NTLM廃止対応ガイド：IAKERBとLocal KDCで実現するKerberos移行と事前監査

2026年1月29日に、Microsoftからセキュリティ強化のため NTLMを既定で無効化するとの発表がありました。

参照：Advancing Windows security: Disabling NTLM by default - Windows IT Pro Blog

2024年に NTLMが機能開発の対象ではなくなり、非推奨の機能であることの発表がされていました。

その中で、Windows 11 Version 24H2およびWindows Server 2025において「NTLMv1を既定で無効化」することが記載されていましたが、今回の発表ではNTLMv2も既定で無効になります。NTLMの全廃は影響が大きいことから、これまでセキュリティ上の理由でもNTLMv2の使用が許容されてきました。

古いNAS、レガシーなプリンター、あるいは古いアプリケーションが、認証に失敗するトラブルの原因となることが想定されます。

NTLMが「既定で無効」となる理由

NTLMは1990年代のWindows NT時代に誕生した当時は画期的な認証プロトコルでしたが、現代の脅威環境においてはその機能が十分ではなくなったからです。

例えば、攻撃者が通信を傍受し、取得した認証ハッシュを別のサービスに転送することで正規ユーザーになりすましネットワーク内に侵入するNTLM認証のリレー攻撃は、現在でも多くのサイバー攻撃で悪用されています。またNTLM は Kerberosのような強力な暗号化や相互認証をサポートしておらず、多要素認証（MFA）との親和性も低いという欠点があります。

NTLMを不要にする2つのテクノロジー

これまでNTLMを完全に廃止できなかった理由は、「IPアドレスによる接続」と「ローカルアカウントの認証」という
2つの大きな課題があったためです。

Kerberosは名前解決 （DNS） を前提とし、ドメインコントローラとの通信を必要とするため、これらの特定のケースでは NTLM に頼らざるを得ませんでした。 Microsoftはこの課題を解決するため、以下の2つの新しい仕組みを導入しました。

IAKERB

通常、 Kerberos 認証を行うには、クライアントが直接 KDC にアクセスする必要があります。
しかし、ファイアウォール越しや特定のネットワーク構成で はこれが困難な場合があります。

IAKERBは、クライアントが「接続先のサーバー」をプロキシとして利用し、 KDCとメッセージをやり取りできるようにする仕組みです。

これにより、これまでNTLMにフォールバックしていた複雑なネットワーク環境でも、Kerberosによる安全な認証が可能になりました。

Local KDC

Kerberos は本来、Active Directory （AD）などの集中管理された環境のためのものでした。そのため、PCのローカル環境に作成されたアカウントの認証には使えませんでした。 「Local KDC」は、各 Windows マシンの中に簡易 的なKerberosの認証機能を構築するものです。
これにより、ワークグループ環境下の通信であっても、NTLM ではなく Kerberosの仕組みを利用できるようになります。

管理者が直面する「現実的なハードル」と監査の重要性

NTLMの廃止は、セキュリティを向上させることが可能なのですが、運用においては少なからず混乱することが想定されます。
特に、「どこでNTLMが使われているか把握していない」組織にとっては、ある日突然システムが止まるリスクをはらんでいます。

Microsoftのサポートチームがブログで強調しているのは、「事前の監査」の重要性です。

NTLMの廃止に向けた対応について | Microsoft Japan Windows Technology Support Blog

Windows 11 / Windows Server 2025 には、NTLMの使用状況を詳細に可 視化するための「NTLM管理」機能が強化されています。

管理者は、まず現在の環境でNTLMがどのように使われているかを調査し、Kerberosに切り替えられない原因を特定しなければなりません。

例えば、古い複合機や安価なNAS、あるいは長期に使用している社内基幹システムなどです。これらは往々にして、Kerberosを解釈できない古い SMB スタックや、NTLMにしか対応していない認証プロトコルを使用している可能性があります。

移行のための準備

調査せずに「NTLMを拒否する」ポリシーを適用すると重大な結果を招く危険があります。まずは「NTLMの使用を監査する」ポリシーのみを有効にし、数週間分のログを収集してください。これにより、「どのサーバーが名前解決できていないか」「どのデバイスが古いプロトコルを吐いているか」という「修正リスト」を作成できます。

解説は以上です。

パシフィックネットは、確かな技術力をもとに、お客様に合った最適な環境をご提案・構築いたします。

ご質問やご相談がございましたら、お気軽に当社までご相談ください。