【Windows】Windows11 24H2/25H2で共有フォルダ・NASにアクセスできない原因と対処｜ゲストアクセスとSMB署名

Windows 11 を 24H2 以降(25H2 を含む)に上げたら、それまで普通に開けていた NAS や共有フォルダに急にアクセスできなくなった、というトラブルがある。エクスプローラーでは次のようなメッセージが出る。

組織のセキュリティ ポリシーによって非認証のゲスト アクセスがブロックされているため、この共有フォルダーにアクセスできません。

原因は NAS の故障ではなく、Windows 側の既定の設定が厳しくなったことである。この記事では、原因の切り分け方と、安全な直し方、どうしても直せない場合の回避策を、Microsoft の公式ドキュメントに沿ってまとめる。

うちの NAS は前からユーザー名とパスワードを付けて接続しているので、私自身はこのトラブルには当たっていない。ただ、自分の PC(Windows 11 Pro 25H2)の設定を確認してみたところ、Microsoft の説明と違うところがあった。そこで、署名を必須にした状態を自分の PC で作り、家の NAS 2台につながるかも試した。その結果も後半に載せておく。

原因は2つ: ゲストアクセスの禁止と、SMB 署名の必須化

24H2 以降で共有フォルダが開けなくなる原因は、ほぼ次の2つのどちらか(または両方)である。

Microsoft のドキュメントでは、それぞれ次のように説明されている。

• ゲストアクセス: Windows 11 Pro は Insider Preview ビルド 25267 以降、リモート サーバーから求められてもゲスト資格情報では接続しないのが既定になった(Windows 10 の Enterprise・Education などは以前から同じ)
• SMB 署名: Windows 11 24H2 の Enterprise・Pro・Education では、送信と受信の両方で SMB 署名が必須になった。Home エディションは必須ではない
• 2つの関係: SMB 署名はゲストでは使えない。そのため、ゲストアクセスを許可する設定にしても、署名が必須のままだとゲストでは接続できない

ただし、私の PC(Windows 11 Pro 25H2)では、SMB 署名は必須になっていなかった。アップグレードを重ねてきた PC だからだと考えられる(後述)。必須かどうかは PC によって違うことがあるので、まず自分の PC の設定を確認するのが早い。

つまり、会社や家庭でよくある「Windows 11 Pro + パスワードなしで使っている NAS」の組み合わせが、一番当たりやすい。

まず今の設定を確認する

PowerShell で次を実行すると、自分の PC の設定が分かる。管理者権限は不要である。

Get-SmbClientConfiguration | Format-List RequireSecuritySignature, EnableInsecureGuestLogons

• RequireSecuritySignature が True: SMB 署名が必須になっている
• EnableInsecureGuestLogons が False: ゲストでの接続を許可していない

あわせて、Windows のバージョンとエディションも確認しておく。「ファイル名を指定して実行」(Win + R)で winver と入力すると表示される。

安全な直し方: NAS にユーザーを作って、パスワード付きで接続する

Microsoft も NAS のメーカーも勧めているのは、Windows 側の守りを弱めるのではなく、NAS 側をパスワード付きの接続に切り替える方法である。

1. NAS の管理画面で、共有フォルダにアクセスするユーザー(ユーザー名とパスワード)を作り、共有フォルダの権限を付ける。手順は NAS のメーカーごとに違うので、各社のマニュアルを見てほしい
2. NAS の設定で SMB 署名が無効になっていたら有効にする。設定項目が見当たらなければ、ファームウェアを最新にする
3. Windows からは、作ったユーザー名とパスワードで接続する

パスワード付きの接続は、コマンドなら net use で張れる。

net use \\NASの名前\共有フォルダ名 /user:ユーザー名 *

最後の * を付けると、パスワードを画面に出さずに入力できる。PC を起動するたびに自動で接続したい場合は、以前書いたネットワークフォルダや共有フォルダに自動でログインする(net use)のやり方がそのまま使える。NAS へのバックアップを自動化している場合はRobocopy で ID/パスワード付きの NAS にバックアップするも参考にしてほしい。

なお Microsoft のドキュメントでは、IP アドレスで接続しない(\\192.168.x.x\共有 ではなく名前で接続する)ことも勧められている。

どうしても NAS 側を直せない場合の回避策(非推奨)

古い NAS でユーザーを作れない、SMB 署名に対応していない、といった場合は、Windows 側の設定を緩めることになる。ただし Microsoft は、どちらの回避策も勧めていない。ゲストアクセスを許可すると、偽のサーバーへの誘導や中間者攻撃、ランサムウェアの危険が増える。会社の PC では自分で変えず、情報システム部門に相談すること。グループポリシーで管理されている PC では、変えても元に戻される。

それでも変える場合は、管理者として実行した PowerShell で次を実行する。

# ゲストでの接続を許可する
Set-SmbClientConfiguration -EnableInsecureGuestLogons $true -Force

# 接続時の SMB 署名を必須にしない
Set-SmbClientConfiguration -RequireSecuritySignature $false

ゲストで接続したい場合は、上の2つを両方変える必要がある(ゲストでは署名が使えないため)。グループポリシー(gpedit.msc)で変える場合の場所は次のとおり。

• ゲスト: [コンピューターの構成] → [管理用テンプレート] → [ネットワーク] → [Lanman ワークステーション] の「安全でないゲスト ログオンを有効にする」
• 署名: [コンピューターの構成] → [Windows の設定] → [セキュリティの設定] → [ローカル ポリシー] → [セキュリティ オプション] の「Microsoft ネットワーク クライアント: 常に通信にデジタル署名を行う」

NAS 側を直せたら、次のコマンドで元に戻しておく。

Set-SmbClientConfiguration -EnableInsecureGuestLogons $false -Force
Set-SmbClientConfiguration -RequireSecuritySignature $true

私の PC で確認した結果

自分の PC で、この記事の確認コマンドを実際に実行してみた。まずバージョンは、Windows 11 Pro の 25H2(OS ビルド 26200.9711)である。

次に、SMB クライアントの設定を確認した。

• EnableInsecureGuestLogons は False。ゲストでの接続は許可されていない。Microsoft の説明どおりで、パスワードなしの共有にはこの PC からは入れない状態である
• RequireSecuritySignature も False。Microsoft のドキュメントでは「24H2 の Pro は SMB 署名が必須」となっているが、私の 25H2 Pro では必須になっていなかった

なぜ署名が必須になっていなかったのか

この PC は新しく買ったものではなく、アップグレードを重ねてきた PC である。アップグレードの履歴は、次のコマンドで確認できる。

Get-ChildItem HKLM:\System\Setup | Where-Object Name -like "*Source OS*" | Select-Object Name

私の PC では、2021年1月、2023年12月、2025年1月の3回分が出てきた。さらに、署名の設定が入っているレジストリを見てみた。

Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters | Format-List RequireSecuritySignature, EnableSecuritySignature

RequireSecuritySignature : 0
EnableSecuritySignature  : 1

RequireSecuritySignature が 0(必須にしない)と、はっきり入っていた。EnableSecuritySignature が 1 なので、署名そのものには対応している。24H2 より前の Windows では「必須にしない」が既定だったので、アップグレードを重ねるうちに、そのときの値が残ったと考えられる。ただし、「アップグレードでは前の値が引き継がれる」と明言した Microsoft の文書は見つけられていない。

つまり、アップグレードしてきた PC は古い NAS にも入れるのに、新しく買った PC だけ入れないということが起こりうる。会社で新しい PC を配ったら、その PC だけ共有フォルダが開けない、という場面である。

署名を必須にしても、家の NAS につながるか試した

実際に、家の NAS とは署名なしで通信していた。今つながっている SMB の接続は、管理者として実行した PowerShell で次のように確認できる(管理者でないと「アクセスが拒否されました」になる)。

Get-SmbConnection | Format-List ServerName, ShareName, Dialect, Signed, Encrypted

Dialect が SMB のバージョン、Signed が署名付きで通信しているかどうかである。私の PC では、2台の NAS とも Dialect 3.1.1、Signed False だった。

そこで、新しく買った PC と同じ状態を作るため、署名を必須にしてから NAS に接続し直してみた。すでに張られている接続は古い設定のまま残るので、NAS をいつもの名前ではなく IP アドレスで開いて、新しい接続を作っている(再起動しても確かめられる)。

IP アドレスで張った新しい接続は、2台とも Signed True(署名付き)でつながった。いつもの名前で張っていた古い接続は Signed False のままである。署名に対応している NAS なら、PC 側で署名を必須にしても問題なくつながる、ということになる。

問題がなかったので、私の PC はこのまま署名を必須にしておくことにした。新しく買った Windows 11 と同じ状態で、改ざんやなりすましのサーバーへの接続を防げるので、こちらのほうが望ましい。逆に言えば、24H2 以降で NAS に入れなくなるのは、NAS が署名に対応していない(または署名を切っている)場合か、ゲスト共有を使っている場合である。

なお、うちの NAS にはユーザー名とパスワード付きで接続していて、問題なく使えている。この記事の「安全な直し方」の状態である。

この記事のまとめ

• Windows 11 24H2 以降で NAS に入れなくなる原因は、ゲストアクセスの禁止と SMB 署名の必須化
• アップグレードしてきた PC は署名が必須になっていないことがある(私の 25H2 Pro がそうだった)。新しく買った PC だけ入れない、が起こりうる
• 署名に対応した NAS なら、署名を必須にしてもつながる(家の NAS 2台で確認)
• まず Get-SmbClientConfiguration で、自分の PC の設定を確認する
• 直し方の本命は、NAS にユーザーを作ってパスワード付きで接続すること(SMB 署名も有効にする)
• Windows 側の設定を緩めるのは最後の手段。会社の PC では情報システム部門に相談する

参考

• Windows クライアントと Windows Server の SMB2 および SMB3 でセキュリティで保護されていないゲスト ログオンを有効にする(Microsoft Learn)
• SMB 署名動作の制御(Microsoft Learn)