グループポリシーを使用してユーザーアカウント制御を無効化/変更する方法は？

Windows 7（およびそれ以降）では、コンピューターのUAC設定は、特別なスライダー（コントロールパネルまたはUserAccountControlSettings.exeから呼び出されます）を使用して管理されます。 ファイル）。スライダーを使用して、4つの事前定義されたユーザーアカウント制御保護レベルのいずれかを選択できます。

• レベル4—常に通知— 最高のUAC保護レベル;
• レベル3—プログラムがマイコンピュータに変更を加えようとしたときにのみ通知します（デフォルト）– デフォルトの保護レベル;
• レベル2—プログラムがコンピューターに変更を加えようとしたときにのみ通知します（デスクトップを暗くしないでください）– 前のレベルとほぼ同じですが、デスクトップロック付きのセキュアデスクトップに切り替えません。
• レベル1—通知しない– UACが無効になっています。

Windows 10のデフォルトでは、UAC保護レベル3 が使用され、システムファイルまたは設定を変更しようとしたときにのみ通知が表示されます。

GPOを使用してWindowsでユーザーアカウント制御を無効にする方法

グループポリシーを使用してUACを無効にできます。スタンドアロンコンピューターでは、ローカルグループポリシーエディターgpedit.mscを使用できます。 。ドメインコンピューターにポリシーを展開する必要がある場合は、グループポリシー管理コンソール– gpmc.mscを使用する必要があります。 （このオプションを検討しましょう。）

1. ドメインGPO管理コンソールで、UACを無効にするコンピューターがあるOUをクリックし、新しいポリシーオブジェクトを作成します。
2. ポリシーを編集し、[コンピューターの構成]->[ポリシー]->[Windowsの設定]->[セキュリティの設定]->[ローカルポリシー]->[セキュリティオプション]のセクションに移動します。;
3. このセクションには、UAC設定を制御するいくつかのオプションがあります。これらのパラメータの名前は、ユーザーアカウント制御で始まります;
4. UACを完全に無効にするには、次のパラメータ値を設定します。
   • ユーザーアカウント制御：管理者承認モードでの管理者に対する昇格プロンプトの動作 =Elevate without prompting;
   • ユーザーアカウント制御：アプリケーションのインストールを検出し、昇格のプロンプトを表示します =Disabled;
   • ユーザーアカウント制御：すべての管理者を管理者承認モードで実行します =Disabled;
   • ユーザーアカウント制御：安全な場所にインストールされているUIAccessアプリケーションのみを昇格させます =Disabled 。
5. グループポリシー設定を更新してUACを無効にするには、クライアントコンピューターを再起動する必要があります。再起動後、UACは「通知しない」モードに切り替わります。

レジストリを介して一部のユーザー/コンピューターに対してのみUACを無効にし、グループポリシーの基本設定を使用して設定を展開することもできます。

GPOセクションコンピューターの構成の下に新しいレジストリパラメーターを作成します ->設定 ->Windowsの設定 ->レジストリ 次の設定で：

• アクション：交換
• ハイブ：HKEY_LOCAL_MACHINE
• キーパス：SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System
• 値の名前： EnableLUA
• 値のタイプ：REG_DWORD
• 値データ：0

次に、共通に移動します タブをクリックしてオプションを有効にします：

• このアイテムが適用されなくなったら削除します
• アイテムレベルのターゲティング

ターゲティングをクリックします ボタンをクリックして、UAC無効化ポリシーを適用するコンピューターまたはドメインセキュリティグループを指定します。

UACレジストリキーの設定

レジストリを介してUAC設定を管理できます。ユーザーアカウント制御の動作に関与するパラメーターは、レジストリキー HKLM \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ Systemの下にあります。 。

コントロールパネルでUACスライダーの値を変更すると、Windowsはこのregキーからレジストリ設定の値を次のように変更します（以下は、ユーザーアカウント制御スライダーのさまざまなレベルの準備ができたREGファイルです）：

UACレベル4（常に通知）：

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000002
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UACレベル3（プログラムがコンピューターに変更を加えようとした場合にのみ通知）：

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000001
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UACレベル2：

"ConsentPromptBehaviorAdmin"=dword:00000005
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

UACレベル1（通知しない— UACを完全に無効にする）：

"ConsentPromptBehaviorAdmin"=dword:00000000
"ConsentPromptBehaviorUser"=dword:00000003
"EnableInstallerDetection"=dword:00000001
"EnableLUA"=dword:00000001
"EnableVirtualization"=dword:00000001
"PromptOnSecureDesktop"=dword:00000000
"ValidateAdminCodeSignatures"=dword:00000000
"FilterAdministratorToken"=dword:00000000

レジストリエディタGUIを使用するか、コマンドプロンプトから、任意のパラメータの値を変更できます。たとえば、コンピューターでUACを無効にするには（再起動が必要です）、次のコマンドを実行できます。

reg.exe ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f.

または同様のPowerShellコマンド：

New-ItemProperty -Path HKLM:Software\Microsoft\Windows\CurrentVersion\policies\system -Name EnableLUA -PropertyType DWord -Value 0 -Force

WindowsServerでのユーザーアカウント制御

Windows Serverのユーザーアカウント制御は、Windowsデスクトップエディションの場合と同じように機能し、管理されます。

次の条件が当てはまる場合は、WindowsServer2016/2019でUACを完全に無効にすることができます。

• 管理者のみがサーバーデスクトップにリモートアクセスできます（管理者以外のユーザーのサーバーへのRDPアクセスは無効にする必要があります）。 RDSホストでは、UACを有効のままにします;
• 管理者は、管理管理タスクにのみWindowsServerを使用する必要があります。管理者は、サーバーホストではなく、UACが有効になっている非特権ユーザーアカウントのワークステーションでのみ、オフィスドキュメント、メッセンジャー、Webブラウザーを操作する必要があります（管理者アカウントを保護するためのベストプラクティスに関する記事を確認してください）。

UACが有効になっている場合、Windows Serverは、ローカルコンピューターアカウントでリモート接続することを許可しません（net use、winrm、Powershell Remotingを介して）。ユーザーのトークンは、有効なUAC LocalAccountTokenFilterPolicyによってフィルタリングされます パラメータ（前のセクションで説明）

UACスライダーとグループポリシーの設定

スライダーとGPOの両方を使用してUAC設定を管理できます。ただし、4つのUAC保護レベル（UACスライダーの位置に対応）のいずれかを選択できる単一のグループポリシーパラメーターはありません。代わりに、10個の異なるGPOパラメーターを使用してUAC設定を管理することをお勧めします。これらのポリシーは、GPOエディターの次のセクションにあります。コンピューターの構成->ポリシー->Windowsの設定->セキュリティの設定->ローカルポリシー->セキュリティオプション 。 UAC関連のグループポリシーパラメータは、ユーザーアカウント制御で始まります 。

次の表に、UACグループポリシーパラメータとそれに対応するレジスタキーのリストを示します。

デフォルトでは、UACレベル3は次のグループポリシー設定を使用します。

UACレベル3（デフォルト）