Microsoftは、2026年9月8日に配信したWindows 11向け累積更新プログラム「KB5124008」(OS Build 26200.9445および26100.9445)に関連し、新たな既知の問題を公式サポートページで公表しました。
今回の不具合は、オンプレミスのActive Directory(AD)にドメイン参加している一部のPCで、ドメインとの信頼関係が失われ、サインインができなくなるというものです。
企業や組織のIT管理者にとっては影響が大きい内容のため、症状・原因・回避策を詳しく解説します。
どのような症状が起きるのか
Microsoftによると、KB5124008以降の更新プログラムを適用した環境で、Credential Guardによって保護されたマシンアカウントの一部が、オンプレミスADドメインとのセキュアチャネルを失う場合があるとしています。
この状態になると、ユーザーは有効なドメイン資格情報を使っていても対話型サインインができなくなり、「このデバイスとドメインとの信頼関係の確立に失敗しました」といったメッセージが表示されます。一方で、以前にキャッシュされた資格情報を使ったオフラインサインインは引き続き機能するとのことです。また、AD側のレプリケーションやドメインコントローラーのサービス自体には影響がないとされています。
原因は「Machine Identity Isolation」機能
この問題が発生する原因は、KB5124008以降の更新プログラムがMachine Identity Isolationという機能を有効化する点にあります。
Microsoftの説明によれば、この更新プログラム自体がMachine Identity Isolationの強制を直接有効にするわけではありません。しかし、既存のポリシーやレジストリ設定によってこの機能があらかじめ有効化されていた場合、Windowsがその設定を反映するようになったことが原因だとしています。
なお、Machine Identity IsolationはWindows Server 2025のドメイン機能レベル(DFL)以上に接続された環境でのみサポートされる機能です。それ以外の環境では無効化しておく必要があり、Windows Server 2025未満のドメインコントローラーに接続された状態でこの機能が有効になっていたデバイスは、今回の不具合の影響を受けることになります。
回避策(ワークアラウンド)
Microsoftは、この問題への回避策として、Machine Identity Isolationを無効化する方法を案内しています。有効化した方法に応じて、以下のいずれかの手順で対応します。
- Intuneポリシーで有効化していた場合:Intune側でMachine Identity Isolationを無効化する
- グループポリシーで有効化していた場合:グループポリシー側で無効化する
- レジストリで直接設定していた場合:以下の手順で対応する
レジストリで無効化する場合は、次の2つのパスを確認します。
- HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
- HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
いずれかのキーでMachineIdentityIsolationの値が「2」になっている場合は、「0」に変更します。変更後はデバイスを再起動してください。
なお、レジストリを操作する前には必ずバックアップを取り、復元方法を確認しておくようMicrosoftは注意を促しています。
再起動後は、以下のコマンドでセキュアチャネルをリセットします。
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)
今後の見通し
Microsoftは、Machine Identity Isolationの強制適用を一時的に抑止する形で、将来のWindows更新プログラムでこの問題を解消する予定であるとしています。恒久的な修正が配信されるまでは、上記の回避策で対応する必要があります。
まとめ
今回の不具合は、Credential Guardで保護されたドメイン参加PCが対象となる、企業環境向けの既知の問題です。個人利用のPCでは影響を受けるケースは少ないと考えられますが、社内ネットワークでActive Directoryを運用している組織のIT管理者は、自組織の環境がWindows Server 2025のドメイン機能レベルに対応しているかを確認し、必要に応じて早めにMachine Identity Isolationの無効化を検討することをおすすめします。
Windows Updateは月例の更新のたびに新しい機能や修正が追加される一方、今回のように思わぬ副作用が発生することもあります。特に企業のドメイン環境に関わる不具合は影響範囲が大きいため、今後もMicrosoft公式サポートページの更新情報をこまめにチェックし、最新情報を追っていくことをおすすめします。
コメント