ITニュース.　Windows Server 2016の5月のセキュリティ更新の影響により、特定の条件下でADに関連する問題発生

影響を受けるのはコンピューター名が15文字のサーバー

　5月のセキュリティ更新プログラム（KB5087537）の既知の問題に追加されたのは、コンピューター名が15文字の長さを持つサーバー（ドメインコントローラー、メンバーサーバー）において、ドメインコントローラー検索の呼び出し（DCLocator）が、ERROR_INVALID_PARAMETERエラーで失敗し、アプリケーションや管理ツールがドメインコントローラーを見つけられなくなるという問題です。この問題により、DFS名前空間の管理など、ドメインコントローラー検索に依存する管理操作に影響する可能性があります。

　リモートサーバー管理ツール（RSAT）の「AD DSおよびAD LDSツール」をインストールしたWindows Server 2016のメンバーサーバーの1台でコンピューター名を15文字にして検証したところ、nltest /dsgetdc: /pdcコマンドでエラーが発生するようになることを確認しました。また、「Active Directoryドメインと信頼関係」スナップイン起動時にエラーが表示されるようになりました（画面1）。Active Directoryのあらゆる管理ツールに影響するわけではなく、ドメイン認証にも問題は確認されませんでした。

画面1　この問題の影響と思われるエラー。「Active Directoryドメインと信頼関係」スナップインを開始しようとしたところ

　なお、WindowsおよびActive Directoryにおけるコンピューター名は最大15文字（バイト）であり、15文字のコンピューター名を使用することは、仕様上問題ありません。

Active Directory におけるコンピューター、ドメイン、サイト、および OU の名前付け規則｜Windows Server（Microsoft Learn）

　この記事執筆時点では問題は調査中とされており、回避方法は示されていません。追加情報はKB5087537のページですぐに共有されるそうなので、影響を受けた、あるいはまだ更新前で影響を受ける可能性がある場合は、追加情報を確認してください。

　Microsoft 365管理センター（admin.cloud.microsoft）の「Windowsリリースの正常性」には、「Domain Controller lookup might fail on Windows Server 2016 for 15-char hostnames（WI1319344）」として情報が公開されており、Microsoftサポートでは影響を受けたデバイスのための回避策が利用可能であり、回避策を適用したい場合はビジネス用Microsoftサポート（https://support.microsoft.com/support-for-business）に連絡するように説明されています。

更新プログラムのアンインストールは回避策になるけれど...

　この問題に関する回避策は現時点では公開されていませんが、コンピューター名を14文字以内に変更することは回避策の1つです。しかし、その設定（変更して再起動）は簡単ですが、サーバーのコンピューター名を変更することで、名前解決やアプリケーション設定など、さまざまな影響が予想されます。また、ドメインコントローラーのコンピューター名変更は不可能ではありませんが、慎重に行わないと認証の問題が発生するなど、ドメイン環境を壊してしまう恐れがあります。

参考:
Windows Server：Active Directoryドメインコントローラーの名前を適切に変更する方法｜Dell 日本（dell.com）

　問題のセキュリティ更新プログラムをアンインストールして、ビルド14393.9062以前のOSビルドに戻すことでも、この問題を回避できることを確認しました（画面2）。しかしその場合、5月のセキュリティ更新プログラムで新たに修正されるセキュリティ問題を放置することになることに留意してください。