Windows 7 でパスワードが変更できない

Article
05/30/2016

こんにちは。プラットフォームサポートです。

ドメインに所属している Windows 7 に「2016 年 4 月」以降のセキュリティ更新プログラムを適用後、下記のメッセージが表示されてパスワードを変更することができなくなる場合があることが報告されております。

「サーバーのセキュリティデータベースにこのワークステーションの信頼関係に対するコンピューターアカウントがありません。」

本事象は、ドメインメンバーが Windows Update などを実施し Kerberos 関連モジュールが更新される一方で、ドメインコントローラー側では Windows Update がなされておらず、Kerberos 認証の互換性に問題が生じるために発生します。

発生条件

この事象は、下記の 5 つの条件が重なったときに発生します。

ドメインコントローラーの OS に Windows Server 2008 もしくは Windows Server 2008 R2 が存在している
過去にドメインで権限のあるリストア (Authoritative Restore) を実施したことがある
クライアントの Kerberos.dll のファイルバージョンの下 5 桁が 22320 以上となっている
クライアントで Ctrl + Alt + Del 等からパスワード変更を行う
ドメインコントローラーの Kdcsvc.dll のバージョンが、特定のものよりも古い (詳細なバージョンの確認方法は文末をご覧ください)

「2016 年 4 月」に公開された下記の更新プログラムの中に Kerberos.dll のファイルバージョンの下 5 桁が 22320 のものが含まれているため、上記の (1) や (2) に該当する環境では、本事象が発生する場合があります。

https://support.microsoft.com/ja-jp/kb/3149090

Kerberos.dll 6.1.7601.23390 731,136 16-Mar-2016 00:14 x64
Kerberos.dll 6.1.7601.23390 553,984 15-Mar-2016 23:52 x86

https://support.microsoft.com/ja-jp/kb/3146706

Kerberos.dll 6.1.7601.23392 553,984 17-Mar-2016 22:26 x86
Kerberos.dll 6.1.7601.23392 553,984 17-Mar-2016 22:26 x86

https://support.microsoft.com/ja-jp/kb/3147071

Kerberos.dll 6.1.7601.23376 553,984 10-Mar-16 20:02 x86
Kerberos.dll 6.1.7601.23376 731,136 10-Mar-16 18:51 x64

この問題は、クライアント側のプログラムに追加された canonicalize フラグをドメインコントローラー側が認識することができず、パスワード変更要求を適切に処理できないために発生します。

＊補足

パスワード変更時に同じメッセージが表示される別の報告もございます。詳細は下記のサイトで説明しておりますので、上記の発生条件に合致しない場合には、下記の内容も併せてご確認ください。

パスワード変更時のエラーメッセージについて
https://blogs.technet.microsoft.com/jpntsblog/2016/03/03/1832/

対処策

本問題の対処策は、下記の修正プログラムを全てのドメインコントローラーに適用する方法となります。

(暫定的な対処としては、クライアント側で上記の更新プログラムをアンインストールする方法でも構いませんが、セキュリティを考慮すると、極力ドメインコントローラー側に下記プログラムを適用されることをお勧めします。)

■ ドメインコントローラーが Windows Server 2008 の場合

Error code when the kpasswd protocol fails after you perform an authoritative restore: "KDC_ERROR_S_PRINCIPAL_UNKNOWN"
https://support.microsoft.com/en-us/kb/976424

■ ドメインコントローラーが Windows Server 2008 R2 の場合

Domain users cannot change or reset their passwords when KRBTGT account is restored in Windows client
https://support.microsoft.com/en-us/kb/2910686

※ いずれもインストールを行った後に、ドメインコントローラー側で OS の再起動が必要です。
※ クライアント側での作業は不要です。
※ Windows Server 2008 R2 向けの KB2910686 の修正プログラムを適用するためには、事前に Service Pack 1 (SP1) が適用されている必要があります。SP1 が未適用の Windows Server 2008 R2 については、SP1 を適用した上で、KB2910686 の修正プログラムを適用してください。

確認方法

以下、確認方法を記載します。

■ クライアントの .dll のバージョンの確認方法

1. クライアントにログオンを行い、エクスプローラーを起動します。

2. %windir%\System32 を開きます。