Microsoft sta indagando sulle segnalazioni secondo cui l'aggiornamento di sicurezza KB5124008 per Windows 11 potrebbe far perdere ad alcuni dispositivi aziendali aggiunti a un dominio la relazione di attendibilità con Active Directory dopo il riavvio.
Gli amministratori che hanno pubblicato messaggi su Microsoft Q&A e Reddit hanno dichiarato che i sistemi Windows 11 25H2 interessati rifiutavano credenziali di dominio valide dopo l'installazione dell'aggiornamento. In diverse segnalazioni, gli utenti riuscivano ancora ad accedere con credenziali memorizzate nella cache quando erano disconnessi dalla rete, suggerendo che il problema riguardasse l'autenticazione al dominio piuttosto che modifiche alle password degli utenti.
Segnalati errori del canale sicuro
I PC aggiunti a un dominio mantengono un canale sicuro con i controller di dominio tramite le credenziali dell'account computer. Quando le credenziali archiviate su un dispositivo non corrispondono più al relativo account computer in Active Directory, Windows può visualizzare errori di attendibilità del dominio o negare gli accessi al dominio.
Alcuni amministratori hanno dichiarato di aver confermato il malfunzionamento del canale sicuro sui sistemi interessati. Hanno riferito che la rimozione di KB5124008 e la riparazione della relazione del computer con il dominio ripristinavano l'accesso, mentre la reinstallazione dell'aggiornamento causava nuovamente il problema. Il numero di dispositivi interessati sembra variare a seconda dell'ambiente, con segnalazioni che vanno da un sottoinsieme di workstation a tutti i sistemi Windows 11 aggiornati di un'organizzazione.
Machine Identity Isolation sotto esame
Le indagini della community hanno indicato l'impostazione Windows Machine Identity Isolation come possibile fattore. La funzionalità è associata a Virtualization-Based Security e Credential Guard ed è progettata per proteggere i segreti degli account computer utilizzati per l'autenticazione di Active Directory.
Gli amministratori hanno osservato che alcuni endpoint interessati avevano la configurazione MachineIdentityIsolation impostata in modalità applicazione dopo l'aggiornamento. In tale modalità, Windows può collocare il segreto dell'account computer sotto le protezioni di Credential Guard e rimuovere la copia precedente mantenuta da Local Security Authority.
Diversi amministratori hanno dichiarato che la disattivazione dell'impostazione e la riparazione del canale sicuro hanno risolto il problema immediato. Tuttavia, la modifica dell'impostazione può a sua volta interrompere l'autenticazione. La documentazione Microsoft avverte che i dispositivi che utilizzavano in precedenza la modalità applicazione potrebbero dover essere rimossi da un dominio e aggiunti nuovamente se la funzionalità viene disabilitata.
- Microsoft ha riconosciuto le segnalazioni e ha dichiarato di stare indagando.
- L'azienda non ha confermato la causa principale.
- Non è stata pubblicata alcuna soluzione alternativa ufficiale.
Le organizzazioni che riscontrano il problema dovrebbero convalidare le modifiche in un ambiente controllato e seguire le indicazioni di Microsoft non appena saranno disponibili.