管理者以外のユーザーによるWindowsの再起動・シャットダウンを許可または禁止する方法

本記事では、管理者権限を持たない一般ユーザーに対して、Windows PCやサーバーの再起動・シャットダウンの権限を管理する方法を解説します。

デフォルト設定では、特権のないユーザーはデスクトップ版Windowsであれば再起動やシャットダウンが可能ですが、Windows Serverではこれらの操作を行えません(スタートメニューにシャットダウンや再起動のボタン自体が表示されません)。では、ローカル管理者権限のないユーザーにWindows Serverの再起動を許可することはできるのでしょうか。また逆に、情報キオスク端末やオペレーター用コンソールなどとして運用しているWindows 10マシンを、ユーザーが勝手に再起動できないようにするにはどうすればよいのでしょうか。それぞれ具体的な手順を見ていきましょう。

GPOを使ってシャットダウン・再起動の権限を設定する

Windowsの再起動・シャットダウン権限は、グループポリシーの 「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「ローカルポリシー」→「ユーザー権利の割り当て」 内にある 「システムのシャットダウン」 パラメーターで制御できます。

なお、デスクトップ版Windows 10とWindows Serverでは、既定のシャットダウン・再起動権限が異なる点に注意してください。

ローカルグループポリシーエディター(gpedit.msc)を開き、上記のセクションへ移動します。Windows 10 の場合、ローカルグループ Administrators、Users、Backup Operators のメンバーにシャットダウン・再起動の権限が付与されていることが確認できます。

一方、Windows Server 2016/2012 R2 では、Administrators または Backup Operators のみがサーバーをシャットダウン・再起動できます。これは理にかなった設計です。ほとんどの場合、管理者以外のユーザーがリモートサーバーを停止する権限を持つべきではないからです。RDSHサーバーを想像してみてください。ユーザーがスタートメニューの「シャットダウン」ボタンを誤ってクリックするたびにサーバーが停止してしまったら大変です。

しかし、例外が必要なケースもあります。特権を持たないユーザーにWindows Serverの再起動を許可したい場合は、このポリシーにそのユーザーアカウントを追加するだけでOKです。

また、管理者以外のユーザーに対してサービスの開始・停止・再起動の権限を付与することも可能です。

逆に、サーバー的な役割を担っているデスクトップ版Windows 10マシンを、ユーザーに再起動されたくない場合は、「システムのシャットダウン」ポリシーから Users グループを削除してください。

同様の手法で、Active Directoryドメイン内の特定OUに属するすべてのコンピューターに対して、ドメインポリシー経由でシャットダウン・再起動を許可または禁止することもできます。

ドメインのグループポリシー管理エディター(gpmc.msc)で新しいポリシー(例：Prevent_Shutdown)を作成し、「システムのシャットダウン」ポリシーのパラメーターを要件に合わせて構成したうえで、対象のコンピューターやサーバーが含まれるOUにリンクしてください。

管理者権限なしでリモートからシャットダウン・再起動を許可する

ローカル管理者権限やRDPログオン権限を与えることなく、特定のユーザーに shutdown コマンドによるサーバーのリモート再起動を許可することもできます。

その場合は、同じGPOセクション(ユーザー権利の割り当て)にある 「リモートシステムからの強制的なシャットダウン」 ポリシーにユーザーアカウントを追加します。

デフォルトではリモートからのサーバーシャットダウンは管理者のみ可能です。ここにユーザーアカウントを追加しましょう。

設定後、そのユーザーには SeRemoteShutdown 特権が付与され、次のようなコマンドでリモートからサーバーを再起動できるようになります。

shutdown -m \\hamb-rds01 -r -f -t 0

Windows 10のシャットダウン・再起動オプションを非表示にする方法

さらに、スタート画面やスタートメニューから「シャットダウン」「再起動」「休止状態」の各オプションを削除できる専用ポリシーも用意されています。ポリシー名は 「シャットダウン、再起動、スリープおよび休止コマンドを削除しアクセスを禁止する」 で、以下のGPOセクションにあります。
「ユーザーの構成」→「管理用テンプレート」→「スタートメニューとタスクバー」

このポリシーを有効化すると、ユーザーは現在のセッションを切断することしかできず、シャットダウン、スリープ、再起動のボタンはすべて使用できなくなります。

誰がサーバーを再起動・シャットダウンしたかを調べる方法

ユーザーにサーバーの再起動権限を付与したら、実際にサーバーを再起動したのが一般ユーザーなのか管理者なのかを把握したくなるでしょう。

その場合は、イベントビューアー(eventvwr.msc)のログを利用します。「Windowsログ」→「システム」 を開き、イベントID 1074 でフィルターしてください。

RDP接続ログの分析に関する記事でも触れましたが、イベントビューアーを使えばRDPアクセスの記録も確認できます。

ログを時系列で確認すると、サーバー再起動のイベントが並んでいます。イベントの説明欄には、再起動の日時、理由、実行したアカウントが表示されます。

Log Name: System
Source: User32
EventID: 1074
プロセス C:\\Windows\\system32\\shutdown.exe(BE-BAK01)が、ユーザー corp\\jsmith に代わってコンピューター BE-BAK01 の再起動を開始しました
Reason Code: 0x800000ff
Shutdown Type: restart
Comment:

同様の手順で、直近のWindowsシャットダウンイベントの情報も取得できます。その場合は、イベントID 1076 でフィルターしてください。