Windows 11 PCを起動した瞬間に赤い盾アイコンとともに「Local Security Authority (LSA) 保護に問題があります」という警告が現れ、その詳細欄に mdnsNSP.dll（Apple Bonjour コンポーネント）が挙げられる――iTunes をインストールした覚えのあるユーザーなら、ここ数か月で同じ現象に直面しているはずです。
放置しても良いのか、業務に影響は出ないのか、どう対処すべきか。本記事では「LSA 保護」の仕組みから Bonjour の役割、最新バージョンへの安全な更新手順、さらに緊急時の応急回避策までを網羅的に解説します。
1 LSA 保護と Bonjour 警告の関係を理解する
1.1 LSA 保護とは何か
Windows 11 では Kernel-mode Hardware-enforced Stack Protection をはじめ、OS コア部分の保護機構が強化されています。
その一つが「カーネル分離 > LSA (Local Security Authority) 保護」。これは資格情報（パスワード、トークン、Kerberos チケットなど）を扱う LSA プロセスを仮想 TPM で分離し、署名済みドライバー／DLL 以外の読み込みをブロックする仕組みです。
1.2 mdnsNSP.dll がブロック対象になる理由
iTunes 同梱の旧版 Bonjour（おおむね 2023 年以前）は、ドライバー署名のポリシー更新に追従していません。
特に mdnsNSP.dll はネットワークサービスプロバイダー（NSP）として動的リンクされるため、起動時に LSA が「未署名」と判定すると以下の順序でエラーを出します。
- DLL 読み込み拒否
- イベントログに
AppModel-LSAの警告を記録 - Windows セキュリティ アプリに「LSA 保護が無効化された可能性」のトースト通知を表示
つまり警告=マルウェア感染ではなく、「古い Bonjour がセキュリティ基準を満たさない」という健全な自己防衛の結果です。
2 影響範囲を正しく評価する
| 機能 | 旧 Bonjour が必要 | 警告状態でも動作可否 | コメント |
|---|---|---|---|
| AirPlay 受信 / 送信 | 必要 | ✕（見えない/接続不可） | mDNS 解決が失敗 |
| iPhone Wi‑Fi 同期 | 必要 | △（再接続時に失敗） | iTunes が TCP 接続先を探索できない |
| iTunes Store / Apple Music 再生 | 不要 | ○ | HTTP(S) 通常通信のみ |
| Windows 認証 / VPN | 不要 | ○ | LSA 本体は保護される |
ビジネス用途で AirPlay や Bonjour プリンタを使わない場合、業務停止に直結するケースは少ないものの、セキュリティアラートが残り続けるため運用監査的には早期対処が必須です。
3 根本解決：Bonjour を最新版へ入れ替える
3.1 準備物
- Apple 公式「iTunes for Windows 64bit」インストーラー（exe 形式）
- 7‑Zip などの展開ツール
- ローカル管理者権限
3.2 手順（画像不要、コピペ用コマンド付き）
- インストーラーをローカルにダウンロードし、右クリック → 7‑Zip > 展開。
展開後フォルダ内にBonjour64.msiが生成されます。 - 「設定 > アプリ > インストール済みアプリ」へ移動し、Bonjour をアンインストール。
mdnsNSP.dllを握っているサービスがある場合は再起動を求められるので従います。 - 管理者 PowerShell を開き、次のように直接 MSI をインストール：
Start-Process msiexec.exe -Wait -ArgumentList '/i "C:\Path\To\Bonjour64.msi" /qn'/qnを外せば GUI が表示されるため初心者でも安心です。 - インストール完了後、PC を再起動。
「Windows セキュリティ > デバイス セキュリティ > カーネル分離 > LSA 保護」で問題なしと表示されれば完了。
3.3 既存 iTunes も同時更新する場合
Bonjour に加えて iTunes 本体を最新ビルド（Apple 公式版 12.14.x / Microsoft Store 版 12105.x など）へ更新すると、ドライバー署名・暗号化 API も刷新されるため長期的には安全です。Microsoft Store 版は自動更新が効くので企業環境でもメンテナンス負荷が低減します。
4 Bonjour が不要なら完全アンインストール
AirPlay、Wi‑Fi 同期、Apple TV 検出、Bonjour プリンタ――これらを一切使わない PC では Bonjour サービス自体を削除しても不都合はありません。
ただし、iTunes から iPhone を USB 接続したときにドライバー（Apple Mobile Device Service）が再インストールを試み、Bonjour も復活する場合があります。恒久的に排除したい場合は以下も併用してください：
- iTunes を Microsoft Store 版に変える（Bonjour が別パッケージ化されており必須ではない）
- グループポリシーで
%ProgramFiles%\Bonjourへの書き込みを拒否 - Apple Software Update をアンインストールし、勝手なアップデートを止める
5 応急回避策（緊急時のみ推奨）
5.1 警告バナーを一時的に消すだけ
LSA 保護を無効化すると DLL エラーは消えますが、本末転倒です。代わりにレジストリ LSA キーの「RunAsPPL」フラグを一時的に 0 にする手もありますが、企業ポリシーでロックされることが多く、再起動で元に戻るケースもあります。原則として非推奨と覚えてください。
5.2 イベントログ監視のみ継続
24H2 以降は「署名状態が『ブロック』→『監査』モードに自動移行する猶予期間」が追加実装される予定です。
やむを得ず旧環境を継続する場合は、Application and Services Logs > Microsoft > Windows > AppModel-LSA をサーバー側 SIEM で監視しておきましょう。
6 補足：Bonjour 最新版のバージョン確認方法
2025 年 6 月現在、Apple 公式配布の Bonjour 単体最新バージョンは 3.1.0.1。GUI からは「設定 > アプリ > インストール済みアプリ > Bonjour > 詳細オプション」を開くとビルド番号が確認できます。
PowerShell なら次のワンライナーでも確認可能です。
Get-Package -Name Bonjour | Select-Object Name, Versionバージョンが 3.0 系以下、またはリリース日が 2024 年より前なら、署名更新が未反映だと判断してアップデートを実施してください。
7 FAQ：よくある疑問と回答
Q1. mdnsNSP.dll はマルウェアではないの？
A. いいえ。Bonjour がマルチキャスト DNS を Windows ネイティブ DNS API へ橋渡しするための正規モジュールです。ただし旧バージョンは署名が切れているだけでなく、SHA‑1 ハッシュを使用している場合もあり、現行ポリシーでブロック対象になります。
Q2. iCloud や QuickTime も入れているが対応は同じ？
A. はい。iCloud for Windows には Bonjour が含まれ、QuickTime は別 DLL（dnssd.dll 系）を採用していた時期もあります。基本的に「最新パッケージをクリーンインストール」が最善策です。
Q3. 企業イメージ展開で回避するには？
A. 参考構成例として MDT/Intune 配布用タスクシーケンスに
① Microsoft Store 版 iTunes をサイレントインストール
② Bonjour 不要判定端末ではレジストリ HKLM\Software\Policies\Apple\Bonjour → Install=0 を事前投入
③ LSA 保護は DeviceGuard\LsaCfgFlags=1（強制）
――を組み込むことで、予防的に警告を防止可能です。
8 まとめ
- Windows 11 の LSA 保護が厳格化された結果、旧版 Bonjour に含まれる
mdnsNSP.dllが未署名扱いとなり警告が発生する。 - 影響は主に AirPlay や Wi‑Fi 同期など Bonjour 依存機能。業務アプリ自体は走るが、セキュリティ監査上はノイズとなる。
- 解決策の王道は Bonjour を最新版 3.1 系へ更新、またはそもそも Bonjour を不要ならアンインストール。
- LSA 保護を外す「応急回避」は本質的な解決にならず推奨されない。
- MDT/Intune 展開時点で最新 Bonjour または Store 版 iTunes に統一すると、組織全体の運用コストを最小化できる。
LSA 保護の警告は“一見厄介”ですが、原因は単純に「古いファイルの署名切れ」です。慌てず最新 Bonjour への入れ替え、もしくは不要なら削除する――これだけで PC 起動時の赤い盾マークとはお別れできます。今後も Windows 11 は署名要件を段階的に厳格化する計画が公表されており、ドライバー／DLL メンテナンスの自動化がますます重要になります。ぜひ本記事の手順で安全かつスマートに環境をアップデートしてみてください。
コメント
コメント一覧 （2件）
Name Version
—- ——-
Bonjour 3.1.0.1
こちらでも警告が出ました。
最新バージョンiTunesインストールexeでは、Bonjour64.msiは他のmsiファイルに取り込まれたようで解凍ソフトで抽出することはできなくなっています。Bonjour64.msi抽出可能なバージョンははBonjour 3.1.0.1で他の方のコメント通り警告が出ます。