次の方法で共有

付録 E: Active Directory の Enterprise Admins グループをセキュリティで保護する

付録 E: Active Directory の Enterprise Admins グループをセキュリティで保護する

フォレスト ルート ドメインに格納されている Enterprise 管理者 (EA) グループは、 「付録 D: Active Directory での Built-In 管理者アカウントのセキュリティ保護」で説明されているように、セキュリティで保護されている場合に、ルート ドメインの管理者アカウントを除き、ユーザーを毎日含めることはできません。

Enterprise 管理者は、既定では、フォレスト内の各ドメインの Administrators グループのメンバーになります。 各ドメインの管理者グループから EA グループを削除しないでください。フォレストのディザスター リカバリー シナリオでは、EA 権限が必要になる可能性があるためです。 フォレストの Enterprise 管理者グループは、次の手順で詳細に説明されているようにセキュリティで保護する必要があります。

フォレストの Enterprise 管理者グループの場合:

  1. 各ドメインのメンバー サーバーとワークステーションを含む OU にリンクされている GPO では、Enterprise Admins グループをComputer Configuration\Policies\ Windows 設定 \Security 設定 \Local の権限の割り当ての次のユーザー権利に追加する必要があります:

    • ネットワークからこのコンピューターへのアクセスを拒否

    • バッチ ジョブとしてのログオン権限を拒否する

    • サービスとしてのログオン権限を拒否する

    • ローカルでのログオンを拒否する

    • リモート デスクトップ サービスを使ったログオンを拒否

  2. Enterprise Admins グループのプロパティまたはメンバーシップに何らかの変更が加えられた場合にアラートを送信するように監査を構成します。

Enterprise Admins グループからすべてのメンバーを削除するための詳細な手順

  1. サーバー マネージャーで、[ツール] をクリックし、[Active Directory ユーザーとコンピューター] をクリックします。

  2. フォレストのルート ドメインを管理していない場合は、コンソール ツリーで <Domain> を右クリックし、[ ドメインの変更 ] をクリックします (ここで、 <ドメイン> は現在管理しているドメインの名前です)。

    [ドメインの変更] メニュー オプションが強調されているスクリーンショット。

  3. [ ドメインの変更 ] ダイアログ ボックスで、[ 参照] をクリックし、フォレストのルート ドメインを選択して、[ OK] をクリックします。

    [ドメインの変更] ダイアログ ボックスの [OK] ボタンを示すスクリーンショット。

  4. EA グループからすべてのメンバーを削除するには、次のようにします:

    1. Enterprise Admins グループをダブルクリックし、[メンバー] タブをクリックします。

      Enterprise Admins グループ内の [メンバー] タブを示すスクリーンショット。

    2. グループのメンバーを選択し、[ 削除] をクリックし、[ はい] をクリックして、[ OK] をクリックします。

  5. EA グループのすべてのメンバーが削除されるまで、手順 2 を繰り返します。

Active Directory で Enterprise 管理者をセキュリティで保護するための詳細な手順

  1. サーバー マネージャーで、[ツール] をクリックし、[グループ ポリシーの管理] をクリックします。

  2. コンソール ツリーで、expandv <Forest>\Domains\<Domain> 、そしてグループ ポリシー オブジェクトに移動します (ここで<Forest> はフォレストの名前、<Domain> はグループ ポリシーを設定するドメインの名前です)。

    Note

    複数のドメインが含まれているフォレストでは、Enterprise Admins グループをセキュリティで保護することを要求する、類似した GPO を各ドメインに作成する必要があります。

  3. コンソール ツリーで、 [グループ ポリシー オブジェクト] を右クリックし、[新規] をクリックします。

    [グループ ポリシー オブジェクト] メニューの [新規] メニュー オプションを示すスクリーンショット。

  4. [ 新しい GPO ] ダイアログ ボックスで、「 <GPO 名>」と入力し、[ OK ] をクリックします (ここで、 <GPO 名> はこの GPO の名前です)。

    GPO 名を入力し、ソース スターター GPO を選択する場所を示すスクリーンショット。

  5. 詳細ウィンドウで、 <GPO 名>を右クリックし、[ 編集] をクリックします。

  6. Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies に移動し、[ユーザー権限の割り当て] をクリックします。

    [ユーザー権利の割り当て] を選択する場所を示すスクリーンショット。

  7. 次の手順を実行して、Enterprise Admins グループのメンバーがネットワーク経由でメンバー サーバーおよびワークステーションにアクセスできないようにするには、ユーザーの権限を構成します:

    1. [ネットワーク経由のアクセスを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「エンタープライズ管理者」と入力し、「名前の確認」をクリックして、「OK」をクリックします。

      Enterprise Admins グループのメンバーがネットワーク経由でメンバー サーバーとワークステーションにアクセスできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  8. 次の手順を実行して、Enterprise Admins グループのメンバーがバッチ ジョブとしてログオンしないようにユーザーの権限を構成します:

    1. [バッチ ジョブとしてのログオンを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

      Note

      複数のドメインを含むフォレストで、[ 場所 ] をクリックし、フォレストのルート ドメインを選択します。

    3. 「エンタープライズ管理者」と入力し、「名前の確認」をクリックして、「OK」をクリックします。

      Enterprise Admins グループのメンバーがバッチ ジョブとしてログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  9. EA グループのメンバーがサービスとしてログオンできないようにするには、次の手順を実行してユーザーの権限を構成します:

    1. [サービスとしてのログを拒否する] をダブルクリックし、[これらのポリシー設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

      Note

      複数のドメインを含むフォレストで、[ 場所 ] をクリックし、フォレストのルート ドメインを選択します。

    3. 「エンタープライズ管理者」と入力し、「名前の確認」をクリックして、「OK」をクリックします。

      EA グループのメンバーがサービスとしてログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  10. 次の手順を実行して、Enterprise Admins グループのメンバーがメンバー サーバーおよびワークステーションにログオンできないようにユーザーの権限を構成します:

    1. [ローカルでのログを拒否する] をダブルクリックし、[これらのポリシー設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

      Note

      複数のドメインを含むフォレストで、[ 場所 ] をクリックし、フォレストのルート ドメインを選択します。

    3. 「エンタープライズ管理者」と入力し、「名前の確認」をクリックして、「OK」をクリックします。

      Enterprise Admins グループのメンバーがメンバー サーバーとワークステーションにローカルにログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  11. 次の手順を実行して、Enterprise Admins グループのメンバーがリモート デスクトップ サービス経由でメンバー サーバーおよびワークステーションにアクセスできないようにするには、ユーザーの権限を構成します:

    1. [リモート デスクトップ サービスを使ったログオンを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

      Note

      複数のドメインを含むフォレストで、[ 場所 ] をクリックし、フォレストのルート ドメインを選択します。

    3. 「エンタープライズ管理者」と入力し、「名前の確認」をクリックして、「OK」をクリックします。

      Enterprise Admins グループのメンバーがリモート デスクトップ サービス経由でメンバー サーバーとワークステーションにアクセスできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  12. グループ ポリシー管理エディターを終了するには、[ファイル] をクリックし、[終了]を クリックします。

  13. グループポリシー管理で、次の手順に従って、GPO をメンバーサーバーとワークステーションの OU にリンクします:

    1. <フォレスト>\Domains\<ドメイン> に移動します (ここで、<フォレスト> はフォレストの名前、<ドメイン> は、グループ ポリシーを設定するドメインの名前です)。

    2. GPO を適用する OU を右クリックし、[既存の GPO へのリンクを作成] をクリックします。

      [既存の GPO のリンク] メニュー オプションが強調されているスクリーンショット。

    3. 先ほど作成した GPO を選択し、[ OK] をクリックします。

      作成した GPO を選択する場所を示すスクリーンショット。

    4. ワークステーションを含む他のすべての OU へのリンクを作成します。

    5. メンバー サーバーを含む他のすべての OU へのリンクを作成します。

    6. 複数のドメインが含まれているフォレストでは、Enterprise Admins グループをセキュリティで保護することを要求する、類似した GPO を各ドメインに作成する必要があります。

Important

ジャンプ サーバーを使用してドメイン コントローラーと Active Directory を管理する場合は、ジャンプ サーバーが、この GPO がリンクされていない OU に存在する必要があります。

確認手順

[ネットワーク経由のアクセスを拒否] GPO 設定を確認する

GPO の変更 (「ジャンプ サーバー」など) の影響を受けないメンバー サーバーまたはワークステーションから、GPO の変更の影響を受けるネットワーク経由でメンバー サーバーまたはワークステーションへのアクセスを試みてください。 GPO の設定を確認するには、次の手順を実行して 、NET USE コマンドを使用してシステム ドライブのマップを試みます。

  1. EA グループのメンバーであるアカウントを使用してローカルにログオンします。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [検索] ボックスに「コマンド プロンプト」と入力し、[コマンド プロンプト] を右クリックし、[管理者として実行] をクリックして管理者特権のコマンド プロンプトを開きます。

  4. 昇格の承認を求められたら、[ はい] をクリックします。

    昇格を承認するダイアログ ボックスを示すスクリーンショット。

  5. コマンド プロンプト ウィンドウで、「net use \\<Server Name>\c$」と入力します。ここで、<Server Name> は、ネットワーク経由でアクセスしようとしているメンバー サーバーまたはワークステーションの名前です。

  6. 次のスクリーンショットは、表示されるエラー メッセージを示しています。

    表示されるエラー メッセージを示すスクリーンショット。

「バッチ ジョブとしてログオンを拒否する」GPO 設定を確認

GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

バッチ ファイルを作成する

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [ 検索 ] ボックスに 「メモ帳」と入力し、[ メモ帳] をクリックします。

  3. メモ帳に「dir c:」と入力します。

  4. [ ファイル] をクリックし、[ 名前を付けて保存] をクリックします。

  5. [ ファイル 名] ボックスに、「 <Filename>.bat ( <Filename> は新しいバッチ ファイルの名前です)」と入力します。

タスクをスケジュールする

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [ 検索 ] ボックスに「 タスク スケジューラ」と入力し、[ タスク スケジューラ] をクリックします。

    Note

    Windows 8 を実行しているコンピューターの [検索 ] ボックスに「 スケジュール タスク」と入力し、[ タスクのスケジュール] をクリックします。

  3. [ アクション] をクリックし、[ タスクの作成] をクリックします。

  4. [ タスクの作成 ] ダイアログ ボックスで、「 <Task Name> ( <Task Name> は新しいタスクの名前です)」と入力します。

  5. [ アクション ] タブをクリックし、[ 新規] をクリックします。

  6. [ アクション ] フィールドで、[ プログラムの開始] を選択します。

  7. [ プログラム/スクリプト] で、[ 参照] をクリックし、[バッチ ファイルの作成] セクションで作成した バッチ ファイル を見つけて選択し、[ 開く] をクリックします。

  8. [ OK] をクリックします。

  9. [ 全般 ] タブをクリックします。

  10. [ セキュリティ オプション ] フィールドで、[ ユーザーまたはグループの変更] をクリックします。

  11. EAs グループのメンバーであるアカウントの名前を入力し、[ 名前の確認] をクリックして、[ OK] をクリックします。

  12. [ユーザーがログオンしているかどうかを実行する] を選択し、[ パスワードを保存しない] を選択します。 タスクは、ローカル コンピューター リソースにのみアクセスできます。

  13. [ OK] をクリックします。

  14. タスクを実行するためのユーザー アカウント資格情報を求めるダイアログ ボックスが表示されます。

  15. 資格情報を入力したら、[ OK] をクリックします。

  16. 次のようなダイアログ ボックスが表示されます。

    [タスク スケジューラ] ダイアログ ボックスを示すスクリーンショット。

「サービスとしてのログオンを拒否する」GPO 設定を確認

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [ 検索 ] ボックスに「 サービス」と入力し、[ サービス] をクリックします。

  4. 印刷スプーラーを見つけてダブルクリックします。

  5. [ログオン] タブ を クリックします。

  6. [次のアカウントでログオン] で[このアカウント] を選択します。

  7. [ 参照] をクリックし、EAs グループのメンバーであるアカウントの名前を入力し、[ 名前の確認] をクリックして、[ OK] をクリックします。

  8. [ パスワード: ] と [ パスワードの確認] で、選択したアカウントのパスワードを入力し、[OK] をクリック します。

  9. [ OK] を 3 回クリックします。

  10. 印刷スプーラー サービスを右クリックし、[再起動] を選択します。

  11. サービスが再開されると、次のようなダイアログ ボックスが表示されます。

    Windows が印刷スプーラー サーバーを起動できなかったことを伝えるメッセージを示すスクリーンショット。

プリンター スプーラー サービスへの変更を元に戻す

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [ 検索 ] ボックスに「 サービス」と入力し、[ サービス] をクリックします。

  4. 印刷スプーラーを見つけてダブルクリックします。

  5. [ログオン] タブ を クリックします。

  6. 次のアカウントでログオン で、ローカル システム アカウント を選択し、OK をクリックします。

「ローカルでログオンを拒否する」 GPO 設定を確認

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、EA グループのメンバーであるアカウントを使用してローカルでログオンを試みてください。 次のようなダイアログ ボックスが表示されます。

    使用しているサインイン方法が許可されていないことを伝えるメッセージを示すスクリーンショット。

[リモート デスクトップ サービスを使ったログオンを拒否] GPO 設定の検証

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [検索] ボックスに「リモート デスクトップ接続」と入力し、[リモート デスクトップ接続] をクリックします。

  3. [ コンピューター ] フィールドに、接続先のコンピューターの名前を入力し、[ 接続] をクリックします。 (コンピューター名の代わりに IP アドレスを入力することもできます。)

  4. プロンプトが表示されたら、EA グループのメンバーであるアカウントの資格情報を指定します。

  5. 次のようなダイアログ ボックスが表示されます。

    Enterprise Admins グループをセキュリティで保護する

  • Last updated on