Windowsで「サインイン方法が許可されていません」エラーが出る原因と対処法

Windowsにログオンしようとした際に「サインイン方法が許可されていません（The sign-in method you're trying to use isn't allowed）」というエラーが表示される場合、グループポリシー（GPO）の設定によって、現在のユーザーアカウントによるローカルサインインが禁止されていることを意味します。

このエラーは、ゲストアカウントでコンピューターにサインインしようとした場合や、ドメイン管理者権限を持たないユーザーアカウントでドメインコントローラーにログオンしようとした場合によく発生します。ただし、その他の原因も考えられます。

エラーメッセージの内容

使用しようとしているサインイン方法は許可されていません。詳細については、ネットワーク管理者にお問い合わせください。

「ローカルでのログオンを許可」ポリシーの確認方法

コンピューターに対話的にサインインできるユーザーおよびグループの一覧は、グループポリシー（GPO）を使用して構成されています。確認手順は以下の通りです。

1. ローカルグループポリシーエディター（gpedit.msc）を開きます。
2. 「コンピューターの構成 → Windows の設定 → セキュリティの設定 → ローカル ポリシー → ユーザー権利の割り当て」へ移動します。
3. ポリシー一覧から「ローカルでのログオンを許可（Allow log on locally）」を探します。
4. このポリシーには、コンピューターにローカルでサインインできるグループとユーザーの一覧が含まれています。

オペレーティングシステムやコンピューターの役割によって、ローカルサインインが許可されるグループの一覧は異なります。例えば、Windows 10 を実行するワークステーションや、Windows Server 2022／2019／2016 を実行するサーバーでは、以下のユーザーグループにローカルサインインが許可されています。

• Administrators（管理者）
• Backup Operators（バックアップ オペレーター）
• Users（ユーザー）

一方、Active Directory ドメインコントローラーの役割（ADDS）を持つ Windows Server では、以下のグループに対話的なサインインが許可されます。

• Account Operators（アカウント オペレーター）
• Administrators（管理者）
• Backup Operators（バックアップ オペレーター）
• Print Operators（印刷オペレーター）
• Server Operators（サーバー オペレーター）

他のユーザーやグループへの許可追加

他のユーザーやグループにローカルサインインを許可することも可能です。その場合は「ユーザーまたはグループの追加」をクリックし、追加したいユーザーを選択します。逆に、管理者以外のユーザーのログオンを防止したい場合は、ポリシー設定から「Users」グループを削除するだけで対応できます。

変更後は gpupdate /force コマンドでグループポリシー設定を更新してください（再起動は不要です）。

「ローカルでのログオンを拒否」ポリシーに注意

同じ GPO セクションには、Windows へのローカル対話サインインを防ぐもう一つのポリシー「ローカルでのログオンを拒否（Deny log on locally）」も存在します。例えば、匿名でのゲストアカウントによるローカルログオンがこのポリシーで拒否されているケースがあります。

特定のグループ（またはユーザー）をこのポリシーに追加すると、その対象はコンピューターにローカルログオンできなくなります。「ローカルでのログオンを拒否」ポリシーは「ローカルでのログオンを許可」ポリシーよりも優先度が高いため、該当ユーザーは以下のエラーでログオンできなくなります。

サインイン方法が許可されていません。

ドメイン環境でのセキュリティベストプラクティス

Windows ドメインにおいて特権管理者アカウントを保護するためのベストプラクティスの一つは、ドメイン管理者アカウントによるワークステーションやサーバーへのローカルログオンを拒否することです。具体的には、「Domain Admins」グループに対して「ローカルでのログオンを拒否」ポリシーを、ドメインコントローラー以外のすべての OU に適用します。同様に、ローカルアカウントでのサインインも拒否する必要があります。

複数 GPO 環境での結果的なポリシー確認

ドメイン環境では、1台のコンピューターに複数の GPO が適用されている場合があります。ローカルサインインを許可するポリシーを確認するには、結果的なポリシー設定をチェックする必要があります。rsop.msc コンソールや gpresult ツールを使用して、コンピューター上の結果的な GPO 設定を取得できます。

RDP 接続に関する注意点

ローカルログオンが拒否されていても、ユーザーは対話型の RDP セッションを使って Windows デバイスに接続できる点に注意してください（デバイスで RDP が有効になっている場合）。リモートデスクトップ経由でのログインを許可するユーザーの一覧は、同じ GPO セクション内の「リモート デスクトップ サービスを使ったログオンを許可（Allow logon through Remote Desktop Services）」オプションで設定します。

AD の LogonWorkstations 属性による制限

「サインイン方法が許可されていません」エラーのもう一つの原因として、Active Directory のユーザー属性「LogonWorkstations」で、ユーザーがログオン可能なコンピューターの一覧が制限されているケースがあります。PowerShell の Get-ADUser コマンドレットを使えば、ユーザーがログオンを許可されているコンピューターの一覧を表示できます（デフォルトでは一覧は空です）。

(Get-ADUser maxbak -Properties LogonWorkstations).LogonWorkstations

ntrights ツールによる設定方法

場合によっては、ユーザーがドメインコントローラーや Windows Server ホストに RDP またはローカルでログオンできるようにしたいこともあるでしょう。その場合は、サーバーのローカルポリシー「ローカルでのログオンを許可」にユーザーアカウントを追加するだけで十分です。これはユーザーをローカルの Administrators グループに追加するよりも安全です。さらにセキュリティを重視するなら、RODC（読み取り専用ドメインコントローラー）の利用を検討しましょう。

また、古い Admin Pack に含まれていた ntrights ツールを使用してローカルログオンを許可することもできます。例えば、ドメイングループにローカルログオンを許可するには、以下のコマンドを実行します。

ntrights +r SeInteractiveLogonRight -u "GroupName"

ローカルログオンを拒否する場合は次のコマンドです。

ntrights -r SeInteractiveLogonRight -u "UserName"