Windows 11 KB5124008後にActive Directoryのドメイン信頼関係が切れてサインインできない時に試す5つの対処法
結論｜KB5124008適用後にサインインできないのはMicrosoftが認めた既知の不具合
いつもどおり会社のPCを起動したのに、正しいパスワードを入れても「このデバイスとドメインとの信頼関係の確立に失敗しました」と表示されてサインインできない。2026年9月の更新プログラム KB5124008 を適用した環境で、この症状が報告されています。
先に結論をお伝えします。これはあなたの操作ミスでも、PCの故障でもありません。Microsoftが公式のWindows release health（Windows 11, version 25H2 の既知の問題）に「Domain-joined devices might lose their secure trust relationship with the domain」として掲載している既知の不具合です。この項目の公開・最終更新は2026-09-16 14:15 PTで、ステータスは2026-09-20時点で「Mitigated（回避策あり）」。「Resolved（解決済み）」ではありません。
KB5124008は2026年9月8日に配信された累積更新プログラムで、Windows 11 25H2をビルド26200.9445へ、24H2をビルド26100.9445へ更新します（Microsoftサポート）。同じKB5124008では、次のような別件の不具合も報告されています。
- 黒い画面が表示される
- GPUドライバーがクラッシュする
- マウス設定がリセットされる
- 共有プリンターで印刷エラーが起きる
- リモートデスクトップ（RDP）の音声が使えない（OOB更新KB5129195で対応済み）
本記事が扱うのは、これらとは別の「ドメイン参加PCでサインインできない」症状だけです。上のいずれかに心当たりがある場合は、その症状に対応した記事を参照してください。
救いになる点もあります。公式の記載によれば、ドメインコントローラー側のActive Directoryのレプリケーションやサービスには影響せず、影響を受けるのはクライアントPCだけです。さらに、以前にキャッシュされた資格情報によるオフラインサインインは引き続き機能します。
こんな症状が出ていたら該当する｜チェックリスト
一般ユーザー向け｜画面に出ているサインをまず確認する
次のうち複数に当てはまるなら、本記事の不具合に該当する可能性が高いといえます。
- 正しいユーザー名とパスワードを入れているのに、ドメインのアカウントでサインインできない
- 「このデバイスとドメインとの信頼関係の確立に失敗しました」という趣旨のメッセージが出る
- 社内ネットワークにつながらない場所では、以前と同じアカウントでサインインできることがある
- 症状が出始めたのが、Windows Updateを適用して再起動した直後である
3つ目は不具合の裏返しです。キャッシュされた資格情報でのオフラインサインインは影響を受けないと公式に記載されているため、「自宅では入れるのにオフィスのネットワークに戻ると弾かれる」という食い違いが起こり得ます。PCが壊れたわけではないので、初期化や工場出荷状態への復元には進まないでください。
情シス担当向け｜セキュアチャネルの状態を確認するコマンド
ここでいうセキュアチャネル（PCとドメインの間の安全な通信経路のこと）の状態は、次のコマンドで確認できます。管理者権限のPowerShellで Test-ComputerSecureChannel を実行すると False が返り、コマンドプロンプトで nltest /sc_query:<ドメイン名> を実行すると ERROR_NO_TRUST_LSA_SECRET（エラーコード1786）が返る、という診断手順が複数の海外メディアで報告されています（BleepingComputer）。
ただしこの2つのコマンド結果はMicrosoft公式の既知の問題ページに明記されたものではなく、メディアや管理者コミュニティの報告で一致している内容です。判定の決め手というより、切り分けの材料として扱ってください。
発生しやすい環境｜4つの条件がそろっているか
以下は主に情シス担当向けの表です。専門用語が分からなくても、まずは自分に当てはまるか確認するための表なので、意味は次の「原因」セクションで説明します。一般の方は読み飛ばして「対処法」の注意書きまで進んでも問題ありません。
| 項目 | 該当する条件 |
|---|---|
| OS | Windows 11 24H2 / 25H2 / 26H1（クライアントのみ。サーバーOSは対象外） |
| 適用した更新 | KB5124008（24H2・25H2）、26H1は同時リリースのKB5124012 |
| 機能 | Credential Guard の「Machine Identity Isolation」が有効（特に強制モード） |
| ドメイン | ドメインコントローラーのドメイン機能レベルがWindows Server 2025未満 |
逆にいえば、Credential Guardの当該機能をまったく設定していない環境や、ドメイン機能レベルがすでにWindows Server 2025以上の環境では、この症状は起きにくいことになります。
原因｜「Machine Identity Isolation」がドメインの信頼関係を壊している
Machine Identity Isolation は、PCがドメインに対して自分自身を証明するための資格情報（マシンアカウント）を、Credential Guardの保護領域に隔離するCredential Guardの機能です。盗まれると社内ネットワークへの侵入に直結する情報なので、OSの通常領域から切り離して守ろうという発想の機能です。
Microsoftの説明によると、今回の引き金はKB5124008以降の更新がこの機能を有効化したことにあります。更新が強制（Enforcement）を直接オンにするわけではなく、既存の設定やポリシーで事前に構成されていた強制設定を、Windowsが尊重するようになったことが原因だと公式に記載されています。つまり「設定はされていたが効いていなかったもの」が、更新後に実際に効き始めた形です。
重要なのは適用条件です。この機能はドメインコントローラーがWindows Server 2025のドメイン機能レベル以上で稼働している環境でのみサポートされます。Windows Server 2019や2022のドメイン機能レベルのまま有効化されていると、マシンアカウントのセキュアチャネルが確立できず、サインインが通らなくなります。社内のオンプレADをまだ更新していない組織ほど当てはまりやすい条件です。
対処法｜Machine Identity Isolationを無効化してサインインを復旧する5ステップ
Microsoft公式の暫定回避策は、Machine Identity Isolationを無効化してからセキュアチャネルを張り直す、という流れです。ポイントは「有効化した方法と同じ方法で無効化する」ことが公式に推奨されている点にあります。
対処法1｜どこで有効化されたかを先に特定する
| 有効化した経路 | 無効化する場所 |
|---|---|
| Intuneのポリシー | Intune側のポリシーで無効化する |
| グループポリシー | GPO側で無効化する |
| レジストリの直接編集 | レジストリの値を0に戻す |
Intuneで配信している設定をレジストリだけで書き換えても、次回のポリシー適用で元に戻ってしまいます。遠回りに見えても、この確認を先に済ませるのが最短ルートです。
対処法2｜グループポリシーで無効化する
グループポリシー管理エディターで「コンピューターの構成＞管理用テンプレート＞システム＞Device Guard＞仮想化ベースのセキュリティを有効にする」を開き、その中の「Machine Identity Isolation Configuration」を Disabled に設定します。設定値は Disabled / Enabled in audit mode / Enabled in enforcement mode / Not Configured の4種類です（Microsoft Learn: Credential Guard protected machine accounts）。
対処法3｜レジストリで無効化する
レジストリを直接編集する場合は、次の2つのキーの値を確認します。値が 2（Enforcement）になっていれば 0（Disabled）に変更し、デバイスを再起動します。編集前にレジストリのバックアップを取っておくと安全です。
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolationHKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation
対処法4｜セキュアチャネルを再構築する
再起動後、管理者権限のPowerShellで次のコマンドを実行し、ドメインとのセキュアチャネルを張り直します。実行するとドメイン参加の権限を持つ資格情報の入力を求められます。
Test-ComputerSecureChannel -Repair -Credential (Get-Credential)対処法5｜強制モードから戻す端末はドメインの再参加が必要になる場合がある
ここが見落とされがちな注意点です。以前「Enabled in enforcement mode」だった端末をDisabledへ戻す場合、単純な設定変更だけでは認証できず、ローカル管理者アカウントで一度ドメインから脱退（unjoin）し、再参加（rejoin）する必要があるとMicrosoft公式ドキュメントに明記されています。
つまり対処法2〜4を試しても直らないケースは想定内です。作業に入る前にローカル管理者アカウントのパスワードが手元にあるかを確認しておくと、途中で詰まりません。
それでも直らない場合の対処法
Microsoft Q&Aフォーラムなどの管理者コミュニティでは、Test-ComputerSecureChannel の結果がTrueとFalseの間で不安定に変動する、Reset-ComputerMachinePassword やドメインの脱退・再参加まで行わないと復旧しなかった、といった報告も寄せられています。ただしこれらはコミュニティ由来の情報で、公式の既知の問題ページには記載がありません。確実に直る手順として保証されているわけではない点は押さえておいてください。情シス担当の方は、対処法2〜4を一通り試して改善が見られなければ、対処法5（ドメインの脱退・再参加）への切り替えを検討する、という進め方が目安になります。
社内PCを使うだけの立場の方は、レジストリやグループポリシーを自分で触らないでください。情報システム部門やPCサポート窓口に連絡し、次の4点を伝えると対応が早まります。
- 画面に表示されたエラーメッセージの全文
- サインインできなくなった日時と、その直前にWindows Updateを適用したかどうか
- 適用された更新プログラムがKB5124008（または26H1のKB5124012）であること
- 同じ症状が他の社員にも出ているかどうか
社内に対応できる担当者がいない小規模事業者の場合は、法人向けのMicrosoft Support for Businessへ問い合わせる導線もあります。問い合わせの際も、上記4点をそのまま伝えれば話が早くなります。
今後の見通し｜恒久的な修正はまだ配信されていない（2026-09-20時点）
Microsoftは公式ページで「機能の改善を進める間、Machine Identity Isolationの強制を一時的に抑止することで、今後のWindows更新プログラムでこの問題を解決する計画」だと明記しています。ただし2026-09-20時点でその根本修正は配信されておらず、ステータスは「Mitigated」のままです。
誤解されやすいのが、2026年9月14日に配信された帯域外（OOB）更新 KB5129195（26H1向けはKB5129194）との関係です。この更新はリモートデスクトップ関連の問題、Hyper-V上のLinux仮想マシンでのフォルダー共有の問題、USB音声デバイスの問題の一部を解決したもので、ドメイン信頼関係の不具合は対象外です。「OOB更新が出たからもう直っているはず」という判断はしないでください。
現時点でできるのは、Windows Updateの新着と公式のrelease healthページを定期的に確認し、根本修正が配信されたタイミングで回避策の設定を見直すことです。
まとめ｜再発防止のためにできること
今回の症状は、KB5124008を適用した端末でCredential Guardの Machine Identity Isolation が強制モードのまま効き始め、ドメインとのセキュアチャネルが失われたことによるものです。対処の軸は、有効化した経路と同じ経路で無効化し、Test-ComputerSecureChannel -Repair でセキュアチャネルを張り直すこと。それでも直らない端末は、ドメインの脱退と再参加まで視野に入れます。
再発を防ぐためにできることは2つあります。1つは、Credential Guardの新しい機能を有効化する前に、ドメインコントローラーのドメイン機能レベルが要件を満たしているかを必ず確認することです。今回は要件がWindows Server 2025のドメイン機能レベル以上でした。
もう1つは、月例更新を全端末へ一斉展開せず、検証機や一部の端末で先行適用してから広げる運用に戻すことです。手間はかかりますが、全社が同時にサインインできなくなる事態は避けられます。
恒久修正は2026-09-20時点で未配信です。回避策を適用したら、Windows release healthの既知の問題ページをブックマークし、ステータスが「Resolved」に変わったタイミングで設定の見直しを検討してください。まずは自分の環境が上のチェックリストに当てはまるかどうか、今日のうちに確認しておきましょう。
