Microsoft Akui Bug Windows 11 KB5124008 yang Bisa Putuskan Domain Trust

Sebelumnya kita sudah membahas mengenai KB5129195 yang ternyata belum memperbaiki masalah login Domain di Windows 11, nah setelah cukup lama masalah tersebut dikeluhkan pengguna, Microsoft akhirnya mengakui bug tersebut guys.

Bagi kamu yang belum tahu, sebelumnya ada bug yang membuat pengguna gagal melakukan interactive login menggunakan akun domain, dan masalah ini mempengaruhi hampir semua versi Windows terbaru termasuk Windows 11 24H2, 25H2, dan 26H1.

Menurut Microsoft, Active Directory replication dan layanan pada Domain Controller tidak terdampak, tetapi workstation yang terhubung ke Domain Controller dengan Domain Functional Level (DFL) di bawah Windows Server 2025 dapat mengalami masalah.

Penyebabnya Ada di Machine Identity Isolation

Nah, masalah ini sendiri berkaitan dengan fitur Machine Identity Isolation. Sebelum KB5124008 dirilis, beberapa konfigurasi Machine Identity Isolation yang sudah ada atau diberikan melalui policy belum sepenuhnya diterapkan seperti sekarang.

Setelah update tersebut terpasang, Windows mulai menerapkan konfigurasi Machine Identity Isolation yang sebelumnya sudah tersedia pada sistem, namun masalahnya, Machine Identity Isolation membutuhkan Windows Server 2025 DFL sebagai baseline agar dapat bekerja dengan benar.

Akibatnya, workstation tertentu bisa kehilangan secure channel dengan Domain Controller, dan ketika hal tersebut terjadi, pengguna bisa mendapatkan error yang menyatakan bahwa trust relationship antara komputer dan domain gagal.

Tapi menariknya, jika komputer masih memiliki cached credentials, pengguna masih bisa melakukan login secara offline.

Microsoft Siapkan Perbaikan

Kabar baiknya, karena sekarang bug ini sudah diakui Microsoft, mereka mengatakan bahwa mereka akan menonaktifkan sementara Machine Identity Isolation enforcement melalui update Windows yang akan datang.

Namun untuk saat ini, administrator yang terdampak masih harus melakukan manual workaround, dengan menonaktifkan Machine Identity Isolation menggunakan management method yang sama ketika fitur tersebut sebelumnya diaktifkan, baik melalui Intune, Group Policy, maupun Registry.

Jika Machine Identity Isolation dikonfigurasi langsung melalui Registry, administrator perlu memeriksa dua lokasi berikut:

HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MachineIdentityIsolation

HKLM\SOFTWARE\Policies\Microsoft\Windows\DeviceGuard\MachineIdentityIsolation

Nah jika nilai MachineIdentityIsolation berada pada angka 2, ubah menjadi 0.

MachineIdentityIsolation = 2

menjadi:

MachineIdentityIsolation = 0

Setelah itu, lakukan restart pada perangkat yang digunakan. Dan, setelah Machine Identity Isolation dinonaktifkan dan perangkat sudah di-restart, administrator masih perlu melakukan repair secure channel.

Nah caranya menggunakan PowerShell dengan command berikut :

Test-ComputerSecureChannel -Repair -Credential (Get-Credential)

Nah setelah command dijalankan, Windows akan meminta credential yang memiliki permission untuk melakukan proses tersebut. Tapi kawan kawan, Microsoft juga mengingatkan bahwa administrator harus berhati-hati ketika melakukan perubahan pada Registry dan sebaiknya membuat backup Registry terlebih dahulu.

Next Steps: We plan to resolve this issue in a future Windows update by temporarily preventing Machine Identity Isolation enforcement while improvements are made to the feature.

Untuk kita pengguna rumahan sih mungkin masalah ini tidak terlalu terasa, tapi untuk pengguna perusahaan yang menggunakan domain controller, jelas ini cukup merepotkan, karena bisa sampai membuat user tidak dapat melakukan domain login.

Tapi semoga saja perbaikannya segera dirilis di update darurat berikutnya. Nah bagaimana menurutmu? apakah kamu atau organisasimu terdampak bug ini? komen dibawah guys.

Via : Microsoft