Windows Server 2012 R2 または Windows Server 2016 と Windows Server 2003 の混在環境でコンピューター アカウント パスワードを変更した後にログオンできない

適用先
Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows Server 2016 Windows Server 2016 Standard Windows Server 2016 Essentials Microsoft Windows Server 2003

現象

たとえば次のようなシナリオを考えてみます。

  • ドメイン内に Windows Server 2003 ベースを実行しているドメイン コントローラーがあり、このドメインに Windows Server 2012 R2 または Windows Server 2016 ドメイン コントローラーを追加する場合。
  • ドメインに参加しているコンピューターがあり、最初に Windows Server 2003 ベースのドメイン コントローラーに対して認証してから、次に Windows Server 2012 R2 ベースのドメイン コントローラーに対して認証を行います。
  • コンピューターにログオンし、コンピューター アカウントのパスワードを 2 回変更します。
  • コンピューターに再度ログオンします。

このとき、次のエラー メッセージが表示されます。

注

不明なユーザー名または不正なパスワード

原因

Kerberos クライアントは、クライアント側で Advanced Encryption Standard (AES) キーを作成するために、キー配布センター (KDC) からのソルトに依存しています。 これらの AES キーは、ユーザーがクライアントに入力したパスワードをハッシュし、パスワードが傍受されて復号化できないようにネットワーク経由で送信されるパスワードを保護するために使用されます。 ソルトとは、KDC がパスワード ハッシュを検証してユーザーにチケットを発行できるように、キーの生成に使用されるアルゴリズムに供給される情報を指します。 Windows Server 2003 ドメイン コントローラーが存在する環境に Windows 2012 R2 ドメイン コントローラーを追加すると、KDC でサポートされ、ソルト処理に使用される暗号化の種類に不一致が発生します。 Windows Server ドメイン コントローラーは AES をサポートしておらず、Windows Server 2012 R2 ドメイン コントローラーはソルティングの Data Encryption Standard (DES) をサポートしていません。

この更新プログラムまたは修正プログラムの入手方法

この問題を解決するために、Active Directory がインストールされている Windows Server 2012 R2 の修正プログラムと更新プログラムのロールアップをリリースしました。

この修正プログラムをインストールする前に、修正プログラムの前提条件をチェックしてください。

この更新プログラムのロールアップにより、修正プログラムで修正される問題に加えて、他の多くの問題が修正されます。 更新プログラムのロールアップを使用することをお勧めします。 更新プログラムのロールアップが修正プログラムよりも大きくなっています。 そのため、更新プログラムのロールアップのダウンロードに時間がかかります。

注釈更新プログラムがインストールされたら、Advanced Encryption Standard (AES) 暗号化をサポートするすべてのクライアント コンピューターを再起動することをお勧めします。 これは、更新プログラムがインストールされていない Windows Server 2012 R2 ドメイン コントローラーから以前に再起動したクライアントを回復するためです。

Windows Server 2012 R2 用の更新プログラム

次の更新プログラムのロールアップが利用可能です。

更新プログラムのロールアップを取得する 2984006

Windows Server 2016 の修正プログラム

次の更新プログラムのロールアップが利用可能です。

2020 年 2 月 25 日 - KB4537806 (OS ビルド 14393.3542)

修正プログラムの詳細情報

前提条件

この修正プログラムを適用するには、最初に Windows Server 2012 R2 に更新プログラム 2919355 をインストールする必要があります。 詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。

2919355 Windows RT 8.1、Windows 8.1、および Windows Server 2012 R2 の更新プログラム (2014 年 4 月)

レジストリ情報

このパッケージに含まれている修正プログラムを使用するために、レジストリを変更する必要はありません。

再起動の必要性

この修正プログラムの適用後、コンピュータの再起動が必要な場合があります。

修正プログラムの置き換えに関する情報

この修正プログラムを適用しても、以前にリリースされた修正プログラムが置き換えられることはありません。

状態

Microsoft は、これが "適用対象" セクションに記載されている Microsoft 製品の問題であることを確認しました。