="英文缩写为 “WLAN”， 也有地方用 “Wi-Fi” 这一英文缩写指代前者。">无线局域网</abbr>
 
* <abbr title="英文缩写为 “WLAN”， 也有地方用 “Wi-Fi” 这一英文缩写指代前者。">无线局域网</abbr>
−
现在更容易启用无线功能， 因为默认情况下已安装无线局域网服务功能。 无线启动服务设置默认为手动， 若要启用这项服务， 请在命令提示符、 终端或 PowerShell 中输入 <code>net start wlansvc</code> 命令行并启用。
+
现在更容易启用无线功能， 在默认情况下已安装无线局域网服务功能。 无线启动服务设置默认为手动， 若要启用这项服务， 请在命令提示符 （<code>cmd</code>）、 终端 （<code>wt</code>） 或 PowerShell 中输入 <code>net start wlansvc</code> 命令行并启用。
  
 
* 终端
 
* 终端
第71行： 第71行：
  
 
* WinGet  
 
* WinGet  
−
默认安装 WinGet 安装工具， 它是一种命令行 Windows 包管理器工具， 它提供全面的包管理器解决方案， 用于在 Windows 设备上安装应用程序。
+
预装了 WinGet 软件包管理工具。 这是一种命令行式的 Windows 软件包管理工具， 提供全面的 Windows 软件包管理解决方案， 用于在 Windows 设备上安装应用程序。
  
 
===高级多层安全性===
 
===高级多层安全性===
 +
* 热补丁 （预览）
 +
在 Azure Arc 门户中启用热补丁后， 现在可用于已连接到运行 Azure Arc 的 Windows Server 2025 设备。 可以使用热补丁应用于系统安全更新， 而无需重启计算机。 启用了 Azure Arc 的热补丁目前处于预览阶段。
  
 +
* <abbr title="英文全称为 “Credential Guard”。">凭据防护</abbr>
 +
从 Windows Server 2025 开始， 在符合要求的设备上将默认启用凭据防护。
 +
 +
* Active Directory 域服务
 +
Active Directory 域服务 （AD DS） 和 Active Directory 轻型域服务 （AD LDS） 的最新增强功能引入了一系列新功能和增强功能， 旨在优化你的域管理体验：
 +
:* 32k 数据库页大小可选功能
 +
:Active Directory 自 [[OS:Windows 2000|Windows 2000]] 引入以来， 一直使用采用 8k 数据库页大小的可扩展存储引擎 （ESE） 数据库。 8k 架构设计决策导致了整个 Active Directory 的限制， 这些限制记录在 Active Directory 最大限制 - 可伸缩性中。 此限制的一个示例是单个记录 Active Directory 对象， 不能超过 8k 字节大小。 迁移到 32k 数据库页面格式对受旧版限制影响的方面提供了巨大的改进。 多值属性现在可以容纳大约 3200 个值， 这相当于增加了 2.6 倍。
 +
 +
:可以使用 32k 页的数据库安装新的域控制器 （DC）， 该数据库使用 64 位长值 ID (LID)， 并在 8k 页模式下运行， 以便与以前的版本兼容。 升级后的 DC 会继续使用其当前的数据库格式和 8k 页面。 迁移到 32k 页面数据库操作会在林范围内完成， 且要求林中的所有 DC 均具有支持 32k 页面的数据库。
 +
 +
:* Active Directory 架构更新
 +
:引入了三个新的日志文件来扩展 Active Directory 架构： <code>sch89.ldf</code>、 <code>sch90.ldf</code> 和 <code>sch91.ldf</code>。 AD LDS 等效架构更新在 <code>MS-ADAM-Upgrade3.ldf</code> 中。
 +
 +
:* Active Directory 对象修复
 +
:企业管理员不仅可以修复缺少的核心属性 <code>SamAccountType</code> 和 <code>ObjectCategory</code> 的对象， 也可以将对象的 <code>LastLogonTimeStamp</code> 属性重置为当前时间。 这些操作会通过新的 RootDSE 来修改名为 <code>fixupObjectState</code> 的受影响对象的操作功能来实现。
 +
 +
:* 通道绑定审核支持
 +
:现在可以为轻型目录访问协议 （LDAP） 通道绑定启用事件 3074 和 3075。 当通道绑定策略修改为更安全的设置时， 管理员可以识别环境中不支持或失败的通道绑定的设备。
 +
 +
:* DC 位置算法改进
 +
:DC 发现算法提供了新功能， 同时改进了将 NetBIOS 式短域名映射到 DNS 式域名的新功能。 Windows 不会在 DC 发现操作期间使用邮件槽， 因为微软在早前就已宣布为这些旧技术而弃用 WINS 和邮件槽。
 +
 +
:* 林和域功能级别
 +
:新的功能级别可用于实现一般可支持性， 而新的 32K 数据库页面大小功能必须使用该级别。 新的功能级别将映射到针对无人参与安装的 <code>DomainLevel 10</code> 和 <code>ForestLevel 10</code> 值。
 +
 +
:DsGetDcName API 还支持一个新标志 <code>DS_DIRECTORY_SERVICE_13_REQUIRED</code>， 可以用于定位运行 Windows Server 2025 的 DC。
 +
 +
:需要新的 Active Directory 林或 AD LDS 配置集才能具有 [[OS:Windows Server 2016|Windows Server 2016]] 或更高的功能级别。 要升级 Active Directory 或 AD LDS 副本， 要求现有域或配置集已在运行， 且其功能级别为 Windows Server 2016 或更高。 微软官方建议所有客户现在开始计划将其 Active Directory 和 AD LDS 服务器升级到 [[OS:Windows Server 2022|Windows Server 2022]]， 为下一个版本做准备。
 +
 +
:* 改进针对名称/SID 查找的算法
 +
:不同计算机帐户之间的本地安全机构 （LSA） 名称和 SID 查找转发功能不再使用旧版 Netlogon 安全通道。 将改用 Kerberos 身份验证和 DC 定位器算法。 为保持与旧操作系统的兼容性，仍可使用 Netlogon 安全通道作为回退选项。
 +
 +
:* 改进了机密属性的安全性
 +
:仅当连接加密时， DC 和 AD LDS 实例才允许 LDAP 执行涉及机密属性的添加、 搜索和修改操作。
 +
 +
:* 改进了默认计算机帐户密码的安全性
 +
:Active Directory 现在使用随机生成的默认计算机帐户密码。 Windows Server 2025 的 DC 会阻止将计算机帐户密码设为计算机帐户名称的默认密码。
 +
 +
:若要控制此行为， 请将域控制器启用组策略对象 （GPO） 设置为拒绝 “计算机配置\Windows 设置\安全设置\本地策略\安全选项” 中设置默认计算机帐户的密码。
 +
 +
:Active Directory 管理中心 （ADAC）、 Active Directory 用户和计算机 （ADUC）、 <code>net computer</code> 等实用工具， <code>dsmod</code> 也遵循这一新行为。 ADAC 和 ADUC 都不再允许创建 Windows 2000 之前的帐户。
 +
 +
:* Kerberos PKINIT 对加密敏捷性的支持
 +
:Kerberos 公钥加密的初始身份验证协议实现已更新， 通过支持更多算法和移除硬编码算法来实现加密敏捷性。
 +
 +
:* Kerberos 对用于票证授予票证的算法进行的变更
 +
:Kerberos 分发中心将不再颁发使用 RC4 加密 （例如 RC4-HMAC(NT)） 的票证授予票证。
 +
 +
:* Kerberos 更改了支持的加密类型配置
 +
:Kerberos 不再支持路径 <code>SupportedEncryptionTypes</code> 中找到的旧版注册表项 <code>REG_DWORD HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Kerberos\Parameters</code>， 微软官方建议使用组策略。
 +
 +
:* LAN Manager GPO 设置 - GPO 设置 > 网络安全：不要将 LAN Manager 哈希值存储在下次密码更改中
 +
:该设置已不存在， 也不适用于新版本的 Windows 中。
 +
 +
:* 默认情况下 LDAP 加密
 +
:简单身份验证和安全层 （SASL） 绑定后的所有 LDAP 客户端通信默认使用 LDAP 密封。
 +
 +
:* 针对传输层安全 (TLS) 1.3 的 LDAP 支持
 +
:LDAP 使用最新的 SCHANNEL 实现， 并支持为基于 TLS 连接的 LDAP 使用 TLS 1.3。 使用 TLS 1.3 可消除过时的加密算法， 并增强旧版本的安全性。 TLS 1.3 旨在尽可能多地加密握手。
 +
 +
:* 旧版安全帐户管理器（SAM）远程过程调用（RPC）密码更改行为
 +
:安全协议 （如 Kerberos） 是更改域用户密码的首选方法。 在 DC 上， 当远程调用时， 默认使用高级加密标准 (AES) 接受最新的 SAM RPC 密码更改方法 <code>SamrUnicodeChangePasswordUser4</code>。<ref>[https://learn.microsoft.com/zh-cn/openspecs/windows_protocols/ms-samr/bbc1c5e5-9b81-4038-b2b9-c87d3569ed38 ［MS-SAMR］: SamrUnicodeChangePasswordUser4 (Opnum 73) | Microsoft Learn]</ref> 默认情况下， 远程调用以下旧 SAM RPC 方法时会阻止这些方法：
 +
::* <code>SamrChangePasswordUser</code>。<ref>[https://learn.microsoft.com/zh-cn/openspecs/windows_protocols/ms-samr/9699d8ca-e1a4-433c-a8c3-d7bebeb01476 ［MS-SAMR］: SamrChangePasswordUser (Opnum 38) | Microsoft Learn]</ref>
 +
::* <code>SamrOemChangePasswordUser2</code>。<ref>[https://learn.microsoft.com/zh-cn/openspecs/windows_protocols/ms-samr/8d0bf63e-fa5f-4c75-be22-558c52075842 ［MS-SAMR］: SamrOemChangePasswordUser2 (Opnum 54) | Microsoft Learn]</ref>
 +
::* <code>SamrUnicodeChangePasswordUser2</code>。<ref>[https://learn.microsoft.com/zh-cn/openspecs/windows_protocols/ms-samr/acb3204a-da8b-478e-9139-1ea589edb880 ［MS-SAMR］: SamrUnicodeChangePasswordUser2 (Opnum 55) | Microsoft Learn]</ref>
 +
 +
:对于属于受保护用户的组和域成员计算机上的本地帐户的域用户， 默认情况下会阻止通过旧 SAM RPC 接口进行的所有远程密码更改， 包括 <code>SamrUnicodeChangePasswordUser4</code>。
 +
 +
:若要控制此行为， 请使用以下 GPO 设置：
 +
:'''计算机配置''' > '''管理模板''' > '''系统''' > '''安全帐户管理器''' > '''配置 SAM 更改密码 RPC 方法策略'''
 +
 +
:* 非一致性内存访问 （NUMA） 支持
 +
:AD DS 现在会使用所有处理器组中的 CPU 来利用支持 NUMA 的硬件。 在这之前 Active Directory 只会在组 0 中使用 CPU， 现在 Active Directory 可扩展到 64 个内核以上。
 +
 +
:* 性能计数器
 +
:现在可以监视和排查以下计数器的性能问题：
 +
::* DC 定位器： 特定于客户端和 DC 的计数器可用。
 +
::* LSA 查找： 通过 <code>LsaLookupNames</code>、 <code>LsaLookupSids</code> 和等效的 API 进行的名称和 SID 查找。 这些计数器在客户端和服务器版本上都可用。
 +
::* LDAP 客户端： 通过 KB5029250 更新在 Windows Server 2022 及更高版本中可用。<ref>[https://support.microsoft.com/zh-cn/topic/2023-%E5%B9%B4-8-%E6%9C%88-8-%E6%97%A5-kb5029250-os-%E5%86%85%E9%83%A8%E7%89%88%E6%9C%AC-20348-1906-2db4a1ac-8e18-443e-b4d6-ee17435cf94c 2023 年 8 月 8 日 — KB5029250 (OS 内部版本 20348.1906) - Microsoft 支持]</ref>
 +
 +
:* 复制优先级顺序
 +
:管理员现在可以为特定命名上下文选择特定复制伙伴， 并增加系统计算出的复制优先级。 此功能允许更灵活地配置复制顺序以解决特定方案。
 +
 +
* 委派托管服务帐户
 +
这种新类型的帐户支持从服务帐户迁移到委派托管服务帐户 （dMSA）。 此帐户类型附带托管密钥和完全随机密钥， 以确保在禁用原始服务帐户密码时尽量减少应用程序更改。
 +
 +
* Windows 本地管理员密码解决方案
 +
Windows 本地管理员密码解决方案 （LAPS） 可帮助组织在其已加入域的计算机上管理本地管理员密码。 它会自动为每个计算机的本地管理员帐户生成唯一密码， 然后它将安全地存储在 Active Directory 中并定期更新它们， 自动生成的密码有助于提高安全性， 他们通过使用泄露或容易猜出的密码来降低攻击者获取敏感系统访问权限的风险。
 +
 +
Microsoft LAPS 的多项新增功能引入了以下改进：
 +
 +
:* 新的自动帐户管理
 +
:IT 管理员可以轻松创建托管的本地帐户。 使用此功能，可以自定义帐户名称并启用或禁用该帐户。 甚至可以随机化帐户名称以提高安全性。 此更新还包括改进与来自Microsoft的现有本地帐户管理策略的集成。
 +
 +
:* 新映像回滚检测
 +
:在发生映像回滚时， Windows LAPS 现在可以检测到。 如果发生回滚， 则存储在 Active Directory 中的密码可能不再与存储在设备上的本地密码匹配， 回滚可能会导致撕裂状态。 在这种情况下，IT 管理员无法使用持久化 Windows LAPS 密码登录到设备。
 +
 +
:为了解决此问题， 添加了一项新功能， 其中包括名为 <code>msLAPS-CurrentPasswordVersion</code> 的 Active Directory 属性。 此属性包含由 Windows LAPS 编写的随机全局唯一标识符 (GUID)， 每次将新密码持久化到 Active Directory 并在本地保存时都会生成。 在每个处理周期中， 查询存储在 <code>msLAPS-CurrentPasswordVersion</code> 中的 GUID， 并将其与本地持久化副本进行比较。 如果两者不一致， 则会立即轮换密码。
 +
 +
:若要启用此功能， 请运行最新版本的 <code>cmdlet</code> 之 <code>Update-LapsADSchema</code>。 然后，Windows LAPS 识别新属性并开始使用它。 如果未运行更新版本的 <code>cmdlet</code> 之 <code>Update-LapsADSchema</code>， 则 Windows LAPS 会在事件日志中记录 10108 警告事件， 但仍在所有其他方面正常运行。
 +
 +
:不使用策略设置来启用或配置此功能， 在添加新架构属性后始终启用该功能。
 +
 +
:* 新的通行短语
 +
:IT 管理员现在可以在 Windows LAPS 中使用新功能来生成不太复杂的通行短语。 '''EatYummyCaramelCandy''' 等通行短语就是一个示例。 与传统密码 （如 '''V3r_b4tim#963'''） 相比， 此短语更易于阅读、 记住和键入。
 +
 +
:使用此新功能， 可以将 <code>PasswordComplexity</code> 策略设置配置为为通行短语选择三个不同的单词列表之一。 所有列表都包含在 Windows 中， 不需要单独下载。 名为 <code>PassphraseLength</code> 的新策略设置控制通行短语中使用的单词数。
 +
 +
:创建通行短语时， 将从所选单词列表中随机选择指定的单词数并连接。 每个单词的第一个字母大写， 以提高可读性。 此功能还完全支持将密码备份到 Active Directory 或 Microsoft Entra ID。
 +
 +
:三个新的 <code>PasswordComplexity</code> 通行短语设置中使用的单词列表源自电子前沿基金会的文章 《深度探索：EFF 的随机通行短语新单词列表》，<ref>[https://www.eff.org/deeplinks/2016/07/new-wordlists-random-passphrases EFF's New Wordlists for Random Passphrases | Electronic Frontier Foundation]</ref> Windows LAPS 密码短语列表根据 CC-BY-3.0 署名许可协议授权并可供下载。<ref>[https://www.microsoft.com/en-us/download/details.aspx?id=105762 Download Windows LAPS Passphrase Word Lists from Official Microsoft Download Center]</ref>
 +
 +
:Windows LAPS 不允许自定义内置单词列表或使用客户配置的单词列表。
 +
 +
:* 改进了可读性密码字典
 +
:Windows LAPS 引入了一个新的 <code>PasswordComplexity</code> 设置， 使 IT 管理员能够创建不太复杂的密码。 可以使用此功能来自定义 LAPS， 以使用所有四个字符类别 （大写字母、 小写字母、 数字和特殊字符）， 例如现有的 <code>4</code> 复杂性设置。 通过新的 <code>5</code> 设置， 将排除更复杂的字符以提高密码可读性， 并最大程度地减少混淆。 例如， '''数字 1''' 和'''字母 I''' 永远不会与新设置一起使用。
 +
 +
:<code>PasswordComplexity</code> 配置为 <code>5</code> 时， 将对默认密码字典字符集进行以下更改：
 +
::* '''不使用： 字母 I、 O、 Q、 l、 o。'''
 +
::* '''请勿使用： 数字 0、 1。'''
 +
::* '''不使用： 特殊字符 、、 。， &， {， }， [， ]， （， ）， ;。'''
 +
::* '''使用： 特殊字符  ：、 =、 ？， *。'''
 +
 +
:ADUC 管理单元 （通过 Microsoft 管理控制台） 现在具有改进的 Windows LAPS 选项卡。 Windows LAPS 密码现在使用新字体显示， 可在纯文本中显示时增强其可读性。
 +
 +
:* 身份验证后操作支持终止各个进程
 +
:在身份验证后操作 （PAA） 组策略设置中添加了一个新选项 - <code>Reset the password, sign out the managed account, and terminate any remaining processes</code>， 该选项位于'''计算机配置''' > '''管理模板''' > '''系统''' > '''LAPS''' > '''身份验证后操作'''。
 +
 +
:此新选项是上一选项的扩展， 即 <code>Reset the password and log off the managed account</code>。 配置后， PAA 会通知并终止任何交互式登录会话。 它枚举并终止仍在由 Windows LAPS 管理的本地帐户标识下运行的任何剩余进程。 此终止之前没有通知。
 +
 +
:在 PAA 执行过程中扩展日志事件可以更深入地了解操作。
 +
 +
* OpenSSH
 +
在早期版本的 Windows Server 中 OpenSSH 连接工具在使用前需要手动安装， 现在 OpenSSH 服务器端组件默认安装在 Windows Server 2025 中。 服务器管理器 UI 还包括远程 SSH 访问下的一步选项， 用于启用或禁用 <code>sshd</code> 该服务。 此外， 你还可以将用户添加到 '''OpenSSH 用户组'''， 以允许或限制访问设备。
 +
 +
* 安全基线
 +
通过实现自定义的安全基线， 可以根据建议的安全状况， 从头开始为设备或 VM 角色建立安全措施。 此基线配备了 350 多个预配置的 Windows 安全设置。 可以使用这些设置应用和强制实施特定的安全设置， 这些设置符合Microsoft和行业标准建议的最佳做法。
 +
 +
* 基于虚拟化的安全性 Enclave
 +
基于虚拟化的安全性 （VBS） 区段是主机应用程序地址空间内的基于软件的受信任执行环境。 VBS enclaves 会使用底层 VBS 技术， 将应用程序的敏感部分隔离在内存的安全分区中。 VBS Enclave 可以使敏感工作负载与主机应用程序和系统的其余部分隔离。
 +
 +
VBS Enclave 可使应用程序不需要信任管理员并能有效抵御恶意攻击者，从而保护自己的机密。
 +
 +
* 基于虚拟化的安全密钥保护
 +
VBS 密钥保护使 Windows 开发人员能够使用 VBS 保护加密密钥。 VBS 利用 CPU 的虚拟化扩展能力，在正常 OS 之外创建一个隔离的运行时。
 +
 +
使用时， VBS 密钥在安全进程中隔离。 无需在该空间外暴露私钥材料即可执行密钥操作。 在静态状态下，TPM 密钥会加密私钥材料， 用于将 VBS 密钥绑定到设备。 以这种方式保护的密钥无法从进程内存中转储， 也不能以纯文本形式从用户计算机导出。
 +
 +
VBS 密钥保护有助于防止任何管理员级攻击者发生外泄攻击。 必须启用 VBS 才能使用密钥保护。
 +
 +
* 安全连接
 +
:* 安全证书管理
 +
:在 Windows 上搜索或检索证书现在支持 SHA-256 哈希， 如函数 <code>CertFindCertificateInStore</code> 和 <code>CertGetCertificateContextProperty</code> 中所述。<ref>[https://learn.microsoft.com/zh-cn/windows/win32/api/wincrypt/nf-wincrypt-certfindcertificateinstore CertFindCertificateInStore 函数 （wincrypt.h） - Win32 apps | Microsoft Learn]</ref><ref>[https://learn.microsoft.com/zh-cn/windows/win32/api/wincrypt/nf-wincrypt-certgetcertificatecontextproperty CertGetCertificateContextProperty 函数 （wincrypt.h） - Win32 apps | Microsoft Learn]</ref> TLS 服务器身份验证在 Windows 中更安全， 现在要求最低 RSA 密钥长度为 2048 位。
 +
 +
:* 基于 QUIC 的 SMB
 +
:SMB over QUIC 服务器功能以前仅在 Windows Server Datacenter Azure Edition 中可用， 现在在 Windows Server 的 Standard SKU 和 Datacenter SKU 中均可用。 SMB over QUIC 增加了 QUIC 的优势， 通过 Internet 提供低延迟、加密的连接。
 +
 +
::* 基于 QUIC 的 SMB 的启用策略
 +
::管理员可以通过组策略和 PowerShell 通过 QUIC 客户端禁用 SMB。 若要通过组策略禁用 QUIC 上的 SMB， 请在以下路径中将'''启用 SMB over QUIC 策略'''设置为'''禁用'''：
 +
:::* ''计算机配置\管理模板\网络\Lanman 工作站''。
 +
:::* ''计算机配置\管理模板\网络\Lanman 服务器''。
 +
 +
::若要使用 PowerShell 在 QUIC 上禁用 SMB， 请在提升的 PowerShell 提示符中运行此命令： <code>Set-SmbClientConfiguration -EnableSMBQUIC $false</code>。
 +
 +
::* SMB 签名和加密审核
 +
::管理员可以启用对 SMB 服务器和客户端的审核， 以支持 SMB 签名和加密。 如果非 Microsoft 客户端或服务器缺少对 SMB 加密或签名的支持， 则可以检测到它。 当非 Microsoft 设备或软件声明它支持 SMB 3.1.1， 但不支持 SMB 签名时， 它违反了 SMB 3.1.1 预身份验证完整性协议要求。<ref>[https://learn.microsoft.com/zh-cn/archive/blogs/openspecification/smb-3-1-1-pre-authentication-integrity-in-windows-10 SMB 3.1.1 Pre-authentication integrity in Windows 10 | Microsoft Learn]</ref>
 +
 +
::可以使用组策略或 PowerShell 配置 SMB 签名和加密审核设置。 可以在以下组策略路径中更改这些策略：
 +
::* ''计算机配置\管理模板\网络\Lanman 服务器\审计客户端不支持加密''。
 +
::* ''计算机配置\管理模板\网络\Lanman 服务器\审核客户端不支持签名''。
 +
::* ''计算机配置\管理模板\网络\Lanman 工作站\审计服务器不支持加密''。
 +
::* ''计算机配置\管理模板\网络\Lanman 工作站\审计服务器不支持签名''。
 +
 +
::若要使用 PowerShell 执行这些更改， 请在提升的提示符下运行以下命令， 其中 <code>$true</code> 以启用或 <code>$false</code> 以禁用这些设置：
 +
::* <code>Set-SmbServerConfiguration -AuditClientDoesNotSupportEncryption $true</code>。
 +
::* <code>Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning $true</code>。
 +
::* <code>Set-SmbClientConfiguration -AuditServerDoesNotSupportEncryption $true</code>。
 +
::* <code>Set-SmbClientConfiguration -AuditServerDoesNotSupportSigning $true</code>。
 +
 +
::这些更改的事件日志存储在以下具有特定事件 ID 的事件查看器路径中：
 +
::{| class="wikitable" style="width: 50%"
 +
|-
 +
! 路径 !! 事件标识符
 +
|-
 +
| 应用程序和服务日志\Microsoft\Windows\SMBClient\Audit || 31998<br>31999
 +
|-
 +
| 应用程序和服务日志\Microsoft\Windows\SMBServer\Audit || 3021<br>3022
 +
|}
 +
 +
::* 基于 QUIC 的 SMB 审核
 +
::基于 QUIC 的 SMB 客户端连接审核可捕获写入事件日志的事件， 以便在事件查看器中包含 QUIC 传输。 这些日志存储在以下路径中， 其中包含其特定的事件 ID：
 +
::{| class="wikitable" style="width: 50%"
 +
|-
 +
! 路径 !! 事件标识符
 +
|-
 +
| 应用程序和服务日志\Microsoft\Windows\SMBClient\Connectivity || 30832
 +
|-
 +
| 应用程序和服务日志\Microsoft\Windows\SMBServer\Connectivity || 1913
 +
|}
 +
 +
::* SMB over QUIC 客户端访问控制
 +
::Windows Server 2025 包括针对 QUIC 上的 SMB 的客户端访问控制。 SMB over QUIC 是 TCP 和 RDMA 的替代方法， 它通过不受信任的网络提供与边缘文件服务器的安全连接。 客户端访问控制引入了更多控制措施， 以使用证书限制对数据的访问。
 +
 +
:* SMB 备用端口
 +
:可以使用 SMB 客户端连接到备用 TCP、 QUIC 和 RDMA 端口， 而不是其 IANA / IETF 默认值 445、 5445 和 443。 可以通过组策略或 PowerShell 配置备用端口。 以前， Windows 中的 SMB 服务器授权入站连接使用 IANA 注册的端口 TCP / 445， 而 SMB TCP 客户端只允许与同一 TCP 端口建立出站连接。 现在， SMB over QUIC 支持 SMB 替代端口， 其中 QUIC 强制的 UDP/443 端口可用于服务器和客户端设备。
 +
 +
:* SMB 防火墙规则强化
 +
:在以前创建共享时， SMB 防火墙规则会自动配置为为相关防火墙配置文件启用'''文件和打印机共享'''组。 现在在 Windows 中创建 SMB 共享会导致自动配置新的'''文件和打印机共享 （限制）'''组， 该组不再允许入站 NetBIOS 端口 137-139。
 +
 +
:* SMB 加密
 +
:为所有出站 SMB 客户端连接启用强制 SMB 加密。<ref>[https://learn.microsoft.com/zh-cn/windows-server/storage/file-server/smb-security#smb-encryption SMB 安全性增强功能 | Microsoft Learn]</ref> 通过此更新， 管理员可以设置一个命令， 即所有目标服务器都支持 SMB 3.x 和加密。 如果服务器缺少这些功能， 则客户端无法建立连接。
 +
 +
:* SMB 身份验证速率限制器
 +
:SMB 身份验证速率限制程序限制特定时间段内的身份验证尝试次数。 SMB 身份验证速率限制器有助于打击暴力身份验证攻击。 为了减少每次失败的 NTLM 或基于 PKU2U 的身份验证尝试之间的时间延迟， SMB 服务器服务使用身份验证速率限制器。 默认情况下， 该服务处于启用状态。
 +
 +
:* SMB 身份验证速率限制器
 +
:SMB 身份验证速率限制程序限制特定时间段内的身份验证尝试次数。 SMB 身份验证速率限制器有助于打击暴力身份验证攻击。 为了减少每次失败的 NTLM 或基于 PKU2U 的身份验证尝试之间的时间延迟， SMB 服务器服务使用身份验证速率限制器。 默认情况下， 该服务处于启用状态。
 +
 +
:* 禁用 SMB NTLM
 +
:从 Windows Server 2025 开始， SMB 客户端支持阻止远程出站连接的 NTLM 功能。 以前， Windows 简单和受保护的 GSSAPI 协商机制 （SPNEGO） 与目标服务器协商了 Kerberos、 NTLM 和其他机制，<ref>[https://learn.microsoft.com/zh-cn/openspecs/windows_protocols/ms-spng/b16309d8-4a93-4fa6-9ee2-7d84b2451c84 ［MS-SPNG］: Introduction | Microsoft Learn]</ref> 以确定受支持的安全包。
 +
 +
:* SMB 方言控件
 +
:现在可以在 Windows 中管理 SMB 方言。<ref>[https://learn.microsoft.com/zh-cn/windows-server/storage/file-server/manage-smb-dialects?tabs=powershell 在 Windows 和 Windows Server 2025 中管理 SMB 方言 | Microsoft Learn]</ref> 配置后， SMB 服务器会确定与之前的行为相比协商的是哪些 SMB 2 和 SMB 3 方言， 并且仅匹配最高级方言。
 +
 +
:* SMB 签名
 +
:默认情况下， 所有 SMB 出站连接都需要 SMB 签名。 以前， 只有在连接到 Active Directory DC 上名为 '''SYSVOL''' 和 '''NETLOGON''' 的共享时才需要此要求。
 +
 +
:* 远程 Mailslot
 +
:远程 Mailslot 协议默认处于禁用状态， 以将 SMB 和 DC 定位器与 Active Directory 配合使用。 远程 Mailslot 可能会在后续版本中被移除。
 +
 +
:* 路由和远程访问服务强化
 +
:默认情况下， 新的路由和远程访问服务 （RRAS） 安装不接受基于 PPTP 和 L2TP 的 VPN 连接。 如有必要， 仍可以启用这些协议。 仍接受基于 SSTP 和 IKEv2 的 VPN 连接， 无需进行任何更改。
 +
 +
:现有配置会保留其行为。 例如，如果运行 [[OS:Windows Server 2019|Windows Server 2019]] 并接受 PPTP 和 L2TP 连接， 并且使用就地升级升级到 Windows Server 2025， 则仍接受基于 L2TP 和 PPTP 的连接。 此更改不会影响 [[OS:Windows 11|Windows 客户端作系统]]。
 +
 +
:* IPsec 默认密钥协议更改
 +
:对于使用计算机证书进行身份验证的 IPsec 连接， 默认密钥模块已更改为 IKEv1 和 IKEv2。 对于其他身份验证方法， 默认的 AuthIP 和 IKEv1 保持不变。 这适用于 Windows Server 2025 和 [[OS:Windows 11 版本 24H2|Windows 11 24H2 客户端]]。 在注册表路径 <code>HKLM:\SYSTEM\CurrentControlSet\Services\MpsSvc\Parameters</code> 中， 值为 <code>IpsecRestoreLegacyKeyMod</code> 项利用新序列 IKEv2 和 IKEv1。 值 '''1''' 使用先前序列、 AuthIP 和 IKEv1。 若要还原到以前的行为， 请使用新的默认密钥协议序列在系统上添加以下注册表项 （需要配合 PowerShell 使用）， 需要重新启动才能使更改生效：
 +
 +
:<code>New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\MpsSvc\Parameters" -Name "IpsecRestoreLegacyKeyMod" -PropertyType "DWORD" -Value 1</code>。
  
 
===Hyper-V、 AI 和性能===
 
===Hyper-V、 AI 和性能===

2025年10月31日 (五) 22:04的最新版本

Windows 服务器及高性能计算操作系统系列
WinSrv-logo.png
基本信息
产品名称 Windows Server 2025
开发代号 未知
内核版本 Windows NT 10.0
体系架构 x64
ARM64
许可协议 最终用户许可协议 （EULA）
正式版本 10.0.26000.1.ge_release.240331-1435
生命周期策略
正式发行
（生命周期开始）		 2024 年 11 月 1 日
主流支持
（含功能更新）		 2029 年 11 月 13 日
拓展支持
（仅安全更新）		 2034 年 11 月 14 日
拓展安全更新
（付费支持）		 暂无
产品系列顺序
取代产品 Windows Server 2022
（长期服务频道）
对应产品 Windows Server 2025 Datacenter Azure Edition
（长期服务频道）
Windows Server 版本 23H2
（年度频道）
Azure Stack HCI 版本 23H2
Azure Stack HCI 版本 24H2
Windows 11
Windows Cloud PC
Windows 11 For Xbox
Windows 10 Team 2020 Update
接替产品 暂无


Windows Server 2025 （一般简称为 “WinSrv2025”） 是微软在 2024 年发布的基于 Windows NT 10.0 内核的 Windows Server 服务器及数据中心操作系统， 是 Windows Server 2022 服务器及数据中心计算操作系统的继任者。

作为对应 Windows 11 客户端及工作站操作系统的服务器版本， 通过增强安全性、 优化混合云环境集成能力及提升存储性能， 支持 Azure Arc 连接本地与云服务器， 并内置 AI 支持功能与硬件级安全防护机制。 在用户操作界面上相较于上一代 Windows Server 服务器及数据中心操作系统有重大变化外， 还在系统的体系架构方面首次正式引入 ARM64 架构， 成为首个支持 ARM64 体系架构的 Windows Server 服务器及数据中心操作系统 （长期服务频道）； 最低可支持从 Windows Server 2012 R2 服务器及数据中心操作系统升级。

新功能与特性

Windows Server 2025 服务器及数据中心操作系统所带来的一些前沿开发动向， 使它拥有一些可提高安全性、 性能和灵活性的高级功能。 借助更快的存储选项和与混合云环境集成的能力， 更方便管理在当下的基础结构。 它基于其前身的强大基础构建， 并引入了一系列创新增强功能来适应您的需求。[1][2]

桌面体验和升级

  • 从 Windows Server 2012 R2 就地升级

使用 Windows Server 2025， 一次最多可以升级四个版本。 可以直接从 Windows Server 2012 R2 及更高版本升级到 Windows Server 2025。

  • 桌面 shell

首次登录时， 桌面 shell 体验符合 Windows 11 的样式和外观。

  • 蓝牙

现在可以通过 Windows Server 2025 中的蓝牙连接鼠标、 键盘、 耳机、 音频设备等。

  • DTrace

Windows Server 2025 自带 dtrace 作为原生工具。 DTrace 是一个命令行实用工具， 可让用户实时监视和排查系统性能问题。 使用 DTrace， 可以动态检测内核和用户空间代码， 而无需修改代码本身。 这一多功能工具支持一系列数据收集及分析技术， 如聚合、 直方图和用户级事件跟踪。

  • 电子邮件和帐户

现在可以在设置中， 帐户 > 电子邮件 & 帐户下添加以下类型的帐户， 以用于 Windows Server 2025：

  • Microsoft Entra ID。
  • Microsoft 帐户。
  • 工作或学校帐户。

大多数情况下， 仍需要加入域。

  • 反馈中心

若要提交使用 Windows Server 2025 时遇到的反馈或报告问题， 请使用反馈中心。 包括导致问题过程中的屏幕截图或录制内容， 帮助我们了解您的情况并分享有关增强 Windows 体验的建议。

  • 文件压缩

Windows Server 2025 具有新的压缩功能。 若要压缩项目， 请右键单击并选择 “压缩到”。 此功能支持 .zip、 .7z 和 .tar 压缩格式， 并为每种格式提供特定的压缩方式。

  • 已固定应用

现在您可以通过开始菜单固定您最常用的应用， 并且可以根据需要进行自定义。 当前默认固定的应用包括：

  • Azure Arc 安装程序。
  • 反馈中心。
  • 文件资源管理器。
  • Microsoft Edge 浏览器。
  • 服务器管理器。
  • 设置。
  • 终端。
  • PowerShell 命令行工具。
  • 任务管理器

Windows Server 2025 中， 将新式任务管理器应用与符合 Windows 11 用户界面样式的 Mica 设计材料结合使用。

  • 无线局域网

现在更容易启用无线功能， 在默认情况下已安装无线局域网服务功能。 无线启动服务设置默认为手动， 若要启用这项服务， 请在命令提示符 （cmd）、 终端 （wt） 或 PowerShell 中输入 net start wlansvc 命令行并启用。

  • 终端

Windows Server 2025 中提供了终端。 这是一个功能强大又高效的多 shell 应用程序， 适用于熟悉命令行的用户。 在搜索栏中搜索终端或是输入 wt 即可运行。

  • WinGet

预装了 WinGet 软件包管理工具。 这是一种命令行式的 Windows 软件包管理工具， 提供全面的 Windows 软件包管理解决方案， 用于在 Windows 设备上安装应用程序。

高级多层安全性

  • 热补丁 （预览）

在 Azure Arc 门户中启用热补丁后， 现在可用于已连接到运行 Azure Arc 的 Windows Server 2025 设备。 可以使用热补丁应用于系统安全更新， 而无需重启计算机。 启用了 Azure Arc 的热补丁目前处于预览阶段。

  • 凭据防护

从 Windows Server 2025 开始， 在符合要求的设备上将默认启用凭据防护。

  • Active Directory 域服务

Active Directory 域服务 （AD DS） 和 Active Directory 轻型域服务 （AD LDS） 的最新增强功能引入了一系列新功能和增强功能， 旨在优化你的域管理体验：

  • 32k 数据库页大小可选功能
Active Directory 自 Windows 2000 引入以来， 一直使用采用 8k 数据库页大小的可扩展存储引擎 （ESE） 数据库。 8k 架构设计决策导致了整个 Active Directory 的限制， 这些限制记录在 Active Directory 最大限制 - 可伸缩性中。 此限制的一个示例是单个记录 Active Directory 对象， 不能超过 8k 字节大小。 迁移到 32k 数据库页面格式对受旧版限制影响的方面提供了巨大的改进。 多值属性现在可以容纳大约 3200 个值， 这相当于增加了 2.6 倍。
可以使用 32k 页的数据库安装新的域控制器 （DC）， 该数据库使用 64 位长值 ID (LID)， 并在 8k 页模式下运行， 以便与以前的版本兼容。 升级后的 DC 会继续使用其当前的数据库格式和 8k 页面。 迁移到 32k 页面数据库操作会在林范围内完成， 且要求林中的所有 DC 均具有支持 32k 页面的数据库。
  • Active Directory 架构更新
引入了三个新的日志文件来扩展 Active Directory 架构： sch89.ldf、 sch90.ldf 和 sch91.ldf。 AD LDS 等效架构更新在 MS-ADAM-Upgrade3.ldf 中。
  • Active Directory 对象修复
企业管理员不仅可以修复缺少的核心属性 SamAccountType 和 ObjectCategory 的对象， 也可以将对象的 LastLogonTimeStamp 属性重置为当前时间。 这些操作会通过新的 RootDSE 来修改名为 fixupObjectState 的受影响对象的操作功能来实现。
  • 通道绑定审核支持
现在可以为轻型目录访问协议 （LDAP） 通道绑定启用事件 3074 和 3075。 当通道绑定策略修改为更安全的设置时， 管理员可以识别环境中不支持或失败的通道绑定的设备。
  • DC 位置算法改进
DC 发现算法提供了新功能， 同时改进了将 NetBIOS 式短域名映射到 DNS 式域名的新功能。 Windows 不会在 DC 发现操作期间使用邮件槽， 因为微软在早前就已宣布为这些旧技术而弃用 WINS 和邮件槽。
  • 林和域功能级别
新的功能级别可用于实现一般可支持性， 而新的 32K 数据库页面大小功能必须使用该级别。 新的功能级别将映射到针对无人参与安装的 DomainLevel 10 和 ForestLevel 10 值。
DsGetDcName API 还支持一个新标志 DS_DIRECTORY_SERVICE_13_REQUIRED， 可以用于定位运行 Windows Server 2025 的 DC。
需要新的 Active Directory 林或 AD LDS 配置集才能具有 Windows Server 2016 或更高的功能级别。 要升级 Active Directory 或 AD LDS 副本， 要求现有域或配置集已在运行， 且其功能级别为 Windows Server 2016 或更高。 微软官方建议所有客户现在开始计划将其 Active Directory 和 AD LDS 服务器升级到 Windows Server 2022， 为下一个版本做准备。
  • 改进针对名称/SID 查找的算法
不同计算机帐户之间的本地安全机构 （LSA） 名称和 SID 查找转发功能不再使用旧版 Netlogon 安全通道。 将改用 Kerberos 身份验证和 DC 定位器算法。 为保持与旧操作系统的兼容性，仍可使用 Netlogon 安全通道作为回退选项。
  • 改进了机密属性的安全性
仅当连接加密时， DC 和 AD LDS 实例才允许 LDAP 执行涉及机密属性的添加、 搜索和修改操作。
  • 改进了默认计算机帐户密码的安全性
Active Directory 现在使用随机生成的默认计算机帐户密码。 Windows Server 2025 的 DC 会阻止将计算机帐户密码设为计算机帐户名称的默认密码。
若要控制此行为， 请将域控制器启用组策略对象 （GPO） 设置为拒绝 “计算机配置\Windows 设置\安全设置\本地策略\安全选项” 中设置默认计算机帐户的密码。
Active Directory 管理中心 （ADAC）、 Active Directory 用户和计算机 （ADUC）、 net computer 等实用工具， dsmod 也遵循这一新行为。 ADAC 和 ADUC 都不再允许创建 Windows 2000 之前的帐户。
  • Kerberos PKINIT 对加密敏捷性的支持
Kerberos 公钥加密的初始身份验证协议实现已更新， 通过支持更多算法和移除硬编码算法来实现加密敏捷性。
  • Kerberos 对用于票证授予票证的算法进行的变更
Kerberos 分发中心将不再颁发使用 RC4 加密 （例如 RC4-HMAC(NT)） 的票证授予票证。
  • Kerberos 更改了支持的加密类型配置
Kerberos 不再支持路径 SupportedEncryptionTypes 中找到的旧版注册表项 REG_DWORD HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Kerberos\Parameters， 微软官方建议使用组策略。
  • LAN Manager GPO 设置 - GPO 设置 > 网络安全：不要将 LAN Manager 哈希值存储在下次密码更改中
该设置已不存在， 也不适用于新版本的 Windows 中。
  • 默认情况下 LDAP 加密
简单身份验证和安全层 （SASL） 绑定后的所有 LDAP 客户端通信默认使用 LDAP 密封。
  • 针对传输层安全 (TLS) 1.3 的 LDAP 支持
LDAP 使用最新的 SCHANNEL 实现， 并支持为基于 TLS 连接的 LDAP 使用 TLS 1.3。 使用 TLS 1.3 可消除过时的加密算法， 并增强旧版本的安全性。 TLS 1.3 旨在尽可能多地加密握手。
  • 旧版安全帐户管理器（SAM）远程过程调用（RPC）密码更改行为
安全协议 （如 Kerberos） 是更改域用户密码的首选方法。 在 DC 上， 当远程调用时， 默认使用高级加密标准 (AES) 接受最新的 SAM RPC 密码更改方法 SamrUnicodeChangePasswordUser4。[3] 默认情况下， 远程调用以下旧 SAM RPC 方法时会阻止这些方法：
  • SamrChangePasswordUser。[4]
  • SamrOemChangePasswordUser2。[5]
  • SamrUnicodeChangePasswordUser2。[6]
对于属于受保护用户的组和域成员计算机上的本地帐户的域用户， 默认情况下会阻止通过旧 SAM RPC 接口进行的所有远程密码更改， 包括 SamrUnicodeChangePasswordUser4。
若要控制此行为， 请使用以下 GPO 设置：
计算机配置 > 管理模板 > 系统 > 安全帐户管理器 > 配置 SAM 更改密码 RPC 方法策略
  • 非一致性内存访问 （NUMA） 支持
AD DS 现在会使用所有处理器组中的 CPU 来利用支持 NUMA 的硬件。 在这之前 Active Directory 只会在组 0 中使用 CPU， 现在 Active Directory 可扩展到 64 个内核以上。
  • 性能计数器
现在可以监视和排查以下计数器的性能问题：
  • DC 定位器： 特定于客户端和 DC 的计数器可用。
  • LSA 查找： 通过 LsaLookupNames、 LsaLookupSids 和等效的 API 进行的名称和 SID 查找。 这些计数器在客户端和服务器版本上都可用。
  • LDAP 客户端： 通过 KB5029250 更新在 Windows Server 2022 及更高版本中可用。[7]
  • 复制优先级顺序
管理员现在可以为特定命名上下文选择特定复制伙伴， 并增加系统计算出的复制优先级。 此功能允许更灵活地配置复制顺序以解决特定方案。
  • 委派托管服务帐户

这种新类型的帐户支持从服务帐户迁移到委派托管服务帐户 （dMSA）。 此帐户类型附带托管密钥和完全随机密钥， 以确保在禁用原始服务帐户密码时尽量减少应用程序更改。

  • Windows 本地管理员密码解决方案

Windows 本地管理员密码解决方案 （LAPS） 可帮助组织在其已加入域的计算机上管理本地管理员密码。 它会自动为每个计算机的本地管理员帐户生成唯一密码， 然后它将安全地存储在 Active Directory 中并定期更新它们， 自动生成的密码有助于提高安全性， 他们通过使用泄露或容易猜出的密码来降低攻击者获取敏感系统访问权限的风险。

Microsoft LAPS 的多项新增功能引入了以下改进：

  • 新的自动帐户管理
IT 管理员可以轻松创建托管的本地帐户。 使用此功能，可以自定义帐户名称并启用或禁用该帐户。 甚至可以随机化帐户名称以提高安全性。 此更新还包括改进与来自Microsoft的现有本地帐户管理策略的集成。
  • 新映像回滚检测
在发生映像回滚时， Windows LAPS 现在可以检测到。 如果发生回滚， 则存储在 Active Directory 中的密码可能不再与存储在设备上的本地密码匹配， 回滚可能会导致撕裂状态。 在这种情况下，IT 管理员无法使用持久化 Windows LAPS 密码登录到设备。
为了解决此问题， 添加了一项新功能， 其中包括名为 msLAPS-CurrentPasswordVersion 的 Active Directory 属性。 此属性包含由 Windows LAPS 编写的随机全局唯一标识符 (GUID)， 每次将新密码持久化到 Active Directory 并在本地保存时都会生成。 在每个处理周期中， 查询存储在 msLAPS-CurrentPasswordVersion 中的 GUID， 并将其与本地持久化副本进行比较。 如果两者不一致， 则会立即轮换密码。
若要启用此功能， 请运行最新版本的 cmdlet 之 Update-LapsADSchema。 然后，Windows LAPS 识别新属性并开始使用它。 如果未运行更新版本的 cmdlet 之 Update-LapsADSchema， 则 Windows LAPS 会在事件日志中记录 10108 警告事件， 但仍在所有其他方面正常运行。
不使用策略设置来启用或配置此功能， 在添加新架构属性后始终启用该功能。
  • 新的通行短语
IT 管理员现在可以在 Windows LAPS 中使用新功能来生成不太复杂的通行短语。 EatYummyCaramelCandy 等通行短语就是一个示例。 与传统密码 （如 V3r_b4tim#963） 相比， 此短语更易于阅读、 记住和键入。
使用此新功能， 可以将 PasswordComplexity 策略设置配置为为通行短语选择三个不同的单词列表之一。 所有列表都包含在 Windows 中， 不需要单独下载。 名为 PassphraseLength 的新策略设置控制通行短语中使用的单词数。
创建通行短语时， 将从所选单词列表中随机选择指定的单词数并连接。 每个单词的第一个字母大写， 以提高可读性。 此功能还完全支持将密码备份到 Active Directory 或 Microsoft Entra ID。
三个新的 PasswordComplexity 通行短语设置中使用的单词列表源自电子前沿基金会的文章 《深度探索：EFF 的随机通行短语新单词列表》，[8] Windows LAPS 密码短语列表根据 CC-BY-3.0 署名许可协议授权并可供下载。[9]
Windows LAPS 不允许自定义内置单词列表或使用客户配置的单词列表。
  • 改进了可读性密码字典
Windows LAPS 引入了一个新的 PasswordComplexity 设置， 使 IT 管理员能够创建不太复杂的密码。 可以使用此功能来自定义 LAPS， 以使用所有四个字符类别 （大写字母、 小写字母、 数字和特殊字符）， 例如现有的 4 复杂性设置。 通过新的 5 设置， 将排除更复杂的字符以提高密码可读性， 并最大程度地减少混淆。 例如， 数字 1 和字母 I 永远不会与新设置一起使用。
PasswordComplexity 配置为 5 时， 将对默认密码字典字符集进行以下更改：
  • 不使用： 字母 I、 O、 Q、 l、 o。
  • 请勿使用： 数字 0、 1。
  • 不使用： 特殊字符 、、 。， &， {， }， [， ]， （， ）， ;。
  • 使用： 特殊字符 ：、 =、 ？， *。
ADUC 管理单元 （通过 Microsoft 管理控制台） 现在具有改进的 Windows LAPS 选项卡。 Windows LAPS 密码现在使用新字体显示， 可在纯文本中显示时增强其可读性。
  • 身份验证后操作支持终止各个进程
在身份验证后操作 （PAA） 组策略设置中添加了一个新选项 - Reset the password, sign out the managed account, and terminate any remaining processes， 该选项位于计算机配置 > 管理模板 > 系统 > LAPS > 身份验证后操作。
此新选项是上一选项的扩展， 即 Reset the password and log off the managed account。 配置后， PAA 会通知并终止任何交互式登录会话。 它枚举并终止仍在由 Windows LAPS 管理的本地帐户标识下运行的任何剩余进程。 此终止之前没有通知。
在 PAA 执行过程中扩展日志事件可以更深入地了解操作。
  • OpenSSH

在早期版本的 Windows Server 中 OpenSSH 连接工具在使用前需要手动安装， 现在 OpenSSH 服务器端组件默认安装在 Windows Server 2025 中。 服务器管理器 UI 还包括远程 SSH 访问下的一步选项， 用于启用或禁用 sshd 该服务。 此外， 你还可以将用户添加到 OpenSSH 用户组， 以允许或限制访问设备。

  • 安全基线

通过实现自定义的安全基线， 可以根据建议的安全状况， 从头开始为设备或 VM 角色建立安全措施。 此基线配备了 350 多个预配置的 Windows 安全设置。 可以使用这些设置应用和强制实施特定的安全设置， 这些设置符合Microsoft和行业标准建议的最佳做法。

  • 基于虚拟化的安全性 Enclave

基于虚拟化的安全性 （VBS） 区段是主机应用程序地址空间内的基于软件的受信任执行环境。 VBS enclaves 会使用底层 VBS 技术， 将应用程序的敏感部分隔离在内存的安全分区中。 VBS Enclave 可以使敏感工作负载与主机应用程序和系统的其余部分隔离。

VBS Enclave 可使应用程序不需要信任管理员并能有效抵御恶意攻击者，从而保护自己的机密。

  • 基于虚拟化的安全密钥保护

VBS 密钥保护使 Windows 开发人员能够使用 VBS 保护加密密钥。 VBS 利用 CPU 的虚拟化扩展能力，在正常 OS 之外创建一个隔离的运行时。

使用时， VBS 密钥在安全进程中隔离。 无需在该空间外暴露私钥材料即可执行密钥操作。 在静态状态下，TPM 密钥会加密私钥材料， 用于将 VBS 密钥绑定到设备。 以这种方式保护的密钥无法从进程内存中转储， 也不能以纯文本形式从用户计算机导出。

VBS 密钥保护有助于防止任何管理员级攻击者发生外泄攻击。 必须启用 VBS 才能使用密钥保护。

  • 安全连接
  • 安全证书管理
在 Windows 上搜索或检索证书现在支持 SHA-256 哈希， 如函数 CertFindCertificateInStore 和 CertGetCertificateContextProperty 中所述。[10][11] TLS 服务器身份验证在 Windows 中更安全， 现在要求最低 RSA 密钥长度为 2048 位。
  • 基于 QUIC 的 SMB
SMB over QUIC 服务器功能以前仅在 Windows Server Datacenter Azure Edition 中可用， 现在在 Windows Server 的 Standard SKU 和 Datacenter SKU 中均可用。 SMB over QUIC 增加了 QUIC 的优势， 通过 Internet 提供低延迟、加密的连接。
  • 基于 QUIC 的 SMB 的启用策略
管理员可以通过组策略和 PowerShell 通过 QUIC 客户端禁用 SMB。 若要通过组策略禁用 QUIC 上的 SMB， 请在以下路径中将启用 SMB over QUIC 策略设置为禁用：
  • 计算机配置\管理模板\网络\Lanman 工作站。
  • 计算机配置\管理模板\网络\Lanman 服务器。
若要使用 PowerShell 在 QUIC 上禁用 SMB， 请在提升的 PowerShell 提示符中运行此命令： Set-SmbClientConfiguration -EnableSMBQUIC $false。
  • SMB 签名和加密审核
管理员可以启用对 SMB 服务器和客户端的审核， 以支持 SMB 签名和加密。 如果非 Microsoft 客户端或服务器缺少对 SMB 加密或签名的支持， 则可以检测到它。 当非 Microsoft 设备或软件声明它支持 SMB 3.1.1， 但不支持 SMB 签名时， 它违反了 SMB 3.1.1 预身份验证完整性协议要求。[12]
可以使用组策略或 PowerShell 配置 SMB 签名和加密审核设置。 可以在以下组策略路径中更改这些策略：
  • 计算机配置\管理模板\网络\Lanman 服务器\审计客户端不支持加密。
  • 计算机配置\管理模板\网络\Lanman 服务器\审核客户端不支持签名。
  • 计算机配置\管理模板\网络\Lanman 工作站\审计服务器不支持加密。
  • 计算机配置\管理模板\网络\Lanman 工作站\审计服务器不支持签名。
若要使用 PowerShell 执行这些更改， 请在提升的提示符下运行以下命令， 其中 $true 以启用或 $false 以禁用这些设置：
  • Set-SmbServerConfiguration -AuditClientDoesNotSupportEncryption $true。
  • Set-SmbServerConfiguration -AuditClientDoesNotSupportSigning $true。
  • Set-SmbClientConfiguration -AuditServerDoesNotSupportEncryption $true。
  • Set-SmbClientConfiguration -AuditServerDoesNotSupportSigning $true。
这些更改的事件日志存储在以下具有特定事件 ID 的事件查看器路径中：
路径 事件标识符
应用程序和服务日志\Microsoft\Windows\SMBClient\Audit 31998
31999
应用程序和服务日志\Microsoft\Windows\SMBServer\Audit 3021
3022
  • 基于 QUIC 的 SMB 审核
基于 QUIC 的 SMB 客户端连接审核可捕获写入事件日志的事件， 以便在事件查看器中包含 QUIC 传输。 这些日志存储在以下路径中， 其中包含其特定的事件 ID：
路径 事件标识符
应用程序和服务日志\Microsoft\Windows\SMBClient\Connectivity 30832
应用程序和服务日志\Microsoft\Windows\SMBServer\Connectivity 1913
  • SMB over QUIC 客户端访问控制
Windows Server 2025 包括针对 QUIC 上的 SMB 的客户端访问控制。 SMB over QUIC 是 TCP 和 RDMA 的替代方法， 它通过不受信任的网络提供与边缘文件服务器的安全连接。 客户端访问控制引入了更多控制措施， 以使用证书限制对数据的访问。
  • SMB 备用端口
可以使用 SMB 客户端连接到备用 TCP、 QUIC 和 RDMA 端口， 而不是其 IANA / IETF 默认值 445、 5445 和 443。 可以通过组策略或 PowerShell 配置备用端口。 以前， Windows 中的 SMB 服务器授权入站连接使用 IANA 注册的端口 TCP / 445， 而 SMB TCP 客户端只允许与同一 TCP 端口建立出站连接。 现在， SMB over QUIC 支持 SMB 替代端口， 其中 QUIC 强制的 UDP/443 端口可用于服务器和客户端设备。
  • SMB 防火墙规则强化
在以前创建共享时， SMB 防火墙规则会自动配置为为相关防火墙配置文件启用文件和打印机共享组。 现在在 Windows 中创建 SMB 共享会导致自动配置新的文件和打印机共享 （限制）组， 该组不再允许入站 NetBIOS 端口 137-139。
  • SMB 加密
为所有出站 SMB 客户端连接启用强制 SMB 加密。[13] 通过此更新， 管理员可以设置一个命令， 即所有目标服务器都支持 SMB 3.x 和加密。 如果服务器缺少这些功能， 则客户端无法建立连接。
  • SMB 身份验证速率限制器
SMB 身份验证速率限制程序限制特定时间段内的身份验证尝试次数。 SMB 身份验证速率限制器有助于打击暴力身份验证攻击。 为了减少每次失败的 NTLM 或基于 PKU2U 的身份验证尝试之间的时间延迟， SMB 服务器服务使用身份验证速率限制器。 默认情况下， 该服务处于启用状态。
  • SMB 身份验证速率限制器
SMB 身份验证速率限制程序限制特定时间段内的身份验证尝试次数。 SMB 身份验证速率限制器有助于打击暴力身份验证攻击。 为了减少每次失败的 NTLM 或基于 PKU2U 的身份验证尝试之间的时间延迟， SMB 服务器服务使用身份验证速率限制器。 默认情况下， 该服务处于启用状态。
  • 禁用 SMB NTLM
从 Windows Server 2025 开始， SMB 客户端支持阻止远程出站连接的 NTLM 功能。 以前， Windows 简单和受保护的 GSSAPI 协商机制 （SPNEGO） 与目标服务器协商了 Kerberos、 NTLM 和其他机制，[14] 以确定受支持的安全包。
  • SMB 方言控件
现在可以在 Windows 中管理 SMB 方言。[15] 配置后， SMB 服务器会确定与之前的行为相比协商的是哪些 SMB 2 和 SMB 3 方言， 并且仅匹配最高级方言。
  • SMB 签名
默认情况下， 所有 SMB 出站连接都需要 SMB 签名。 以前， 只有在连接到 Active Directory DC 上名为 SYSVOL 和 NETLOGON 的共享时才需要此要求。
  • 远程 Mailslot
远程 Mailslot 协议默认处于禁用状态， 以将 SMB 和 DC 定位器与 Active Directory 配合使用。 远程 Mailslot 可能会在后续版本中被移除。
  • 路由和远程访问服务强化
默认情况下， 新的路由和远程访问服务 （RRAS） 安装不接受基于 PPTP 和 L2TP 的 VPN 连接。 如有必要， 仍可以启用这些协议。 仍接受基于 SSTP 和 IKEv2 的 VPN 连接， 无需进行任何更改。
现有配置会保留其行为。 例如，如果运行 Windows Server 2019 并接受 PPTP 和 L2TP 连接， 并且使用就地升级升级到 Windows Server 2025， 则仍接受基于 L2TP 和 PPTP 的连接。 此更改不会影响 Windows 客户端作系统。
  • IPsec 默认密钥协议更改
对于使用计算机证书进行身份验证的 IPsec 连接， 默认密钥模块已更改为 IKEv1 和 IKEv2。 对于其他身份验证方法， 默认的 AuthIP 和 IKEv1 保持不变。 这适用于 Windows Server 2025 和 Windows 11 24H2 客户端。 在注册表路径 HKLM:\SYSTEM\CurrentControlSet\Services\MpsSvc\Parameters 中， 值为 IpsecRestoreLegacyKeyMod 项利用新序列 IKEv2 和 IKEv1。 值 1 使用先前序列、 AuthIP 和 IKEv1。 若要还原到以前的行为， 请使用新的默认密钥协议序列在系统上添加以下注册表项 （需要配合 PowerShell 使用）， 需要重新启动才能使更改生效：
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\MpsSvc\Parameters" -Name "IpsecRestoreLegacyKeyMod" -PropertyType "DWORD" -Value 1。

Hyper-V、 AI 和性能

存储

Azure Arc 和混合环境

软件定义的网络

Windows 容器可移植性

Windows Server 预览体验计划

Windows Server 预览体验计划为爱好者社区提供对最新 Windows Server 系统版本的早期访问。 作为加入预览体验计划的成员之一， 您是最早尝试微软正在开发的新想法和概念的人， 注册为成员后可以加入不同的发布频道； 前提是打开开始菜单， 打开设置 > Windows 更新 > Windows 预览体验计划。

构建列表

  • 可用构建
  • 确认存在的构建
  • 不能确定存在的构建
  • 假冒的构建
  • 构建内核版本
  • 页面存在
  • 页面不存在

Nickel

Insider Preview (rs_prerelease 开发分支)

Copper

Insider Preview (rs_prerelease 开发分支)

Zinc

Insider Preview (rs_prerelease 开发分支)

参考资料

  1. ↑ What's new in Windows Server 2025 | Microsoft Learn
  2. ↑ Windows Server 2025 中的新增功能 | Microsoft Learn
  3. ↑ ［MS-SAMR］: SamrUnicodeChangePasswordUser4 (Opnum 73) | Microsoft Learn
  4. ↑ ［MS-SAMR］: SamrChangePasswordUser (Opnum 38) | Microsoft Learn
  5. ↑ ［MS-SAMR］: SamrOemChangePasswordUser2 (Opnum 54) | Microsoft Learn
  6. ↑ ［MS-SAMR］: SamrUnicodeChangePasswordUser2 (Opnum 55) | Microsoft Learn
  7. ↑ 2023 年 8 月 8 日 — KB5029250 (OS 内部版本 20348.1906) - Microsoft 支持
  8. ↑ EFF's New Wordlists for Random Passphrases | Electronic Frontier Foundation
  9. ↑ Download Windows LAPS Passphrase Word Lists from Official Microsoft Download Center
  10. ↑ CertFindCertificateInStore 函数 （wincrypt.h） - Win32 apps | Microsoft Learn
  11. ↑ CertGetCertificateContextProperty 函数 （wincrypt.h） - Win32 apps | Microsoft Learn
  12. ↑ SMB 3.1.1 Pre-authentication integrity in Windows 10 | Microsoft Learn
  13. ↑ SMB 安全性增强功能 | Microsoft Learn
  14. ↑ ［MS-SPNG］: Introduction | Microsoft Learn
  15. ↑ 在 Windows 和 Windows Server 2025 中管理 SMB 方言 | Microsoft Learn

外部链接

另请参阅

取自“http://msheritage.qlmfs.org/index.php?title=OS:Windows_Server_2025&oldid=12080”