正しいパスワードを入れているのに、ユーザー名かパスワードが違うと言われる。9月のWindows 11向け更新を適用した端末で、この症状が報告されました。壊れたのは人の資格情報ではなく、端末自身がドメインに名乗るための秘密のほうです。Microsoftは原因となる設定を公表しましたが、それを戻す手順は2つの公式文書で食い違っています。
2026年9月8日公開のWindows 11向け更新プログラムKB5124008を適用した端末が、Active Directoryドメインとの信頼関係を失う事象が報告された。Microsoft Q&Aには9月9日、Windows Server 2019のドメインコントローラーを持つ管理者が、6台で再現したとする報告を投稿した。
正しい資格情報でもサインインできず、Test-ComputerSecureChannelはFalseを返す。原因はCredential Guardの機能Machine Identity Isolationで、レジストリ値を2から0にすると回避できたという。Microsoftは9月16日（日本時間17日）、これを既知の問題として公開し、同機能の無効化と修復手順を示した。
【編集部解説】
マシンアカウントという、見えない利用者
ドメインに参加したWindows端末は、ユーザーのアカウントとは別に、端末自身のアカウントを持っています。マシンアカウントと呼ばれ、末尾に「$」が付く名前で管理されています。端末とドメインコントローラー（DC）は、このアカウントの秘密を照合し合うことで互いを信用します。その経路がセキュアチャネルです。
オンラインでドメインの認証を受けてログオンするには、その手前で端末自身とドメインの信頼関係が保たれている必要があります。今回壊れたのは、人の資格情報ではなく、この端末の身元のほうでした。「ユーザー名またはパスワードが正しくありません」と表示されるのに、パスワードは正しい。報告に一貫して現れるこのねじれは、そこから来ています。なお、以前の資格情報がキャッシュされていれば、ネットワークから切り離した状態ではログオンできる場合があります。
守るための機能が、守る対象を締め出した
焦点となったMachine Identity Isolationは、マシンアカウントの秘密を、通常のLSA（ローカルセキュリティ機関）からCredential Guardの隔離環境へ移す機能です。Credential Guardは仮想化の仕組みを使い、管理者権限やドライバからも触れない領域を作ります。マシンアカウントの秘密はgMSAやdMSAといったサービスアカウントの保護にも関わるため、レジストリから取り出せる状態を解消したい、というのがMicrosoftの説明です。
設計の意図は正しい方向を向いています。隔離すれば盗みにくくなる。Windowsの資格情報保護は一貫してこの道を進んできました。
ただ、秘密をどこかへ隔離することは、隔離先が使えないときに認証が止まる、という裏返しを常に抱えます。Microsoft自身、この機能の説明に、再起動後にCredential Guardが起動できなかった場合はドメイン認証を完了できなくなり、復旧にローカル管理者アカウントの介入が必要になる可能性がある、と書いています。今回も結果としてドメイン認証は止まりました。ただしMicrosoftが示した直接の原因は、Credential Guardの起動失敗ではありません。
「有効にした」のではなく「尊重し始めた」
Microsoftが9月16日、日本時間では17日にリリースヘルスへ掲載した説明は、慎重な言い回しになっています。更新がこの機能を直接有効化したのではなく、既に存在していた設定、あるいはポリシーで配布済みだった設定を、Windowsが尊重し始めた、という書き方です。
そして条件が示されました。この機能がサポートされるのは、Windows Server 2025のドメイン機能レベル（DFL）以上で動作するDCに接続された環境のみ。それ以外では無効にすべきである、と。
ここが日本の多くの現場にとって重い一行です。Windows Server 2025のDFLを使うには、ドメイン内のDCをすべてWindows Server 2025へそろえる必要があります。Server 2019や2022では、最上位のDFLはWindows Server 2016のままです。DCのOSを更新しただけでは条件を満たしません。条件を満たさない環境に設定だけが存在していた場合、9月の更新をきっかけにそれが動き出す。報告が寄せられた環境のDCが2019や2022だったことと、この条件は符合します。
なお、設定した覚えがないのに値が有効になっていた、という報告も複数寄せられています。この点についてMicrosoftからの説明はまだありません。
一度止めた機能が、動き出した
この機能をめぐる経緯には、もう一つ押さえておきたい記述があります。Microsoftの機能ドキュメントには、2025年4月の更新（KB5055523）以降、Credential Guardによるマシンアカウント保護をWindows Server 2025とWindows 11 24H2で一時的に無効化している、という注記が今も掲載されています。理由は、Kerberosを使ったマシンアカウントのパスワードローテーションに問題があったためで、恒久的な修正が用意されるまで無効のままとする、と書かれています。ドキュメントの最終更新は2025年4月11日です。
そして今回の現場報告には、更新の適用後、マシンアカウントのパスワードが30日を過ぎても更新されない、という声が含まれています。一時的に止めたはずの機能が動き出し、止めた理由と同じ領域で不具合が観測されている。この重なりが偶然なのかどうかは、Microsoftからの説明を待つことになります。ここは編集部の見立てです。
同じ機能について、2つの公式文書が別のことを言っている
回避策を実行する管理者が最初に突き当たるのは、手順の食い違いです。
リリースヘルスの回避策は、有効化に使ったのと同じ経路（Intune、グループポリシー、レジストリ）で無効化し、再起動してからTest-ComputerSecureChannelの修復コマンドを実行する、という流れです。一方、機能そのものを解説したドキュメントには、強制モードから無効へ変更する場合はドメインからの離脱と再参加が必要で、それを実行できるのはローカル管理者アカウントだけだと書かれています。
前者は、管理経路が残っていれば一括で処理できる可能性があります。後者は端末ごとのドメイン離脱と再参加が必要になり、復旧の負荷は大きく増えます。現場の報告もここで割れていて、修復コマンドだけで済んだ例と、離脱・再参加が必要だった例の両方が並んでいます。
先に確かめておきたいのは、ローカル管理者アカウントとLAPSによる取り出し経路が生きているかどうかです。信頼関係が切れた端末では、遠隔での操作が期待どおりに動く保証がありません。復旧の入口を先に確保しておく。これは今回に限らず、認証まわりの更新に共通する備えです。
回避策そのものにも、段階適用が要る
リリースヘルスの手順は、レジストリ値が2、つまり強制モードの場合を対象に書かれています。一方、機能ドキュメントを読むと、1の監査モードでも古いLSAの秘密は削除される仕組みです。値が1の環境で発生したという報告もあり、2だけを確認して終えると見落としが残ります。
もう一点、現場からは、この設定を有効な状態から無効へ切り替えたこと自体をきっかけに、更新を適用していない端末まで含めて信頼関係が失われた、という報告が出ています。しかも数日遅れて現れたといいます。一人の管理者の観測であり、原因も確定していません。ただ、回避策は安全側の操作ではなく認証の設定変更である、という前提で扱うのが妥当でしょう。少数の端末で試し、想定どおりに収まることを確かめてから広げる。更新プログラムそのものと同じ扱いです。
情報が置かれている場所が、2か所ある
この問題は、まずWindowsリリースヘルスに既知の問題として掲載されました。ステータス、起票と更新の時刻、回避策、影響プラットフォームがそろっているのはこちらです。一方、KB5124008のサポートページ末尾にある変更履歴には、9月18日時点で本件を追加した記録がありません。そこに記録されている追記は、9月11日から14日にかけてのUSBオーディオ、Hyper-VのPlan9共有、リモートデスクトップサービスの3件までです。
Windowsの更新にまつわる情報は、KBページとリリースヘルスの2か所に置かれています。今回のように、本文の表示内容と変更履歴の反映状況がそろわないこともあります。進行中の問題を追うときは、KBページだけでなくリリースヘルスも確認する。現実的な答えはそこに落ち着きます。
発端はフォーラムの1本の投稿だった
事態を動かしたのは、9月9日にMicrosoft Q&Aへ投稿された1本の質問でした。6台での再現手順、除外した可能性、採取したイベントIDとエラーコードまで揃った内容です。ここに他社の管理者が観測を持ち寄り、レジストリ値という共通点が浮かび上がりました。公式の確認が出るまでの一週間、現場を支えたのはこの積み重ねです。
同時に、速さには代償もありました。スレッドの早い段階で9人から「役に立った」と評価された回答は、原因をNetlogonの仕様強化の回帰と診断し、DCをWindows Server 2022以降へ上げるよう勧めていました。のちにServer 2022のDC環境でも発生することが報告され、この筋は外れます。もっともらしく、順序立っていて、それでも違っていた。コミュニティの情報を使うときは、再現条件が自分の環境と一致しているかを一つずつ突き合わせる。遠回りに見えて、それが最短です。
【関連記事】
Windows 11「KB5063878」SSD問題を継続否定、中国・台湾技術コミュニティがエンジニアリングファームウェア原因説で反論
公式の見解と現場の報告が食い違ったまま進んだ事案。情報源をどう突き合わせるかを扱っている。
Windows 11アップデート問題の現状 – Microsoft公式否定とユーザー報告の狭間で
更新後の不具合報告が、公式に認められるまでの時間差を追った記事。
Windows 11、セキュリティ強化への大胆な一歩: NTLM廃止とKerberos移行発表
Windowsの認証まわりが、どの方向へ進もうとしてきたかの背景。
【編集部後記】
Microsoftのリリースヘルスには、症状の説明に続けて「ドメインコントローラー側のAD複製とADサービスには影響しない」という一行が置かれています。何が壊れていないかを、先に書いた文でした。
端末がドメインを信用できなくなったとき、管理者がまず疑うのはサーバー側です。ログを見て、複製を確かめて、時刻を合わせる。その半日を省くための一行だったのだと思います。障害の説明は、原因を伝えると同時に、探す場所を絞る道具でもあります。
これから何が見えるか
Microsoftは、今後の更新でMachine Identity Isolationの強制を一時的に抑止し、そのあいだに機能を改善するとしています。改善後にどの条件で有効化するのか、いつ再開するのかは、現時点では示されていません。
マシンアカウントの秘密を隔離する方向そのものは、gMSAやdMSA、Kerberos Armoringといった仕組みが広がるほど必要性を増します。問われているのは方向ではなく、既定値と前提条件の扱い方のほうでしょう。サポート条件を満たさない環境で設定が有効になっていることを、管理者が更新の前に気づける形で示せるか。今回の一件は、その設計に直接つながる材料になります。
手元でできることは、そう多くありません。Windows 11 24H2・25H2では、Microsoftが示した2つのレジストリパスにあるMachineIdentityIsolationの値を確認しておく。26H1も影響対象ですが、同版のページに載っている手順は24H2・25H2の端末を前提に書かれており、原因となる更新もKB5124012です。管理ポリシー側の設定とあわせて確認することになります。そして、オンプレADのドメイン機能レベルを把握しておく。それだけでも、次の更新日の見通しはずいぶん変わります。
【用語解説】
マシンアカウント
ドメインに参加した端末そのものを表すアカウント。名前の末尾に「$」が付く。ユーザーのアカウントとは別に管理され、端末がドメインに対して自分の身元を示すために使われる。
セキュアチャネル
端末とドメインコントローラーのあいだで、マシンアカウントの秘密を照合し合う経路。これが切れると、端末はドメインから信用されない状態になる。
Credential Guard
仮想化ベースのセキュリティを使い、資格情報を通常のWindows環境から切り離された領域に保管する仕組み。管理者権限やドライバからも読み出せない。
Machine Identity Isolation
マシンアカウントの秘密をCredential Guard側へ移す設定。3つの状態があり、レジストリ上では無効が0、監査モードが1、強制モードが2にあたる。
LSA（ローカルセキュリティ機関）
Windowsで資格情報の管理や認証を担う中核部分。マシンアカウントの秘密は、従来ここに保管されてきた。
監査モードと強制モード
監査モードはCredential Guard側に秘密を作ったうえでLSAにも複製を置き、Credential Guard側が失敗したときはLSA側に戻る。強制モードはCredential Guard側へ移し、LSAからは削除する。いずれの場合も、それまでLSAにあった古い秘密は削除される。
ドメイン機能レベル（DFL）
ドメイン全体が前提とする世代を示す設定。ドメイン内のすべてのドメインコントローラーが対応していないと、その水準へは上げられない。
Test-ComputerSecureChannel
セキュアチャネルの状態を確認するPowerShellのコマンド。-Repair を付けると、切れた状態からの修復を試みる。
gMSA／dMSA
パスワードの管理をシステム側に任せるサービス用アカウント。マシンアカウントの保護は、これらの安全性にも関わる。
Kerberos Armoring
Kerberos認証のやり取りを保護する拡張。マシンアカウントの秘密を使って、利用者の鍵の推測を難しくする。
LAPS
端末のローカル管理者パスワードを自動で管理し、必要なときに取り出せるようにする仕組み。ドメイン認証が使えない状況での復旧手段になる。
Windowsリリースヘルス
Microsoftが更新プログラムの既知の問題を公開している場所。ステータス、起票と更新の時刻、回避策、影響するバージョンが掲載される。
【参考リンク】
Windows 11, version 25H2 known issues and notifications（外部）
Windowsリリースヘルスの既知の問題一覧。ドメイン信頼の項目に、症状、サポート条件、回避策、影響プラットフォームが掲載されている。
Credential Guard protected machine accounts（外部）
Machine Identity Isolationの公式解説。監査モードと強制モードの違い、無効化したときに必要になる作業を記載している。
September 8, 2026—KB5124008 (OS Builds 26200.9445 and 26100.9445)（外部）
更新プログラムの公式リリースノート。対象バージョン、改善点、既知の問題、そしてページ末尾の変更履歴が確認できる。
Active Directory Domain Services functional levels（外部）
ドメイン機能レベルの一覧と要件。どのバージョンのドメインコントローラーでどの機能レベルを選べるかが確認できる。
Credential Guard overview（外部）
Credential Guardの概要。仮想化ベースのセキュリティで資格情報を隔離する仕組みと、有効化の要件を解説している。
Policy CSP – DeviceGuard（MachineIdentityIsolation）（外部）
Intuneから同じ設定を扱うためのポリシー定義。取り得る値と、それぞれの動作、適用対象のバージョンが一覧になっている。
Windows 11, version 26H1 known issues and notifications（外部）
Windows 11 26H1の既知の問題一覧。同じ事象が掲載されており、原因となる更新はKB5124012と示されている。
【参考記事】
Windows 11 KB5124008 Update Breaks Active Directory Domain Trust and Blocks User Logins（外部）
管理者による再現報告を、症状とコマンド出力に沿って整理した記事。Microsoftの公式確認が出る前の時点をとらえている。
Windows 11 KB5124008 update breaks domain trust for some users（外部）
Q&Aへの投稿を起点に、複数の組織で信頼関係が失われた状況を伝えた記事。回避策そのものの副作用にも触れている。
Microsoft shares workaround for Windows domain login issues（外部）
Microsoftがリリースヘルスに掲載した説明と回避策の内容を伝えた記事。レジストリの変更手順を具体的に示している。
KB5124008: Microsoft Confirms the Trust Relationship Bug and Points to Machine Identity Isolation（外部）
Microsoftが原因をMachine Identity Isolationと認めるまでの経緯を、時系列でたどった記事。
