次の方法で共有

付録 F: Active Directory の Domain Admins グループをセキュリティで保護する

付録 F: Active Directory の Domain Admins グループをセキュリティで保護する

エンタープライズ管理グループと同様に、ドメイン管理グループのメンバーシップは、構築またはディザスター リカバリーのシナリオでのみ必要です。 「付録D:Active Directory の組み込み管理者アカウントの保護」で説明されているように保護されている場合は、ドメインのローカル管理者アカウントを除き、DAグループに日常のユーザーアカウントは設定しないでください。

ドメイン管理者は、既定では、それぞれのドメイン内のすべてのメンバーサーバーおよびワークステーションのローカル管理者グループのメンバーとなります。 この既定の入れ子は、サポートとディザスター リカバリーのために変更することはできません。 ドメイン管理者グループがメンバサーバー上のローカルの管理者グループから削除された場合は、リンクされたGPOの制限されたグループ設定を使用して、ドメイン内の各メンバ サーバーおよびワークステーションの管理者グループに追加する必要があります。 各ドメインの Domain Admins グループは、以下の手順に従ってセキュリティで保護する必要があります。

フォレスト内の各ドメインのドメイン 管理者グループの場合:

  1. 「付録 D: Active Directory の組み込み管理者アカウントをセキュリティで保護する」の説明に従って保護されている場合は、ドメインの組み込み管理者アカウントを除き、DA グループからすべてのメンバーを削除します。

  2. 各ドメインのメンバー サーバーとワークステーションを含む OU にリンクされている GPO では、Enterprise Admins グループをComputer Configuration\Policies\ Windows 設定 \Security 設定 \Local の権限の割り当ての次のユーザー権利に追加する必要があります:

    • ネットワークからこのコンピューターへのアクセスを拒否

    • バッチ ジョブとしてのログオン権限を拒否する

    • サービスとしてのログオン権限を拒否する

    • ローカルでのログオンを拒否する

    • リモート デスクトップ サービスを使ったログオンを拒否

  3. DA グループのプロパティまたはメンバーシップが変更された場合にアラートを送信するように、監査を構成する必要があります。

Enterprise Admins グループからすべてのメンバーを削除するための詳細な手順

  1. サーバー マネージャーで、[ツール] をクリックし、[Active Directory ユーザーとコンピューター] をクリックします。

  2. DA グループからすべてのメンバーを削除するには、次の手順に従います:

    1. Domain Admins グループをダブルクリックし、[メンバー] タブをクリックします。

      Domain Admins グループからすべてのメンバーを削除するための [メンバー] タブを示すスクリーンショット。

    2. グループのメンバーを選択し、[ 削除] をクリックし、[ はい] をクリックして、[ OK] をクリックします。

  3. EA グループのすべてのメンバーが削除されるまで、手順 2 を繰り返します。

Active Directory で Enterprise 管理者をセキュリティで保護するための詳細な手順

  1. サーバー マネージャーで、[ツール] をクリックし、[グループ ポリシーの管理] をクリックします。

  2. コンソール ツリーで <Forest>\Domains\<Domain> を展開し、[グループ ポリシー オブジェクト] に移動します (ここで、<Forest> はフォレストの名前、<Domain> は、グループ ポリシーを設定するドメインの名前です)。

  3. コンソール ツリーで、 [グループ ポリシー オブジェクト] を右クリックし、[新規] をクリックします。

    Active Directory で Domain Admins Group をセキュリティで保護するために [新規] を選択する場所を示すスクリーンショット。

  4. [ 新しい GPO ] ダイアログ ボックスで、「 <GPO 名>」と入力し、[ OK ] をクリックします (ここで、 <GPO 名> はこの GPO の名前です)。

    Active Directory で Domain Admins Group をセキュリティで保護するために GPO の名前を指定する場所を示すスクリーンショット。

  5. 詳細ウィンドウで、 <GPO 名>を右クリックし、[ 編集] をクリックします。

  6. Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies に移動し、[ユーザー権限の割り当て] をクリックします。

    Active Directory で Domain Admins をセキュリティで保護するために [ユーザー権限の管理] を選択できる場所を示すスクリーンショット。

  7. 次の手順を実行して、Enterprise Admins グループのメンバーがネットワーク経由でメンバー サーバーおよびワークステーションにアクセスできないようにするには、ユーザーの権限を構成します:

    1. [ネットワーク経由のアクセスを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「Domain Admins」と入力し、[名前の確認] をクリックして、[OK] をクリックします。

      Domain Admins グループのメンバーがネットワーク経由でメンバー サーバーとワークステーションにアクセスできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  8. 次の手順を実行して、Enterprise Admins グループのメンバーがバッチ ジョブとしてログオンしないようにユーザーの権限を構成します:

    1. [バッチ ジョブとしてのログオンを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「Domain Admins」と入力し、[名前の確認] をクリックして、[OK] をクリックします。

      DA グループのメンバーがバッチ ジョブとしてログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  9. EA グループのメンバーがサービスとしてログオンできないようにするには、次の手順を実行してユーザーの権限を構成します:

    1. [サービスとしてのログオンを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「Domain Admins」と入力し、[名前の確認] をクリックして、[OK] をクリックします。

      DA グループのメンバーがサービスとしてログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  10. 次の手順を実行して、Enterprise Admins グループのメンバーがメンバー サーバーおよびワークステーションにログオンできないようにユーザーの権限を構成します:

    1. [ローカルでのログを拒否する] をダブルクリックし、[これらのポリシー設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「Domain Admins」と入力し、[名前の確認] をクリックして、[OK] をクリックします。

      Domain Admins グループのメンバーがメンバー サーバーとワークステーションにローカルにログオンできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  11. 次の手順を実行して、Enterprise Admins グループのメンバーがリモート デスクトップ サービス経由でメンバー サーバーおよびワークステーションにアクセスできないようにするには、ユーザーの権限を構成します:

    1. [リモート デスクトップ サービスを使ったログオンを拒否] をダブルクリックし、[これらのポリシーの設定を定義する] を選択します。

    2. [ユーザーまたはグループの追加] をクリックし、[参照] を クリックします。

    3. 「Domain Admins」と入力し、[名前の確認] をクリックして、[OK] をクリックします。

      Domain Admins グループのメンバーがリモート デスクトップ サービス経由でメンバー サーバーとワークステーションにアクセスできないようにユーザー権限が構成されていることを確認する方法を示すスクリーンショット。

    4. [ OK] をクリックし、もう一度 [OK] をクリックします 。

  12. グループ ポリシー管理エディターを終了するには、[ファイル] をクリックし、[終了]を クリックします。

  13. [グループ ポリシー管理] で、次の手順に従って、メンバー サーバーとワークステーションの OU に GPO をリンクします。

    1. <フォレスト>\Domains\<ドメイン> に移動します (ここで、<フォレスト> はフォレストの名前、<ドメイン> は、グループ ポリシーを設定するドメインの名前です)。

    2. GPO を適用する OU を右クリックし、[既存の GPO へのリンクを作成] をクリックします。

      GPO を適用する OU を右クリックしたときの [既存の GPO をリンクする] メニュー オプションを示すスクリーンショット。

    3. 先ほど作成した GPO を選択し、[ OK] をクリックします。

      GPO をメンバー サーバーにリンクしている間に作成したばかりの GPO を選択する場所を示すスクリーンショット。

    4. ワークステーションを含む他のすべての OU へのリンクを作成します。

    5. メンバー サーバーを含む他のすべての OU へのリンクを作成します。

      Important

      ジャンプ サーバーを使用してドメイン コントローラーと Active Directory を管理する場合は、ジャンプ サーバーが、この GPO がリンクされていない OU に存在する必要があります。

確認手順

[ネットワーク経由のアクセスを拒否] GPO 設定を確認する

GPO の変更の影響を受けないメンバー サーバーまたはワークステーション (ジャンプ サーバーなど) から、GPO の変更の影響を受けるネットワーク経由で、メンバー サーバーまたはワークステーションへのアクセスを試みてください。 GPO の設定を確認するには、 NET USE コマンドを使用してシステム ドライブのマップを試みます。

  1. Domain Admins グループのメンバーであるアカウントを使用していることを確認します。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [検索] ボックスに「コマンド プロンプト」と入力し、[コマンド プロンプト] を右クリックし、[管理者として実行] をクリックして管理者特権のコマンド プロンプトを開きます。

  4. 昇格の承認を求められたら、[ はい] をクリックします。

    [Deny access to this computer network GPO](このコンピューター ネットワーク GPO へのアクセスを拒否する) 設定の確認中に昇格を承認する場所を示すスクリーンショット。

  5. コマンド プロンプト ウィンドウで、「net use \\<Server Name>\c$」と入力します。ここで、<Server Name> は、ネットワーク経由でアクセスしようとしているメンバー サーバーまたはワークステーションの名前です。

  6. 次のスクリーンショットは、表示されるエラー メッセージを示しています。

    メンバー サーバーへのアクセス中に表示されるエラー メッセージを示すスクリーンショット。

「バッチ ジョブとしてログオンを拒否する」GPO 設定を確認

GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

バッチ ファイルを作成する

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [ 検索 ] ボックスに 「メモ帳」と入力し、[ メモ帳] をクリックします。

  3. メモ帳に「dir c:」と入力します。

  4. [ ファイル] をクリックし、[ 名前を付けて保存] をクリックします。

  5. [ ファイル 名] フィールドに、「 <Filename>.bat ( <Filename> は新しいバッチ ファイルの名前です)」と入力します。

タスクをスケジュールする

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [ 検索 ] ボックスに「 タスク スケジューラ」と入力し、[ タスク スケジューラ] をクリックします。

    Note

    Windows 8 を実行しているコンピューターの [検索 ] ボックスに「 スケジュール タスク」と入力し、[ タスクのスケジュール] をクリックします。

  3. [タスク スケジューラ] メニュー バーで、[アクション] をクリックし、[タスクの作成] をクリックします。

  4. [ タスクの作成 ] ダイアログ ボックスで、「 <Task Name> ( <Task Name> は新しいタスクの名前です)」と入力します。

  5. [ アクション ] タブをクリックし、[ 新規] をクリックします。

  6. [ アクション ] フィールドで、[ プログラムの開始] を選択します。

  7. [ プログラム/スクリプト] で、[ 参照] をクリックし、[バッチ ファイルの作成] セクションで作成した バッチ ファイル を見つけて選択し、[ 開く] をクリックします。

  8. [ OK] をクリックします。

  9. [ 全般 ] タブをクリックします。

  10. [ セキュリティ オプション] で、[ ユーザーまたはグループの変更] をクリックします。

  11. Domain Admins グループのメンバーであるアカウントの名前を入力し、[ 名前の確認] をクリックして、[ OK] をクリックします。

  12. [ユーザーがログオンしているかどうかを実行する] を選択し、[ パスワードを保存しない] を選択します。 タスクは、ローカル コンピューター リソースにのみアクセスできます。

  13. [ OK] をクリックします。

  14. タスクを実行するためのユーザー アカウント資格情報を求めるダイアログ ボックスが表示されます。

  15. 資格情報を入力したら、[ OK] をクリックします。

  16. 次のようなダイアログ ボックスが表示されます。

    資格情報を入力した後に発生するエラーを示すスクリーンショット。

「サービスとしてのログオンを拒否する」GPO 設定を確認

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [ 検索 ] ボックスに「 サービス」と入力し、[ サービス] をクリックします。

  4. [印刷スプーラー] を見つけてダブルクリックします。

  5. [ログオン] タブ を クリックします。

  6. [ログオン ] で[このアカウント] オプションを選択 します。

  7. [ 参照] をクリックし、Domain Admins グループのメンバーであるアカウントの名前を入力し、[ 名前の確認] をクリックして、[ OK] をクリックします。

  8. [ パスワード ] と [ パスワードの確認] で、選択したアカウントのパスワードを入力し、[OK] をクリック します。

  9. [ OK] を 3 回クリックします。

  10. [印刷スプーラー] を右クリックし、[再起動] をクリックします。

  11. サービスが再開されると、次のようなダイアログ ボックスが表示されます。

    サービスの再起動後に表示されるダイアログ ボックスを示すスクリーンショット。

プリンター スプーラー サービスへの変更を元に戻す

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、ローカルでログオンします。

  2. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  3. [ 検索 ] ボックスに「 サービス」と入力し、[ サービス] をクリックします。

  4. [印刷スプーラー] を見つけてダブルクリックします。

  5. [ログオン] タブ を クリックします。

  6. 次のアカウントでログオン で、ローカル システム アカウント を選択し、OK をクリックします。

「ローカルでログオンを拒否する」 GPO 設定を確認

  1. GPO の変更の影響を受けるメンバー サーバーまたはワークステーションから、EA グループのメンバーであるアカウントを使用してローカルでログオンを試みてください。 次のようなダイアログ ボックスが表示されます。

    セキュリティで保護されたドメイン管理者グループ

[リモート デスクトップ サービスを使ったログオンを拒否] GPO 設定の検証

  1. マウスを使用して、画面の右上または右下の隅にポインターを移動します。 チャーム バーが表示されたら、[検索] をクリックします。

  2. [検索] ボックスに「リモート デスクトップ接続」と入力し、[リモート デスクトップ接続] をクリックします。

  3. [ コンピューター ] フィールドに、接続するコンピューターの名前を入力し、[ 接続] をクリックします。 (コンピューター名の代わりに IP アドレスを入力することもできます。)

  4. プロンプトが表示されたら、EA グループのメンバーであるアカウントの資格情報を指定します。

  5. 次のようなダイアログ ボックスが表示されます。

    使用しているサインイン方法が許可されていないことを示すメッセージを示すスクリーンショット。

  • Last updated on