グループポリシー(GPO)でローカル管理者グループにユーザーを追加する方法

Active Directoryのグループポリシー(GPO)を利用すると、ドメイン参加済みのサーバーやワークステーションのローカルAdministratorsグループに、ADのユーザーやグループを追加できます。これにより、テクニカルサポート担当者、ヘルプデスクチーム、特定のユーザーなどに対して、ドメインコンピューター上でのローカル管理者権限を効率的に付与することが可能です。本記事では、GPOを使用してドメインコンピューターのローカルAdministratorsグループのメンバーを管理する方法を詳しく解説します。

ADドメインにおけるローカルAdministratorsグループ

コンピューターをADドメインに参加させると、Domain Adminsグループが自動的にローカルAdministratorsグループへ、Domain UsersグループがローカルUsersグループへ追加されます。

コンピューター上でローカル管理者権限を付与する最も簡単な方法は、「ローカル ユーザーとグループ」管理スナップイン(lusrmgr.msc)を使って、ローカルセキュリティグループAdministratorsにユーザーやグループを追加することです。しかし、対象コンピューターが多数ある場合にはこの方法は非効率であり、時間が経つと不要なアカウントが特権グループに残り続ける恐れがあります。さらに、この方法では各ドメインコンピューターのローカル管理者グループのメンバーを一元管理することも困難です。

マイクロソフトは、ADドメイン内で管理権限を分離するために、以下のグループの使用を推奨しています。

1. Domain Admins:ドメインコントローラーでのみ使用します。セキュリティの観点から、特権管理者アカウントで日常的な管理作業(ワークステーションやサーバーの管理)を行うことは推奨されません。これらのアカウントはAD管理専用(新しいドメインコントローラーの追加、レプリケーション管理、Active Directoryスキーマの変更など)に限定すべきです。ユーザー、コンピューター、GPOの管理といった日常業務は、Domain Admins権限を持たない通常の管理者アカウントに委任しましょう。ドメインコントローラー以外のワークステーションやサーバーにDomain Adminsアカウントでログオンしないことが重要です。
2. Server Admins:ドメインメンバーサーバーを管理するためのグループです。Domain Adminsグループや、ワークステーションのローカルAdministratorsグループのメンバーにしてはいけません。
3. Workstation Admins:ワークステーションのみで管理タスクを実行するためのグループです。Domain AdminsおよびServer Adminsグループのメンバーであってはなりません。
4. Domain Users:一般的なオフィス業務を行う通常のユーザーアカウントです。サーバーやワークステーションに対して管理者権限を持ってはいけません。

また、ドメインユーザーやグループに一切管理者権限を付与しない方針も選択できます。その場合は、パスワードがADに保存された(LAPSベースの)組み込みローカルAdministratorアカウントを使用して、ワークステーション上の管理タスクを実行します。

ここでは例として、特定のOU内のコンピューターに対して、テクニカルサポートおよびヘルプデスク担当者のグループにローカル管理者権限を付与したいとします。まずPowerShellで新しいセキュリティグループを作成し、テクニカルサポートのアカウントを追加します。

New-ADGroup munWKSAdmins -path 'OU=Groups,OU=Munich,OU=DE,DC=woshub,DC=com' -GroupScope Global –PassThru
Add-AdGroupMember -Identity munWKSAdmins -Members amuller, dbecker, kfisher

次に、ドメインのグループポリシー管理コンソール(GPMC.msc)を開き、新しいポリシー(GPO)AddLocalAdminsを作成して、コンピューターを含むOU(この例では「OU=Computers,OU=Munich,OU=DE,DC=woshub,DC=com」)にリンクします。

ADグループポリシーには、ドメインコンピューターのローカルグループを管理する方法が2つあります。それぞれ順番に見ていきましょう。

• グループポリシーの基本設定(GPP)によるローカルグループ管理
• 制限されたグループ(Restricted Groups)

グループポリシーの基本設定(GPP)でドメインユーザーをローカルAdministratorsに追加する方法

グループポリシーの基本設定(Group Policy Preferences: GPP)は、GPOを通じてドメインコンピューターにローカル管理者権限を付与する最も柔軟で便利な方法です。

1. 先ほど作成したAddLocalAdmins GPOを編集モードで開きます。
2. 次のGPOセクションに移動します:コンピューターの構成 → 基本設定 → コントロール パネルの設定 → ローカル ユーザーとグループ
3. 新しいルールを追加します(新規作成 → ローカル グループ)。
4. 「操作」フィールドで更新(Update)を選択します(重要なオプションです!)。
5. 「グループ名」ドロップダウンリストからAdministrators (Built-in)を選択します。このグループがコンピューター上で名前変更されていても、SID(S-1-5-32-544)に基づいてローカルAdministratorsグループに設定が適用されます。
6. 「追加」ボタンをクリックし、ローカル管理者グループに追加したいグループを選択します(この例ではmunWKSAdmins)。現在のローカルAdministratorsグループから手動で追加されたユーザーやグループを除外したい場合は、「すべてのメンバー ユーザーを削除」と「すべてのメンバー グループを削除」にチェックを入れます。多くの場合、この設定は理にかなっています。指定したドメイングループだけがドメインコンピューター上で管理者権限を持つことが保証されるからです。こうしておけば、「ローカル ユーザーとグループ」スナップインで手動でAdministratorsグループに追加したユーザーは、次回ポリシー適用時に自動的に削除されます。
7. ポリシーを保存し、ワークステーションへの適用を待ちます。即時適用するには、クライアントコンピューターでgpupdate /forceコマンドを実行します。
8. 任意のコンピューターでlusrmgr.mscスナップインを開き、ローカルAdministratorsグループのメンバーを確認します。munWKSAdminsグループのみが追加され、他のユーザーやグループは削除されているはずです。ローカル管理者の一覧は次のコマンドでも表示できます:net localgroup Administrators

ポリシーがドメインコンピューターに適用されていない場合は、gpresultコマンドで問題を診断してください。また、対象コンピューターがGPOのリンク先OUに配置されていることを確認し、「グループポリシーオブジェクトがコンピューターに適用されない場合の対処法」に関する記事の推奨事項もチェックしてください。

GPOのWMIフィルターまたは項目レベルのターゲット設定(Item-level Targeting)を使用すると、特定のコンピューターにポリシーを適用するための追加の(きめ細かい)条件を構成できます。

後者の場合、「共通」タブに移動して「項目レベルのターゲット設定」にチェックを入れ、「ターゲット設定」ボタンをクリックします。ここで、ポリシーが適用される条件を指定できます。たとえば、管理者グループを追加するポリシーを、NetBIOS/DNS名にadmを含まないWindows 10コンピューターにのみ適用したい、といった条件を設定できます。独自のフィルタリング条件も自由に組み合わせられます。

なお、個々のユーザーアカウントをこのポリシーに直接追加することは推奨されません。ドメインセキュリティグループを使用する方がよいでしょう。そうすれば、別のテクニカルサポート担当者に管理者権限を付与する際も、ドメイングループにメンバーを追加するだけで済みます(GPOを編集する必要はありません)。

制限されたグループ(Restricted Groups)によるローカル管理者グループの管理

制限されたグループポリシーでも、ドメインのグループやユーザーをコンピューターのローカルセキュリティグループに追加できます。これはローカル管理者権限を付与する従来からの方法ですが、現在ではあまり使われていません(グループポリシーの基本設定よりも柔軟性が低いためです)。

1. GPOを編集モードで開きます。
2. コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → 制限されたグループセクションを展開します。
3. コンテキストメニューから「グループの追加」を選択します。
4. 次のウィンドウで「Administrators」と入力し、OKをクリックします。
5. 「このグループのメンバー」セクションで「追加」をクリックし、ローカル管理者に追加したいグループを指定します。
6. 変更を保存し、ポリシーをクライアントコンピューターに適用して、ローカルAdministratorsグループを確認します。ポリシーで指定したグループのみが含まれているはずです。

このポリシーは常に(!)、ローカル管理者グループの他のすべてのメンバー(手動で追加されたもの、または他のポリシーやスクリプトによって追加されたもの)を削除します。複数の制限されたグループ設定を含むポリシーが同じコンピューターに適用されている場合、最後に適用されたものだけが有効になります。この制限を回避するには、まずmunWKSAdminsグループを制限されたグループに登録し、その後このグループをAdministratorsグループに追加するという方法が有効です。

GPOで特定のコンピューターのローカル管理者グループに単一ユーザーを追加する方法

特定のコンピューター上で、単一のユーザーに管理者権限を付与する必要がある場合もあります。たとえば、ドライバーのテスト、デバッグ、インストールのために時々昇格した権限が必要な開発者が数名いるようなケースです。彼らを全コンピューターのワークステーション管理者グループに追加するのは得策ではありません。

特定のコンピューターにローカル管理者権限を付与するには、次のような方法が使えます。

先ほど作成したAddLocalAdminsポリシーのGPO基本設定セクション(コンピューターの構成 → 基本設定 → コントロール パネルの設定 → ローカル ユーザーとグループ)で、以下の設定内容でAdministratorsグループの新しいエントリを作成します。

• 操作:更新
• グループ名:Administrators (Built-in)
• 説明:「mun-dev-wks21コンピューターのローカル管理者にamullerを追加」
• メンバー:追加 → amuller
• 「共通」→「ターゲット設定」タブで、次のルールを指定します:「NETBIOSコンピューター名が mun-dev-wks24 である」。これは、このポリシーがここで指定したコンピューターにのみ適用されることを意味します。

また、コンピューター上でグループ設定が適用される順序(GPPの「順序(Order)」列)にも注意してください。ローカルグループの設定は上から下へ(「順序1」のポリシーから順に)適用されます。

最初のGPPポリシー(前述の「すべてのメンバー ユーザーを削除」「すべてのメンバー グループを削除」設定を含むもの)が、ローカル管理者グループからすべてのユーザー/グループを削除し、指定されたドメイングループを追加します。その後、追加のコンピューター固有のポリシーが適用され、指定されたユーザーがローカル管理者として追加されます。Administratorsグループのメンバーシップの適用順序を変更したい場合は、GPOエディターコンソール上部のボタンを使用してエントリを並べ替えてください。