Microsoft heeft een tijdelijke oplossing gedeeld voor het probleem waarbij Windows 11-machines niet meer kunnen inloggen met geldige domeincredentials. We schreven eerder al over de melding zelf. Nu volgt de workaround.
Het probleem treft systemen met KB5124008 (Windows 11 24H2 en 25H2) of KB5124012 (Windows 11 26H1). Die patches schakelen Machine Identity Isolation niet zelf in, maar zorgen ervoor dat Windows bestaande of via beleid ingestelde configuraties voor die functie voortaan afdwingt. Op domeinen zonder Windows Server 2025-domeincontrollers breekt dat de vertrouwensrelatie tussen client en domein.
Microsoft adviseert de instelling weer uit te zetten via hetzelfde kanaal waarmee ze oorspronkelijk is ingeschakeld: bij Intune via het beleid dat de functie afdwingt, bij group policy via de bijbehorende instelling. Is Machine Identity Isolation rechtstreeks via het register ingeschakeld, dan zet u de waarde op zowel HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation als HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation van 2 terug naar 0. Herstart daarna het systeem en voer Test-ComputerSecureChannel -Repair -Credential (Get-Credential) uit om het vertrouwde kanaal te herstellen.
Een permanente fix laat nog op zich wachten. Microsoft werkt naar eigen zeggen aan een toekomstige Windows-update die de afdwinging tijdelijk blokkeert, maar noemt geen datum.
Voor Nederlandse beheerders is dit vooral een kwestie van de juiste knop omzetten en geduld hebben. Controleer eerst via welk kanaal Machine Identity Isolation in uw omgeving is geconfigureerd, en test de registeraanpassing op één machine voordat u die breed uitrolt. Houd de KB-pagina’s van Microsoft in de gaten voor de definitieve patch.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.