KB5014754: Windows ドメイン コントローラーでの証明書ベースの認証の変更

強力な証明書マッピングが見つからず、証明書には KDC で検証できる新しいセキュリティ識別子 (SID) 拡張機能がありませんでした。

証明書はユーザーが Active Directory に存在する前にユーザーに発行されており、強力なマッピングが見つかりませんでした。 このイベントは、KDC が互換モードの場合にのみログに記録されます。

ユーザー証明書の新しい拡張機能に含まれる SID がユーザーの SID と一致しないため、証明書が別のユーザーに発行されたことを意味します。

注釈 発行者、サブジェクト、シリアル番号などの特定のフィールドは、"転送" 形式で報告されます。 altSecurityIdentities 属性にマッピング文字列を追加する場合は、この形式を逆にする必要があります。 たとえば、X509IssuerSerialNumber マッピングをユーザーに追加するには、ユーザーにマップする証明書の [発行者] フィールドと [シリアル番号] フィールドを検索します。 以下のサンプル出力を参照してください。

• 発行者: CN=CONTOSO-DC-CA、DC=CONTOSO、DC=com
• シリアル番号: 2B0000000011AC0000000012

次に、Active Directory のユーザーの altSecurityIdentities 属性を次の文字列で更新します。

• "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"

Powershell を使用してこの属性を更新するには、以下のコマンドを使用します。 既定では、ドメイン管理者だけがこの属性を更新するアクセス許可を持っていることに注意してください。

• set-aduser 'DomainUser' -replace @{altSecurityIdentities= "X509:<I>DC=com,DC=contoso,CN=CONTOSO-DC-CA<SR>1200000000AC11000000002B"}

SerialNumber を逆にする場合は、バイト順を維持する必要があることに注意してください。 つまり、SerialNumber "A1B2C3" を逆にすると、文字列は "3C2B1A" ではなく "C3B2A1" になります。 詳細については、「 方法: altSecurityIdentities 属性で使用可能なすべてのメソッドを使用してユーザーを証明書にマップする」を参照してください。

2022 年 5 月 10 日の Windows 更新プログラムをインストールすると、デバイスは互換モードになります。 証明書をユーザーに強くマップできる場合、認証は想定どおりに行われます。 証明書をユーザーに弱くしかマップできない場合、認証は想定どおりに行われます。 ただし、証明書がユーザーより古くない限り、警告メッセージがログに記録されます。 証明書がユーザーより古く、かつ Certificate Backdating レジストリ キーが存在しない場合、または範囲がさかのぼる補正の範囲外である場合、認証は失敗し、エラー メッセージがログに記録されます。  証明書の Backdating レジストリ キーが構成されている場合、日付がさのぼる補正の範囲内である場合は、イベント ログに警告メッセージが出力されます。

2022 年 5 月 10 日の Windows 更新プログラムをインストールした後は、1 か月以上後に表示される可能性のある警告メッセージにご注意ください。 警告メッセージがない場合は、証明書ベースの認証を使用するすべてのドメイン コントローラーで完全強制モードを有効にすることを強くお勧めします。 KDC レジストリ キーを使用して、完全強制モードを有効にすることができます。

以前に StrongCertificateBindingEnforcement レジストリ キーを使用して監査モードまたは強制モードに更新しない限り、2025 年 2 月の Windows セキュリティ更新プログラムがインストールされると、ドメイン コントローラーは完全強制モードに移行します。 証明書を強くマップできない場合、認証は拒否されます。 互換モードに戻すオプションは、2025 年 9 月 9 日の Windows セキュリティ更新プログラムがインストールされるまで残ります。 この日付を過ぎると、 StrongCertificateBindingEnforcement レジストリ キーはサポートされなくなります

証明書ベースの認証が、環境から移動できない弱いマッピングに依存している場合は、 レジストリ キー設定を使用してドメイン コントローラーを無効モードにできます。 Microsoft ではこれを推奨していない ため、2023 年 4 月 11 日に無効モードが削除されます。

Server 2019 以降に 2024 年 2 月 13 日以降の Windows 更新プログラムをインストールし、RSAT オプション機能がインストールされているサポートされているクライアントをインストールすると、Active Directory ユーザー & コンピューターの証明書マッピングは既定で、X509IssuerSubject を使用した弱いマッピングではなく、X509IssuerSerialNumber を使用して強いマッピングを選択します。 設定は必要に応じて変更できます。

現象

Microsoft は、グループ ポリシー オブジェクト "コンピューターの構成>管理用テンプレート>システム>グループ ポリシー>レジストリ ポリシー処理の構成" の下にある "グループ ポリシー オブジェクトが変更されていない場合でも処理" を設定すると、ドメイン上の名前ベースのマッピングが断続的に妨げられる可能性があるという報告を受けましたコントローラー。

回避策

この問題を回避するには、ドメイン コントローラーの [グループ ポリシー オブジェクトが変更されていない場合でも処理する] の設定を無効にします。 この操作は、グループ ポリシー「コンピューターの構成>管理用テンプレート>システム>KDC>証明書の名前ベースの強力なマッピングを許可する」で定義されている名前ベースのマッピングが必要な場合にのみ行います。 詳細については、「 政府機関のシナリオで厳密な名前ベースのマッピングを有効にする」を参照してください。

次のステップ

Microsoft はこれらの報告を調査しており、詳細情報が決まり次第提供します。

• 関連するコンピューターの Kerberos 操作ログを使用して、サインインに失敗したドメイン コントローラーを特定します。 [イベント ビューアー>アプリケーションとサービスのログ]\Microsoft \Windows\Security-Kerberos\Operational に移動します。
• アカウントが認証しようとしているドメイン コントローラーのシステム イベント ログで、関連するイベントを探します。
• 証明書がアカウントより古い場合は、証明書を再発行するか、セキュリティで保護された altSecurityIdentities マッピングをアカウントに追加します ( 「証明書マッピング」を参照)。
• 証明書に SID 拡張子が含まれている場合は、SID がアカウントと一致することを確認します。
• 証明書を使用して複数の異なるアカウントを認証する場合は、各アカウントに個別の altSecurityIdentities マッピングが必要になります。
• 証明書にアカウントへの安全なマッピングがない場合は、追加するか、ドメインを追加できるようになるまでドメインを互換モードのままにしておきます。

TLS 証明書マッピングの例としては、IIS イントラネット Web アプリケーションを使用しています。

• CVE-2022-26391 および CVE-2022-26923 の保護をインストールした後、これらのシナリオでは、既定で証明書のマッピングと認証に Kerberos Certificate Service For User (S4U) プロトコルが使用されます。
• Kerberos 証明書 S4U プロトコルでは、認証要求は、クライアントからドメイン コントローラーではなく、アプリケーション サーバーからドメイン コントローラーに流れます。 したがって、関連するイベントはアプリケーション サーバー上に行われます。

2025 年 9 月以降にリリースされた Windows の更新プログラムをインストールすると、このレジストリ キーはサポートされなくなります。

サーバー アプリケーションでクライアント認証が必要な場合、Schannel は TLS クライアントが提供する証明書をユーザー アカウントにマップしようとします。 証明書情報を Windows ユーザー アカウントに関連付けるマッピングを作成することで、クライアント証明書を使用してサインインするユーザーを認証できます。 証明書マッピングを作成して有効にした後、クライアントがクライアント証明書を提示するたびに、サーバー アプリケーションは自動的にそのユーザーを適切な Windows ユーザー アカウントに関連付けます。

Schannel は、成功するまで、有効にした各証明書マッピング方法のマッピングを試みます。 Schannel は最初に Service-For-User-To-Self (S4U2Self) マッピングのマップを試みます。 サブジェクト/発行者、発行者、および UPN 証明書のマッピングは弱いと見なされ、既定で無効になっています。 選択したオプションのビットマスク合計によって、使用できる証明書マッピング メソッドの一覧が決まります。

SChannel レジストリ キーの既定値は0x1Fでしたが、現在は0x18です。 Schannel ベースのサーバー アプリケーションで認証エラーが発生した場合は、テストを実行することをお勧めします。 ドメイン コントローラーで CertificateMappingMethods レジストリ キーの値を追加または変更し、0x1F に設定し、問題が解決するかどうかを確認します。 ドメイン コントローラーのシステム イベント ログで、この資料に記載されているエラーがないか確認してください。 SChannel レジストリ キーの値を以前の既定値 (0x1F) に戻すと、弱い証明書マッピング方法の使用に戻ることに注意してください。

その他のリソースとサポートについては、「その他のリソース」セクションを参照してください。

CVE-2022-26931 および CVE-2022-26923 に対応する更新プログラムをインストールした後、ユーザー証明書がユーザー作成時より古い場合、認証が失敗する可能性があります。 このレジストリ キーを使用すると、環境で弱い 証明書マッピング を使用しており、証明書の時刻が設定された範囲内のユーザー作成時刻より前である場合に、認証を正常に行うことができます。 証明書の時刻とユーザー作成時刻は強力な証明書マッピングではチェックされないため、このレジストリ キーは強力な証明書マッピングを持つユーザーやコンピューターには影響しません。 このレジストリ キーは、StrongCertificateBindingEnforcement が 2 に設定されている場合には効果がありません。

このレジストリ キーの使用は、レジストリ キーを必要とする環境での一時的な回避策であり、注意して行う必要があります。 使用している環境において、このレジストリ キーを使用する意味は次のとおりです。

• このレジストリ キーは、2022 年 5 月 10 日にリリースされた更新プログラム以降の 互換モードで のみ動作します。 認証は遡及補正オフセット内で許可されますが、弱いバインディングについてはイベント ログ警告がログに記録されます。
• このレジストリ キーを有効にすると、弱いマッピングとして設定された範囲内で、証明書の時刻がユーザー作成時刻より前であるときにユーザーの認証が許可されます。 2025 年 9 月以降にリリースされた Windows の更新プログラムをインストールすると、弱いマッピングはサポートされなくなります。

次の certutil コマンドを実行して、 ユーザー テンプレートの証明書を新しい拡張機能の取得から除外します。

1. 認証局サーバーまたはドメインに参加している Windows 10 クライアントにエンタープライズ管理者または同等の資格情報でサインインします。
2. コマンド プロンプトを開き、[ 管理者として実行] を選択します。
3. certutil -dstemplate user msPKI-Enrollment-Flag +0x00080000 を実行します。

この拡張機能の追加を無効にすると、新しい拡張機能によって提供される保護が削除されます。 次のいずれかを実行した後にのみ、これを行うことを検討してください。

1. KDC で Kerberos プロトコル認証の初期認証用公開キー暗号化 (PKINIT) に対応する証明書が受け入れられないことを確認します
2. 対応する証明書には、他の強力な証明書マッピングが構成されています

Microsoft 以外の CA 展開がある環境は、2022 年 5 月 10 日の Windows 更新プログラムをインストールした後、新しい SID 拡張機能を使用して保護されません。 影響を受けるお客様は、対応する CA ベンダーと協力してこれに対処するか、上で説明した他の強力な証明書マッピングの使用を検討する必要があります。

その他のリソースとサポートについては、「その他のリソース」セクションを参照してください。

いいえ、更新は不要です。 CA は互換モードで出荷されます。 ObjectSID 拡張機能を使用して強力なマッピングを行う場合は、新しい証明書が必要になります。

2025 年 2 月 11 日の Windows 更新プログラムでは、まだ強制されていないデバイス (StrongCertificateBindingEnforcement レジストリ値が 2 に設定されている) は、強制に移行されます。 認証が拒否された場合は、イベント ID 39 (または Windows Server 2008 R2 SP1 および Windows Server 2008 SP2 の場合はイベント ID 41) が表示されます。 この段階では、レジストリ キーの値を 1 (互換モード) に戻すことができます。

2025 年 9 月 9 日の Windows Update では、 StrongCertificateBindingEnforcement レジストリ値はサポートされなくなります。