Windows 11 25H2/24H2向けの最新のセキュリティ更新プログラム「KB5124008」を適用した一部の企業環境で、ドメイントラスト(ドメインとの信頼関係)が突然失われるという深刻な問題が報告されています。影響を受けた端末では、正しいドメイン資格情報を入力してもログインできなくなるという症状が発生するようです。
管理者の報告によると、更新プログラムを適用して再起動したタイミングで、端末がActive Directoryとの安全な通信チャネルを維持できなくなり、「ドメイン信頼関係に失敗しました」といったエラーが発生するとのこと。
オフライン時はキャッシュされた資格情報でログインできるため、問題の原因はユーザーのパスワードではなく、ドメイン認証そのものがが壊れていることにあると見込まれています。
原因として疑われている「Machine Identity Isolation」
複数の管理者が検証した結果、問題はMachine Identity Isolation(機械アカウントの資格情報を隔離するセキュリティ機能)に関連している可能性が高いとみられています。
KB5124008を適用すると、この設定が2(強制モード)に切り替わることがあり、これにより端末側の機械アカウント秘密情報がLSAから削除され、Credential Guard側に移動。その結果、Active Directory が期待する資格情報と一致しなくなり、ドメイントラストが破壊されるという流れです。
現時点でMicrosoftは公式の回避策を提示していませんが、コミュニティでは以下の方法で復旧した例が報告されています。
- MachineIdentityIsolationを0に戻す
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa] "MachineIdentityIsolation"
- 再起動後、PowerShellの
Test-ComputerSecureChannel-Repair-Credential(Get-Credential)を実行して安全なチャネルを再構築する
ただし、この設定を変更すると、環境によっては逆にドメイントラストが壊れるという報告もあり、慎重な対応が求められます。Microsoftのドキュメントでも強制モードを無効化するとドメイン再参加が必要になる場合があると警告されています。
Microsoftの対応状況
Microsoftはすでに問題を認識しており、調査を進めているとコメントしています。現時点では公式の原因特定や修正パッチは提供されていないため、企業環境ではKB5124008の展開を慎重に判断する必要があります。
[via BleepingComputer]
