Windows Server 2025 のDC昇格後、ドメイン管理者やドメインユーザーがログイン不可となる

こんにちは 、翔。

新しいドメインコントローラーがEvent ID 37を記録しているのは、Windows Server 2019サーバーから発行されたチケットを拒否するためです。Server 2025は最新の特権属性証明書形式を強制し、高度な暗号化標準プロトコルを要求しています。これらの拒否を解決するには、krbtgtアカウントのパスワードを二重リセットする必要があります。Active Directoryは現在および以前のkrbtgtパスワードを履歴に保持し、回転中の即時の障害を防ぎます。一度リセットするとレガシー暗号鍵は完全に有効となり、古いチケットが残ります。完全なActive Directoryレプリケートに十分な時間を確保した後に2回目のリセットを行うと、これらの古い鍵は完全にフラッシュされ、すべてのデバイスが更新されたセキュリティ標準で新しいチケットを要求することを強制します。

古い2019年サーバーがサポートされていないレガシー暗号化にフォールバックするのを防ぐためには、グループポリシーを使ってドメインの暗号言語を標準化する必要があります。グループポリシー管理コンソールを開き、デフォルトドメインコントローラーポリシーを編集し、コンピュータ設定、ポリシー、Windows設定、セキュリティ設定、ローカルポリシー、セキュリティオプションを進みます。「Network security」という特定のポリシーを設定する必要があります:Kerberosで許可されている暗号化タイプを設定します。このポリシー内でAES128とAES256を明示的に有効にしつつ、RC4のようなレガシープロトコルはチェックアウトにしておくことで、両サーバーはまったく同じ最新の暗号標準で通信を強制します。

また、Windows Server 2025ドメインコントローラーを古いサーバーと混合環境で同時に動かす場合、既知の安定性バグがあることも知っておくべきです。これらの未解決の問題は、マシンアカウントのパスワードローテーションの失敗を引き起こし、最終的にドメイン参加デバイスとネットワーク間の安全なチャネル信頼を破ることがあります。Windows Server 2019のインフラは最新の累積アップデートで最新の更新を受けており、互換性のギャップを最小限に抑えてください。Kerberos暗号化を標準化しkrbtgtキーをローテーションしても認証の不安定性が続く場合は、Server 2025マシンを一時的に降格し、Microsoftが混合DC操作に対応する公式累積パッチをリリースするのを待つ必要があるでしょう。

この回答が役に立つ情報をもたらしたことを願っています。もしそうなら、「回答を受け入れる」をクリックしてください。質問があれば、ぜひコメントを残してください。

ヴァファン

チャブーンです。

この件ですが、直接の対応方法については、以下のページを参考にしていただければ、問題はないと思います。

Kerberos 認証のセキュリティ強化：RC4 から AES への移行ガイド

Windows Server 2016 からの Active Directory 移行、アップグレードにあたっての考慮事項

CVE‑2026‑20833 への対応とその影響について [KB5073381]

やることとしては、

• (可能であれば) Windows Server 2019側に更新プログラムを適用する
• Windows Server 2019上でAdministratorパスワードを変更する
• Windows Server 2025を追加ドメインコントローラーとして構成する
• Windows Server 2025にログオンし、Administratorパスワードの再変更+krbtgtパスワードを2回変更する
• Windows Server 2025→Windows Server 2019にAD複製を行う
• Windows Server 2019とWindows Server 2025の再起動

Windows Server 2025では最初からAESが使えており、RC4は使えません。なのでグループポリシーでの追加設定は不要です。RC4が使いたいというなら別ですが、セキュリティ的にお奨めしません。

なお、パスワードの暗号プロトコルの変更は不可逆です。そのため事前に必ずWindows Server バックアップによるバックアップを取ってください。