Windows 11 : Machine Identity Isolation peut rompre l'approbation de domaine après les KB de septembre

Classement : À surveiller

Résumé : Microsoft a ajouté le 16 septembre 2026 un incident Windows Release Health : certains postes Windows 11 joints à un domaine peuvent perdre leur canal sécurisé Active Directory après les mises à jour de sécurité de septembre si Machine Identity Isolation est déjà activé en enforcement dans un environnement non compatible. Le périmètre est restreint, mais les équipes qui testent Credential Guard protected machine accounts doivent vérifier leurs politiques Intune, GPO ou registre avant d'élargir le déploiement des KB de septembre.

Impact : Windows 11 24H2, 25H2 et 26H1 joints à un domaine Active Directory, lorsque Machine Identity Isolation a été configuré et que les contrôleurs de domaine ne sont pas au niveau fonctionnel Windows Server 2025 requis.

Action : inventorier les politiques Machine Identity Isolation, désactiver l'enforcement hors environnement compatible, redémarrer les postes concernés et valider le canal sécurisé avant de poursuivre les anneaux de déploiement.

Statut : À surveiller.

Ce qui change

Windows Release Health signale depuis le 16 septembre 2026 un incident ouvert sur Windows 11 24H2, 25H2 et 26H1. Après l'installation de la mise à jour de sécurité du 8 septembre 2026, ou d'une mise à jour ultérieure, certains appareils joints à un domaine peuvent perdre leur relation d'approbation avec le domaine Active Directory. L'incident est rattaché à KB5124008 pour Windows 11 24H2/25H2 et à KB5124012 pour Windows 11 26H1. Microsoft décrit alors des ouvertures de session interactives qui échouent avec des identifiants de domaine valides, tandis que l'ouverture de session hors ligne avec des identifiants mis en cache peut encore fonctionner.

Le déclencheur documenté n'est pas l'adhésion au domaine en elle-même. Microsoft indique que les KB de septembre font commencer Windows à honorer des réglages existants ou provisionnés de Machine Identity Isolation enforcement. Or cette fonction n'est prise en charge que dans des environnements connectés à des contrôleurs de domaine avec un niveau fonctionnel de domaine Windows Server 2025 ou supérieur. Dans les autres environnements, Microsoft demande de désactiver la fonction.

L'incident est marqué Mitigated, pas résolu. Microsoft indique prévoir une future mise à jour Windows qui empêchera temporairement l'enforcement de Machine Identity Isolation pendant l'amélioration de la fonctionnalité. À ce stade, il ne faut donc pas attendre de KB corrective déjà disponible pour corriger le comportement sur un poste configuré hors prérequis.

Qui est concerné

Le signal concerne surtout les organisations qui ont expérimenté ou préconfiguré Credential Guard protected machine accounts, Machine Identity Isolation ou des paramètres Device Guard avancés via Intune, GPO ou registre. Les postes Windows 10 et Windows 11 23H2 ne sont pas listés comme plateformes affectées pour cet incident précis dans les pages Release Health consultées.

La documentation du CSP DeviceGuard décrit ./Device/Vendor/MSFT/Policy/Config/DeviceGuard/MachineIdentityIsolation avec trois valeurs : 0 désactivé, 1 audit mode et 2 enforcement mode. Cette même page classe encore ce réglage comme applicable aux builds Windows Insider Preview, ce qui renforce le point opérationnel : ne pas considérer sa présence dans une console ou un profil comme une validation de support en production généralisée.

La documentation Windows Server sur les Credential Guard protected machine accounts rappelle aussi une limite importante : l'activation déplace les secrets du compte machine vers Credential Guard, et un échec de Credential Guard après redémarrage peut empêcher l'authentification de domaine. Elle mentionne par ailleurs que la fonction a été temporairement désactivée à partir de la mise à jour de sécurité Windows d'avril pour Windows Server 2025 et Windows 11 24H2, en raison d'un problème de rotation du mot de passe machine. Ces éléments ne sont pas une nouvelle annonce de septembre, mais ils expliquent pourquoi un réglage préexistant mérite d'être revu avant d'élargir les KB.

Actions recommandées

Recommandation PatchFactory : classer le sujet À surveiller, avec une vérification ciblée dans les environnements qui manipulent Machine Identity Isolation. Pour les parcs Windows 11 classiques qui n'ont jamais activé ce réglage, l'information doit surtout enrichir le diagnostic d'incident après patching, sans ralentir à elle seule le déploiement de sécurité de septembre.

Commencer par l'inventaire des politiques. Dans Intune, rechercher les profils ou paramètres personnalisés qui ciblent DeviceGuard/MachineIdentityIsolation. Côté GPO, contrôler le paramètre Computer Configuration > Administrative Templates > System > Device Guard > Turn On Virtualization Based Security, en particulier l'option Machine Identity Isolation Configuration. Sur les postes déjà suspects, Microsoft cite aussi les chemins registre HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation et HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation.

Le résultat attendu est simple : hors domaine avec contrôleurs Windows Server 2025 au niveau fonctionnel requis, ne pas laisser la valeur en enforcement. Microsoft indique de désactiver Machine Identity Isolation avec la même méthode que celle utilisée pour l'activer, puis de redémarrer le poste. Si la relation d'approbation est déjà cassée, la procédure Microsoft ajoute ensuite une réparation du canal sécurisé avec Test-ComputerSecureChannel -Repair -Credential (Get-Credential) depuis un contexte PowerShell adapté ; cette commande est citée comme recommandation éditeur, elle n'a pas été testée dans le cadre de cette veille.

Pour les anneaux Windows Update for Business, Autopatch ou MECM encore en cours de déploiement, ajouter un contrôle court sur les populations pilotes : ouverture de session domaine après redémarrage, absence de tickets « trust relationship failed », et cohérence entre les profils Device Guard ciblés et le niveau fonctionnel AD réel. Si des postes pilotes cassent l'approbation, suspendre uniquement le périmètre qui reçoit Machine Identity Isolation enforcement et traiter la configuration avant de conclure à une régression générale des KB de septembre.

Points de vigilance

Ne pas confondre ce signal avec les autres incidents de septembre déjà traités autour de RDS, Plan9 ou USB Audio. Les correctifs OOB du 14 septembre résolvent une partie de ces sujets, mais ils ne constituent pas la résolution de l'incident Machine Identity Isolation documenté le 16 septembre.

Ne pas étendre non plus la recommandation à toutes les options Credential Guard. L'incident documenté vise Machine Identity Isolation enforcement et des Credential Guard protected machine accounts dans un contexte AD précis. Une politique Credential Guard classique n'implique pas automatiquement cette option.

Sources

• Windows 11 25H2 known issues, incident « Domain-joined devices might lose their secure trust relationship with the domain » : https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-25h2
• Windows 11 24H2 known issues : https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2
• Windows 11 26H1 known issues : https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-26h1
• DeviceGuard Policy CSP, MachineIdentityIsolation : https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-deviceguard#machineidentityisolation
• Credential Guard protected machine accounts in Windows Server 2025 : https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/delegated-managed-service-accounts/credential-guard-protected-machine-accounts