Active Directory 健全性診断レポート

krbtgt のパスワード最終変更から 412 日が経過しています（基準: 180 日）。krbtgt は Kerberos チケットの署名に使われるアカウントで、古いままだと Golden Ticket 攻撃の成立余地が残ります。

利用者への影響

なし（正しい手順で実施すれば、利用者への影響はありません）

推奨する対処

krbtgt のパスワードを変更します。2 回変更が必要ですが、1 回目と 2 回目の間は最低でも TGT の最大有効期間（既定 10 時間）以上あけてください。連続して 2 回リセットすると Kerberos 認証が壊れます。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

Windows Time サービスが時刻を同期できていません。Kerberos は既定で 5 分以上のずれを認証エラーとして扱うため、放置すると突然ログオンできなくなります。（System / イベント ID 36。直近 7 日間に 14 件、最終 2026-07-27 19:54）

利用者への影響

なし（ログの参照のみで確認できます）

推奨する対処

PDC エミュレーターの上位 NTP 設定と、各 DC の w32tm 設定を確認してください（`w32tm /query /status`）。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/active-directory-replication-error-codes

複製相手の DC を DNS で解決できません。DNS の設定ミス、または削除済み DC のレコードが残っていることが原因です。（Directory Service / イベント ID 2087。直近 7 日間に 6 件、最終 2026-07-27 17:54）

利用者への影響

なし（ログの参照のみで確認できます）

推奨する対処

各 DC の DNS 設定（優先 DNS が自分自身のみになっていないか）と、_msdcs ゾーンのレコードを確認してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/active-directory-replication-error-codes

SYSVOL 内のグループポリシー基本設定ファイルに cpassword 属性が 1 件見つかりました。この値の復号鍵は Microsoft が公式に公開しており（MS14-025）、暗号化されているとは言えません。SYSVOL はドメイン内の全ユーザーが読めるため、実質的にパスワードが全員に配布されている状態です。

利用者への影響

なし（ただし、該当パスワードを使っているサービスの棚卸しが必要です）

推奨する対処

該当する GPO 設定を削除し、そこに書かれていたパスワードを直ちに変更します。ローカル管理者パスワードの配布が目的であれば、LAPS へ置き換えてください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/group-policy

ビルトイン Guest アカウント（RID 501）が有効です。パスワードなしでドメインへの認証が通るため、ドメイン内の情報を誰でも列挙できる状態になります。既定では無効であり、有効にする理由は通常ありません。

利用者への影響

なし（Guest を使った共有アクセスを意図的に運用していない限り、影響はありません）

推奨する対処

Guest アカウントを無効化します。グループポリシーの「アカウント: Guest アカウントの状態」を「無効」に設定して固定するのが確実です。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/identity-infrastructure

AdminSDHolder に対して、既定では権限を持たないはずの相手に書き込み権が 1 件付与されています。AdminSDHolder の ACL は 60 分ごとにすべての特権アカウントへ複写されるため、ここを書き換えられると全特権アカウントを掌握されます。

利用者への影響

要確認（権限管理製品が使用している場合があります）

推奨する対処

各エントリの付与理由を確認し、心当たりのないものは削除します。削除後、SDProp の次回実行（既定 60 分間隔）で特権アカウント側にも反映されます。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

description / info / comment にパスワードを示す語を含むアカウントが 1 件あります。これらの属性はドメイン内の認証済みユーザーなら誰でも読めるため、書かれていれば実質的に共有されている状態です。（この診断では、書かれていた値そのものはレポートに出力していません）

利用者への影響

なし（記述を消すだけです）

推奨する対処

該当箇所を確認し、パスワードが書かれていれば直ちに記述を削除したうえで、そのパスワードを変更してください。記述の削除だけでは、すでに読まれている可能性が残ります。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

DC Locator が使う SRV レコードのうち 1 件が解決できませんでした。**クライアントが DC を見つけられない＝ログオンできない**状態に直結します。「DNS サービスは起動している」ことと「レコードが引ける」ことは別問題です。

利用者への影響

なし（確認は読み取りのみで行えます）

推奨する対処

各 DC で Netlogon サービスを再起動するとレコードが再登録されます。それでも登録されない場合は、DNS ゾーンの動的更新設定と、DC 自身の DNS 参照先を確認してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/verify-srv-dns-records-have-been-created

1 台の DC で、時刻ソースが「ローカルのハードウェアクロック」になっています。**外部の時刻を一切参照していないため、ずれは必ず広がります。** とくに PDC エミュレーターがこの状態だと、そこから時刻をもらう他の DC も一緒にずれるため、**DC 同士を比べても差が出ず、気づけません**（ドメイン全体が揃ってずれる）。

利用者への影響

なし（設定変更時に一時的な時刻補正が入ります）

推奨する対処

PDC エミュレーターに信頼できる NTP サーバー（社内の標準時サーバー、または ntp.nict.jp 等）を設定してください。仮想 DC の場合は、ホスト側の時刻同期と競合しないよう整理することも必要です。

参考: https://learn.microsoft.com/ja-jp/windows-server/networking/windows-time-service/windows-time-service-tools-and-settings

1 台の DC で Windows Time サービスが動いていません。**現時点で時刻が合っていても、ずれはこれから広がります。** しかもサービスが止まっているとイベントログに同期失敗が記録されないため、**ログを見ていても気づけません。**

利用者への影響

なし（サービスの起動は影響の小さい操作です）

推奨する対処

サービスを開始し、自動起動に設定してください。停止していた理由（意図的か異常終了か）も確認しておくと安心です。

参考: https://learn.microsoft.com/ja-jp/windows-server/networking/windows-time-service/windows-time-service-tools-and-settings

1 台の DC で、SYSVOL を複製するサービス（DFSR または FRS）が動いていません。**この DC の SYSVOL は他の DC と同期されません。** グループポリシーやログオンスクリプトの内容が DC ごとにずれていき、「人によって設定が当たる／当たらない」という切り分けの難しい状態になります。

利用者への影響

なし（サービスの起動自体は影響の小さい操作ですが、原因の確認を先に行ってください）

推奨する対処

サービスが停止している理由を確認してください（意図的な停止、繰り返しの異常終了、依存サービスの問題）。DFS Replication のイベントログを併せて確認します。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/networking/troubleshoot-missing-sysvol-and-netlogon-shares

1 台の DC で、SYSVOL / NETLOGON 共有が見つかりませんでした。この DC からはグループポリシーとログオンスクリプトが配布されません。**ログオン自体は成功するため、気づかれないまま放置されがちです。**

利用者への影響

なし（確認は読み取りのみで行えます）

推奨する対処

SYSVOL の複製（DFSR）の状態を確認してください。復旧には権限のある復元（authoritative restore）が必要になる場合があります。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/networking/troubleshoot-missing-sysvol-and-netlogon-shares

repadmin による複製サマリーにエラーが含まれています。複製の遅延や失敗が発生している可能性があります。

利用者への影響

なし（repadmin /replsummary は読み取り専用です）

推奨する対処

`repadmin /showrepl * /csv` で全経路を一覧化し、失敗している方向（送信元・送信先）を特定してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/repadmin

Microsoft 純正の診断ツール dcdiag で、2 件のテストが失敗しています。dcdiag は DC の総合的な健全性を確認する標準ツールで、ここでの失敗は実際の障害または障害の予兆を示します。

利用者への影響

なし（dcdiag は読み取り専用の診断です）

推奨する対処

失敗したテスト名ごとに `dcdiag /test:<テスト名> /v` を実行し、詳細な出力を確認してください。全文ログはレポートと同じフォルダーに保存しています。

参考: https://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/dcdiag

最後に複製が成功してから 1 日以上経過している経路が 1 件あります（最長 9 日）。正常な環境であれば、同一サイト内は数分、サイト間でも既定 180 分ごとに複製されます。

利用者への影響

なし（確認は読み取りのみで行えます）

推奨する対処

該当の経路について `repadmin /showrepl <DC名>` で直近のエラーを確認します。**トゥームストーン期間（既定 180 日）を超えて停止していた DC は、そのまま復帰させてはいけません。** 削除済みオブジェクトが復活する（lingering object）ため、切り離して再構築する判断が必要です。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/troubleshoot-replication-error

1 台の DC から複製情報を取得できませんでした。DC が停止している、ネットワークが到達しない、または Active Directory Web サービス（ADWS）が動いていない可能性があります。**この DC については複製状態を評価できていません。** 診断結果は残りの DC の情報だけで構成されている点にご注意ください。

利用者への影響

なし（確認は読み取りのみで行えます）

推奨する対処

対象 DC で ADWS（Active Directory Web Services）が起動しているかを確認してください（`Get-Service ADWS`）。停止していれば起動します。DC 自体が停止している場合は、まずその復旧が優先です。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/troubleshoot-replication-error

複製の失敗が 1 件記録されています。複製が止まると、DC ごとに保持している情報がずれていきます。パスワード変更やアカウントの無効化が一部の DC に反映されないため、セキュリティ上も運用上も影響が大きい状態です。

利用者への影響

なし（調査は読み取りのみで行えます）

推奨する対処

まず `repadmin /replsummary` と `repadmin /showrepl` で範囲を特定します。原因の多くは名前解決・ファイアウォール・DC の時刻ずれ・トゥームストーン期間超過のいずれかです。長期間止まっていた DC を安易に復帰させると削除済みオブジェクトが復活することがあるため、経過日数の確認を先に行ってください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/troubleshoot-replication-error

1 台の DC で、基準（PDC エミュレーター（dc01.contoso.local））との時刻差が 5 分（300 秒）を超えています（最大 412 秒）。**Kerberos は既定で 5 分を超えるずれを拒否するため、この DC を使う利用者は認証できません。** 「昨日まで使えていたのに今朝から誰もログオンできない」という障害の典型的な原因です。

利用者への影響

なし（時刻の確認は読み取りのみ。ただし修正時は一時的に認証が不安定になることがあります）

推奨する対処

時刻同期サービス（w32time）の稼働と参照先を確認します。仮想 DC では**ホスト側の時刻同期と NTP が競合している**ことが多く、ホスト同期を無効にして NTP へ一本化するのが定石です。PDC エミュレーターの上位 NTP 設定も確認してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/networking/windows-time-service/windows-time-service-tools-and-settings

AD 統合ゾーンを読み込む前に DNS が起動し、待機状態になっています。単独 DC の再起動時によく出ますが、恒常的に出る場合は起動順序や複製に問題があります。（DNS Server / イベント ID 4013。直近 7 日間に 2 件、最終 2026-07-25 20:54）

利用者への影響

なし（ログの参照のみで確認できます）

推奨する対処

再起動直後の 1 回だけなら想定内です。繰り返し出る場合は AD DS の起動状態と複製を確認してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/active-directory-replication-error-codes

1 台の DC で、NTDS データベースが置かれたボリュームの空きが少ない状態です（最小 5.1GB / 6.4%）。**AD のボリュームが枯渇すると、DC は書き込みを拒否し、認証まで巻き込んで停止します。** 地味ですが実際に多い停止原因です。

利用者への影響

なし（確認は読み取りのみで行えます）

推奨する対処

不要なログ・ダンプ・古いバックアップを退避してください。恒常的に不足しているならボリュームの拡張が必要です。データベースの断片化解消（オフライン デフラグ）で縮む場合もありますが、停止を伴うため計画的に。

Active Directory ごみ箱が無効です。オブジェクトを誤って削除した場合、復元にバックアップからのリストアが必要になります。

利用者への影響

なし（有効化しても既存の動作に影響しません）

推奨する対処

有効化を検討してください。ただし一度有効にすると無効化できない点に注意が必要です。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/adac/introduction-to-active-directory-administrative-center-enhancements--level-100-#enable-active-directory-recycle-bin

ドメインコントローラー 2 台のうち、1 箇所を検査できませんでした。**検査できなかった項目は「問題なし」ではありません。** どこを見て、どこを見られなかったのかを下表で確認してください。

利用者への影響

なし（診断の網羅性に関する情報です）

推奨する対処

評価不能の項目については、権限（Domain Admins 相当）、対象 DC への到達性、ADWS / リモートイベントログ管理の受信規則を確認したうえで再実行してください。

ビルトイン Administrator（RID 500）のパスワード最終変更から 730 日が経過しています。攻撃時に最初に狙われるアカウントです。

利用者への影響

要確認（タスクスケジューラーやサービスがこのアカウントを使っていると停止します）

推奨する対処

使用箇所を洗い出したうえでパスワードを変更します。通常運用でビルトイン Administrator を使わない設計にしておくことも併せて検討してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

1 台の DC で印刷スプーラーが起動しています。DC 上のスプーラーは、リモートから DC のコンピューターアカウント資格情報を任意のホストへ送らせる手口（およびスプーラー自体の脆弱性）に使われます。DC で印刷サービスが必要になることは通常ありません。

利用者への影響

なし（DC から印刷している運用がなければ影響ありません。事前に印刷キューの有無を確認してください）

推奨する対処

DC 上の Print Spooler サービスを停止し、スタートアップの種類を「無効」に設定します。グループポリシーで DC に対して一括適用するのが確実です。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/identity-infrastructure

Account / Backup / Server / Print Operators および DnsAdmins のメンバーが 4 件あります。これらは Domain Admins ほど注目されませんが、実質的にドメインコントローラーを掌握できる権限です（例: Backup Operators は AD データベースを丸ごと持ち出せます）。

利用者への影響

要確認（バックアップ製品や運用ツールが使用している場合があります）

推奨する対処

利用実態を確認し、不要なメンバーを削除します。必要な場合も、Domain Admins と同じ扱いで保護してください。既定では空であるべきグループです。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

90 日以上ログオンのないアカウントが特権グループに 3 件残っています。使われていないアカウントはパスワード変更も監視もされにくく、侵害されても気づかれません。

利用者への影響

要確認（退職者のものであれば影響ありません。休眠中の緊急用アカウントが含まれていないか確認してください）

推奨する対処

利用実態を確認し、不要なものは特権グループから外します。まず無効化して一定期間の様子を見てから削除すると安全です。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

発行可能な証明書テンプレートのうち 1 件が、**「申請者が主体名を自由に指定できる」「クライアント認証に使える」「承認も署名も不要」** という条件を同時に満たしています。この組み合わせが揃うと、一般ユーザーが「管理者として認証できる証明書」を自分で発行でき、**ドメイン管理者へ昇格できます**（ESC1 と呼ばれる経路）。

利用者への影響

要確認（テンプレートを使っている業務があるため、影響を調べてから変更してください）

推奨する対処

該当テンプレートについて、①主体名をテンプレート側で決める設定に変更する、②発行に承認を必須にする、③登録エージェントの署名を要求する、④不要なら発行対象から外す——のいずれかを検討します。**変更前に、そのテンプレートで発行された証明書が業務で使われていないか確認してください。**

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-cs/configure-certificate-templates

フォレスト外への信頼 1 件で SID フィルタリングが有効になっていません。相手側のフォレストが侵害された場合、**こちら側の特権を持つ SID を偽装して侵入される**恐れがあります（SID History を悪用した攻撃）。

利用者への影響

要確認（相手フォレストからの移行アカウントが SID History に依存している場合、有効化すると影響が出ます）

推奨する対処

移行の都合で無効にしているのかを確認してください。移行が完了しているなら有効化を検討します。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/how-to-configure-sid-filtering

2 件の GPO で、AD 上の版数と SYSVOL 上のファイルの版数が一致していません（または SYSVOL 側が存在しません）。GPO は AD とファイルの二重構造なので、片方だけ更新されると **「設定したのに適用されない」** という、原因が非常に見えにくい状態になります。

利用者への影響

要確認（GPO の再作成・再リンクが必要になる場合があります）

推奨する対処

SYSVOL の複製状態を先に確認してください。複製が正常なら、該当 GPO を開いて何らかの設定を変更・保存すると版数が揃うことがあります。SYSVOL 側が欠落している場合は、GPO の再作成が必要です。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/group-policy/group-policy-objects-not-applied

ドメインに対して「ディレクトリ変更の複製」権限を持つ主体が 4 件あります。この権限があると、**Domain Admins に所属していなくても、すべてのユーザーのパスワードハッシュを取り出せます。** 既定では Domain Controllers / Enterprise Domain Controllers / Administrators などが持ちますが、それ以外が含まれている場合は要確認です。

利用者への影響

要確認（Entra Connect などの同期アカウントは、この権限を正当に必要とします）

推奨する対処

既定以外の主体が含まれていないかを確認してください。**Entra ID Connect の同期アカウントは正当な保持者**なので、それと分かる形で台帳に残すことをおすすめします。用途不明のものは棚卸しの対象です。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

14 個の GPO を確認し、既定では権限を持たないはずの相手に書き込み権が 2 件付与されていました。GPO を書き換えられるということは、その GPO が適用されるすべての端末・サーバーで任意の設定やスクリプトを配布できるということです。

利用者への影響

要確認（運用担当者へ意図的に委任している場合があります）

推奨する対処

各エントリの付与理由を確認します。GPO の編集権限は、その GPO が適用される範囲すべてに対する管理権限と同等に扱ってください。委任が必要な場合も、対象 GPO を限定してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/group-policy

最終バックアップから 30 日以上経過している（または記録が無い）パーティションが 2 件あります。**トゥームストーン期間（既定 180 日）より古いバックアップからは AD を復元できません。** バックアップジョブが成功していても、AD 自身に記録が無ければ意味がない点に注意してください。

利用者への影響

要確認（バックアップの設計・運用の見直しが必要です）

推奨する対処

システム状態（System State）を含むバックアップが、すべてのパーティションに対して定期取得されているかを確認してください。少なくとも 2 台の DC でバックアップすることが推奨されます。

参考: https://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/repadmin

1 台の DC で、LDAP 署名の要求（LDAPServerIntegrity=2）またはチャネルバインディング（LdapEnforceChannelBinding≧1）が有効になっていません。署名を要求しない状態では、認証情報を中継される攻撃（LDAP リレー）が成立し得ます。

利用者への影響

要確認（署名に対応しない古いクライアントやアプライアンスが接続できなくなる可能性があります）

推奨する対処

まず監査イベント（Directory Service の 2887 / 3039）で、署名なしで接続しているクライアントがどれだけあるかを確認します。**いきなり強制すると接続が切れる**ため、対象を洗い出してから段階的に有効化してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/enable-ldap-signing-in-windows-server

サポート終了済みと思われる OS の有効なコンピューターが 8 件あります。更新プログラムが提供されないため、既知の脆弱性が残り続けます。

利用者への影響

要確認（業務システムが載っている場合は移行計画が必要です）

推奨する対処

用途を確認し、更新・移行・隔離のいずれかを計画します。どうしても残す場合はネットワークを分離してください。

可逆暗号化が有効なアカウントが 1 件あります。実質的に平文と同じ扱いで、AD が侵害された際にそのまま読み取られます。

利用者への影響

要確認（この設定を必要とする古い認証方式が使われている可能性があります）

推奨する対処

依存しているアプリケーションを確認し、可能であれば設定を解除してパスワードを再設定します。

参考: https://learn.microsoft.com/ja-jp/windows-server/security/kerberos/store-passwords-using-reversible-encryption

「パスワードを必要としない」が有効なアカウントが 1 件あります。空パスワードでログオンできる状態になり得ます。

利用者への影響

要確認（該当アカウントの利用状況を確認してください）

推奨する対処

設定を解除し、パスワードを設定します。使われていないアカウントであれば無効化してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/understand-security-identifiers

事前認証が不要な設定のアカウントが 1 件あります。パスワードハッシュを外部から取得され、オフラインで解析される恐れがあります（AS-REP Roasting）。

利用者への影響

要確認（古いシステムの都合で設定されている場合があります）

推奨する対処

設定が必要な理由を確認し、不要であれば事前認証を有効に戻してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/preauthentication-not-required

DC 以外で制約なし委任が設定されたオブジェクトが 1 件あります。このホストが侵害されると、接続してきた利用者のチケットが取得され、権限が横取りされます。

利用者への影響

要確認（該当システムの動作要件を確認してから変更してください）

推奨する対処

制約付き委任（Constrained Delegation）またはリソースベースの制約付き委任へ移行します。不要であれば設定を解除してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/unconstrained-kerberos

Domain Admins / Enterprise Admins / Schema Admins のいずれかで、メンバー数が 5 を超えています。特権アカウントは 1 つ侵害されれば全体が侵害されるため、数そのものがリスクになります。

利用者への影響

要確認（実際に必要としている担当者を外すと運用が止まります）

推奨する対処

棚卸しを行い、常時必要な人だけを残します。日常業務用アカウントと管理用アカウントを分け、必要なときだけ昇格する運用へ移行してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/plan/security-best-practices/appendix-b--privileged-accounts-and-groups-in-active-directory

複数のオブジェクトに同じ SPN が登録されている箇所が 1 件あります。SPN が重複していると、その SPN を使う Kerberos 認証は失敗します。症状としては「特定のサービスだけ認証が通らない」「NTLM にフォールバックして動いてしまっている」といった形で現れ、原因究明が難しい部類の障害です。

利用者への影響

要確認（正しい側を残す判断が必要です。誤った側を消すとサービスが停止します）

推奨する対処

`setspn -X` でも同じ重複が確認できます。どちらが現行のサービスかを特定したうえで、不要な側から `setspn -D <SPN> <アカウント>` で削除してください。移行やサーバー再構築の際に旧オブジェクトの SPN が残ったまま新しいオブジェクトへ登録された、というのが典型的な発生経緯です。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/windows-security/troubleshoot-kerberos-authentication-issues

LAPS 用のスキーマ属性が見つかりません。端末のローカル管理者パスワードが共通になっている場合、1 台の侵害が全台に波及します。

利用者への影響

要確認（導入時に端末側の設定変更が必要です）

推奨する対処

Windows LAPS の導入を検討してください。端末ごとに異なるパスワードが自動管理されるようになります。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/laps/laps-overview

既定のドメインパスワードポリシーに、推奨値を下回る項目が 2 件あります。

利用者への影響

要確認（次回のパスワード変更時から利用者に影響します。事前告知を推奨します）

推奨する対処

段階的に引き上げます。長さを優先し、定期変更の強制よりも長さと漏えい対策を重視する方針が現在は推奨されています。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/adac/introduction-to-active-directory-administrative-center-enhancements--level-100-

現在の DC 一覧に存在しないホスト、または AD 上の IP と一致しない登録が 1 件あります。撤去した DC のレコードが残っていると、クライアントが応答しない相手へ接続を試み、**ログオンが遅くなったり間欠的に失敗したりします。**

利用者への影響

要確認（現用のレコードを消さないよう、対象を特定してから削除してください）

推奨する対処

該当レコードが本当に不要かを確認したうえで削除します。スカベンジング（古いレコードの自動削除）の設定も併せて見直してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/verify-srv-dns-records-have-been-created

ms-DS-MachineAccountQuota が 10 に設定されています。認証さえできれば一般ユーザーが自分でコンピューターアカウントを作成でき、これはリソースベース制約付き委任の悪用や証明書サービスを絡めた権限昇格の起点として使われます。

利用者への影響

要確認（利用者自身がドメイン参加を行う運用の場合、参加できなくなります）

推奨する対処

ms-DS-MachineAccountQuota を 0 に設定し、ドメイン参加は管理者または専用の委任アカウントのみが行う運用へ変更します。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/identity-infrastructure

SYSVOL 上の GPO ファイルにアクセスできていません。SYSVOL 複製の不整合や権限の問題が疑われます。（System / イベント ID 1058。直近 7 日間に 214 件、最終 2026-07-27 20:29）

利用者への影響

なし（ログの参照のみで確認できます）

推奨する対処

SYSVOL の複製状態（DFSR）と、GPO フォルダーのアクセス権を確認してください。

参考: https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/active-directory/active-directory-replication-error-codes

SPN を持つユーザーアカウントが 5 件あります（うち特権アカウント 1 件）。これらはオフラインでのパスワード解析を試みられる対象になります。

利用者への影響

要確認（サービスの認証に使われているため、変更時は停止を伴う可能性があります）

推奨する対処

グループ管理サービスアカウント（gMSA）への移行を検討します。難しい場合は、25 文字以上のランダムなパスワードを設定し、特権グループから外してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/riskiest-lateral-movement-paths

パスワード無期限のアカウントが 6 件あります（うち特権アカウント 1 件）。多くはサービスアカウントですが、棚卸しされないまま残っていることがあります。

利用者への影響

要確認（サービスアカウントの場合、変更時に停止を伴います）

推奨する対処

用途を台帳化し、可能なものは gMSA へ移行します。人が使うアカウントであれば無期限設定を解除してください。

LAPS で管理されているコンピューターは 0 台 / 対象 33 台（0%）です。ローカル管理者のパスワードが端末間で共通だと、1 台の侵害がそのまま横展開（Pass-the-Hash）につながります。LAPS は各端末のパスワードを個別かつ自動で変更し、この横展開を断ち切るための仕組みです。

利用者への影響

なし（導入作業のみで、利用者の操作は変わりません）

推奨する対処

Windows LAPS（Windows Server 2019 以降および更新済みの Windows 10/11 に標準搭載）を有効にし、グループポリシーで全端末へ配布します。既存のローカル管理者パスワードは配布後に自動で置き換わります。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/identity-infrastructure

Entra Connect の同期アカウント（MSOL_）またはシームレス SSO 用アカウント（AZUREADSSOACC）に指摘が 1 件あります。これらのアカウントはディレクトリ同期のために強い権限を持ち、シームレス SSO のアカウントは Kerberos の鍵そのものであるため、奪われるとあらゆるユーザーへの成りすましが可能になります。

利用者への影響

要確認（更新手順を誤ると同期またはシームレス SSO が停止します。手順を確認したうえで実施してください）

推奨する対処

MSOL_ アカウントのパスワードは Entra Connect の構成ウィザードから更新します。AZUREADSSOACC の Kerberos 復号化キーは 30 日ごとのロールオーバーが推奨されており、Azure AD SSO の PowerShell モジュールで更新します。あわせて、これらのアカウントが Domain Admins 等に所属していないか確認してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/hybrid-security

特権アカウント 3 件で保護設定が不足しています（うち SPN を持つサービスアカウント 1 件）。委任不可フラグと Protected Users への所属は、チケットを盗まれても再利用させないための仕組みです。特権グループ内のサービスアカウントは、パスワードが変更されにくく解析対象になりやすいため特に危険です。

利用者への影響

要確認（Protected Users は NTLM 認証や DES/RC4 を使えなくします。古いシステムでは認証できなくなります）

推奨する対処

特権アカウントに「アカウントは重要なので委任できない」を設定し、Protected Users グループへ追加します。特権グループ内のサービスアカウントは、必要な権限だけを個別に付与する形へ切り替えてください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

SID History を持つオブジェクトが 1 件あります（うち特権 SID を含むもの 1 件）。SID History はドメイン移行のための仕組みですが、移行完了後も残っていると、グループの見た目に現れない形で権限が付与され続けます。

利用者への影響

要確認（移行元ドメインのリソースへアクセスできなくなる可能性があります）

推奨する対処

移行が完了しているかを確認し、完了済みであれば SID History を削除します。特に特権 SID を含むものから優先して対処してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

発行可能な証明書テンプレートに、ESC2 / ESC4 に該当する構成が 2 件あります。証明書はパスワードを知らなくても本人として認証できる資格情報です。テンプレートの構成が緩いと、一般ユーザーが管理者名義の証明書を取得し、そのままドメイン管理者として認証できてしまいます。

利用者への影響

要確認（テンプレートを利用している業務や機器があります。停止前に発行実績を確認してください）

推奨する対処

ESC2 は EKU を実際の用途（クライアント認証など）に限定します。ESC3 は登録エージェント証明書の申請に承認または署名を必須にします。ESC4 はテンプレートの ACL から不要な変更権限を削除します。いずれも証明機関のログで発行実績を確認してから変更してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/certificates

primaryGroupID が既定値でないオブジェクトが 3 件あります。プライマリグループによる所属はグループのメンバー一覧に表示されないため、棚卸しをすり抜けて特権を保持し続ける手口に使われます。

利用者への影響

なし（管理者側の作業のみで完了します）

推奨する対処

意図した設定かを確認します。意図がなければプライマリグループを Domain Users（コンピューターは Domain Computers）へ戻し、必要な所属は通常のグループメンバーとして設定してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

制約付き委任が 1 件あります（うち「任意の認証プロトコルを使用する」設定が 1 件）。プロトコル移行を許可していると、利用者が実際に認証しなくても、そのアカウントが利用者になりすまして委任先へアクセスできます。

利用者への影響

要確認（業務システムの動作要件です。解除前に必ず影響範囲を確認してください）

推奨する対処

委任先が必要最小限か棚卸しします。可能なものは「Kerberos のみを使用する」へ変更し、より安全なリソースベースの制約付き委任への移行を検討してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

Kerberos で DES を許可している、または AES を許可していないアカウントが 1 件あります。暗号強度が低いほど、チケットを持ち出したあとのパスワード解析が容易になります。

利用者への影響

要確認（古いアプライアンスや業務アプリが AES に対応していない場合、認証できなくなります）

推奨する対処

対象アカウントを使っているシステムの対応状況を確認したうえで、msDS-SupportedEncryptionTypes を AES128 / AES256 に切り替えます。DES の使用は解除してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

90 日以上ログオンしていない有効なユーザーが 5 件あります。退職者が残っている場合、そのまま侵入口になります。

利用者への影響

要確認（人事情報との突き合わせが必要です）

推奨する対処

人事部門と照合し、不要なものは無効化したうえで一定期間後に削除します。まず無効化して様子を見る運用が安全です。

DC が配置されていないサイトが 2 件あります。拠点閉鎖後に定義だけが残っているケースがよくあります。

利用者への影響

なし

推奨する対処

意図した構成でなければ、サイト定義を整理してください。

サイト未割当のサブネットが 2 件あります。該当ネットワークの端末が、最寄りではない DC に接続してしまう可能性があります。

利用者への影響

なし（割り当ての追加は影響が限定的です）

推奨する対処

適切なサイトへ割り当てるか、使われていないサブネット定義であれば削除します。

90 日以上ログオンしていない有効なコンピューターが 6 件あります。廃棄済み端末の残骸である可能性があります。

利用者への影響

なし（無効化から始めれば影響を確認しながら進められます）

推奨する対処

無効化して専用 OU へ移動し、一定期間問題がなければ削除します。

本ツールが意味づけしている既知イベント以外に、直近 7 日間で 9 件のエラーが記録されています（種類の多い順に上位 10 件）。個別の重大性はイベントの内容によります。

利用者への影響

なし（ログの参照のみで確認できます）

推奨する対処

件数の多いものから内容を確認してください。定常的に出ているものは、慣れて見過ごされていることがよくあります。

現在設定されている信頼関係の一覧です。使われていない信頼が残っていると、そこが侵入経路になり得るため、棚卸しの対象に含めてください。

利用者への影響

なし

推奨する対処

各信頼が現在も必要かを確認してください。相手組織との関係が終わっているものは削除を検討します。

証明書発行サービスが存在します。本ツールが確認するのは「主体名の指定・クライアント認証・承認の要否」という代表的な危険条件のみで、**AD CS の網羅的な監査は範囲外**です。詳細な評価が必要な場合は専用のツールをご検討ください。

利用者への影響

なし

推奨する対処

証明書テンプレートの棚卸しは、AD の棚卸しとは別に定期的に行うことをおすすめします。