こんにちは、Active Directory のサポートを担当している矢澤です。
今日は Windows Server 2025 の新機能の中でセキュリティに関する二つのトピックを紹介します。
Windows Server 2025 をドメイン コントローラーに昇格するとドメイン コントローラー自身にログオンができなくなる場合がある
既存ドメインのドメイン コントローラーにて長期間 krbtgt のパスワードを更新しておらず RC4 のみが暗号化用キーとなる場合には、以下の新機能による影響で TGT を発行することができずに、ドメイン コントローラー自身へのログオンに失敗する事象が発生します。
チケット発行チケットに使用されるアルゴリズムの変更: Kerberos 配布センターは、RC4-HMAC(NT) などのRC4暗号化を使用して、チケット発行チケットを発行しなくなります。
krbtgt のパスワードを更新することで RC4 から AES に暗号化用のキーが作成されるため、ログオンができるようになりますので、Windows Server 2025 をドメイン コントローラーへ昇格する前に既存のドメイン コントローラーにて以下の対処を実施しましょう。
1. 既存のドメイン コントローラーにて、Win + R キーを押し、[ファイル名を指定して実行] にて、"dsa.msc" と入力し、[OK] をクリックします。
2. [Active Directory ユーザーとコンピューター] にて、[表示] メニュー - [拡張機能] にチェックを入れます。
3. [Active Directory ユーザーとコンピューター] の左ペインにて、[<ドメイン名>] - [Users] を選択します。
4. "krbtgt" アカウントを右クリックし、[パスワードのリセット] をクリックします。
5. [パスワードのリセット] にて、"新しいパスワード"、 "パスワードの確認入力" は空欄のまま、[ユーザーは次回ログオン時にパスワードの変更が必要] のチェックを外して、[OK] をクリックします。
6. 「krbtgt のパスワードは変更されました。」 と表示されましたら、[OK] をクリックします。
Windows Server 2025 のドメイン コントローラーに SAMR 経由でパスワードを更新できない
通常ドメイン環境であれば CAD (Ctrl + Alt + Delete) からドメインユーザー自身のパスワードを変更すると思います。この場合は Kerberos 経由でのパスワード更新となりますので安全な方法となりますが、ワークグループ環境やドメイン コントローラーの IP アドレスを指定して Kerberos 認証が利用できない場合でも SAMR というプロトコルを用いてドメイン ユーザーのパスワードを変更できることはご存じでしょうか。
Windows では 2021 年 7 月の更新プログラムにて、この SAMR 経由のパスワード変更メソッドの暗号化方式が RC4 から AES に変更されています。
Windows Server 2025 がドメイン コントローラーとして稼働している場合には、以下の新機能により RC4 を用いた SAMR 経由のパスワード変更に対してはアクセス拒否を返すようになっています。
レガシ セキュリティ アカウント マネージャー (SAM) リモート プロシージャ コール (RPC) のパスワード変更動作: Kerberos などのセキュリティで保護されたプロトコルは、ドメイン ユーザー パスワードを変更する推奨される方法です。 DC では、リモートで呼び出されたときに、SamrUnicodeChangePasswordUser4 Advanced Encryption Standard (AES) を使用して 最新の SAM RPC パスワード変更方法が既定で受け入れられます。 次の従来の SAM RPC メソッドは、リモートで呼び出されると既定でブロックされます。
SamrChangePasswordUser
SamrOemChangePasswordUser2
SamrUnicodeChangePasswordUser2
そのため、2021 年 7 月以前の更新プログラムしか適用していない Windows クライアントや上記の古いメソッドを使っているスクリプトや 3rd Party 製品からのドメイン ユーザーのパスワード変更が Windows Server 2025 のドメイン コントローラーで拒否される事象が発生します。
セキュリティ的には AES に対応した方式でパスワード変更を実施した方が望ましいですが、以下のグループ ポリシーにより一時的に以前のメソッドも受け入れることができますので、セキュリティ リスクを鑑みて設定ください。
[コンピューターの構成] - [管理用テンプレート] - [システム] - [セキュリティ アカウント マネージャー]
[SAM パスワード変更 RPC メソッド ポリシーの構成]
・すべてのパスワード変更 RPC メソッドを許可する
これらの新機能を有効に活用いただき、今後とも Active Directory をご利用ください。