複数フェーズからなるADの脆弱性対策「CVE-2025-26647 (Kerberos 認証) の保護」

CVE-2025-26647 (Kerberos 認証) の保護

上記は、2025年4月8日に公開されました。

本文に記載ありますが、本脆弱性は、3フェーズでADの脆弱性の対策が図られます。上記の内容をサマリして以下に記載します。

• 脆弱性の概要：NTAuth ストアに存在しない認証局（CA）から発行された証明書を使って Kerberos 認証が行われると、セキュリティ上のリスクが生じる可能性があります。
• 影響対象：altSecID 属性を使った証明書マッピングを行っているセキュリティプリンシパル。またADドメインコントローラーがこちらの影響を受けます。
• 対策の段階的導入：

1. 2025 年 4 月 8 日: 初期展開フェーズ – 監査モード
   初期展開フェーズ（監査モード）として、NTAuth チェックと監査ログ警告イベント（イベントID 45）が有効になります。このイベントID 45は、安全でない証明書を使用して Kerberos 認証要求を受信すると記録されます。
   この記録されたイベントを監視して、NTAuthストアに含まれていない影響を受ける証明機関を特定していくことも必要です。
2. 2025 年 7 月: 既定で適用されるフェーズ
   このフェーズ（モード）では、NTAuthストアのチェックが既定の動作となります。が、AllowNtAuthPolicyBypassレジストリキー設定を使用することで監査モードに戻すことも可能エス。
   ただしこのモードでは、セキュリティ更新プログラムを完全に無効にする機能は削除されます
3. 2025 年 10 月: 強制モード
   このモードになると、ADドメインコントローラーが安全でない証明書を使用してKerberos認証要求を受け取った場合、イベント D 21 がログに記録され、要求が拒否されます。
   またAllowNtAuthPolicyBypassレジストリキーに対するMicrosoft のサポートは中止されます。よって監査モードに戻すことはできません。

Windows Server Summit 2025のオンデマンドビデオが公開されています。

2025年4月に開催されたWindows Server Summit 2025のオンデマンドビデオが公開されています。

Windows Server Summit 2025

Windows Server 2025だけではなく、AD、AD CS、WAC、Azure Arc、Azure File Syncなどのセッションがありますよ。

Azure AI Foundry Local その4 Windows 11 on Hyper-Vで試す

注）本稿執筆時点では、プレビュー版です。今後、機能などが変わる場合がありますので、ご留意ください。

仮想マシンで Azure AI Foundry Localで試します。今回は、Hyper-V上のWindows 11にてAzure AI Foundry Localで試す形ですね。

CPUを使うモデル、NPUを使うモデルの順で確認します。

インストールは問題無く完了。

これまでの確認と同様に進めるので、まずはCPUを使うモデルを確認します。

英語のプロンプトを与えてみます。

2単語の出力で、3分ほどかかっていましたので、キャンセルしました。

上記のような感じで何回かリトライしました。が、当方の環境では非常にスローです。

最終的に、メモリ16GBで固定化し、ファイルサイズが最も軽量なモデルにしてみましたが、レスポンスが多少改善する程度です。

最新のCPUではどうなのかという点はあるものの、当方の環境（Intel(R) Xeon(R) CPU E5-2430 0 @ 2.20GHz）では、ある意味これが限界なのかも知れません。

Azure AI Foundry Local その3 Windows 11 on Parallels Desktopで試す

注）本稿執筆時点では、プレビュー版です。今後、機能などが変わる場合がありますので、ご留意ください。

仮想マシンで Azure AI Foundry Localで試します。今回は、MacOS上のParallels DesktopでWindows 11にてAzure AI Foundry Localで試す形ですね。

CPUを使うモデル、NPUを使うモデルの順で確認します。NPUを使うモデルについては、そもそも仮想マシンでも使えるの？、というかGPUが不透過なのでどういう挙動になるかが興味深いだけです。

インストールは、問題なく完了。

これまでの確認と同様に進めるので、まずはCPUを使うモデルを確認します。

英語のプロンプトを与えました。スムーズに回答返ってきます。途中経過を見るとCPUをしっかり使っていました。

日本語のプロンプトを与えました。途中経過を見るとCPUをしっかり使っていました。

ただし英語と比較しても日本語の場合、ちょっと重い感じで回答し始めました。メモリが6GBしかないからかも知れませんね。

結果としては、途中で回答ストップしてしまい、ブランクが続きました。ただしメモリが足りないからなのかなど、原因を推測するには情報不足とも思います。

NPUを使うモデルを試します。deepseek-r1-7bでは、モデルのロードに失敗しました。

Phi-4-mini-reasoning-qnn-npuは、どうでしょうか？

これもダメでした。

Azure AI Foundry Local その2 MacOSで試す

 Azure AI Foundry Local その1 Windows 11で試す の続き

本稿では、Apple Siliconを搭載するMacを使用して、 Azure AI Foundry Localのインストール、 Azure AI Foundry Localへのプロンプトを与えてみます。

早速インストールしてみます。クイックスタートによるとbrew (HomeBrew)によるコマンド2行で終わります。

モデルの一覧を取得してみました。

Macでは、NPUではなくGPU表記ですね。WindowsとMacではモデルそのものも違うのでしょうかね？！

Azure AI Foundry Local その1 Windows 11で試す ではうまくいかなったNPUを使うdeepseekモデルを実行してみます。初回ゆえ、モデルのダウンロードから始まります。

※この時、ブロードバンドルーターの調子が悪く、あまりスピードが出ていません。。。

モデルのダウンロードが完了し、プロンプトが入力可能になりました。

では、Why is the sky blue? とプロンプトを与えてみました。

問題なさそうですね。

続いて、なぜ空は青いのか？ と日本語でプロンプトを与えてみました。

ところどころ日本語になっていませんが、回答は出てきました。

プロンプト入力から終了するには、/exitを入力すれば良いですね。

続いて、Phi 3.5 miniを使ってみます。

※ブロードバンドルーターを再起動したので、再試行した方が圧倒的に早くダウンロードできました。あと、夜に確認したので、ウィンドウがダークモードになっております、ご了承ください。

Why is the sky blue? とプロンプトを与えてみました。

問題なさそうですね。

続いて、

 と日本語でプロンプトを与えてみました。

破綻なく日本語が、出力されました。この辺りで、どのモデルを選ぶのかというポイントになりますね。

Azure AI Foundry Local その1 Windows 11で試す

今年のMicrosoft Build直後に発表されたAzure AI Foundry Localを試します。

注）本稿執筆時点では、プレビュー版です。今後、機能などが変わる場合がありますので、ご留意ください。

まず

Unlock Instant On-Device AI with Foundry Local

をご紹介します。こちらにインストール方法、簡単な使用方法、公式情報へのリンクが収められています。

• Foundry Local のドキュメント
  公式情報の日本語版です。ここから下記にアクセスできます。
• Foundry Local の概要
  と書かれていますが、左ペインの項目は「作業を開始する」です。動作に必要な前提条件（システム要件）も記載されています。

本稿では、Windows 11 ARMマシンを使用して、インストールおよびプロンプトを与えてみます。

早速インストールしてみます。クイックスタートによるとWingetによるコマンド一行で終わります。

契約条件に同意します。

しばらく待つとインストール完了しました。

どういうモデルが使えるかみてみます。クイックスタートによると"foundry model list"を実行します。

思ったよりモデルがありますね。一時期話題になったdeepseekもあります。

では、クイックスタートの例に倣ってプロンプトを与えるべくモデルを実行します。初回なのでモデルをダウンロードしていますね。

しばらく待つと完了しました。

クイックスタートの例に倣ってプロンプトを与えます。

さて日本語で同じ意図のプロンプトを与えてみます。

一部英語が残ったり、一部正しく翻訳できていませんが、日本語で回答してくれました。このプロンプトに対してだけを鑑みるとうまく翻訳できていないところも推測可能ですね。ただ、この日本語プロンプトに関しては回答が止まりませんでした。上記の画面下部でも、回答が止まっていない感じで、実際は下記のようにしばらく止まりませんでした。

LM Studioを使ってもいても、ときたま暴走を見かけました。モデルの問題なんでしょうかね？！

さて、NPUを使うモデルもみてみます。あいにくCopilot+PCではなく、Windows Dev 332 キット 2023です。Copilot+PCほどではないもののNPUはあります。先ほどと同じ英語のプロンプトと日本語のプロンプトをそれぞれ与えてみます。

deepseek-r1-7bでは、モデルのロードに失敗しました。

Phi-4-mini-reasoning-qnn-npuは、どうでしょうか？

これもダメでした。

ということで次回は、MacOSで試してみます。