CVE-2026-56155: AD FS 分散キー マネージャー コンテナー ACL の強化

1. RemediateDkmAcl レジストリ キーを 1 に設定して、修復をオプトインします。 詳細については、「オプトイン修復」セクションの「Windows Server 2016以降のトピック」を参照してください。

2. 2026 年 10 月 13 日までに、レジストリ キーが構成されていない場合、更新プログラムは安全でない ACL を自動的に修復します。 自動修復をオプトアウトするには、レジストリ キーを 0 に設定します。

1. 修復するための AD FS サービス アカウントのアクセス許可を付与します。「オプトイン修復」セクションの「Windows Server 2012とWindows Server 2012 R2」トピックを参照してください。

2. その後、 RemediateDkmAcl レジストリ キーを 1 に設定して、修復をオプトインします。

2026 年 7 月の更新プログラムをインストールすると、AD FS サービスが開始されてから 1 分後、その後 24 時間ごとに検出が自動的に実行されます。 AD FS/管理 イベント ログで、次のイベントを確認します。

メモ 監査モード中に ACL に対する自動変更は行われません。

以下のプラットフォーム固有の修復ガイダンスを使用してください。

Windows Server 2016 以降

2026 年 10 月に適用が開始される前に、管理者が監査モード フェーズ中に修復して互換性の問題を特定して解決することを強くお勧めします。 修復を有効にするには、ファーム内の 任意の AD FS サーバー で次のレジストリ キーを設定します。

レジストリ キーを設定した後、次のいずれかを行います。

• 次の検出サイクルまで最大 24 時間待機するか、または

• AD FS サービスを再起動して修復を早くトリガーする

修復が成功すると、イベント 1135 (情報) が SDDL 形式で前の ACL でログに記録されます。

Windows Server 2012 および Windows Server 2012 R2

これらのプラットフォームでは、RemediateDkmAcl レジストリを有効にする前に、ファーム内の任意の AD FS サーバーで次の手順に従って、AD FS サービス アカウントに必要なアクセス許可を付与します。 そうしないと、修復の試行は失敗します。

1. DKM コンテナー DN を特定します。

   $dkmContainerDn = (Get-AdfsProperties).CertificateSharingContaine
   $dkmContainerDn
   

2. AD FS サービス アカウントを特定します。

   $serviceAccount = (Get-CimInstance Win32_Service -Filter "Name='adfssrv'").StartName
   $serviceAccount
   

3. WriteOwner と WriteDacl に明示的な Allow ACE を付与します。

   $sid = (New-Object System.Security.Principal.NTAccount($serviceAccount)).Translate([System.Security.Principal.SecurityIdentifier]) 
   $entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dkmContainerDn") 
   $rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule( 
    $sid, 
    ([System.DirectoryServices.ActiveDirectoryRights]::WriteOwner -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteDacl), 
    [System.Security.AccessControl.AccessControlType]::Allow, 
    [System.DirectoryServices.ActiveDirectorySecurityInheritance]::All 
   ) 
   $entry.ObjectSecurity.AddAccessRule($rule) 
   $entry.CommitChanges() 
   $entry.Close() 
   

4. 必要なアクセス許可が付与されたら、ファーム内の任意の AD FS サーバーに次のレジストリ キーを設定して、修復を有効にします。

   情報	詳細
   レジストリ キー	HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS
   値：	RemediateDkmAcl
   型：	DWORD
   データ:	1
   メモ	"HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ADFS" が存在しない場合は、まず "ADFS" キーを作成し、そのキーの下に RemediateDkmAcl を設定します。

5. レジストリ キーを設定した後、次のいずれかを行います。

• 次の検出サイクルまで最大 24 時間待機するか、または

• AD FS サービスを再起動して修復を早くトリガーする

修復が成功すると、イベント 1135 (情報) が SDDL 形式で前の ACL でログに記録されます。

以前の SDDL を保存する (推奨)

予防措置として、修復が成功した後、イベント 1135 から以前の ACL (SDDL) を保存することをお勧めします。 (元のアクセス許可が安全でないため) ほとんどの場合、以前の ACL は必要になるとは思われませんが、それを使用すると、予期しない互換性の問題に対してセーフティ ネットが提供されます。

メモ イベント ログは、サイズ制限のためにロールオーバーされる可能性があります。 今後以前の SDDL が必要で、イベントが上書きされた場合、完全に失われます。

SDDL をファイルに保存するには:

# Run this on the AD FS server immediately after remediation (event 1135) 
$event = Get-WinEvent -FilterHashtable @{LogName='AD FS/Admin'; Id=1135} -MaxEvents 1 
$event.Message | Out-File "C:\ADFSBackup\dkm-acl-previous-sddl.txt

前の ACL を復元する方法

修復後に問題が発生し、前の ACL に戻す必要がある場合:

# Restore the full security descriptor (DACL + Owner + SACL) from the saved SDDL 
$dn = "<Container DN from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>" 
$sddl = "<Previous ACL (SDDL) value from event 1135 or C:\ADFSBackup\dkm-acl-previous-sddl.txt>” 
 
$entry = New-Object System.DirectoryServices.DirectoryEntry("LDAP://$dn") 
$entry.ObjectSecurity.SetSecurityDescriptorSddlForm($sddl, [System.Security.AccessControl.AccessControlSections]::All) 
$entry.CommitChanges() 
$entry.Close() 

メモ このコマンドでは、SeSecurityPrivilege を実行しているアカウントに SeSecurityPrivilege が必要です (通常、Domain Admins はこれを持っています)。 ドメインに参加しているコンピューター上の管理者特権の PowerShell セッションからこれを実行します。

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\ADFS" -Name "RemediateDkmAcl" -Value 0 -Type DWord 

復元後、 RemediateDkmAcl = 0 を設定して、サービスが次のサイクルで修復されないようにします。

2026 年 10 月の更新以降、修復は既定で実行され、レジストリ キーは必要ありません。 この動作は、 RemediateDkmAcl = 1 セットと同じです。

強制の自動修復は、Windows Server 2012または R2 Windows Server 2012には適用されません。 これらのプラットフォームの場合は、「オプトイン修復」セクションの「Windows Server 2012とWindows Server 2012 R2」トピックの手順に従って、手動で修復します。

2026 年 10 月の更新後に自動修復を無効にする必要がある場合は、レジストリで RemediateDkmAcl 値を設定します。

これにより、修復が明示的に無効になります。 検出 (イベント 1132) は引き続き発生するため、管理者は安全でない状態を認識します。

大事な オプトアウトすると、DKM コンテナーは脆弱になります。 これは、特定の互換性要件があり、ACL を手動で強化する予定がある場合にのみ使用します。