none
2016年4月のセキュリティパッチ不具合について RRS feed

  • 質問

  • Windows7クライアントPCに KB3149090 KB3146706 を適用すると

    ADアカウントのパスワードが変更できません。アンインストールすると問題なく変更可能です。

    パッチ不具合なのか、AD設定なのか原因がわからず困っています。

    パスワード変更時のエラーメッセージ:「サーバーのセキュリティデータベースにこのワークステーションにの信頼関係に対する
     コンピューターアカウントがありません。」

    2016年5月10日 10:18

回答

  • ActiveDirectory環境はWindowsServer2008(32bit)です。

    本番環境と開発環境をメンテしていますが、どちらも同様な環境であり

    本事象は開発環境でのみ発生しています。本番環境では発生していません。

    <MSサポートより不具合の以下回答ありました。ドメインコントローラへのHotFix適用で解決するようです。>

    2016 年 4 月の Windows Update にて、KB 3146706 と KB 3149090 のいずれかを適用することで kerberos.dll のバージョンが上がります。
    その結果、パスワード変更時のパケット内に 「canonicalize フラグ」 が追加されるようになりますが、当該フラグは上記修正プログラムを適用していないドメイン コントローラーでは正しく認識できないため、0xc000018b (STATUS_NO_TRUST_SAM_ACCOUNT) のエラーを応答します。

    ※ 下記のようなメッセージが Windows 7 のコンピューター側に出力されます。
      「サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。」

    対処方法:
    下記公開情報の修正プログラムを、ドメイン コントローラー全台にて適用ください。

     ※ Windows Server 2008 用
     [タイトル] Error code when the kpasswd protocol fails after you perform an authoritative restore: "KDC_ERROR_S_PRINCIPAL_UNKNOWN"
     [URL] https://support.microsoft.com/en-us/kb/976424
     [x86用ダウンロード URL] http://hotfixv4.microsoft.com/Windows%20Vista/sp3/Fix296900/6000/free/404585_intl_i386_zip.exe
     [x64用ダウンロード URL] http://hotfixv4.microsoft.com/Windows%20Vista/sp3/Fix296900/6000/free/404586_intl_x64_zip.exe

     ※ Windows Server 2008 R2 用
     [タイトル] Domain users cannot change or reset their passwords when KRBTGT account is restored in Windows client
     [URL] https://support.microsoft.com/en-us/kb/2910686
     [ダウンロード URL] http://hotfixv4.microsoft.com/Windows%207/Windows%20Server2008%20R2%20SP1/sp2/Fix486742/7600/free/472955_intl_x64_zip.exe

    • 編集済み miyatoo 2016年5月13日 7:47
    • 回答としてマーク 佐伯玲 2016年5月16日 1:24
    2016年5月11日 22:57

すべての返信

  • 同様の事例が報告されているようです。

    KB3149090、KB3146706、そして KB3147071 という 3 個のプログラムに関連して、事象が発生していると推測されているようです。

    また、ドメイン コントローラーが Windows Server 2003 の場合に発生してしまうようですが、該当するでしょうか?

    回避策としては、3 つの更新プログラムをアンインストールするか、ドメインコントローラーの OS を Windows Server 2008 以降にアップグレードするか、ということになるかもしれません。

    2016年5月11日 15:31
  • ActiveDirectory環境はWindowsServer2008(32bit)です。

    本番環境と開発環境をメンテしていますが、どちらも同様な環境であり

    本事象は開発環境でのみ発生しています。本番環境では発生していません。

    <MSサポートより不具合の以下回答ありました。ドメインコントローラへのHotFix適用で解決するようです。>

    2016 年 4 月の Windows Update にて、KB 3146706 と KB 3149090 のいずれかを適用することで kerberos.dll のバージョンが上がります。
    その結果、パスワード変更時のパケット内に 「canonicalize フラグ」 が追加されるようになりますが、当該フラグは上記修正プログラムを適用していないドメイン コントローラーでは正しく認識できないため、0xc000018b (STATUS_NO_TRUST_SAM_ACCOUNT) のエラーを応答します。

    ※ 下記のようなメッセージが Windows 7 のコンピューター側に出力されます。
      「サーバーのセキュリティ データベースにこのワークステーションの信頼関係に対するコンピューター アカウントがありません。」

    対処方法:
    下記公開情報の修正プログラムを、ドメイン コントローラー全台にて適用ください。

     ※ Windows Server 2008 用
     [タイトル] Error code when the kpasswd protocol fails after you perform an authoritative restore: "KDC_ERROR_S_PRINCIPAL_UNKNOWN"
     [URL] https://support.microsoft.com/en-us/kb/976424
     [x86用ダウンロード URL] http://hotfixv4.microsoft.com/Windows%20Vista/sp3/Fix296900/6000/free/404585_intl_i386_zip.exe
     [x64用ダウンロード URL] http://hotfixv4.microsoft.com/Windows%20Vista/sp3/Fix296900/6000/free/404586_intl_x64_zip.exe

     ※ Windows Server 2008 R2 用
     [タイトル] Domain users cannot change or reset their passwords when KRBTGT account is restored in Windows client
     [URL] https://support.microsoft.com/en-us/kb/2910686
     [ダウンロード URL] http://hotfixv4.microsoft.com/Windows%207/Windows%20Server2008%20R2%20SP1/sp2/Fix486742/7600/free/472955_intl_x64_zip.exe

    • 編集済み miyatoo 2016年5月13日 7:47
    • 回答としてマーク 佐伯玲 2016年5月16日 1:24
    2016年5月11日 22:57
  • なるほど。そういうことなんですね。

    参考になりました。ありがとうございます。

    2016年5月13日 14:25