Microsoftは、Windows 11向けセキュリティ更新プログラムKB5124008が一部の企業システムでドメイン信頼関係を破損させ、有効なドメイン資格情報を持つユーザーがログインできなくなっているとの報告を調査中です。
Redditおよびマイクロソフトの質疑応答フォーラムでは、管理者らがこのWindows更新プログラムをインストールしてデバイスを再起動すると、影響を受けたコンピューターがActive Directoryとのセキュアチャネルを失うと報告しています。
先週、MicrosoftはBleepingComputerに対し、これらの報告を認識しており調査中であることを認めました。
Microsoftは「これらの報告を認識しており、調査を進めています。情報が入り次第、ガイダンスを提供します」とBleepingComputerに述べています。
Microsoftは根本原因をまだ確認していませんが、報告によるとこの障害はWindowsのMachine Identity Isolationというセキュリティ機能、特にこれが監査モードまたは適用モードで有効になっている場合に関連しているとみられます。
KB5124008インストール後にドメイン信頼が破損
Windows Active Directoryでは、ドメイン参加済みのコンピューターがマシンアカウントの資格情報を使用して、ドメインコントローラーとのセキュアチャネルを維持します。
ローカルに保存されたこの資格情報がActive Directoryが想定するものと一致しなくなると、セキュアチャネルは失敗する可能性があります。これにより、ユーザーは資格情報が有効であるにもかかわらず、ドメイン信頼エラーが表示されたり、ユーザー名またはパスワードが誤っていると表示されたりすることがあります。
MicrosoftのQ&Aフォーラムでこの問題を報告したWindows管理者のAlex Turner氏によると、Windows 11 25H2のワークステーションはKB5124008をインストールする前は正常に動作していました。しかし更新プログラムをインストール後、再起動するとデバイスがドメインログインに失敗するようになったといいます。
システムがオフラインの状態ではキャッシュされた資格情報が引き続き機能したことから、問題はユーザーのパスワードではなくドメイン認証に関連していることが示されました。
この管理者は、テストの結果、コンピューターとActive Directoryとのセキュアチャネルが破損していることが判明し、問題は一貫して再現できたと述べています。KB5124008をアンインストールしてドメイン関係を修復するとアクセスが復旧した一方、更新プログラムを再インストールすると障害が再発したとのことです。
Redditの別の管理者は、約256台のデバイスのうちWindows 11 25H2 Enterpriseの11台が更新後にドメイン信頼を失ったと報告しています。
この管理者はまた、影響を受けたシステムで多数のKerberos認証失敗が発生し、その後NTLMおよびNetlogonへのフォールバックが起きていることも確認しました。
別の管理者は、更新プログラムのインストール後、ネットワーク内のすべてのWindows 11 25H2ワークステーションが有効なドメイン資格情報を拒否し始めたと述べています。
Turner氏はその後、この障害を「Machine Identity Isolation」と呼ばれるWindowsのセキュリティ設定に関連付けました。同氏によると、KB5124008のインストール後、この設定は「2」、つまり適用モードに設定されていたといいます。
この問題を調査していた別の管理者も同様の現象を確認したと報告しており、更新後に「MachineIdentityIsolation」が「2」に設定されていたこと、そしてこの機能を無効化することで、KB5124008を削除しなくてもWindowsがマシンアカウントのLSAシークレットを破棄する動作が止まったことを述べています。
この機能はWindowsの仮想化ベースセキュリティ(VBS)およびCredential Guardの構成の一部であり、ドメイン参加済みコンピューターがActive Directoryとの認証に使用するマシンアカウントの資格情報を隔離するものです。
適用モードでは、Windowsはマシンアカウントのシークレットを Credential Guard に移動し、LSAに保存されているコピーを削除します。
この設定は以下のレジストリ値で制御できます。
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"MachineIdentityIsolation"一部の管理者は、「MachineIdentityIsolation」を「0」に設定して再起動し、その後PowerShellを使ってマシンのセキュアチャネルを修復することで、影響を受けたシステムを復旧させています。
ある管理者は、管理者権限で以下のPowerShellコマンドを実行することで、機能を無効化した後にセキュアチャネルが復旧したと述べています。
Test-ComputerSecureChannel -Repair -Credential(Get-Credential)Marcel Zehnder氏は「再起動後、’Test-ComputerSecureChannel -Repair -Credential(Get-Credential)’でセキュアチャネルを復元する必要がありました。それ以降、このコンピューターはセキュアチャネルを失うことなく稼働しています」と説明しています。
ただし、Machine Identity Isolationを無効化する際には注意が必要です。これ自体が同様の問題を引き起こす可能性もあるためです。
別の管理者は、この設定を監査モードまたは適用モードから無効に変更したところ、KB5124008を一度もインストールしていないシステムを含め、環境全体でドメイン信頼の障害が発生したと警告しています。
Microsoftのドキュメントでも、Machine Identity Isolationが以前に適用モードで有効化されていた場合、これを無効化するとドメイン認証が破損し、デバイスをドメインから一度離脱させて再度参加させる必要があると警告しています。
MicrosoftはMachine Identity IsolationがKB5124008の障害の根本原因であることをまだ確認しておらず、公式の回避策も公表していません。
Microsoftの調査について追加情報が提供され次第、BleepingComputerは記事を更新する予定です。
