さっしーの試してみるか3: Windows

ラベル Windows の投稿を表示しています。すべての投稿を表示

2026年5月10日日曜日

セキュアブート許可署名データベースの更新

セキュアブート許可済みキー交換キー (KEK) の更新の続き。

Windows 11へ「セキュアブート許可署名データベースの更新」という更新プログラムが提供されていました。

再起動後に、履歴から当該更新プログラムを探し出しました。

「詳細情報」をクリックすると、Windows セキュアブート証明書の有効期限と CA 更新プログラム

にアクセスできました。本更新プログラムは、セキュアブート証明書の有効期限切れに関連する更新プログラムということですね。

Windows Server 2025で同じ更新プログラムがあるか、確認してみました。今のところは検出されていません。引き続き状況を見ていきます。

2026年3月22日日曜日

セキュアブート許可済みキー交換キー (KEK) の更新

Microsoft Corporation KEK CA 2011 は 2026 年に期限切れに伴い

の続き。

Intel CPUのWindows 11にもセキュアブートKEKが下りてきました。

上記の詳細情報をリンクすると、下記のページに遷移しますこと申し添えます。

Windows セキュアブート証明書の有効期限と CA 更新プログラム

2026年2月2日月曜日

Microsoft Corporation KEK CA 2011 は 2026 年に期限切れに伴い

ITニュース.　2026年6月にセキュアブート証明書の有効期限切れ、企業は対策が必要な場合も

セキュアブート移行に関するよくあるご質問(FAQ)

を見ていましてセキュアブート用の証明書が切れることを知りました。

Windows セキュアブートキーの作成と管理のガイダンス

にも、下記のように書かれています。（上記より文面引用します）

Microsoft Corporation KEK CA 2011 は 2026 年に期限切れになる予定で、すべての OEM は、新しい Microsoft Corporation KEK CA 2023 の更新プログラムを作成、署名、および Microsoft に提出する必要があります。これにより、Microsoft は新しい Microsoft KEK CA を使用して市販デバイスを更新でき、システムは 2026 年以降も引き続き DB と DBX の更新プログラムを受け取ります。

ということで、どうやって更新するのかと思っていたら、運よくWindows Updateで配布されているのを捕捉できました！

2025年9月5日金曜日

Active DirectoryでBitLocker回復パスワードを表示する

BitLocker回復パスワードをActive Directoryに保存できますね。Azure Localのノードで使われるBitLocker回復パスワードも同様に保存できます。

Azure Localのノードではないのですが、本稿ではWindows 11でBitLockerを有効化し、BitLocker回復パスワードをActive Directoryに保存した結果を閲覧してみます。

Windows 11でBitLockerを有効化

設定から、BitLockerドライブ暗号化を開きます。この例では、暗号化されていません。ここから暗号化を有効化します。

UACにて管理者権限を取得します。

回復キーはファイルに保存しました。

BitLockerをアクティブ化します。

有効化できました。

Active DirectoryドメインコントローラーにBitLocker回復パスワードビューアーをインストール

サーバーマネージャーから役割と機能の追加をクリックして、ウィザードを起動します。

「役割ベースまたは機能ベースのインストール」をクリックして、「次へ」をクリックします。

指定されたサーバーのまま、「次へ」をクリックします。

サーバーの役割はそのままにして、「次へ」をクリックします。

機能で、「リモートサーバー管理ツール」→「機能管理ツール」の順で展開します。

「BitLocker回復パスワードビューアー」をクリックして、「次へ」をクリックします。

「インストール」をクリックします。

しばらく待つとインストールが完了しました。

BitLocker回復パスワードをActive Directoryに保存

グループポリシーは未構成のまま試してみることとしました。

manage-bde.exeのオプションを確認します。

manage-bde.exe -statusで状態を見ておきます。

ファイルに保存した回復キーを確認しました。

リトライした結果、manage-bde.exeよりBitLocker回復パスワードをActive Directoryに保存しました。回復キーのIDは、そのまま指定できません。下図の通り、'{回復キーのID}'という形式で囲っておく必要がありました。

該当のコンピューターアカウントにて、BitLocker回復タブをクリックしたところ、回復キーのID、回復パスワードが表示されました。

2025年9月2日火曜日

Windows Kerberosに対する脆弱性CVE-2025-26647の続報

複数フェーズからなるADの脆弱性対策「CVE-2025-26647 (Kerberos 認証) の保護」

という記事を書いていました。

先日続報がリリースされましたので、ご紹介します。

CVE-2025-26647 への対応とその影響について

が日本マイクロソフトのWindowsサポートチームよりリリースされています。この記事によると強制モードの開始日（更新プログラムのリリース日）が2025年10月14日で確定しています。

複数フェーズからなるADの脆弱性対策「CVE-2025-26647 (Kerberos 認証) の保護」

に記載した通り、強制モードは下記のような状況になります。

このモードになると、ADドメインコントローラーが安全でない証明書を使用してKerberos認証要求を受け取った場合、イベント D 21 がログに記録され、要求が拒否されます。
またAllowNtAuthPolicyBypassレジストリキーに対するMicrosoft のサポートは中止されます。よって監査モードに戻すことはできません。

ということで、証明書認証をお使いの場合は、残り1か月で対応が必要になります。

CVE-2025-26647 (Kerberos 認証) の保護　はサポート情報でした。今回は日本マイクロソフトのWindowsサポートチームによる記事のため、すでにリリース済みの更新プログラムに対する不具合情報が記載されています。各々の不具合情報は、CVE-2025-26647 への対応とその影響についてに詳細がございますのでご確認ください。下記では、その不具合情報が、すでに改善済みか否かを抜粋して記載いたします。

2025 年 4 月 8 日の更新プログラムに含まれている不具合は、2025 年 6 月 10 日の更新プログラムで改善済みとのこと。
2025 年 7 月 8 日の更新プログラムに含まれている不具合は、上記とは別とのことです。そのため、今後改善する見込みとのこと。
ただし、6 月の更新プログラムを適用済みの状態で ID:45 が記録されていない状況であれば、ID:21 イベントによる実影響がないとも記載ありました。

2024年9月21日土曜日

Windows Appは、バックスラッシュ入力と106/109キーボードに対応できた

Mac/iPhone/iPadのリモートPCアプリは「Windows App」に、Microsoftが無償公開
 「Microsoft リモートデスクトップ」（Microsoft Remote Desktop）の後継

を見つけましたので、MacOSで試してみます。
バックスラッシュ入力（¥の入力とも言えます）できてます。

Connections」→「Keyboard Mode」を「Unicode」にする

と106/109キーボードの通りに文字入力できるようですね。下図の赤枠が「Unicode」で、青枠が「Scanmode」です。

iPadOSではどうか試してみました。キーボードの切り替えは見つかりませんでしたが、バックスラッシュの入力は問題無しです。

2024年7月26日金曜日

Active DirectoryのKerberos認証に対する新たな3段適用更新プログラムがリリースされていました

CVE-2021-42287 で追加されたイベントメッセージ ID 35 , 37 と脆弱性対応の流れについて

で、Active DirectoryのKerberos認証に対する3段適用更新プログラムは、収束したと思っていました。ですが、教えていただいた話からKerberos認証に対する新たな3段適用更新プログラムがリリースされていました。それは、

KB5037754: CVE-2024-26248 および CVE-2024-29056 に関連する PAC 検証の変更を管理する方法

です。最大深刻度は重要なのですが、すべてのWindowsに適用が必要とのこと。つまりActive Directoryドメインコントローラー含むWindows ServerとWindowsクライアントが対象になります。
※もちろんサポートライフサイクルから外れているものは、もうどうしようもないと思いますい。拡張セキュリティ更新プログラム(ESU)が残っている場合は、その限りではないとも思います。

KB5037754: CVE-2024-26248 および CVE-2024-29056 に関連する PAC 検証の変更を管理する方法

は、今年の4月9日に最初のセキュリティ更新プログラムがリリースされました。このリリースでは互換モードです。上記リンクより文面引用します。

最初のデプロイフェーズは、2024 年 4 月 9 日にリリースされた更新プログラムから始まります。この更新プログラムは、CVE-2024-26248 および CVE-2024-29056 で説明されている特権の脆弱性の昇格を防ぐ新しい動作を追加しますが、環境内の Windows ドメインコントローラーと Windows クライアントの両方が更新されない限り、適用されません。

新しい動作を有効にし、脆弱性を軽減するには、Windows 環境全体 (ドメインコントローラーとクライアントの両方を含む) が更新されていることを確認する必要があります。監査イベントは、更新されていないデバイスを識別するためにログに記録されます。

2024年10月15日以降にリリースされるセキュリティ更新プログラムでは、強制モードすなわち、既定でセキュリティで保護された動作になるそうです。

最後に、2025年4月8日以降にリリースされるセキュリティ更新プログラムは、互換モードを一切サポートしません。

以上、パッチマネジメントは計画的に進める必要ありです。Active Directoryドメインコントローラーのローリングアップグレード時になって、慌てないようにしたいものです。。。

2024年4月21日日曜日

Windows Subsystem for Linuxをアップグレードしなさいと

久しぶりにWindows Subsystem for Linux (WSL)のUbuntuを起動したところ、下記のメッセージが出ました。

コマンドラインの

wsl.exe --update

でアップグレードしました。

wsl -l -v

を実行してみましたが、細かいビルド番号が出るわけもなく、以前から使用しているWSL 2であることを確認しました。

ubutu的には、バージョンの変更ないな。

Windows Store的には、22.04.3があるようだ。

スタートメニュー上も、22.04.3となっている。

スタートメニューで検索した際に、下記も出ていた。新しくなってはいるようだ。

ubuntuを再インストールして、何か変わるか見てみる。

22.04.3に変わった。ということで下記を実行すればよかっただけかもしれない。

sudo do-release-upgrade -c
sudo apt update
sudo apt upgrade
sudo apt full-upgrade
sudo apt autoremove
sudo apt autoclean
sudo do-release-upgrade

ということで、wslとwsl for ubuntuは別管理でよさそうかな。。。

2023年9月18日月曜日

DismのSplit-Imageオプションで指定できるFileSizeオプションの最大値は、4700なんですけど

Split a Windows image file (.wim) to span across multiple DVDsのSplit the file節にある下記のサンプルについてです。

Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4700

指定できるFileSizeオプションの最大値は、4700なんです。が4700を指定するとエラー87が発生し、「パラメーターが間違っています」というメッセージが出ます。
※Windows 10、Windows 11およびWindows Server 2022のNTFSパーティション上で実行しました。

FileSizeオプションを4096（FAT32の最大ファイルサイズ）で指定しなおすと、成功しますね。

Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4096

以上、ご注意ください。

下記のようにフィードバックしてみました。さてどうなるか。

---

"Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4700"

I am aware that the FileSize of 4700 in the "/FileSize:4700" is the maximum size.

In fact, specifying 4700 for FileSize in Windows 10, Windows 11 and Windows Server 2022 results in error 87. In all cases the error message is "Wrong parameter".

"https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/split-a-windows-image--wim--file-to-span-across-multiple- dvds?view=windows-11#split-the-file"

As a sample of the above URL, it would be kind to use "/FileSize:4096".

Windows UpdateにてWindows Admin Center 2306へアップグレードできます。

Windows Admin Center version 2306 is now generally available!

が2023年6月20日（現地時間）リリースされてから約３カ月。ようやくWindows UpdateにてWindows Admin Center 2306へアップグレードできます。

※たまたま確認できたのが英語版OSということです。日本語版でも同様に確認できるのではないでしょうか。

2023年7月15日土曜日

Security Intelligence Update for Microsoft Defender Antivirus - KB2267602 (Version 1.393.382.0)のインストールがループし続ける

Security Intelligence Update for Microsoft Defender Antivirus - KB2267602 (Version 1.393.382.0)のインストールがループし続けるため、Azure Stack HCI OSのクラスター対応更新が終わりません。。。