サインイン方法でWindowsにログオンすることは許可されていません

The sign-in method is not allowedが表示された場合 Windowsにログオンしようとしたときにエラーが発生した場合は、結果のグループポリシー設定により、現在のユーザーアカウントのローカルサインインが妨げられていることを意味します。ほとんどの場合、ゲストアカウントを使用してコンピューターにサインインしようとした場合、またはドメイン管理者権限のないユーザーアカウントを使用してドメインコントローラーにサインインしようとすると、エラーが表示されます。ただし、他にもいくつかの理由が考えられます。

The sign-in method you're trying to use isn't allowed. For more info, contact your network administrator.

コンピューターにインタラクティブにサインインできるユーザーとグループのリストは、GPOを使用して構成されます。

1. ローカルグループポリシーエディター（gpedit.msc）を開きます ）;
2. コンピューターの構成->Windowsの設定->セキュリティの設定->ローカルポリシー->ユーザー権利の割り当てに移動します;
3. 検索ローカルでのログオンを許可する ポリシーのリスト内;
4. ポリシーには、ローカルでコンピューターにサインインできるグループとユーザーのリストが含まれています。
   オペレーティングシステムとコンピューターの役割に応じて、ローカルでサインインできるグループのリスト異なる場合があります。たとえば、ローカルサインインは、Windows10を実行しているワークステーションおよびWindowsServer2022,2019,2016を実行しているサーバー上の次のユーザーグループに対して許可されます。
   • 管理者
   • バックアップオペレーター
   • ユーザー

   Active Directoryドメインコントローラーの役割（ADDS）でWindows Serverを実行しているサーバーでは、次のグループに対してインタラクティブなサインインが許可されます。

   • アカウントオペレーター
   • 管理者
   • バックアップオペレーター
   • 印刷オペレーター
   • サーバーオペレーター

5. 他のユーザーまたはグループにローカルサインインを許可できます。これを行うには、[ユーザーまたはグループの追加]をクリックします 追加するユーザーを選択します。たとえば、管理者以外のユーザーがデバイスにログオンできないようにします。これを行うには、ユーザーを削除するだけです。 ポリシー設定からグループ化します。
6. 変更を加えたら、gpupdate /forceを使用してグループポリシー設定を更新します コマンド（再起動は必要ありません）。

また、同じGPOセクションでWindowsへのローカルインタラクティブサインインを防止する別のポリシーがあることに注意してください。ポリシーはローカルでのログオンを拒否すると呼ばれます 。私の場合、Guestアカウントでの匿名のローカルログオンはコンピューターで拒否されます。

このポリシーに追加することで、特定のグループ（またはユーザー）がローカルでコンピューターにログオンするのを防ぐことができます。 ローカルでのログオンを拒否以降 ポリシーの優先度は、ローカルでのログオンを許可するよりも高くなります。 、次のエラーが発生すると、ユーザーはコンピュータにログオンできなくなります。

The sign-in method isn’t allowed.

Windowsドメインで特権管理者アカウントを保護するためのベストプラクティスの1つは、ドメイン管理者アカウントでワークステーションとサーバーへのローカルログオンを拒否することです。これを行うには、ローカルでのログオンを拒否するを割り当てます。 ドメイン管理者グループのポリシーを、ドメインコントローラーを除くすべてのOUに適用します。同様に、ローカルアカウントでのサインインを拒否する必要があります。

ドメイン環境では、複数のGPOがコンピューターに割り当てられる場合があります。したがって、ローカルサインインを許可するポリシーを取得するには、結果のポリシー設定を確認する必要があります。 rsop.mscを使用できます コンソールまたはgpresultツールを使用して、コンピューターで結果のGPO設定を取得します。

ユーザーは、ローカルログオンが拒否されている場合でも、対話型RDPセッションを使用してWindowsデバイスに接続できることに注意してください（そのデバイスでRDPが有効になっている場合）。リモートデスクトップ経由でのログインを許可されるユーザーのリストは、リモートデスクトップサービス経由のログオンを許可するを使用して同じGPOセクションで設定されます。 オプション。

「The sign-in method you are trying to use isn’t allowed」と表示されるもう1つの理由 」エラーは、ユーザーがログオンを許可されているコンピューターのリストが LogonWorkstationsで制限されている場合です。 ADのユーザー属性（詳細はこちら）。 Get-ADUser PowerShellコマンドレットの使用、 ユーザーがログオンできるコンピューターのリストを表示できます（デフォルトでは、リストは空です）：

(Get-ADUser maxbak -Properties LogonWorkstations).LogonWorkstations

場合によっては、ユーザーがRDP経由またはローカルでドメインコントローラー/Windowsサーバーホストにログオンできるようにすることができます。ローカルポリシーにユーザーアカウントを追加するだけで十分ですローカルでのログオンを許可する サーバー上で。とにかく、LocalAdministratorsグループにユーザーを追加するよりも優れています。ただし、セキュリティ上の理由から、RODCドメインコントローラーを使用することをお勧めします。

ntrightsを使用してローカルログオンを許可することもできます （このツールは、一部の古いAdmin Packバージョンに含まれていました）。たとえば、ドメイングループのローカルログオンを許可するには、次のコマンドを実行します。

ntrights +r SeInteractiveLogonRight -u "GroupName"

ローカルログオンを拒否するには：

ntrights -r SeInteractiveLogonRight -u "UserName"