Active Directoryのドメインに参加したWindows 11のPCが40台あります。各PCに共有フォルダを作り、お互いに見に行ける運用でした。少し前までは問題なく使えていたのに、最近になって**「約半数のPCで、ほかのPCの共有フォルダにアクセスできない」**と言われるようになった。
これは、実際にいただいた質問をもとにした状況です。PC同士の共有でも、ファイルサーバーの共有でも、調べ方は変わりません。Windowsのファイアウォールか、DNSか、Kerberosか、Windows Updateか。疑えるものはいくらでもあります。けれども、ここで最初にやるべきなのは原因の候補を並べることではありません。
結論から書くと、原因を探す前に、「このPCからこのPCへ、この方法で開くと必ず成功する」と「必ず失敗する」の1組を、自分の手で確保することです。この1組があれば、あとは仕組みを下から順に確かめていくだけで、原因はほぼ絞り込めます。逆にこれが無いまま設定をいじると、直ったのかどうかすら判定できません。
この記事では、「半数がダメ」という報告がなぜそのままでは使えないのか、共有フォルダにアクセスできるまでに通る6つの段階とそれぞれの確かめ方、「前はできたのに」を説明する最近の変更、そしてそれでも分からないときの最後の手段を順に整理します。
「半数のPCでアクセスできない」は、何を数えているのか
40台のPCがお互いの共有を見に行くとき、組み合わせは何通りあるでしょうか。自分自身へのアクセスを除いて、40×39で1,560通りです。動画では19分21秒あたり（無料）で、この数をホワイトボードに書いて計算しています。
「以前は全部できていた」「いまは半数がダメ」という報告は、この1,560通りを本当に試した結果でしょうか。おそらく違います。利用者からの「つながらない」という声を集めた印象のはずです。
そして、印象からはまったく違う2つの状況が生まれます。
| 見え方 | 実際に起きていること | 疑う場所 |
|---|---|---|
| 半数の利用者が「つながらない」と言っている | よく使われる受け側のPCが1台だけ壊れていて、そこへ行く全員が困っている | その1台 |
| 半数の利用者が「つながらない」と言っている | 送り側の約20台に共通する何かが変わり、どこへも行けなくなっている | 20台に共通する変更 |
どちらも「半数がダメ」に見えますが、調べる場所は正反対です。
もう1つ、どうやって開いているかも報告からは分かりません。エクスプローラーのアドレス欄に \\PC2\share と打っているのか、ネットワークドライブの割り当てなのか、デスクトップのショートカットなのか、Excelのマクロが裏で開いているのか。ショートカットだけが失敗してドライブ割り当てでは開けるなら、壊れているのは共有ではなくショートカットです（22分33秒あたり、無料）。
だから最初にやることは、事実の表を作ることです。
- 自分が操作できるPCを1台確保する。 また聞きではなく、自分の手で試した結果だけを事実として扱う
- そのPCから、開けるPCと開けないPCを1台ずつ見つける。 開き方（UNCパスを直接打つ）もそろえる
- PCを固定してユーザーを変える、ユーザーを固定してPCを変える。どちらで結果が変わるかで、原因がPC側かユーザー側かが分かれる（26分26秒あたり、無料）
- 同じ手順で何度やっても同じ結果になることを確かめる。成功したり失敗したりするなら、まだ気づいていない条件が変わっている
成功する1組と失敗する1組が手に入れば、あとはこの2組の違いを探す作業になります。動画では30分18秒あたり（無料）で、質問者への最初のお願いとして、まさにこの「自分の端末を1台確保して、OKとNGのパターンをつかまえる」を挙げています。
共有フォルダが開くまでに通る6つの段階
失敗する1組が手に入ったら、\\PC2\share が開くまでに裏で何が起きているかを、下の段階から順に確かめます。動画では2分47秒あたりから（無料）、PC2台とドメインコントローラー1台の図を描きながら、この順番を組み立てています。
| 段階 | 起きていること | 確かめ方 | 失敗するとこう見える |
|---|---|---|---|
| 0. 電源・OS | 相手のPCが起動している | 相手の画面を見る | どの方法でもつながらない |
| 1. ネットワーク | 2台の間で通信が届く | Test-NetConnection PC2 -Port 445 |
TCP 445への接続が失敗する |
| 2. ファイアウォール | 間の機器や、相手のWindowsファイアウォールが通している | 一時的に無効にして結果が変わるかを見る | 無効にすると開ける |
| 3. 名前解決 | PC2 という名前が正しいIPアドレスになる |
nslookup PC2 |
違うIPが返る・返らない |
| 4. 認証 | ドメインコントローラーからチケットを取り、相手に自分が誰かを示す | klist |
資格情報を聞かれる・アクセス拒否 |
| 5. アクセス許可 | 共有のアクセス許可とNTFSのアクセス許可の両方が通す | 共有とフォルダのプロパティを見る | 「アクセス許可がありません」 |
いくつか補足します。
pingより、ファイル共有が使うポートそのものを確かめる。 ping PC2 は名前解決と疎通をまとめて試せる手軽な方法ですが、pingの応答はファイアウォールの設定しだいで返らないことがあります。ファイル共有（SMB）が実際に使うのはTCPの445番です。Test-NetConnection でポートを指定すれば、「ファイル共有の通り道が開いているか」を直接確かめられます。動画では4分0秒あたりから（無料）、nslookup でKerberosの配布元（KDC）のSRVレコードを引き、Test-NetConnection でドメインコントローラーのTCP 88番とファイルサーバーのTCP 445番を確かめる画面が見られます。
ファイアウォールは、迷ったら一度外して比べる。 有効のときに開けず、無効にすると開けるなら、原因はファイアウォールのルールです。そこまで分かれば、あとはルールを直すだけです（10分23秒あたり、無料）。確かめ終わったら、必ず有効に戻してください。
アクセス許可は2枚ある。 共有フォルダには「共有のアクセス許可」と「NTFSのアクセス許可」が別々にあり、両方が通さないと開けません。切り分けでは、テスト用に新しい共有を作り、両方とも全員にフルコントロールを与えて開けるかを見る、という方法もあります。開けるなら、問題は元の共有のアクセス許可です。
認証の段階で分かれる：KerberosかNTLMか
ドメインに参加したPC同士なら、本来の認証はKerberosです。アクセスする側のPCがドメインコントローラーから「PC2のファイル共有用のチケット」を受け取り、それをPC2に見せます。ところが条件がそろわないと、WindowsはNTLMという古い方式に切り替えて認証を続けようとします。どちらで認証されたかは、利用者の画面には出てきません。
確かめ方は3つあります。
klistでチケットを見る。 共有を開いたあとにklistを実行し、cifs/PC2のようなチケットが増えていればKerberosで認証されています。動画では16分12秒あたり（無料）でログオン直後のチケットを見せ、共有にアクセスしたあとの20分31秒あたり（無料）で、ファイルサーバー用のチケットが1枚増えていることを確かめています- アクセスされた側のセキュリティログを見る。 成功したログオンのイベントID 4624には「認証パッケージ」が記録され、NTLMかKerberosかが分かります。動画では6分25秒あたり（無料）で、実際にNTLMで通っていたことをこのイベントで見抜いています
- パケットを見る。 同じ共有へのアクセスでも、NTLMとKerberosではSMBのやり取りが途中から変わります。21分16秒あたり（無料）で、2つのキャプチャを並べて違いを確かめています
NTLMに落ちる典型的な原因は2つです。
1つは、IPアドレスで開いていることです。Windowsは既定では、接続先がIPアドレスのときKerberosを試さず、NTLMなどほかの方式に切り替えます（Microsoft Learn「Configuring Kerberos for IP Address」）。\\PC2\share は失敗するのに \\192.168.1.12\share は開ける、またはその逆、という結果が出たら、名前解決かKerberosのどちらかに原因が絞られます。
もう1つは、SPN（サービスプリンシパル名）の重複です。SPNは「このサービスはこのアカウントで動いている」という対応表で、Kerberosはこれを頼りにチケットを発行します。同じSPNが2つのアカウントに登録されていると、ドメインコントローラーはどちらのチケットを出すべきか分かりません。ドメインコントローラーで setspn -X を実行すると、重複しているSPNを一覧できます。何も出てこない状態が正常です。
NTLMに落ちること自体は、これまでは「認証の方式が変わるだけ」で済んでいました。問題になるのは、NTLMが制限されている環境です。サーバー側でNTLMの受け付けを止めると、Kerberosで来られないPCはアクセスできなくなります。動画では9分42秒あたり（無料）で、それまで開けていた共有がエラー0x80070043「ネットワーク名が見つかりません」に変わる様子が見られます。エラーの文言だけを見ると名前解決の問題に見えるのが厄介なところです。
「前はできたのに」を説明する、最近の変更
時系列の話を信じるなら、「前は開けたのに、半数のPCで開けなくなった」は、半数のPCかその周辺に何かの変化が入ったことを示しています。ここ1〜2年のWindowsとActive Directoryには、まさにこの症状を生む変更がいくつも入っています。
Windows 11 24H2で、SMB署名が必須になった。 Microsoft Learn「Control SMB signing behavior」によると、Windows 11 24H2のEnterprise・Pro・Educationは、出ていく接続と受ける接続の両方でSMB署名を必須にします。Windows同士なら署名はできるので通常は問題になりませんが、ゲストアクセス（ユーザー名とパスワードを確かめない接続）に頼っていた共有は開けなくなります。そもそもWindows 10 Proまでは既定で許されていたゲストでの接続が、いまのWindows 11 Proでは既定で使えません（Learn「Enable insecure guest logons in SMB2 and SMB3」）。「非認証のゲストアクセスがブロックされている」という趣旨のメッセージが出たら、これが原因です。同じ原因で、エラー0x80070035「ネットワーク パスが見つかりません」と表示されることもあります（同Learn「Control SMB signing behavior」）。名前解決やネットワークの問題に見えるので、ここでも段階表のどこで止まっているかを確かめてから判断してください。全員にフルアクセスを与えた共有を、実はゲストとして開いていた、という環境は少なくありません。機能更新が当たったPCから順に開けなくなるので、「一部のPCだけ」に見えます。
ドメインコントローラーのKerberosがRC4を使わなくなった。 長年パスワードを変えていないサービスアカウントや、古い設定が残ったアカウント、Windows以外のNASなどが、ここで認証に失敗するようになります。厄介なのは、更新済みのドメインコントローラーと未更新のドメインコントローラーが混在している期間です。クライアントは近くのドメインコントローラーを使うので、「このフロアだとつながらないのに、別の拠点だとつながる」「やり直したら開けた」という、再現しない症状になります。動画では20分26秒あたり（無料）で、この混在の落とし穴を説明しています。どのアカウントや機器が止まりやすいか、ドメインコントローラーのどのログで見つけてどの順番で直すかは、「RC4無効化の影響と対処」で詳しく整理しています。
古いNTLMの設定が、一部のPCにだけ残っている。 グループポリシーで昔入れた互換性のための設定は、ポリシーを外してもPCのレジストリに残り続けることがあります（いわゆる「タトゥー」）。同じ部署の同じ機種でも、昔その設定を受け取ったPCだけが違う動きをします。メンバー限定の回では、NTLMv1を使っている機器をイベントID 4624から洗い出す手順を14分58秒あたりから、ポリシーを戻しても値が端末に残るタトゥーの仕組みを23分13秒あたりから解説しています。さらに24分27秒あたりでは、ドメインコントローラーでいきなりNTLMv1を拒否するとアカウントのロックアウトが多発する理由を扱っています。「設定を1つ変えれば直る」話ではなく、どの順番で締めるかの判断が要る部分なので、文章の手順より、どこで事故が起きるかを図で追える動画の方が向いています。
どの変更も、全台に同時には入らないことが共通しています。更新の配信リング、機能更新のタイミング、ドメインコントローラーごとの適用日、昔のポリシーの名残。だからこそ、「半数」という印象ではなく、どのPCからどのPCへの組み合わせで失敗するのかという事実の表が効いてきます。失敗するPCのOSのバージョンや更新の適用状況をそろえて並べれば、共通点が見えるはずです。
ドメインそのものが健全かは、最初に確かめておく
ここまでの話は、ドメインコントローラー自体が正常に動いていることが前提です。ドメインコントローラーの間で複製が止まっていたり、DNSがおかしかったりすると、共有フォルダの問題に見えて、実はActive Directory全体の不調ということがあります。その場合は、共有の問題とは関係なく先に直さなければいけません。
確かめるコマンドは2つです。
dcdiag /v：ドメインコントローラーで多数のテストを実行する。最終行の「合格」だけを見て安心せず、個別のテストを上から読む。動画では0分52秒あたり（無料）で最終行だけを見る誤りを指摘し、1分42秒あたり（無料）で、一見正常な環境からSYSVOLの複製エラーが見つかる様子を見せていますrepadmin /showrepl：パーティションごとに複製が成功しているかを見る。1つでも失敗があれば先に直す
dcdiag はドメインコントローラーごとに結果が違うので、全台で実行します。メンバー限定の「診断コマンド16選」の回では、dcdiag /a で全ドメインコントローラーをまとめて調べ、「RPCサーバーを利用できません」という実際の障害が出てくる場面を3分30秒あたりから見られます。Kerberosがおかしいときに klist のチケットを捨てて取り直す使い方も、10分36秒あたりから扱っています。コマンドの出力は、どこを読めばいいかを知らないと情報量に埋もれてしまうので、実際の失敗例の画面と一緒に見るのが早い部分です。
それでも分からなければ、両端でパケットを取って並べる
6つの段階を確かめても原因が見えないときの最後の手段は、ログを取ることです。
1つはイベントログです。アクセスされた側のPCで監査を有効にすれば、ログオンの失敗（イベントID 4625）として、誰がどんな理由で拒否されたかが残ります。
もう1つはパケットです。動画では13分7秒あたりから（無料）、パケットキャプチャを「ネットワークのログ」と呼び、初動で取ってもいいくらい強力だと話しています。ポイントは2つあります。
- 両端で取る。 送る側でも受ける側でも取れば、送ったパケットが相手に届いているかが分かる。送る側は出しているのに受ける側に届いていなければ、原因は間のネットワークです（13分52秒あたり、無料）
- 成功と失敗の両方を取る。 最初に確保した「必ず成功する1組」と「必ず失敗する1組」で同じ操作をしてキャプチャし、並べる。どのパケットまでは同じで、どこから違うのかが分かれば、原因はほぼ特定できます
もう一歩進めるなら、別の環境で再現させることです。本番と同じ手順のつもりなのに検証環境では成功するなら、2つの環境のどこかに差があります。本番にあって検証環境に無いもの（特にセキュリティ製品）を1つずつ足していけば、どれを入れた時点で失敗し始めるかが分かります（16分36秒あたり、無料）。新しく作った環境で必ず再現する手順とログがあれば、メーカーへの問い合わせも一度で通ります。
そもそも、PC同士で共有しない設計にする
最後に、質問への直接の答えからは外れますが、大事な話をします。40台のPCがお互いのCドライブを共有し合う構成は、調べるべき組み合わせが1,560通りある構成です。トラブルが起きるたびに、この組み合わせのどこが壊れているかを探すことになります。
ファイルサーバーを1台置き、全員がそこを使う構成なら、組み合わせは40通りに減ります。ファイルサーバーには管理者が直接ログオンでき、ログも取れ、アクセス許可も1か所で管理できます。ほとんどのPCが開けるのに1〜2台だけ開けないなら、その1〜2台がほかと何が違うかを見ればいい。動画では24分53秒あたり（無料）で、この「質問に真面目に答えるより、やりたいことに立ち返る」話をしています。
ファイルサーバーに集約したら、次はそのファイルサーバーをどこに置くかが問題になります。PCをEntra参加に切り替えていくなら、オンプレミスのファイルサーバーへの認証はどうなるのか。Azure Filesに移すなら、どの認証方式を選べばいいのか。メンバー限定の回では、クライアント（AD参加のみ・ハイブリッド参加・Entra参加）とファイルサーバー（オンプレミス・Azure Files）の組み合わせを5分21秒あたりから整理し、設計どおりにいかない現実の障害（TCP 445が社内やプロバイダーで塞がれている問題など）とその回避策を32分17秒あたりから扱っています。
まとめ
- 「半数のPCでアクセスできない」は事実ではなく印象。40台なら組み合わせは1,560通りあり、受け側1台の故障でも同じ報告になる
- 原因を探す前に、自分の手で、必ず成功する1組と必ず失敗する1組を確保する。開き方もそろえる
- 共有が開くまでの6段階（電源、ネットワーク、ファイアウォール、名前解決、認証、アクセス許可）を下から確かめる。ポートは
Test-NetConnection -Port 445で直接見る - 認証は
klistとイベントID 4624でKerberosかNTLMかを見分ける。IPアドレスで開くとNTLMになる。SPNの重複はsetspn -X - 「前はできたのに」は、全台に同時には入らない変更を疑う。24H2のSMB署名とゲストアクセス、RC4の無効化、端末に残った古いNTLM設定
dcdiag /vとrepadmin /showreplで、ドメイン自体の健全性を先に確かめる- それでも分からなければ、成功と失敗の両方を両端でキャプチャして並べる
- PC同士の共有をやめてファイルサーバーに集めると、調べる組み合わせそのものが減る
