【Windows 11 24H2】ドメイン参加PCでサインイン不能に？信頼関係が失われる既知の不具合と回避策（KB5124008）

執筆者:山崎信悟元マイクロソフト認定トレーナー(復帰するか迷い中)。パソコン自作歴30年以上。元プログラマー。元大規模ネットワークエンジニア。現インフルエンサー。100万PV以上のブログ運営を長年実施。YouTubeは片手間で8万人以上。

以前は、役場の情報システムかで対応していたこともあるので懐かしいなぁと思ってみています。

マイクロソフトは、Windows 11 バージョン 24H2 向けに配信された2026年9月の月例セキュリティ更新プログラム（KB5124008）環境において、ドメイン参加済みデバイスが Active Directory（AD）ドメインとの安全な信頼関係を失い、ドメインユーザーでの対話型サインインができなくなる場合がある重大な既知の不具合を公開・更新しました。

本情報は、米国太平洋夏時間（PDT）2026年9月17日 09:41 PT（日本時間：2026年9月18日午前1:41） にステータスが更新されています。

企業のActive Directory環境を管理している情シス担当者やIT管理者の方は、本トラブルの症状と回避策を速やかにご確認ください。

概要と発生している症状

発生条件となる更新プログラム

対象OS: Windows 11 Version 24H2（OS ビルド 26100.9445 以降）
影響する更新プログラム: 2026年9月8日リリースのセキュリティ更新プログラム（KB5124008）およびそれ以降の更新
影響を受けるプラットフォーム: クライアント端末（Windows 11 24H2 / 25H2 / 26H1）

主な症状

Credential Guard で保護された一部のコンピューターアカウントにおいて、オンプレミス Active Directory ドメインとのセキュアチャネル（安全な通信経路）が切断される。
有効なドメイン資格情報を入力してもインタラクティブ（対話型）にサインインできず、「このワークステーションとプライマリドメインとの信頼関係に失敗しました」 等のエラーが表示される。
※過去にキャッシュされた資格情報を使ったオフラインサインインは機能する場合があります。
※ドメインコントローラー（DC）側のADサービスやレプリケーション自体には影響はありません。

不具合の原因：新セキュリティ機能「Machine Identity Isolation」の動作

この問題は、KB5124008 以降のアップデートによって追加・有効化されたセキュリティ機能「Machine Identity Isolation（マシンIDの分離）」に関連しています。

なぜトラブルが発生するのか？

KB5124008 自体が即座に強制有効化するわけではありませんが、既存の設定やポリシーで「Machine Identity Isolation の強制」がプロビジョニングされていた場合、Windowsがその設定を厳格に適用し始めるようになります。
しかし、この機能は「Windows Server 2025 ドメイン機能レベル（DFL）以上」で動作しているドメインコントローラーに接続されている環境のみサポートされています。
従来のドメイン機能レベル（Windows Server 2022 や 2019 等）のまま、クライアント側で Machine Identity Isolation が有効化されていると、セキュアチャネルの確立に失敗し、ドメインの信頼関係が崩れてしまいます。

回避策・対処方法

根本的な修正パッチが提供されるまでの間、「Machine Identity Isolation」を無効化し、セキュアチャネルを修復することで回避できます。設定を有効にした元の管理手段（Intune / グループポリシー / レジストリ）に合わせて無効化を行ってください。

1. Intune またはグループポリシー（GPO）で有効化していた場合

Intune: Intune 管理センターの構成プロファイルから「Machine Identity Isolation」を無効（Disable）に設定して配布します。
グループポリシー: 該当のGPOを開き、Machine Identity Isolation の設定を無効化します。

2. レジストリから直接無効化する場合

※レジストリ操作を行う前に、必ずバックアップを取得してください。

対象の Windows 11 デバイスで「レジストリエディター（regedit）」を開きます。
以下のいずれか（または両方）のキーを確認します。
- HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation
- HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
上記キー内に存在する MachineIdentityIsolation の値が 2（有効）になっている場合、0（無効） に変更します。
設定変更後、端末を再起動します。

3. セキュアチャネルの修復（再起動後）

端末再起動後、ドメイン管理者権限を持つアカウントを使用し、PowerShell（管理者）で以下のコマンドを実行してドメインとの信頼関係を修復します。

PowerShell

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

※認証情報入力ダイアログが表示されたら、ドメイン管理者の資格情報を入力します。

マイクロソフトの今後の対応（Next Steps）

Microsoft は、今後の Windows Update において「機能の改善が行われるまでの間、Machine Identity Isolation の強制適用を一時的に防止する」修正を配信する予定です。

企業のドメイン環境で 2026年9月の月例パッチ（KB5124008）を適用した後に「ドメインにログインできなくなった」という端末が発生した場合は、慌ててドメイン再参加を行う前に、Machine Identity Isolation のポリシー設定状況をご確認ください。

情報参照元：Microsoft Learn - Windows 11, version 24H2 known issues and notifications
情報更新日時：2026年9月17日 09:41 PT（日本時間：2026年9月18日 01:41 JST）