9月の月例更新として配信されたWindows 11の更新プログラムKB5124008によって、企業環境で深刻な不具合が発生しています。
Windows 11 24H2/25H2/26H1といったクライアント版のWindows 11環境で、Credential Guardを有効化した端末がActive Directoryとの信頼関係を失い、ユーザーがログインできなくなるという問題です。
ドメインコントローラー側のサービスやレプリケーションは正常に動作しているものの、Windows Server 2025のDomain Functional Level(DFL)未満の環境では、端末側が新しいセキュリティ要件に対応できず、信頼関係エラーが発生しています。
原因：Machine Identity Isolation の強制適用
今回の不具合は、KB5124008によってMachine Identity Isolation(MII)の設定が「既存のポリシーを厳密に適用する」挙動に変わったことが引き金になっています。
MIIは資格情報の露出を抑える高度なセキュリティ機能ですが、正しく動作するにはWindows Server 2025 DFLが前提となります。そのため、旧環境では端末がドメインとのsecure channelを維持できず、ログインできないという問題が発生します。
Microsoftが案内している暫定対処方法
Microsoftは今後の更新でMIIの強制適用を一時的に停止するとしていますが、現時点では管理者が手動でMIIを無効化する必要があります。
対処方法は、MIIを有効化した方法に応じて以下のいずれかを実施します。
-
Intuneで有効化していた場合: Intune側でMIIを無効化
-
グループポリシーで有効化していた場合: 該当ポリシーを無効化
-
レジストリで直接設定していた場合:
-
MachineIdentityIsolationの値が2になっているキーを0に変更 -
対象キー:
-
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation -
HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
-
-
設定変更後は端末を再起動し、PowerShellでTest-ComputerSecureChannel -Repair -Credential (Get-Credential) を実行してsecure channelを再構築します。
今後の見通し
Windows 11のセキュリティ強化は着実に進んでいますが、企業環境の複雑な構成との間で摩擦が生じるケースは今後も起こり得ます。特にDFLやCredential Guardなど、セキュリティ機能の前提条件が変わるタイミングでは注意が必要です。
[via Neowin]
