クローンしたWindows PCで正しい資格情報が拒否され、LSAのイベントID 6167が記録される場合は、変更する前にローカルマシンSIDを比較します。Windowsのバージョンを記録し、イベントを失敗した接続に対応付けて、両方のPCを確認してください。パスワードエラーだけでは、SIDの重複が原因とは判断できません。
証拠がSIDの重複を示している場合は、環境とサポート要件に合う対処方法を選びます。SIDが異なる場合は、何度もSIDを変更するのではなく、認証エラー自体を調べてください。
イベントID 6167は何を示すのか
ここで扱うイベントはLocal Security Authority Server Serviceによるもので、システムログに記録されます。メッセージには、次のような内容が含まれます。
マシン ID に部分的な不一致があります。
Microsoftは、SIDの重複に伴うKerberosおよびNTLM認証エラーに関連して、このイベントを説明しています。資格情報の拒否、ネットワーク共有へのアクセス失敗、リモートデスクトップ接続の失敗などが起こる場合があります。詳細はMicrosoftの重複SIDによる認証エラーの案内を参照してください。
番号だけで判断せず、イベントのソースと発生状況を確認します。コンピューターIDの不一致に関する似た文言は、別の認証問題でも表示されることがあります。
関連するWindowsのバージョンと更新プログラム
Microsoftの案内には、次のOSが対象として記載されています。
- Windows 11 バージョン24H2。
- Windows 11 バージョン25H2。
- Windows Server 2025。
関連するのは、KB5064081やKB5065426を含む、2025年8月29日以降にリリースされたWindows更新プログラムです。KB5070568は問題への対処を説明する文書であり、修正のためにインストールする更新プログラムではありません。
各PCでwinverを実行し、現在のバージョンとビルドを記録します。これらは診断に使う情報です。更新日時だけでは原因は確定しません。
対象PCのマシンSIDが重複しているか確認する
2台のPCと失敗した接続を記録する
接続元と接続先を特定します。たとえば、CLIENT-AからFILE-PCの共有を開けないケースです。RDPの場合は、接続を開始する端末と、接続先のWindowsホストを記録してください。
各PCの名前、Windowsのビルド、ドメイン参加またはワークグループの状態、同じイメージから作成したかを記録します。再接続を1回試し、正確なエラーと時刻も残してください。別のPC同士を比較したり、古いイベントを調べたりする誤りを防げます。
LSAイベントと失敗した接続を照合する
- 接続エラーを1回再現し、時刻を記録します。
- 接続を受けるWindows PCで、イベント ビューアー → Windows ログ → システムを開きます。
- 現在のログをフィルターで、その時刻付近のイベントID
6167を探します。 - LSA／LsaSrvのソース、メッセージ、日時を確認します。必要に応じて、もう一方のPCのログとも照合してください。
設定を変える前に、関連情報を保存します。古い6167の記録や一般的なログオン失敗のイベントだけでは、今回試した接続の原因は説明できません。
ローカルマシンSIDを末尾まで比較する
Microsoft SysinternalsのPsGetSidをダウンロードし、対象の各PCでPsToolsを展開します。展開先のフォルダーでPowerShellを開き、次を実行してください。
.\PsGetsid.exe両方のPCで、アカウント名を指定せずにローカル実行します。コンピューター名とアカウント名を指定しなければ、ローカルコンピューターのSIDを照会します。認証エラーでリモート照会ができない場合にも使える確認方法です。
各PCが返したマシンSID全体を比較し、最後の数値を削除しないでください。サインイン中のユーザーを示すwhoami /userや、Active DirectoryのコンピューターオブジェクトSIDで代用しないでください。ローカルとドメインのセキュリティプリンシパルは別の識別子を使います。詳細はMicrosoftのSIDに関する説明を参照してください。 複数台をまとめて調べる場合は、マシンSID重複の確認手順も参照してください。
次の値は比較方法を示す例です。
| コンピューター | マシンSID | 比較結果 |
|---|---|---|
| CLIENT-A | S-1-5-21-111111111-222222222-333333333 | 比較の基準 |
| FILE-PC | S-1-5-21-111111111-222222222-333333333 | 同じマシンSID |
| OTHER-PC | S-1-5-21-444444444-555555555-666666666 | 異なるマシンSID |
CLIENT-AからFILE-PCへの接続に失敗する場合は、その2台を比較します。OTHER-PCのSIDが異なっていても、問題の2台の重複が解消するわけではありません。
変更前に確認結果を整理する
| 確認できたこと | 次の対応 |
|---|---|
| マシンSIDが一致し、対応するLSAイベントと該当するWindows環境も確認できた | SIDの重複が原因であることを裏付ける情報がそろっています。以下の対処方法を検討します。 |
| SIDは一致するが、確認できたのは一般的なパスワードエラーだけ | 識別子の重複は確認できています。今回の接続エラーとの関係は、さらに調べる必要があります。 |
| マシンSIDが異なる | 正しい接続元と接続先を確認したかを見直し、ほかの認証原因を調べます。 |
| 該当するイベントが見つからない | 調べたPC、ログ、時間範囲を確認します。必要な情報がなければ、診断は完了していません。 |
SIDの重複を確認した場合の対処方法
Microsoftがサポートするイメージ展開手順で再構築する
この問題についてMicrosoftが示す恒久的な解決策は、サポート対象の展開方法で対象端末を再構築することです。Windowsのイメージ複製に関するポリシーでは、イメージをキャプチャする前にSysprepを実行する必要があります。不適切に準備したイメージを展開した後でSysprepを実行しても、その展開をサポート対象にする方法にはなりません。
再構築を計画し、必要なデータをバックアップしたうえで、参照用Windowsを正しく準備し、まず1台で展開を検証します。公式の一般化手順に従ってください。検索結果にコマンドが載っているという理由だけで、運用中のPCを一般化しないでください。
一時的な緩和策をMicrosoftサポートに相談する
すぐに再構築できない場合、Microsoftの案内では、専用のグループポリシーについて法人向けMicrosoftサポートに問い合わせるよう説明しています。これは一時的な緩和策であり、重複した識別子自体を解消するものではありません。未確認のレジストリ設定をコピーせず、環境に合う案内を受けてください。
既存のWindows 11 PCでSID変更機能を使う
現在の設定を残したいWindows 11環境では、Wittytool Disk Cloneの独立したSID変更機能を利用できます。ローカルマシンSIDと、そこから派生するローカルアカウントSIDを再生成し、既存のアカウント、設定、インストール済みアプリ、データを保持します。一部のアプリは自動バックアップと復元によって保持します。
新しいSIDはランダムに生成され、任意の値は指定できません。ドメインから割り当てられたユーザーSIDは変更しません。コンピューター名は、現在の名前を保持するか、プログラムに新しい名前を生成させるかを選べます。
Microsoftがサポートするイメージ準備手順と、既存PCのSID変更は別の作業です。復元可能なバックアップを作成し、まず1台でSID変更、サインイン、業務アプリ、必要なネットワーク接続を確認してから、対象を広げてください。
原因を確認した後にWittytool Disk Cloneで変更する
対象のWindows 11 PCで、復元可能なシステムバックアップ、利用できるローカル管理者アカウント、必要な回復キーを準備します。作業中のファイルを保存し、元のSIDを記録して、再起動の時間を確保してください。
ドメイン参加済みPCでは、ドメインから外してSIDを変更し、その後で再参加する流れをおすすめします。ドメイン管理者と調整し、再参加時にはドメインコントローラーに接続できる環境を用意してください。
- Wittytool Disk Cloneをダウンロードして起動し、ツール → SIDの変更を選びます。
- コンピューター名を保持するか、新しい名前を生成するかを選びます。同じネットワークで使うPCは、互いに異なる名前にしてください。
- 設定を確認して開始し、画面の案内に従います。SID変更と再起動が完了するまで中断しないでください。
- Windowsが起動したら、SIDを再確認し、元の接続もテストします。
詳しい操作はSID変更のチュートリアルを参照してください。ドメインコントローラー、クラスター、VDI基盤、重要なサーバー業務では、このPC向け手順をそのまま適用せず、各基盤のサポート手順に従ってください。
接続を検証し、残るエラーを調べる
同じSMBまたはRDP接続を再テストする
SIDの変更だけで確認を終えず、ローカルSIDを再取得し、対象PC同士を比較します。そのうえで、同じクライアントと利用予定のアカウントから、同じ接続先をテストしてください。
- SMBでは元の共有を開き、そのアカウントに許可された操作を行います。
- RDPでは元の接続を再試行し、サインインまで完了するかを確認します。
- テスト時刻の新しい関連イベントを確認します。イベント ビューアーに以前の記録が残っているだけで、対処に失敗したとは判断できません。
- 必要なアカウントとアプリが引き続き使えるか、ドメインに再参加した場合はドメインへのアクセスも確認します。
SIDが異なる場合や、認証エラーが続く場合
新しいSIDの生成を繰り返さず、使用するアカウント、アクセス許可、接続先、現在のイベント内容を見直します。一般的な共有アクセスの問題では、Windowsのネットワーク資格情報を確認する手順も参考にしてください。
ドメインやサーバーでは、セキュアチャネルの状態やKerberosの動作を調べる必要がある場合があります。たとえば、IBMの特定のクラスターアップグレード事例では、マシンSIDが重複していなくても、似たコンピューターID不一致の文言が報告されています。PCにクラスター向け修復コマンドを流用せず、原因を示す情報を確認してください。
次回のイメージ展開で同じ問題を防ぐ
サポート対象のWindowsイメージ展開では、キャプチャ前に参照用Windowsを一般化し、適切な展開手順を使います。vSphereでは、BroadcomがSID生成を有効にしたゲストOSのカスタマイズを案内しています。
展開の完了確認には、マシンの識別情報と実際のネットワークアクセスを含めてください。コピー元のSIDを1回変えてから、その同じWindows環境を複数台にコピーするだけでは、各展開先に異なるSIDが割り当てられることにはなりません。
よくある質問
コンピューター名を変更するとマシンSIDも変わりますか？
いいえ。コンピューター名とマシンSIDは別の識別子です。名前の変更は名前の重複には対処できますが、マシンSIDの重複は解消しません。
whoami /userでマシンSIDを比較できますか？
いいえ。表示されるのはサインイン中のユーザーのSIDです。アカウント名を指定せずにPsGetSidでローカルコンピューターを照会し、対象PCのマシンSID全体を比較してください。
SIDが異なっていても、コンピューターID不一致のメッセージが出ることはありますか？
はい。似た文言は別の認証問題でも表示されることがあります。対処方法を選ぶ前に、イベントのソース、接続元と接続先、マシンSID、接続状況を確認してください。
SIDの重複を直すためにKB5065426をアンインストールする必要がありますか？
更新プログラムを削除しても、重複したSIDが個別の値に変わるわけではありません。確認できた原因に合う方法を選び、Microsoftが説明する一時的な緩和策が必要な場合は、同社のサポートに相談してください。