Windows Server 2012 R2 また2016は windows server 2003 環境でコンピューターアカウントのパスワードを変更した後にログオンできない

現象

次のような状況で問題が発生します。

• Windows Server 2003 ベースのドメインコントローラーがドメインで実行されていて、Windows server 2012 R2 または Windows Server 2016 ドメインコントローラーをこのドメインに追加している。

• 最初に Windows Server 2003 ベースのドメインコントローラーに対して認証を行うドメインに参加しているコンピューターがあり、そのコンピューターは Windows Server 2012 R2 ベースのドメインコントローラーに対して認証されます。

• コンピューターにログオンし、コンピューターアカウントのパスワードを2回変更します。

• もう一度コンピューターにログオンします。

このとき、次のエラー メッセージが表示されます。

原因

クライアント側で Advanced Encryption Standard (AES) キーを作成するために、Kerberos クライアントはキー配布センター (KDC) の salt に依存します。 これらの AES キーを使って、ユーザーがクライアントで入力したパスワードをハッシュし、パスワードを傍受して解読できないように、ネットワーク経由で転送されたパスワードを保護します。 Salt は、キーを生成するために使用されるアルゴリズムに取り込まれる情報を表します。これにより、KDC はパスワードのハッシュを確認し、チケットをユーザーに発行することができます。 Windows Server 2003 ドメインコントローラーが存在する環境に Windows 2012 R2 ドメインコントローラーが追加されている場合、Kdc でサポートされていて、ソルトで使用されている暗号化の種類に不一致があります。 Windows Server ドメインコントローラーが AES および Windows Server 2012 R2 ドメインコントローラーでは、ソルトのデータ暗号化標準 (DES) をサポートしていません。

この更新プログラムまたは修正プログラムの入手方法

この問題を解決するには、修正プログラムと、Active Directory がインストールされている Windows Server 2012 R2 用の更新プログラムのロールアップをリリースしました。 この修正プログラムをインストールする前に、修正プログラムの前提条件を確認してください。 更新プログラムのロールアップでは、修正プログラムが修正された問題に加えて、その他の多くの問題も修正されます。 更新プログラムのロールアップを使用することをお勧めします。 更新プログラムのロールアップは、修正プログラムよりも大きくなります。 そのため、更新プログラムロールアップのダウンロードに時間がかかります。

注:  更新プログラムをインストールした後、Advanced Encryption Standard (AES) 暗号化をサポートするすべてのクライアントコンピューターを再起動することをお勧めします。 これは、更新プログラムがインストールされていない Windows Server 2012 R2 ドメインコントローラーに対して以前に再起動したクライアントを回復するために使用されます。

状態

マイクロソフトでは、この問題をこの資料の対象製品として記載されているマイクロソフト製品の問題として認識しています。