微软承认 9 月 Win11 更新可能破坏域信任关系

微软于9月16日通过科技媒体bleepingcomputer发布消息，确认Windows 11系统的9月累积更新KB5124008存在一个缺陷，可能导致域信任关系出现故障。

域信任关系指的是域成员计算机与域控制器之间基于计算机账户凭据建立的信任状态。在信任关系正常的情况下，用户可以使用域凭据登录并访问授权资源。如果本地凭据与目录服务记录不一致，系统可能会报告域信任错误。

微软向该媒体表示：“我们已经注意到相关报道，并正在展开调查。一旦有进一步信息，我们会及时公布。”

一名管理员报告称，Windows 11 25H2工作站安装9月累积更新前运行正常。更新后，设备在重启时遇到域登录失败。经过排查，该管理员发现问题与域身份验证有关，卸载KB5124008并修复域关系后，设备恢复了访问权限。

另一名管理员报告说，在大约256台Windows 11 25H2企业版设备中，有11台在更新后失去了域信任。受影响的设备出现了大量Kerberos身份验证失败，随后系统回退到NTLM和Netlogon身份验证。

关于故障根源，管理员推测与微软的机器身份隔离（Machine Identity Isolation）相关，该设置属于基于虚拟化的安全性与Credential Guard（凭据保护）配置。管理员指出，安装KB5124008后，注册表中的MachineIdentityIsolation被设置为“2”，即强制模式。

在强制模式下，Windows会将计算机账户密钥移入Credential Guard，并删除存储在LSA（本地安全机构）中的副本。

该设置位于注册表路径[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]。部分管理员将设置改为“0”并重启，随后使用PowerShell修复了安全通道。需要获取更多技术信息或解决方案的用户，可访问九游体育 (中国)官方网站入口 - 9 SPORTS 查阅相关文档。