[{"data":1,"prerenderedAt":1101},["ShallowReactive",2],{"sc:header-data-ja":3,"sc:footer-data-ja":95,"post-ja--posts-kb5127648-peap-mschapv2-eap-tls-e5015173d9a57":133,"authors_data":897,"authors_data:SCEPman Team":981,"content-ja-list-7b291c2dd91a4":983},{"lang":4,"home":5,"navigation":14},"en",{"name":6,"imgLight":7,"img":8,"languages":9},"home","/products/scepman/scepman-logo-all-white.svg","/products/scepman/scepman-logo-rgb.svg",{"ja":10},{"title":11,"url":12,"alt":13},"ホーム","/ja","SCEPman",[15,19,25,31,83,89],{"name":16,"languages":17},"nav-home",{"ja":18},{"title":11,"url":12},{"name":20,"languages":21},"pricing",{"ja":22},{"title":23,"url":24},"価格","/ja/pricing",{"name":26,"languages":27},"partner",{"ja":28},{"title":29,"url":30},"パートナー","/ja/partner",{"name":32,"languages":33,"children":36},"support-hub",{"ja":34},{"title":35},"Support Hub",[37,53,68],{"name":38,"children":39},"support-hub-group-1",[40,47],{"name":41,"target":42,"languages":43},"docs","_blank",{"ja":44},{"title":45,"url":46},"Docs","https://docs.scepman.com/",{"name":48,"languages":49},"faq",{"ja":50},{"title":51,"url":52},"FAQ","/ja/faq",{"name":54,"children":55},"support-hub-group-2",[56,62],{"name":57,"target":42,"languages":58},"support-ticket",{"ja":59},{"title":60,"url":61},"Support Ticket","https://support.scepman.com/support/tickets/new?ticket_form=technical_support_request_%28scepman%29",{"name":63,"target":42,"languages":64},"drop-a-question",{"ja":65},{"title":66,"url":67},"Contact Sales","https://support.scepman.com/support/tickets/new?ticket_form=drop_a_question_%28scepman%29",{"name":69,"children":70},"support-hub-group-3",[71,77],{"name":72,"languages":73},"glossary",{"ja":74},{"title":75,"url":76},"用語集","/ja/glossary",{"name":78,"languages":79},"blog",{"ja":80},{"title":81,"url":82},"ブログ","/ja/blog",{"name":84,"languages":85},"events",{"ja":86},{"title":87,"url":88},"イベント","/ja/events",{"name":90,"languages":91},"about",{"ja":92},{"title":93,"url":94},"会社概要","/ja/about-us",{"data":96},{"mail":97,"logos":98,"socials":103,"links":116,"linksJa":126},"sales@SCEPman.com",[99],{"img":100,"alt":101,"url":102},"/products/scepman/scepman-logo-yellow.svg","SCEPman Logo","/",[104,108,112],{"icon":105,"url":106,"title":107},"fa-x-twitter","https://twitter.com/scepman_","X",{"icon":109,"url":110,"title":111},"fa-youtube","https://www.youtube.com/channel/UCKnLYxlQFhzdXkDADV_Unrg","Youtube",{"icon":113,"url":114,"title":115},"fa-linkedin","https://www.linkedin.com/showcase/scepman","LinkedIn",[117,120,123],{"title":118,"url":119,"target":42},"Privacy","https://www.glueckkanja.com/en/privacy",{"title":121,"url":122,"target":42},"Imprint","https://www.glueckkanja.com/en/imprint",{"title":124,"url":125,"target":42},"Contact & Locations","https://www.glueckkanja.com/en/company/contact-and-locations",[127,129,131],{"title":128,"url":119,"target":42},"プライバシー",{"title":130,"url":122,"target":42},"法的情報",{"title":132,"url":125,"target":42},"お問い合わせと拠点",{"id":134,"title":135,"author":136,"body":138,"cta":849,"description":309,"eventid":849,"extension":850,"hideInRecent":851,"layout":852,"meta":853,"moment":857,"navigation":332,"path":884,"seo":885,"stem":886,"tags":887,"webcast":851,"__hash__":896},"content_ja/posts/kb5127648-peap-mschapv2-eap-tls.md","KB5127648とNTLMv1：PEAP-MSCHAPv2 Wi-Fi・LAN・VPNが接続できなくなった理由と恒久的な解決策",[137],"SCEPman Team",{"type":139,"value":140,"toc":831},"minimal",[141,145,149,152,158,186,190,193,242,253,256,259,262,276,279,283,297,300,303,346,350,353,416,421,430,436,456,471,474,477,503,506,510,513,602,605,608,616,620,623,655,659,698,707,710,713,716,720,766,770,825,828],[142,143,144],"h2",{"id":144},"端的な回答",[146,147,148],"p",{},"2026年10月のWindows 11 24H2・25H2・26H2向け累積アップデートであるKB5127648の適用後、WindowsはデフォルトでNTLMv1派生資格情報をシングルサインオンに使用できないようにブロックします。Windows Server 2025も2026年10月のアップデートで同様の変更が適用されます。Credential Guardが無効なデバイスでは、Windowsの資格情報を使用するPEAP-MSCHAPv2またはEAP-MSCHAPv2によるWi-Fi・有線Ethernet（802.1X）・VPN接続が自動的に確立されなくなります。",[146,150,151],{},"レジストリ値BlockNtlmv1SSOを0に設定すれば、当面は従来の動作に戻すことができます。Microsoftが推奨する恒久的な解決策は、EAP-TLSによる証明書ベース認証です。",[146,153,154],{},[155,156,157],"strong",{},"TL;DR",[159,160,161,168,174,180],"ul",{},[162,163,164,167],"li",{},[155,165,166],{},"変更内容："," Microsoftが設定していないすべてのデバイスに対して、WindowsがBlockNtlmv1SSOを強制適用するようになりました。Microsoftはこの変更をメッセージセンター投稿MC1508562で告知し、KB5066470に技術的な詳細を記載しています。",[162,169,170,173],{},[155,171,172],{},"影響を受ける環境："," Credential GuardなしでMS-CHAPv2ベースのシングルサインオンを使用しているデバイス（主にドメイン参加済みのWindowsクライアント）。",[162,175,176,179],{},[155,177,178],{},"暫定的な回避策："," BlockNtlmv1SSOを0に設定する。ただしMicrosoft自身が長期的な使用を推奨していない設定です。",[162,181,182,185],{},[155,183,184],{},"恒久的な解決策："," EAP-TLSへ移行する。SCEPmanを使えば、オンプレミスPKIを構築せずに移行できます。",[142,187,189],{"id":188},"kb5127648で何が変わったか","KB5127648で何が変わったか",[146,191,192],{},"MicrosoftはNTLMを段階的に廃止してきました。今回の変更は、多くのネットワークが現在も日常的に依存しているプロトコル、MS-CHAPv2に影響します。MS-CHAPv2はNTLMv1派生の資格情報に基づいており、WindowsはこれらをシングルサインオンのSSOに使用できなくなりました。",[194,195,199],"div",{"className":196,"style":198},[197],"post-table","grid-column: content; overflow-x: auto;",[200,201,202,203],"table",{},"\n  ",[204,205,206,202,217,202,226,202,234],"tbody",{},[207,208,209,210,209,214,202],"tr",{},"\n    ",[211,212,213],"th",{},"時期",[211,215,216],{},"変更内容",[207,218,209,219,209,223,202],{},[220,221,222],"td",{},"2025年8月下旬",[220,224,225],{},"Windows 11 24H2以降でNTLMv1派生資格情報の使用監査が開始される（イベントID 4024）。",[207,227,209,228,209,231,202],{},[220,229,230],{},"2025年11月",[220,232,233],{},"Windows Server 2025への監査ロールアウト開始。",[207,235,209,236,209,239,202],{},[220,237,238],{},"2026年10月13日",[220,240,241],{},"KB5127648（Windows 11 24H2・25H2・26H2）により、BlockNtlmv1SSOが未設定のデバイスでデフォルトが「監査」から「強制」に切り替わる。Windows Server 2025も2026年10月のアップデートで同様の変更が適用される。",[146,243,244,245,252],{},"Microsoftはこの強制適用をメッセージセンター投稿MC1508562「要対応：NTLMv1ハードニング変更がCredential Guard非搭載デバイスのネットワーク接続に影響する可能性があります」で告知しています。技術的な背景は",[246,247,251],"a",{"href":248,"rel":249},"https://support.microsoft.com/help/5066470",[250],"nofollow","KB5066470","に記載されています。",[146,254,255],{},"Microsoftはこれをアップデートの既知の問題ではなく、計画的なセキュリティ強化変更と位置付けています。つまり、この変更は今後も維持されます。",[142,257,258],{"id":258},"影響を受けているか確認する",[146,260,261],{},"以下のすべてに該当する場合、影響を受けている可能性が高いです。",[159,263,264,267,270,273],{},[162,265,266],{},"2026年10月のアップデート（Windows 11ではKB5127648）が適用されたWindows 11 24H2以降、またはWindows Server 2025を使用している。",[162,268,269],{},"それらのデバイスでCredential Guardが無効になっている。",[162,271,272],{},"Wi-Fi・有線Ethernet（802.1X）・VPNでシングルサインオンを使用するPEAP-MSCHAPv2またはEAP-MSCHAPv2を利用している（「Windowsのログオン名とパスワードを自動的に使用する」が有効なドメイン参加デバイスが典型的）。",[162,274,275],{},"BlockNtlmv1SSOレジストリ値が一度も設定されていない。",[146,277,278],{},"デバイスがすでに証明書ベース認証（EAP-TLS）を使用している場合、この変更の影響は受けません。Credential Guardが有効なデバイスはすでにこの動作をブロックしていたため、パスワードベースのSSOはすでに機能していませんでした。この変更はWindows側の変更であるため、macOS・iOS・Android・Linuxのクライアントは影響を受けません。",[280,281,282],"h3",{"id":282},"症状",[159,284,285,288,291,294],{},[162,286,287],{},"デバイスが自動的に接続されなくなり、ユーザーに資格情報の入力を求めるプロンプトが表示される。",[162,289,290],{},"パスワードを手動で入力すれば接続できるが、Windowsが次回のために保存できない。",[162,292,293],{},"ユーザー操作なしに接続していたワークフロー（共有デバイス・キオスクデバイス・自動接続VPNプロファイルなど）が動作しなくなる。",[162,295,296],{},"クライアントはMicrosoft-Windows-NTLM/OperationalにイベントID 4025（「ブロック済み」）を記録する。監査モードではイベントID 4024が記録される。",[146,298,299],{},"この障害はクライアント側で発生するため、RADIUSやNPSのログにはほとんど何も表示されないことがあります。まずエンドポイント側でトラブルシューティングを行ってください。",[280,301,302],{"id":302},"デバイスの確認方法",[304,305,310],"pre",{"className":306,"code":307,"language":308,"meta":309,"style":309},"language-powershell shiki shiki-themes github-light github-dark","# BlockNtlmv1SSOが設定されているか確認する（値なし = Windowsが新しい強制デフォルトを使用）\nreg query \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO\n\n# NTLMv1派生資格情報の監査（4024）またはブロック（4025）が記録されているか確認する\nGet-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50\n","powershell","",[311,312,313,321,327,334,340],"code",{"__ignoreMap":309},[314,315,318],"span",{"class":316,"line":317},"line",1,[314,319,320],{},"# BlockNtlmv1SSOが設定されているか確認する（値なし = Windowsが新しい強制デフォルトを使用）\n",[314,322,324],{"class":316,"line":323},2,[314,325,326],{},"reg query \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO\n",[314,328,330],{"class":316,"line":329},3,[314,331,333],{"emptyLinePlaceholder":332},true,"\n",[314,335,337],{"class":316,"line":336},4,[314,338,339],{},"# NTLMv1派生資格情報の監査（4024）またはブロック（4025）が記録されているか確認する\n",[314,341,343],{"class":316,"line":342},5,[314,344,345],{},"Get-WinEvent -LogName 'Microsoft-Windows-NTLM/Operational' -FilterXPath '*[System[(EventID=4024 or EventID=4025)]]' -MaxEvents 50\n",[142,347,349],{"id":348},"暫定的な回避策blockntlmv1ssoを0に設定する","暫定的な回避策：BlockNtlmv1SSOを0に設定する",[146,351,352],{},"影響を受けているデバイスを監査モードに戻すことができます。これによりWindowsはNTLMv1派生資格情報の使用を再び許可し、各使用をイベントID 4024として記録します。",[194,354,356],{"className":355,"style":198},[197],[200,357,202,358],{},[204,359,360,202,368,202,392,202,400,202,408],{},[207,361,209,362,209,365,202],{},[211,363,364],{},"設定項目",[211,366,367],{},"値",[207,369,209,370,209,373,202],{},[220,371,372],{},"キー",[220,374,375,376,379,380,382,383,385,386,388,389,391],{},"HKEY_LOCAL_MACHINE\\",[377,378],"wbr",{},"SYSTEM\\",[377,381],{},"CurrentControlSet\\",[377,384],{},"Control\\",[377,387],{},"Lsa\\",[377,390],{},"MSV1_0",[207,393,209,394,209,397,202],{},[220,395,396],{},"値の名前",[220,398,399],{},"BlockNtlmv1SSO",[207,401,209,402,209,405,202],{},[220,403,404],{},"種類",[220,406,407],{},"REG_DWORD",[207,409,209,410,209,413,202],{},[220,411,412],{},"データ",[220,414,415],{},"0 = 監査（許可、イベントID 4024）、1 = 強制（ブロック、イベントID 4025）",[146,417,418],{},[155,419,420],{},"コマンドライン",[304,422,424],{"className":306,"code":423,"language":308,"meta":309,"style":309},"reg add \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO /t REG_DWORD /d 0 /f\n",[311,425,426],{"__ignoreMap":309},[314,427,428],{"class":316,"line":317},[314,429,423],{},[146,431,432,435],{},[155,433,434],{},"Intune 修復スクリプト","（システムコンテキストで実行）",[304,437,439],{"className":306,"code":438,"language":308,"meta":309,"style":309},"# 検出スクリプト：BlockNtlmv1SSOが明示的に0に設定されている場合のみ準拠\n$v = (Get-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO\nif ($v -eq 0) { exit 0 } else { exit 1 }\n",[311,440,441,446,451],{"__ignoreMap":309},[314,442,443],{"class":316,"line":317},[314,444,445],{},"# 検出スクリプト：BlockNtlmv1SSOが明示的に0に設定されている場合のみ準拠\n",[314,447,448],{"class":316,"line":323},[314,449,450],{},"$v = (Get-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -ErrorAction SilentlyContinue).BlockNtlmv1SSO\n",[314,452,453],{"class":316,"line":329},[314,454,455],{},"if ($v -eq 0) { exit 0 } else { exit 1 }\n",[304,457,459],{"className":306,"code":458,"language":308,"meta":309,"style":309},"# 修復スクリプト\nNew-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null\n",[311,460,461,466],{"__ignoreMap":309},[314,462,463],{"class":316,"line":317},[314,464,465],{},"# 修復スクリプト\n",[314,467,468],{"class":316,"line":323},[314,469,470],{},"New-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0' -Name 'BlockNtlmv1SSO' -PropertyType DWord -Value 0 -Force | Out-Null\n",[146,472,473],{},"ドメイン参加済みデバイスの場合は、同じキー・値の名前・種類・データでグループポリシー設定のレジストリ項目を使用してください。",[280,475,476],{"id":476},"あくまで回避策である理由",[159,478,479,485,491,497],{},[162,480,481,484],{},[155,482,483],{},"脆弱なパスを再び開く。"," MicrosoftはMS-CHAPv2ベースのエンドポイントが「NTLMv1に影響するリスクと類似したリスクにさらされる」と述べており、この設定は「慎重に評価し、長期的には使用しないこと」を推奨しています。",[162,486,487,490],{},[155,488,489],{},"Credential Guardが有効なデバイスには効果がない。"," これらのデバイスはこの設定に関係なくMS-CHAPv2 SSOをブロックします。",[162,492,493,496],{},[155,494,495],{},"オフラインのデバイスはポリシーを受信できない。"," すでにネットワークアクセスを失ったデバイスは、設定を受け取るために有線またはゲストネットワークが必要になる場合があります。",[162,498,499,502],{},[155,500,501],{},"アップデートのアンインストールは代替手段にならない。"," その月のセキュリティ修正がデバイスに適用されなくなります。",[146,504,505],{},"回避策は時間を稼ぐために使用し、終了期限を明記した上で、その期間を移行に充ててください。",[142,507,509],{"id":508},"恒久的な解決策パスワードからeap-tlsへ","恒久的な解決策：パスワードからEAP-TLSへ",[146,511,512],{},"MicrosoftはMS-CHAPv2への依存をなくし、Wi-FiおよびVPN接続をEAP-TLSによる証明書ベース認証へ移行することを推奨しています。デバイスまたはユーザーは、パスワードの代わりに証明書と秘密鍵で本人確認を行い、秘密鍵はTPMで保護できます。",[194,514,516],{"className":515,"style":198},[197],[200,517,202,518],{},[204,519,520,202,530,202,541,202,552,202,561,202,570,202,580,202,591],{},[207,521,209,522,209,524,209,527,202],{},[211,523],{},[211,525,526],{},"PEAP-MSCHAPv2",[211,528,529],{},"EAP-TLS",[207,531,209,532,209,535,209,538,202],{},[220,533,534],{},"クライアント資格情報",[220,536,537],{},"パスワード（NTハッシュベース）",[220,539,540],{},"X.509証明書と秘密鍵",[207,542,209,543,209,546,209,549,202],{},[220,544,545],{},"NTLM時代の暗号に依存",[220,547,548],{},"あり",[220,550,551],{},"なし",[207,553,209,554,209,557,209,559,202],{},[220,555,556],{},"KB5127648およびCredential Guardの影響を受ける",[220,558,548],{},[220,560,551],{},[207,562,209,563,209,566,209,568,202],{},[220,564,565],{},"パスワードリセットで接続が切れる可能性",[220,567,548],{},[220,569,551],{},[207,571,209,572,209,575,209,577,202],{},[220,573,574],{},"資格情報の傍受やオフラインクラッキングへの露出",[220,576,548],{},[220,578,579],{},"盗まれるパスワードが存在しない",[207,581,209,582,209,585,209,588,202],{},[220,583,584],{},"アクセスを管理対象デバイスに限定",[220,586,587],{},"不可",[220,589,590],{},"可能",[207,592,209,593,209,596,209,599,202],{},[220,594,595],{},"Microsoftのガイダンス",[220,597,598],{},"移行を推奨",[220,600,601],{},"推奨",[146,603,604],{},"障害を解消するだけでなく、ユーザー体験の向上とセキュリティ態勢の強化も実現できます。",[280,606,607],{"id":607},"多くのネットワークがいまだにパスワードに依存している理由",[146,609,610,611,615],{},"問題はプロトコルではなく、PKIです。従来の構成にはAD CS・NDES・Intune Certificate Connector・アプリケーションプロキシ・CRL公開・高可用性・パッチ適用が含まれます。ラップトップに証明書を配置するためだけに多くの構成要素が必要となり、多くのチームが長年にわたって移行を先送りにしてきた主な理由です。詳細は",[246,612,614],{"href":613},"/ja/blog/adcs-alternatives","Microsoft ADCSの代替手段（2026年版）","をご覧ください。",[280,617,619],{"id":618},"scepmanがpkiの複雑さを解消する方法","SCEPmanがPKIの複雑さを解消する方法",[146,621,622],{},"SCEPmanは、Azureのキーを使用して自社のAzureテナント内で完全に動作するAzureネイティブな認証局です。",[159,624,625,631,637,643,649],{},[162,626,627,630],{},[155,628,629],{},"迅速な開始："," Azure Marketplace・ARMテンプレート・Terraformでデプロイ可能。ほとんどのチームが1時間以内に最初の証明書を発行できます。",[162,632,633,636],{},[155,634,635],{},"管理対象デバイス："," Microsoft Intune・Jamf Proなどのが SCEPを経由してデバイスとユーザーの証明書を自動的に発行・更新します。",[162,638,639,642],{},[155,640,641],{},"リアルタイム検証："," 証明書はユーザーまたはデバイスオブジェクトに紐付けられ、OCSPで確認されます。IDが変更されると、アクセスは自動的に失効します。",[162,644,645,648],{},[155,646,647],{},"既存のネットワークに対応："," SCEPmanはCisco・Meraki・HPE Aruba・Fortinet・Juniperなどに対応し、既存のRADIUSサーバーと連携します。",[162,650,651,654],{},[155,652,653],{},"RADIUSサーバーが不要："," RADIUSaaSと組み合わせることで、証明書ベースのWi-Fi・LAN・VPNアクセスに対応した完全なクラウドネイティブソリューションが実現します。",[142,656,658],{"id":657},"_6ステップの移行手順","6ステップの移行手順",[660,661,662,668,674,680,686,692],"ol",{},[162,663,664,667],{},[155,665,666],{},"現状把握。"," MS-CHAPv2をまだ使用しているSSID・有線802.1Xポリシー・VPNプロファイルを特定する。イベントID 4024と4025を確認すれば、依存しているデバイスを把握できます。",[162,669,670,673],{},[155,671,672],{},"必要な箇所で時間を稼ぐ。"," 重要なデバイスにBlockNtlmv1SSOを0に設定するが、終了期限を明記しておく。",[162,675,676,679],{},[155,677,678],{},"SCEPmanをデプロイし","、そのルートCA証明書をIntune信頼済み証明書プロファイルまたはグループポリシー経由で配布する。",[162,681,682,685],{},[155,683,684],{},"証明書をロールアウト。"," Intune・Jamf Proまたは他のMDM SCEPプロファイル経由でデバイス証明書（必要に応じてユーザー証明書も）を発行する。",[162,687,688,691],{},[155,689,690],{},"段階的に切り替える。"," RADIUSサーバー（NPS・既存のRADIUSまたはRADIUSaaS）でPEAPと並行してEAP-TLSを有効化し、Wi-Fi・802.1X・VPNプロファイルをグループ単位でEAP-TLSに移行する。",[162,693,694,697],{},[155,695,696],{},"クリーンアップ。"," MS-CHAPv2ポリシーを削除し、BlockNtlmv1SSOを1に戻すか値を削除してWindowsが再びセキュアなデフォルトを使用するようにする。",[304,699,701],{"className":306,"code":700,"language":308,"meta":309,"style":309},"reg delete \"HKLM\\SYSTEM\\CurrentControlSet\\Control\\Lsa\\MSV1_0\" /v BlockNtlmv1SSO /f\n",[311,702,703],{"__ignoreMap":309},[314,704,705],{"class":316,"line":317},[314,706,700],{},[142,708,709],{"id":709},"まとめ",[146,711,712],{},"Microsoftはすでに方針を決定しています。MS-CHAPv2によるパスワードベースのネットワークSSOには、Windows上での将来はありません。KB5127648を数週間回避し続けることもできますが、この機会を活かして証明書ベースのアクセスへ恒久的に移行することを検討してください。",[146,714,715],{},"地味なPKI。信頼できる証明書。",[717,718,719],"style",{},".cta.trial-cta { margin-bottom: 1.5rem; font-size: inherit; }",[146,721,722],{},[246,723,731,735],{"role":724,"className":725,"dataText":729,"href":730,"target":42},"button",[726,727,728],"cta","link","trial-cta","SCEPmanを無料で試す","https://support.scepman.com/support/tickets/new?ticket_form=trial_request_%28scepman%29",[314,732,729],{"className":733},[734],"cta__text",[314,736,742],{"className":737,"style":741},[738,739,740],"icon","icon--right","icon--arrow","--color-icon:currentColor;--icon-rotation:0deg;--icon-scale:1;",[743,744,749],"svg",{"style":745,"viewBox":746,"width":747,"height":747,"xmlns":748},"stroke:currentColor;transform:rotate(var(--icon-rotation)) scale(var(--icon-scale));","0 0 28 17","28px","http://www.w3.org/2000/svg",[750,751,753,762],"g",{"transform":752},"translate(0.75 0.75)",[754,755],"path",{"d":756,"transform":757,"fill":758,"fillRule":759,"strokeWidth":760,"strokeLineCap":761,"strokeLineJoin":761},"M0.5 0.5L26 0.5","translate(0 7)","none","evenodd","1.5","round",[754,763],{"d":764,"transform":765,"fill":758,"fillRule":759,"strokeWidth":760,"strokeLineCap":761,"strokeLineJoin":761},"M0 15L7 7.5L0 0","translate(19 0)",[142,767,51],{"id":48,"className":768},[769],"faq-heading",[194,771,775,785,793,801,809,817],{"className":772,"style":774},[773],"faq-foldable","grid-column: content;",[776,777,778,782],"details",{},[779,780,781],"summary",{},"KB5127648をインストールした後にWi-Fiがパスワードを要求するのはなぜですか？",[146,783,784],{},"KB5127648によって、WindowsはデフォルトでシングルサインオンへのNTLMv1派生資格情報の使用をブロックするようになりました。PEAP-MSCHAPv2はWindowsログオンで自動サインインするためにまさにその資格情報を必要とするため、Windowsは資格情報プロンプトにフォールバックします。",[776,786,787,790],{},[779,788,789],{},"KB5127648をアンインストールすべきですか？",[146,791,792],{},"いいえ。この変更はバグではなく計画的なハードニング手順であり、アップデートをアンインストールするとその月のセキュリティ修正がデバイスに適用されなくなります。BlockNtlmv1SSO回避策を一時的に使用し、EAP-TLSへ移行してください。",[776,794,795,798],{},[779,796,797],{},"レジストリの回避策はCredential Guardが有効なデバイスでも効果がありますか？",[146,799,800],{},"いいえ。Credential GuardはBlockNtlmv1SSOの設定に関係なくMS-CHAPv2シングルサインオンをブロックします。これらのデバイスには証明書ベース認証が必要です。",[776,802,803,806],{},[779,804,805],{},"macOS・iOS・Android・Linuxのデバイスも影響を受けますか？",[146,807,808],{},"いいえ。この変更はWindows側の変更です。PEAP-MSCHAPv2を使用するWindows以外のクライアントは引き続き動作しますが、プロトコル自体の脆弱性は依然として存在します。",[776,810,811,814],{},[779,812,813],{},"RADIUSやNPSのログにエラーが表示されないのはなぜですか？",[146,815,816],{},"認証が完了する前にクライアント側で資格情報がブロックされます。代わりにデバイスのMicrosoft-Windows-NTLM/OperationalでイベントID 4025を確認してください。",[776,818,819,822],{},[779,820,821],{},"EAP-TLSにはAD CSやオンプレミスPKIが必要ですか？",[146,823,824],{},"いいえ。SCEPmanはAD CSやNDESなしに、自社のAzureテナント内の認証局としてIntune・Jamf Proおよびその他のMDM経由でデバイスとユーザーの証明書を発行します。",[717,826,827],{},"\npre {\n  grid-column: content !important;\n  box-sizing: border-box;\n  overflow-x: auto;\n  margin-bottom: 1.5rem;\n  padding: 1rem 1.25rem;\n  background: rgba(0, 0, 0, 0.04);\n  border: 1px solid rgba(0, 0, 0, 0.12);\n  font-size: 0.85rem;\n  line-height: 1.5;\n}\npre code { background: none; padding: 0; }\n.post-table { margin-bottom: 3rem; }\n.post-table table { border-collapse: collapse; width: 100%; }\n.post-table th,\n.post-table td {\n  border: 1px solid rgba(0, 0, 0, 0.15);\n  padding: 0.65rem 1rem;\n  vertical-align: top;\n  overflow-wrap: anywhere;\n  text-align: left;\n}\n.post-table th { background: rgba(0, 0, 0, 0.03); font-weight: 600; }\n.faq-heading {\n  margin-top: 4rem;\n  white-space: nowrap;\n}\n.faq-foldable {\n  margin-bottom: 4rem;\n}\n.faq-foldable details {\n  border-top: 1px solid rgba(0, 0, 0, 0.12);\n  padding: 0;\n}\n.faq-foldable details:last-of-type {\n  border-bottom: 1px solid rgba(0, 0, 0, 0.12);\n}\n.faq-foldable summary {\n  list-style: none;\n  cursor: pointer;\n  display: flex;\n  justify-content: space-between;\n  align-items: center;\n  gap: 1rem;\n  padding: 1rem 0;\n  font-weight: 600;\n}\n.faq-foldable summary::-webkit-details-marker {\n  display: none;\n}\n.faq-foldable summary::after {\n  content: \"\";\n  flex: 0 0 auto;\n  width: 1.5rem;\n  height: 0.75rem;\n  background: currentColor;\n  -webkit-mask: url(\"data:image/svg+xml,%3Csvg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 12'%3E%3Cpolyline fill='none' stroke='%23000' stroke-width='1.5' stroke-linecap='round' stroke-linejoin='round' points='1.5 1.5 12 10.5 22.5 1.5'/%3E%3C/svg%3E\") center / contain no-repeat;\n  mask: url(\"data:image/svg+xml,%3Csvg xmlns='http://www.w3.org/2000/svg' viewBox='0 0 24 12'%3E%3Cpolyline fill='none' stroke='%23000' stroke-width='1.5' stroke-linecap='round' stroke-linejoin='round' points='1.5 1.5 12 10.5 22.5 1.5'/%3E%3C/svg%3E\") center / contain no-repeat;\n  transition: transform 0.5s cubic-bezier(0.19, 1, 0.2, 1);\n}\n.faq-foldable details[open] summary::after {\n  transform: rotate(180deg);\n}\n.faq-foldable details > *:not(summary) {\n  margin-bottom: 1rem;\n}\n.faq-foldable details[open] summary {\n  padding-bottom: 0.5rem;\n}\n",[717,829,830],{},"html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":309,"searchDepth":323,"depth":323,"links":832},[833,834,835,839,842,846,847,848],{"id":144,"depth":323,"text":144},{"id":188,"depth":323,"text":189},{"id":258,"depth":323,"text":258,"children":836},[837,838],{"id":282,"depth":329,"text":282},{"id":302,"depth":329,"text":302},{"id":348,"depth":323,"text":349,"children":840},[841],{"id":476,"depth":329,"text":476},{"id":508,"depth":323,"text":509,"children":843},[844,845],{"id":607,"depth":329,"text":607},{"id":618,"depth":329,"text":619},{"id":657,"depth":323,"text":658},{"id":709,"depth":323,"text":709},{"id":48,"depth":323,"text":51},null,"md",false,"post",{"lang":854,"seoTitle":855,"titleClass":856,"date":857,"categories":858,"blogtitlepic":859,"socialimg":860,"customExcerpt":861,"keywords":862,"asideNav":863,"maxContent":332,"footer":883},"ja","KB5127648適用後にPEAP-MSCHAPv2 Wi-Fiが失敗する：回避策と修正方法","h2-font-size","2026-10-16",[13],"header-scepman-KB5127648.png","/blog/heads/header-scepman-KB5127648.png","KB5127648はデフォルトでNTLMv1 SSOをブロックします。PEAP-MSCHAPv2 Wi-Fi・LAN・VPNが接続できなくなる理由、BlockNtlmv1SSO回避策、そして恒久的な解決策であるEAP-TLSについて解説します。","KB5127648 PEAP, BlockNtlmv1SSO, PEAP-MSCHAPv2 Windows 11, NTLMv1 SSO, MS-CHAPv2 廃止, イベントID 4025, MC1508562, KB5066470, EAP-TLS Intune, 802.1X Wi-Fi 接続不可, WPA2-Enterprise Windowsアップデート, Credential Guard MS-CHAPv2",{"menuItems":864},[865,867,869,871,874,877,879,881],{"href":866,"text":144},"#端的な回答",{"href":868,"text":189},"#kb5127648で何が変わったか",{"href":870,"text":258},"#影響を受けているか確認する",{"href":872,"text":873},"#暫定的な回避策blockntlmv1ssoを0に設定する","暫定的な回避策",{"href":875,"text":876},"#恒久的な解決策パスワードからeap-tlsへ","恒久的な解決策",{"href":878,"text":658},"#_6ステップの移行手順",{"href":880,"text":709},"#まとめ",{"href":882,"text":51},"#faq",{"noMargin":332},"/posts/kb5127648-peap-mschapv2-eap-tls",{"title":135,"description":309},"posts/kb5127648-peap-mschapv2-eap-tls",[888,889,890,891,529,892,893,894,895],"KB5127648","NTLMv1","MS-CHAPv2","PEAP","Credential Guard","802.1X","Intune","RADIUS","Bl8jOHKRH2qtAUBKng6Sik0cSub1_hQ-NqDOtEmx4Cs",{"id":898,"extension":899,"meta":900,"stem":979,"__hash__":980},"authors_data/authors.json","json",{"path":901,"Alexander Rudolph":902,"Sophie Luna":908,"Nadine Kern":914,"Thorben Pöschus":920,"Karsten Kleinschmidt":926,"Julian Wendt":932,"Holger Bunkradt":937,"Ralf Mania":943,"Oliver Kieselbach":949,"Steffen Schwerdtfeger":955,"Christoph Hannebauer":961,"body":966,"title":978},"/authors",{"display_name":903,"avatar":904,"permalink":905,"twitter":906,"linkedin":907},"Alexander Rudolph","people/people-alexander-rudolph.png","author/alexander-rudolph/","AlexanderOnIT","rudolph-alexander",{"display_name":909,"avatar":910,"permalink":911,"twitter":912,"linkedin":913},"Sophie Luna","c_thumb,h_1600,w_1600/people/people-sophie-luna.jpg","author/sophie-luna/","glueckkanjagab","company/glueckkanja-gab",{"display_name":915,"avatar":916,"permalink":917,"twitter":918,"linkedin":919},"Nadine Kern","people/people-nadine-kern.png","author/nadine-kern/","nadineausRT","nadine-kern",{"display_name":921,"avatar":922,"permalink":923,"twitter":924,"linkedin":925},"Thorben Pöschus","people/people-thorben-poeschus.png","author/thorben-poeschus/","TPO901","thorben-pöschus-624693b7",{"display_name":927,"avatar":928,"permalink":929,"twitter":930,"linkedin":931},"Karsten Kleinschmidt","people/people-karsten-kleinschmidt.png","author/karsten-kleinschmidt/","KarstenonIT","karstenkleinschmidt",{"display_name":933,"avatar":934,"permalink":935,"linkedin":936},"Julian Wendt","people/people-julian-wendt.png","author/julian-wendt/","julian-wendt",{"display_name":938,"avatar":939,"permalink":940,"linkedin":941,"twitter":942},"Holger Bunkradt","people/people-holger-bunkradt.png","author/holger-bunkradt/","holger-bunkradt-12b5053b","hbunkradt",{"display_name":944,"avatar":945,"permalink":946,"linkedin":947,"twitter":948},"Ralf Mania","people/people-ralf-mania.png","author/ralf-mania/","ralf-mania-146a2757","RaMa1976",{"display_name":950,"avatar":951,"permalink":952,"linkedin":953,"twitter":954},"Oliver Kieselbach","people/people-oliver-kieselbach.png","author/oliver-kieselbach/","oliver-kieselbach-a4a3409","okieselbT",{"display_name":956,"avatar":957,"permalink":958,"linkedin":959,"twitter":960},"Steffen Schwerdtfeger","people/people-steffen-schwerdtfeger.png","author/steffen-schwerdtfeger/","steffen-schwerdtfeger","SteffenAtCloud",{"display_name":962,"avatar":963,"permalink":964,"twitter":912,"linkedin":913,"imageOffsetTop":965},"Dr. Christoph Hannebauer","people/people-christoph-hannebauer.png","/authors/christoph-hannebauer/","72%",{"Alexander Rudolph":967,"Sophie Luna":968,"Nadine Kern":969,"Thorben Pöschus":970,"Karsten Kleinschmidt":971,"Julian Wendt":972,"Holger Bunkradt":973,"Ralf Mania":974,"Oliver Kieselbach":975,"Steffen Schwerdtfeger":976,"Christoph Hannebauer":977},{"display_name":903,"avatar":904,"permalink":905,"twitter":906,"linkedin":907},{"display_name":909,"avatar":910,"permalink":911,"twitter":912,"linkedin":913},{"display_name":915,"avatar":916,"permalink":917,"twitter":918,"linkedin":919},{"display_name":921,"avatar":922,"permalink":923,"twitter":924,"linkedin":925},{"display_name":927,"avatar":928,"permalink":929,"twitter":930,"linkedin":931},{"display_name":933,"avatar":934,"permalink":935,"linkedin":936},{"display_name":938,"avatar":939,"permalink":940,"linkedin":941,"twitter":942},{"display_name":944,"avatar":945,"permalink":946,"linkedin":947,"twitter":948},{"display_name":950,"avatar":951,"permalink":952,"linkedin":953,"twitter":954},{"display_name":956,"avatar":957,"permalink":958,"linkedin":959,"twitter":960},{"display_name":962,"avatar":963,"permalink":964,"twitter":912,"linkedin":913,"imageOffsetTop":965},"Authors","authors","PIJJchcHqfzD5YPmn4V8YLxY6gtySOfBG5u8lTczi2w",{"id":898,"extension":899,"meta":982,"stem":979,"__hash__":980},{},{"list":984,"authors":1100},[985,990,1009,1025,1039,1052,1064,1076,1088],{"id":134,"title":135,"author":986,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":987,"moment":857,"path":884,"stem":886,"tags":989,"webcast":851},[137],{"lang":854,"date":857,"categories":988,"blogtitlepic":859,"customExcerpt":861},[13],[888,889,890,891,529,892,893,894,895],{"id":991,"title":992,"author":993,"cta":849,"description":995,"hideInRecent":851,"layout":852,"meta":996,"moment":997,"path":1001,"stem":1002,"tags":1003,"webcast":851},"content_ja/posts/private-ca-vs-public-ca.md","プライベートCAとパブリックCA：選び方を間違えているかもしれません",[994],"Kevin Vo","余裕のないIT部門にとって、パブリックな認証局（CA）は万能のハンマーのように見え、暗号化の要件はすべて釘のように見えてきます。しかし、あらゆる用途にパブリックCAを使うことは、本番環境を静かに壊す最もよくある原因の1つです。",{"lang":854,"date":997,"categories":998,"blogtitlepic":999,"customExcerpt":1000},"2026-08-24",[13],"header-scepman-private-vs-public-ca.png","パブリックCAの証明書は、2027年3月までにクライアント認証への対応を失います。プライベートCAが必要になる場面と、SCEPmanが発行を自動化する仕組みをご紹介します。","/posts/private-ca-vs-public-ca","posts/private-ca-vs-public-ca",[1004,1005,1006,1007,1008],"Private CA","Public CA","PKI","Client Authentication","Certificate Authority",{"id":1010,"title":1011,"author":1012,"cta":849,"description":1013,"hideInRecent":851,"layout":852,"meta":1014,"moment":1015,"path":1019,"stem":1020,"tags":1021,"webcast":851},"content_ja/posts/adcs-alternatives.md","2026年のMicrosoft ADCS代替ソリューション",[137],"Microsoft Active Directory Certificate Servicesは、ADCS、ADCA、Microsoft CAとも呼ばれ、長年にわたりWindows環境の標準的な公開鍵基盤（PKI）として使われてきました。今も多くの組織が、ユーザー、デバイス、サーバーへの証明書発行をこの仕組みに頼っています。",{"lang":854,"date":1015,"categories":1016,"blogtitlepic":1017,"customExcerpt":1018},"2026-05-01",[13],"header-scepman-adcs-alternatives.png","ADCS、ADCA、Microsoft CAの代替をお探しですか。Active Directory Certificate Servicesは、最新の環境には不要な複雑さを持ち込みます。置き換え先を選ぶ際に確認すべき点をまとめました。","/posts/adcs-alternatives","posts/adcs-alternatives",[1022,1023,1006,1024],"ADCS","Alternatives","Active Directory Certificate Services",{"id":1026,"title":1027,"author":1028,"cta":849,"description":1029,"hideInRecent":851,"layout":852,"meta":1030,"moment":1015,"path":1034,"stem":1035,"tags":1036,"webcast":851},"content_ja/posts/microsoft-cloud-pki-alternatives.md","2026年のMicrosoft Cloud PKI代替ソリューション",[137],"Microsoft Cloud PKIは、Intuneで管理するデバイスへ証明書を発行するために設計されています。Microsoft中心の環境におけるモバイル管理やエンドポイント管理では、十分に機能します。",{"lang":854,"date":1015,"categories":1031,"blogtitlepic":1032,"customExcerpt":1033},[13],"header-scepman-cloud-pki-alternatives.png","Microsoft Cloud PKIの代替をお探しですか。Cloud PKIが対象とするのはIntuneで管理するデバイスだけで、Linux、サーバー、IoTには対応しません。どこに限界があるのか、置き換え先を選ぶ際に何を確認すべきかをまとめました。","/posts/microsoft-cloud-pki-alternatives","posts/microsoft-cloud-pki-alternatives",[1037,1023,1038,1006],"Microsoft Cloud PKI","Microsoft Intune",{"id":1040,"title":1041,"author":1042,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":1043,"moment":1044,"path":1048,"stem":1049,"tags":1050,"webcast":851},"content_ja/posts/microsoft-cloud-pki-iot-certificates.md","Microsoft Cloud PKIでのIoT証明書の作成：代替手段と解決策",[137],{"lang":854,"date":1044,"categories":1045,"blogtitlepic":1046,"customExcerpt":1047},"2026-03-25",[13],"header-scepman-iot-certificates.png","Microsoft Cloud PKIでIoTデバイスの証明書を作成し管理する方法をお探しですか。残念ながら、Microsoft Cloud PKIはIoT証明書に対応していません。設計上、対象はIntuneで管理するデバイスに限られます。","/posts/microsoft-cloud-pki-iot-certificates","posts/microsoft-cloud-pki-iot-certificates",[1037,1051,1038],"IoT Certificates",{"id":1053,"title":1054,"author":1055,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":1056,"moment":1044,"path":1060,"stem":1061,"tags":1062,"webcast":851},"content_ja/posts/microsoft-cloud-pki-linux-certificates.md","Microsoft Cloud PKIでのLinuxエンドポイント証明書の作成：代替手段と解決策",[137],{"lang":854,"date":1044,"categories":1057,"blogtitlepic":1058,"customExcerpt":1059},[13],"header-scepman-linux-endpoint-certificates.png","Microsoft Cloud PKIでLinuxエンドポイントの証明書を作成し管理する手段をお探しですか。残念ながら、Microsoft Cloud PKIはLinuxエンドポイントの証明書に対応していません。","/posts/microsoft-cloud-pki-linux-certificates","posts/microsoft-cloud-pki-linux-certificates",[1037,1063,1038],"Linux Endpoint Certificates",{"id":1065,"title":1066,"author":1067,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":1068,"moment":1044,"path":1072,"stem":1073,"tags":1074,"webcast":851},"content_ja/posts/microsoft-cloud-pki-manually-issuing-certificates.md","Microsoft Cloud PKIでの証明書の手動発行：代替手段と解決策",[137],{"lang":854,"date":1044,"categories":1069,"blogtitlepic":1070,"customExcerpt":1071},[13],"header-scepman-manual-certificates.png","Webサーバーの保護やコード署名など、特定の場面で証明書を手動で発行する必要がありますか。残念ながら、Microsoft Cloud PKIは証明書の手動発行に対応していません。設計上、対象はIntuneで管理するデバイスに限られます。","/posts/microsoft-cloud-pki-manually-issuing-certificates","posts/microsoft-cloud-pki-manually-issuing-certificates",[1037,1075,1038],"Manually Issued Certificates",{"id":1077,"title":1078,"author":1079,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":1080,"moment":1044,"path":1084,"stem":1085,"tags":1086,"webcast":851},"content_ja/posts/microsoft-cloud-pki-network-device-certificates.md","Microsoft Cloud PKIでのネットワーク機器向け証明書の作成：代替手段と解決策",[137],{"lang":854,"date":1044,"categories":1081,"blogtitlepic":1082,"customExcerpt":1083},[13],"header-scepman-certificates-network-devices.png","Microsoft Cloud PKIでネットワーク機器の証明書を作成し管理する手段をお探しですか。残念ながら、Microsoft Cloud PKIはネットワーク機器の証明書に対応していません。設計上、対象はIntuneで管理するデバイスに限られます。","/posts/microsoft-cloud-pki-network-device-certificates","posts/microsoft-cloud-pki-network-device-certificates",[1037,1087,1038],"Network Device Certificates",{"id":1089,"title":1090,"author":1091,"cta":849,"description":309,"hideInRecent":851,"layout":852,"meta":1092,"moment":1044,"path":1096,"stem":1097,"tags":1098,"webcast":851},"content_ja/posts/microsoft-cloud-pki-server-certificates.md","Microsoft Cloud PKIでのサーバー証明書の作成：代替手段と解決策",[137],{"lang":854,"date":1044,"categories":1093,"blogtitlepic":1094,"customExcerpt":1095},[13],"header-scepman-server-certificates.png","Microsoft Cloud PKIでサーバー証明書を作成する方法をお探しですか。多くの組織が証明書管理にMicrosoftのPKIソリューションを利用していますが、大きな制約があります。Microsoft Cloud PKIはサーバー証明書に対応していません。設計上、対象はIntuneで管理するデバイスに限られます。","/posts/microsoft-cloud-pki-server-certificates","posts/microsoft-cloud-pki-server-certificates",[1037,1099,1038],"Server Certificates",{},1792170603214]