微软确认 Win11 更新 KB5124008 存在 Bug：会破坏设备域信任关系

　　纯净之家 9 月 17 日最新消息，微软已承认 Windows11 9 月累积更新 KB5124008 存在 Bug，部分企业设备安装该补丁后，域信任关系失效，出现域账号登录失败、Kerberos 身份验证异常的情况。

 深度技术 Win10 纯净可靠版 [电脑系统]

　　深度技术 Win10 纯净可靠版基于微软原版 Win10 22H2 专业版离线封装制作，主打稳定纯净，无广告弹窗。系统保留原版核心功能，对后台冗余服务，集成常用运行库与通用硬件驱动，兼顾新老台式机、笔记本，适合办公、家用以及日常游戏装机使用。

　　纯净之家注：域信任关系是指域成员计算机与域控制器之间基于计算机账户凭据建立的信任状态。信任关系正常时，用户可以使用域凭据登录并访问授权资源。若本地凭据与目录服务记录不匹配，系统可能报告域信任错误。

　　微软向该媒体表示：“微软已经注意到这些报道，并正在进行调查。一旦有相关信息，我们将及时发布。”

　　一名管理员表示，Windows 11 25H2 工作站安装 9 月累积更新前运行正常。更新后，设备在重启时出现域登录失败。该管理员排查后发现关联域身份验证，并在卸载 KB5124008 和修复域关系后，设备恢复访问。

　　另一名管理员报告称，约 256 台 Windows 11 25H2 企业版设备中，有 11 台更新后失去域信任。受影响设备出现大量 Kerberos 身份验证失败。随后，系统回退到 NTLM 和 Netlogon 身份验证。

　　故障根源方面，管理员推测关联微软的机器身份隔离（Machine Identity Isolation），该设置属于基于虚拟化的安全性与 Credential Guard（凭据保护）配置。管理员称，KB5124008 安装后，注册表中的 MachineIdentityIsolation 被设为“2”，即强制模式。

　　在强制模式下，Windows 会将计算机账户密钥移入 Credential Guard，并删除存储在 LSA（本地安全机构）中的副本。

　　该设置位于注册表路径 ［HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa］。部分管理员将设置改为“0”并重启，随后使用 PowerShell 修复安全通道。