微软承认 9 月 Win11 更新可能破坏域信任关系

科技媒体 bleepingcomputer 于昨日（9 月 16 日）发布博文，指出微软已确认 Windows 11 系统的 9 月累积更新 KB5124008 存在缺陷，可能引发域信任关系异常。

域信任关系指的是域内计算机与域控制器之间基于计算机账户凭证建立的信任机制。当信任状态正常时，用户可通过域凭据登录并访问授权资源。若本地凭据与目录服务记录不一致，系统可能会提示域信任错误。

微软向该媒体表示：“微软已注意到相关报告，并正展开调查。一旦获得进一步信息，我们会及时公布。”

一位管理员反映，Windows 11 25H2 工作站安装 9 月累积更新前运行正常。更新后，设备重启时出现域登录失败。经排查，该管理员发现故障与域身份验证相关，在卸载 KB5124008 并修复域关系后，设备恢复访问权限。

另一位管理员报告称，约 256 台 Windows 11 25H2 企业版设备中，有 11 台在更新后丢失域信任。受影响设备出现了大量 Kerberos 身份验证失败，随后系统回退至 NTLM 和 Netlogon 身份验证。

关于故障根源，管理员推测与微软的机器身份隔离（Machine Identity Isolation）功能有关，该设置属于基于虚拟化的安全性与 Credential Guard 配置。管理员指出，安装 KB5124008 后，注册表中的 MachineIdentityIsolation 被设为“2”，即强制模式。

在强制模式下，Windows 会将计算机账户密钥迁移至 Credential Guard，并删除存储在 LSA（本地安全机构）中的副本。

该设置位于注册表路径 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]。部分管理员将设置改为“0”并重启，随后使用 PowerShell 修复安全通道。如需获取更多技术资讯，可访问星空体育网址。