2026年4月1日 Kerberos暗号化の強制（RC4の非推奨化）

Microsoftは、2026年4月のWindows累積更新プログラムから、デフォルトのKerberos暗号化動作を更新するWindowsセキュリティ強化の変更を導入しました。この変更は、RC4のようなレガシーなKerberos暗号化方式から移行することでセキュリティを向上させることを目的としています。新しい動作では、Active DirectoryオブジェクトのKerberos暗号化設定が未設定（null）の場合、Windowsは、多くの場合RC4が使用される結果となっていたレガシーなデフォルト設定ではなく、AES-SHA1をデフォルトとするようになります。これはWindowsプラットフォームの変更です。Azure Virtual Desktop（AVD）サービス自体は変更されません。

ほとんどの顧客には影響がないと予想されます。

この変更は、KerberosベースのSMBアクセス（FSLogixプロファイルストレージなど）に使用されるActive Directoryオブジェクトで明示的にRC4暗号化を構成しているお客様にのみ影響します。

RC4が意図的に強制されている場合にのみ、問題が発生する可能性があります。その場合、RC4が無効になると、AES-SHA1をサポートするように構成を更新しない限り、SMBストレージへのKerberos認証が失敗する可能性があります。RC4のみの構成はまれであるため、これはエッジケースシナリオになると予想されます。ただし、予期しない中断を避けるため、構成を確認することをお勧めします。

ほとんどの顧客にとって、直ちに変更を行う必要はありません。お客様の環境でレガシーな Kerberos 暗号化（RC4）が使用されていないことを確認するため、簡単な検証を行うことをお勧めします。

15RC4が現在使用されているかどうかを特定する

Microsoftのガイダンスを使用してKerberos認証アクティビティを監査し、環境内のどこかでRC4がまだ使用されているかどうかを判断してください。

Microsoftは、以下のためのPowerShellスクリプトおよびイベントログベースの監査を提供しています。

15影響を受けるActive Directoryオブジェクトの暗号化設定の確認

RC4の使用が検出された場合は、関連するActive Directoryオブジェクト（SMBアクセスに使用されるサービスアカウントやストレージアカウントなど）を確認し、それらが最新の暗号化をサポートしていることを確認してください。

具体的には:

監査中にRC4の使用が検出されなかった場合、通常はそれ以上の対応は不要です。

15RC4の使用が検出された場合にのみ構成を更新します。

監査によってRC4がまだ使用されていることが判明した場合：

Microsoftは、強制モードが必須になる前に、影響を受ける構成の修復を完了することをお勧めしています。