ドメインパスワード変更後もエラーになる、または旧パスワードが使えるように見える場合の確認項目

オフラインキャッシュログオン、DC 複製遅延、既存 SMB セッション、資格情報、サービス／タスク、VPN・VDI 認証経路を区別します。

1. 結論と対象範囲

クライアント／サーバーのバージョン、ドメイン参加状況、DNS とゲートウェイ、ネットワーク場所、完全なエラー文、イベント時刻、直近の変更を準備します。例では予約済みの corp.example を使用し、実在する顧客のドメイン、IP、アカウント、機器番号は掲載していません。

本件は「Active Directory とグループポリシー」に分類されます。ログと設定はリモートで収集できる場合がありますが、権限の一括変更、スイッチ経路、本番切替、復元テストは計画した作業枠で実施します。

2. 主な症状と環境確認

• 口頭説明だけで判断せず、完全なエラー文、イベントログの時刻、失敗した操作を保存します。
• 影響範囲、初回発生時刻、再現性、別セグメントでも同じ結果になるかを記録します。
• ドメイン参加端末は社内 DNS を使用します。パブリック DNS では AD の検出に必要な SRV レコードを返せません。

3. 推奨する切り分け順序

1. オフラインのキャッシュログオンとオンラインのドメイン認証失敗を区別し、端末が実際に DC へ到達しているか確認します。
2. repadmin でレプリケーション概要、失敗元、エラーコード、サイト、接続オブジェクト、名前付けコンテキストを確認します。
3. 同一サーバーへ異なる資格情報で同時に SMB 接続することはできません。既存セッションを特定してから切断・再認証します。
4. 資格情報マネージャー、ドライブマッピング、タスク、サービス、スクリプトのアカウント形式を確認し、検証済みのドメインまたは専用サービスアカウントへ統一します。
5. パスワード変更後もロックが続く場合は、オフライン端末、スマートフォン、旧 VPN クライアント、長期間サインアウトしていない端末を重点的に確認します。
6. 信頼関係エラーでは、まずセキュアチャネルを確認します。ドメイン離脱前にローカル管理者資格情報とユーザープロファイルの場所を確認します。

whoami /logonid
nltest /dsgetdc:corp.example
klist
cmdkey /list
net use

4. 安全な修復と一括展開

読み取り専用の確認、設定エクスポート、単一システムでの検証を優先します。原因を確認してから対象範囲、作業時間、ロールバック方法を決めます。複数端末ではテスト OU と少数のパイロット端末を用意し、ポリシー結果を保存してから段階的に展開します。

• 資格情報マネージャー、ドライブマッピング、タスク、サービス、スクリプトのアカウント形式を確認し、検証済みのドメインまたは専用サービスアカウントへ統一します。
• パスワード変更後もロックが続く場合は、オフライン端末、スマートフォン、旧 VPN クライアント、長期間サインアウトしていない端末を重点的に確認します。
• 信頼関係エラーでは、まずセキュアチャネルを確認します。ドメイン離脱前にローカル管理者資格情報とユーザープロファイルの場所を確認します。

5. 確認方法・ロールバック・注意点

一度動作しただけで完了としません。利用者操作、ログ、再起動／再ログイン、必要に応じて別ネットワーク場所、次回のポリシー／バックアップ周期で再確認します。

確認とロールバック

• 一度に変更する条件は1つにし、変更前に設定をエクスポートするか現状を記録します。
• クライアント、ドメインコントローラー、ハイパーバイザーのタイムゾーンと時刻同期元を確認し、Kerberos の失敗を防ぎます。
• ドメインコントローラー間の AD と SYSVOL の複製、および接続先 DC のポリシーバージョンを確認します。

避けるべき一般的な誤り

• パブリック DNS や hosts への恒久的な DC 登録で回避すること。
• ローカル管理者を確認せずにドメイン離脱すること。
• パイロット検証なしで新しい GPO をドメイン全体へリンクすること。