2024年4月のセキュリティ更新プログラムで、既知の問題が2つ出ています。

おもにWindows Server 2022に影響ありますが、

2024 年 4 月 9 日 — KB5036909 (OS ビルド 20348.2402)

で、下記の通り既知の問題が2つ出ています。文面を引用します。

1. 2024 年 4 月のセキュリティ更新プログラムをインストールした後の NTLM トラフィックの問題
   ドメイン コントローラー (DC) に 2024 年 4 月のセキュリティ更新プログラム (KB5036909) をインストールすると、 NTLM 認証トラフィックが大幅に増加する可能性があります。 この問題は、環境内のプライマリ ドメイン コントローラーの割合が非常に少なく、NTLM トラフィックが多い組織に影響を与える可能性があります。
   次の手順: 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
   影響を受けるプラットフォーム:
1. クライアント: なし
2. サーバー: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2、Windows Server 2008
2. 2024 年 4 月のセキュリティ更新プログラムをインストールした後、VPN 接続が失敗する可能性があります
   Windows デバイスは、2024 年 4 月のセキュリティ更新プログラム (KB5036909) または 2024 年 4 月のセキュリティ以外のプレビュー更新プログラム をインストールした後、VPN 接続エラーに直面する可能性があります。
   次の手順: 解決に取り組んでおり、今後のリリースで更新プログラムを提供します。
   影響を受けるプラットフォーム:
1. クライアント: Windows 11バージョン 23H2;Windows 11、バージョン 22H2、Windows 11、バージョン 21H2、Windows 10、バージョン 22H2、Windows 10、バージョン 21H2。
2. サーバー: Windows Server 2022、Windows Server 2019、Windows Server 2016、Windows Server 2012 R2、Windows Server 2012、Windows Server 2008 R2、Windows Server 2008。

いずれにしても、今後の定例なのか、定例外で対応が図られそうですね。

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーとなりました 解消しました！

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーとなりました

の続き。

KB5034439: Azure Stack HCI バージョン 22H2 および Windows Server 2022 用 Windows 回復環境の更新プログラム: 2024 年 1 月 9 日

がリリースされた旨、Masayuki.Ozawa氏より教えていただきました！

改めて御礼申し上げます。

関連する記事は Windows Server で KB5034439 の適用がエラーとなった場合の対応　です。

KB5034439はAzure Stack HCI OS 22H2とWindows Server 2022向けなのです。が、解決したいエラーコードは同じです。そこで上記ページにリンクされている

KB5028997: WinRE 更新プログラムをインストールするためにパーティションのサイズを手動で変更する手順

で

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーとなりました

を解決できるか確認します。

結論を先に書くと解決できました。以降で、実際に流れを説明します。

まずWindows 10 22H2（Insider Previewも有効化しています）

の回復パーティションについてサイズを確認します。すでに565MBございました。

では

KB5028997: WinRE 更新プログラムをインストールするためにパーティションのサイズを手動で変更する手順

を順に実施してきます。以降、管理者権限ありのコマンドプロンプトで実行しています。

回復パーティションの状態を確認します。

diskpartを起動し、パーティション情報を確認します。

OSパーティションを選択し、shrinkでちょっと縮小します。

回復パーティションを選択後、強制削除します。

回復パーティションを作成します。

手順に従ってフォーマットするも、Windows 10 22H2だとできない。。。

いったん回復パーティションを削除して、属性付与前にフォーマットしてみるもダメです。

色々調べ、ドライブレターを付与してフォーマットしてはどうかと考えました。回復パーティションを再削除後、回復パーティションしてドライブレターを割り当てます。

diskpartを終了し、割り当てたドライブに対してフォーマットを実行します。

改めてdiskpartを起動し、ドライブレターを削除します。（削除が終わったらdiskpartを終了します。）

回復パーティションを作成し、作成後の結果を確認します。

これでおぜん立てが整ったはず。

Windows Updateを実行します。

エラー無く完了しました。

無事にインストールされてます！

補足）いくつかのOSで回復パーティションサイズを確認した。

に続く。

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーとなりました

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーで全く適用できません。。。

検索すると、下記のページなどで公式の対策スクリプトが出ている旨を確認しました。

Windows 10の更新に失敗する問題、Microsoftが対策用スクリプト公開

から、

KB5034957: CVE-2024-20666 のセキュリティの脆弱性に対処するために、展開されたデバイスの WinRE パーティションを更新する

へアクセスしました。

PatchWinREScript_2004plus.ps1 (推奨)

に記載があるスクリプトをコピー＆ペーストして.ps1ファイルに落とすか、PowerShell ISEにペーストするとかします。今回は、ps1ファイルとして保存しました。

あと上記ページのリンクより、

Microsoft Update カタログ

からWindows 10 22H2用のcabファイルをダウンロードします。ファイル名は、下記の通りでした。

windows10.0-kb5034232-x64_ff4651e9e031bad04f7fa645dc3dee1fe1435f38.cab

あとは、管理者権限付きPowerShellで、下記のコマンドラインを実行します。

.\PatchWinREScript_2004plus.ps1 -packagePath windows10.0-kb5034232-x64_ff4651e9e031bad04f7fa645dc3dee1fe1435f38.cab

実行した結果は、下記のとおりです。

ちなみに、さらに実行すると下記とおり、以前に実行したスクリプトは成功した旨、表示されました。

2024/01/14 追記

ご指摘いただきまして、追加で確認しました。結果としては下記のとおりWindows Updateを実行後エラーとなるため解消していません…

もう少し調べないとだめですね。

Windows 10向けの更新プログラム「KB5034441」が、Windows Update適用時に「0x80070643」エラーとなりました　解消しました！

に続く。

DismのSplit-Imageオプションで指定できるFileSizeオプションの最大値は、4700なんですけど

Split a Windows image file (.wim) to span across multiple DVDsのSplit the file節にある下記のサンプルについてです。

Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4700

指定できるFileSizeオプションの最大値は、4700なんです。が4700を指定するとエラー87が発生し、「パラメーターが間違っています」というメッセージが出ます。
※Windows 10、Windows 11およびWindows Server 2022のNTFSパーティション上で実行しました。

FileSizeオプションを4096（FAT32の最大ファイルサイズ）で指定しなおすと、成功しますね。

Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4096

以上、ご注意ください。

下記のようにフィードバックしてみました。さてどうなるか。

---

"Dism /Split-Image /ImageFile:C:\sources\install.wim /SWMFile:C:\sources\install.swm /FileSize:4700"

I am aware that the FileSize of 4700 in the "/FileSize:4700" is the maximum size.

In fact, specifying 4700 for FileSize in Windows 10, Windows 11 and Windows Server 2022 results in error 87. In all cases the error message is "Wrong parameter".

"https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/split-a-windows-image--wim--file-to-span-across-multiple- dvds?view=windows-11#split-the-file"

As a sample of the above URL, it would be kind to use "/FileSize:4096".

Windows UpdateにてWindows Admin Center 2306へアップグレードできます。

Windows Admin Center version 2306 is now generally available!

が2023年6月20日（現地時間）リリースされてから約３カ月。ようやくWindows UpdateにてWindows Admin Center 2306へアップグレードできます。

※たまたま確認できたのが英語版OSということです。日本語版でも同様に確認できるのではないでしょうか。

仮想マシンでCredential Guardを有効化してみる

Credential Guardの要件を整理します。

• ハードウェアおよびソフトウェアの要件
  から転記します。物理サーバーですが、仮想マシンにも通じるところがあります。
• 仮想化ベースのセキュリティのサポート (必須)
• 64 ビット CPU
• CPU の仮想化拡張機能および Extended Page Tables
• Windows ハイパーバイザー (Hyper-V Windows 機能をインストールする必要はありません)
  この記載が現仕様とあっていないようです。Windowsハイパーバイザーだけのインストールはできないため、Hyper-Vのインストールが必要だと確認しました。（詳細は後述します）
  Hyper-Vを仮想マシンにインストールするには、仮想マシンに対してNested Hyper-Vを有効化します。
• セキュア ブート (必須)
  仮想マシンでもセキュアブートは有効化できますね。
• トラステッド プラットフォーム モジュール (TPM、優先 - ハードウェアへのバインドを提供) バージョン 1.2 および 2.0 がサポートされています (ディスクリートまたはファームウェア)
• UEFI ロック (推奨 - 攻撃者の単純なレジストリ キー変更による無効化を防ぐ)
• Hyper-V 仮想マシンで Windows Defender Credential Guard を実行するための要件
• Hyper-V ホストは IOMMU を備えている必要があり、Windows Server 2016 または Windows 10 バージョン 1607 以降が実行されている必要があります。
  IOMMUに関連する設定としては、Windows Admin Centerで確認できるHyper-Vホストの[DMA保護の起動]があります。ちなみに[DMA保護の起動]が非サポートでも、Credential Guardを有効化できました。
• Hyper-V 仮想マシンは第 2 世代であることが必要です。また、仮想 TPM が有効になっており、Windows Server 2016 または Windows 10 以降が実行されている必要があります。
• TPM は要件ではありませんが、TPM を実装することをお勧めします。
  これは仮想TPMを有効にすればよいですね。

Windows Server 2022仮想マシンを例に有効化してみます。
まず上記にある通り、Nested Hyper-V、仮想TPMを有効化しておきます。セキュアブートは、仮想マシン作成時に有効化されていることを確認しておきましょう。

具体的な有効化方法は、Windows Defender Credential Guard を有効にするに準じます。確認した中で最も確認しやすかった、レジストリを使用して Windows Defender Credential Guard を有効化するで有効化してみました。

1. 仮想マシンでHyper-Vを有効化します。
   [プログラムと機能] を使って仮想化ベースのセキュリティ機能を追加するに準じるのですが、一部手順が異なります。具体的には、Hyper-Vの有効化だけで、[分離ユーザー モード]は有効化しません。というか、[分離ユーザー モード]自体が、統合されているためです。統合化されている旨は、上記リンクのほうに下記文言が記載されています。念のため、引用します。
   Windows 10バージョン 1607 以降では、分離ユーザー モード機能がコア オペレーティング システムに統合されています。 そのため、上記の手順 3 でコマンドを実行する必要はありません。
   Windows Serverの場合、そもそも[分離ユーザー モード]の役割サービスは無いです。つまり選択できないですね。
   
   

   2023/02/08 追記　サーバーマネージャーからうまく構成できないときは、仮想マシン内の管理者権限付きPowerShellから下記を実行してみると良いです。
   Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V -NoRestart
   Install-WindowsFeature -Name "Hyper-V" -IncludeManagementTools
   Restart-Computer -Force

2. レジストリ設定を追加します。
   仮想化ベースのセキュリティと Windows Defender Credential Guard を有効にするに準じます。設定自体は、レジストリエディターで行います。
1. 仮想化ベースのセキュリティを有効にします。
   
   
   

   

   

   
2. Windows Defender Credential Guard を有効にします。
   2023/2/8追記　画像では、[セキュア ブート] のみを使用するとして1に設定しています。[セキュア ブートと DMA 保護] を使用するための設定値"3"は、仮想マシンで設定できないです（設定するとCredential Guardが実行できない）。ご注意ください。
   
   

   

   

   

   
3. Credential Guardの有効化を確認します。
   Windows Defender Credential Guard のパフォーマンスを確認するに準じます。msinfo32.exeを実行しましょう。
1. レジストリ設定直後の状態です。
   
2. レジストリ設定を反映するため、再起動します。
3. 改めてレジストリ設定を確認します。

   

   Credential Guardが有効化されていますね。

Windows Server Community Meetup #04のセッション動画「Windows Admin Center 2110」を公開します。

 Windows Server Community Meetup #04のセッション動画「Windows Admin Center 2110」を公開します。

2022/04/29追記

こちらに記載した接続リストの挙動が治ったようです。別稿にて確認結果を記載します。

Windows Server Community Meetup #04の資料「Windows Admin Center 2110」を公開します。

Windows Server Community Meetup #04の資料「Windows Admin Center 2110」を公開します。

Windows Admin Center 2110 from Norio Sashizaki

2022/04/29追記

こちらに記載した接続リストの挙動が治ったようです。別稿にて確認結果を記載します。

Windows イメージが 4 GB を超える場合、install.wim ファイルを分割すればよいのか

Windows Server 2022のクリーンインストールを実施してます。

が、Windows Server 2022の Windows イメージ（install.wim ファイル）が 4 GB を超えてます。。。

かといって自宅内のNWだと、BMC 経由の ISO ファイルマウントは猛烈に遅い。

ほかに何か方法はないかと調べたら、下記がありました。

USB フラッシュ ドライブからの Windows のインストール

なんと、install.wim ファイルを分割すればよいのか、知らないのが恥ずかしい。。。

私の環境では、下記のコマンドラインで実行できました。
※ちなみに、終わるまで結構時間かかるようなので、気長に待ちましょう。
　結果の画面キャプチャ撮り忘れましたorz

robocopy f: d: /s /max:3800000000

Dism /Split-Image /ImageFile:f:\sources\install.wim /SWMFile:d:\sources\install.swm /FileSize:3800

結果として、このようにファイル分割できてます。

追伸　2021/09/03

別の用途で、install.wimを分割してみました。こんな感じの実行例です。
※上記とは、ドライブレターが異なります、ご注意くださいね。