Cisco ISE で Windows Server 2025 にAD連携出来ないケースに遭遇したので、日本語で記録を残します。

当該バグ

CSCwn62873
Cisco Identity Services Engine (ISE) fails to join Microsoft Active Directory (AD) domains hosted on Windows Server 2025

修正バージョン

Cisco ISE 3.4.0.608-Patch2 他、バージョンによってはホットパッチもあり。詳細は下記参照。

ポイントはISEの対応バージョンを使うことだけではなく、AD側にもGPOの適用が必要です。

Cisco ISE が Windows Server 2025 上の AD に参加（Join）できない。

エラー例：

Join Operation Failed: ASN.1 failed call to system time library
Error Code: 41701 / Name: LW_ERROR_KRB5_ASN1_BAD_TIMEFORMAT

DC が Windows Server 2025 のときに発生。従来の Windows Server DC では再現せず。
影響する ISE バージョン：3.1 / 3.2 / 3.3 / 3.4。

Windows Server 2025 では、レガシー SAM RPC のパスワード変更メソッドが既定でブロックされている。
既定で受け付けるのは AES を使う SamrUnicodeChangePasswordUser4 のみ。

以下は既定でブロック：

Protected Users やローカルアカウントでは、すべてのレガシー SAM RPC 変更がブロック。

ISE 側をパッチ適用

DC 側の GPO を変更

パス：[コンピューターの構成] → [管理用テンプレート] → [システム] → [Security Account Manager] →「Configure SAM change password RPC methods policy」

設定：Enabled にし、「Allow all change password RPC methods」を選択
反映：gpupdate /force。ドメイン全体に適用する場合は gpmc.msc で GPO を DC OU にリンク。