【解決策】Windows 10からSYSVOL・NETLOGONフォルダーにアクセスできない原因と対処法(UNCハードニング)

現象:SYSVOLとNETLOGONにアクセスできない

Windows 10やWindows Server 2016からドメイン内のSYSVOLおよびNETLOGONフォルダーへアクセスしようとすると、奇妙な挙動に気づくことがあります。UNCパス \\domain.com\SYSVOL や、ドメインコントローラーのIPアドレスを指定した \\192.168.100.10\Netlogon でアクセスしようとすると、「アクセスが拒否されました」というエラーと共に、資格情報の入力を求める「Windowsセキュリティ」ダイアログが表示されます。しかし、有効なドメインユーザーやドメイン管理者の資格情報を入力しても、フォルダーは開きません。

一方、同じSysvol/Netlogonフォルダーでも、ドメインコントローラーのホスト名やFQDNを指定すれば、パスワード入力なしで正常に開くことができます(例：\\be-dc1.domain.com\sysvol や \\be-dc1\sysvol)。

また、問題のあるコンピューターではグループポリシーの適用にも支障が生じることがあります。イベントビューアーのログには EventID 1058 のエラーが記録されます:

グループ ポリシーの処理に失敗しました。Windows は、ドメイン コントローラーからファイル \\domain.com\sysvol\domain.cpo\Policies\{GPO GUID}\gpt.ini を読み取ろうとしましたが、成功しませんでした。このイベントが解決されるまで、グループ ポリシー設定は適用されない可能性があります。

原因：UNCハードニング(強化されたUNCパス)

この問題は、信頼できないソースからのコード実行(ログオンスクリプトや実行ファイル)やポリシー構成ファイルの取得からドメインコンピューターを保護するための新しいWindowsセキュリティ機能 ―― UNCハードニングに関係しています。

Windows 10 / Windows Server 2016のセキュリティ設定では、セキュリティを強化すべきUNCディレクトリ(SYSVOLとNETLOGON共有フォルダー)へのアクセスに、以下の3つのセキュリティレベルを使用することが求められます。

• 相互認証(Mutual Authentication):サーバーとクライアントの相互認証を行います。認証にはKerberosが使用され、NTLMはサポートされません。そのため、IPアドレス指定ではドメインコントローラー上のSYSVOL/NETLOGON共有にアクセスできません。既定値は RequireMutualAuthentication=1 です。
• 整合性(Integrity):SMB署名の検証です。SMBセッション中のデータが転送途中で改ざんされていないことを確認できます。SMB署名はSMB 2.0以降でサポートされており(SMB v1はセッション署名に対応していません)、既定値は RequireIntegrity=1 です。
• プライバシー(Privacy):SMBセッションにおけるデータ暗号化に関する設定です。SMB v3.0以降(Windows 8 / Windows Server 2012以降)でサポートされます。既定値は RequirePrivacy=0 です。ネットワーク内にWindows 7 / Windows Server 2008 R2以前といったレガシー環境のコンピューターやドメインコントローラーが残っている場合は、RequirePrivacy=1 を使用しないでください。設定してしまうと、レガシークライアントがドメインコントローラー上のネットワーク共有フォルダーにアクセスできなくなります。

これらの変更は、もともと2015年にWindows 10向けセキュリティ更新プログラム MS15-011 および MS15-014 の一部として導入されました。その結果、Multiple UNC Provider(MUP)のアルゴリズムが変更され、ドメインコントローラー上の重要なフォルダーである \\*\SYSVOL と \\*\NETLOGON へのアクセスには特別なルールが適用されるようになりました。

なお、この保護されたUNCパスの設定は、Windows 7およびWindows 8.1では既定で無効になっています。

対処法1:グループポリシーでUNCハードニングを構成する

SYSVOLとNETLOGONへのアクセスが必要な場合は、Windows 10のUNCハードニング設定をグループポリシーで変更できます。[強化されたUNCパス(Hardened UNC Paths)]ポリシーでは、UNCパスごとに個別のセキュリティ設定を指定できます。

1. ローカルグループポリシーエディター(gpedit.msc)を開きます。
2. [コンピューターの構成] → [管理用テンプレート] → [ネットワーク] → [Network Provider] へ移動します。
3. [強化されたUNCパス] ポリシーを有効([有効])にします。
4. [表示] ボタンをクリックし、NetlogonとSysvolのUNCパスに対するエントリを作成します。特定のフォルダーに対してUNCハードニングを完全に無効化したい場合(非推奨！)は、次の値を指定します:RequireMutualAuthentication=0, RequireIntegrity=0, RequirePrivacy=0

値として指定できるUNCパスの形式は以下の通りです:

• \\192.168.200.2(ドメインコントローラーのIPアドレス)
• \\domain.com
• \\DCName(DCのホスト名)

あるいは、UNCパスの形式によらず、どのドメインコントローラーに対してもSysvolとNetlogonへのアクセスを許可することも可能です:

• \\*\SYSVOL
• \\*\NETLOGON

必要なすべてのドメイン(ドメインコントローラー)名やIPアドレスを指定してください。

Microsoftが推奨しているのは、重要なUNCディレクトリへ安全にアクセスするための以下の設定です:

• \\*\NETLOGON → RequireMutualAuthentication=1, RequireIntegrity=1
• \\*\SYSVOL → RequireMutualAuthentication=1, RequireIntegrity=1

設定後は gpupdate /force コマンドでクライアントのポリシーを更新し、SysvolとNetlogonにアクセスできることを確認しましょう。

対処法2:レジストリで設定する方法

これらのパラメーターは、一元管理されたドメインGPO経由でも構成できますが、各クライアント上で以下のコマンドを実行して設定することも可能です。(これらのコマンドは、ドメインコントローラー上のSYSVOLおよびNETLOGONフォルダーへのアクセス時のKerberos認証を無効にします。代わりにNTLMが使用されるため、IPアドレス指定でもDC上の保護されたフォルダーを開けるようになります。)

reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\SYSVOL" /d "RequireMutualAuthentication=0" /t REG_SZ /f
reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths /v "\\*\NETLOGON" /d "RequireMutualAuthentication=0" /t REG_SZ /f

これらのコマンドが特に役立つのは、以下のようなケースです:

• ドメインコントローラー上の管理用テンプレートが古い場合(DCがWindows Server 2008 R2 / Windows Server 2012で稼働しており、[強化されたUNCパス] のポリシー項目自体が存在しない場合)。
• Sysvolにアクセスできないせいでクライアントがドメインポリシー設定を取得できず、GPO経由でレジストリ設定を展開できない場合。