ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード
[ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード] セキュリティ ポリシー設定のベスト プラクティス、場所、値、ポリシー管理、およびセキュリティに関する考慮事項について説明します。
リファレンス
このポリシー設定は、ビルトイン Administrator アカウントの管理者承認モードの動作を決定します。
管理者承認モードが有効な場合、ローカルの Administrator アカウントは標準ユーザー アカウントのように機能しますが、別のアカウントを使ってログオンすることなく特権を昇格できます。このモードでは、特権の昇格を必要とする操作を実行しようとするとプロンプトが表示され、管理者が特権の昇格を許可または拒否できます。管理者承認モードが有効でない場合、ビルトイン Administrator アカウントは Windows XP モードでログオンし、すべてのアプリケーションが既定で完全な管理者特権で実行されます。既定では、この設定は [無効] になっています。
注
以前のバージョンの Windows オペレーティング システムからアップグレードしたコンピューターでは、そのコンピューターに存在するアカウントが Administrator アカウントだけの場合、ビルトイン Administrator アカウントがそのまま有効になると共に、この設定も有効になります。
設定可能な値
有効
ビルトイン Administrator アカウントは管理者承認モードでログオンし、特権の昇格を必要とする操作を実行しようとすると、管理者が特権の昇格の許可または拒否を選択できるプロンプトが表示されます。
無効
ビルトイン Administrator アカウントは Windows XP モードでログオンし、すべてのアプリケーションが既定で完全な管理者権限で実行されます。
ベスト プラクティス
- クライアント コンピューターでは、ビルトイン Administrator アカウントを有効にせず、標準ユーザー アカウントとユーザー アカウント制御 (UAC) を使うようにします。
場所
コンピューターの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\セキュリティ オプション
既定値
次の表に、このポリシーの実際の値と有効な既定値を示します。既定値は、ポリシーのプロパティ ページにも表示されます。
| サーバーの種類または GPO | 既定値 |
|---|---|
既定のドメイン ポリシー |
未定義 |
既定のドメイン コントローラー ポリシー |
未定義 |
スタンドアロン サーバーの既定の設定 |
無効 |
DC の有効な既定の設定 |
無効 |
メンバー サーバーの有効な既定の設定 |
無効 |
クライアント コンピューターの有効な既定の設定 |
無効 |
ポリシー管理
このセクションでは、このポリシーの管理に役立つ機能やツールについて説明します。
再起動の必要性
なし。このポリシーに対する変更がローカルに保存された場合、またはグループ ポリシーを通じて配布された場合、その変更はデバイスを再起動しなくても有効になります。
セキュリティに関する考慮事項
このセクションでは、機能やその構成が攻撃者によってどのように悪用される可能性があるかと、対策を実装する方法、対策の実装に伴う可能性のある悪影響について説明します。
脆弱性
ユーザー アカウント制御 (UAC) 機能のリスクの 1 つは、悪意のあるソフトウェアが、ユーザーや管理者に気付かれずに昇格された資格情報で実行されるリスクを軽減することを目的としていることです。悪意のあるプログラムによる攻撃では、Administrator アカウントのパスワードを特定することが常套手段となっています。これは、そのユーザー アカウントが Windows のすべてのインストールで作成されていたためです。このリスクに対処するために、Windows Vista 以降を実行するコンピューターでは、ビルトイン Administrator アカウントが無効になっています。Windows Server 2008 以降を実行するコンピューターでは、Administrator アカウントが有効になり、Administrator の初回ログオン時にパスワードを変更する必要があります。Windows Vista 以降を実行するコンピューターの既定のインストールでは、コンピューターの管理権限を持つ初期アカウントは、次のいずれかの方法でセットアップされます。
コンピューターがドメインに参加していない場合、最初に作成されるユーザー アカウントに、ローカル管理者と同等のアクセス許可が与えられます。
コンピューターがドメインに参加している場合、ローカル管理者アカウントは作成されません。ローカル管理者アカウントが必要な場合は、エンタープライズまたはドメインの管理者がコンピューターにログオンして作成する必要があります。
対策
ビルトイン Administrator アカウントを有効にしている場合は、[ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード] 設定を有効にします。
潜在的な影響
ローカル Administrator アカウントを使ってログオンしたユーザーには、プログラムが特権の昇格を要求するたびに、同意を求めるプロンプトが表示されます。