ドメイン参加コンピュータサービスアカウントを構成する方法

デフォルトでは、標準ユーザーはコンピュータをドメインに参加できます。それは望まないことです。また、管理者はドメイン管理者アカウントを使用して、コンピュータをドメインに参加させます。これはすべての権限を持っているため最も簡単ですが、お勧めできません。代わりに、制限されたアクセス許可を持つ新しいアカウントを作成し、それを使用してコンピュータをドメインに参加させる必要があります。この記事では、ドメイン参加コンピューターアカウントを構成する方法について説明します。

コンピュータをドメインに参加させる

コンピューターをドメインに参加させると、コンピューターもドメインの一部になるため、非常に便利です。ただし、コンピュータをドメインに参加できるのはドメイン管理者だけではありません。標準ユーザーアカウントでもコンピューターをドメインに追加でき、追加すると、自動的にコンピューターの所有者になります。これにより、簡単ないくつかの手順でコンピュータを制御し、自分自身をローカル管理者にすることができるようになります。

デフォルトでは、認証されたユーザーは最大 10 台のコンピュータをドメインに追加できます。ドメインへのワークステーションの追加グループポリシーオブジェクト (GPO) は、コンピュータへの参加を許可するユーザーを決定します。デフォルトでは、これは「認証されたユーザー」に設定されています。各ユーザーが追加できるコンピューターの最大数は、ms-DS-MachineAccountQuota 設定によって制御され、デフォルトは 10 です。

ユーザーがコンピュータをドメインに参加させると、そのコンピュータオブジェクトに対する特定の権限 (GenericAll など) が自動的に付与されます。これらの権限を通常のユーザーに付与しないようにするには、この設定を編集し、コンピューターをドメインに参加させるための専用アカウントを使用することをお勧めします。

推奨読書:Windows 11 PCをWindows Serverドメインに参加させる方法

注記：ユーザーは、ドメインにユーザーアカウントを持っている限り、自分のログイン名を使用してドメインに最大 10 台のデスクトップを追加できます。これはデフォルトで設定されており、この記事に従って変更することをお勧めします。

ステップ 1. 認証されたユーザーをグループポリシーから削除する

すべてのユーザーとグループをグループポリシーから削除します。

にサインインしますドメインコントローラー
始めるグループポリシー管理
右クリックして、デフォルトのドメインコントローラーポリシー
選択編集

道へ行く[コンピュータの構成] > [ポリシー] > [Windows 設定] > [セキュリティ設定] > [ユーザー権利の割り当て]
ポリシーをダブルクリックしますワークステーションをドメインに追加する

すべてのユーザーとグループを削除します
クリックわかりました

ことを確認します。ワークステーションをドメインに追加するポリシー設定は空の

マシンアカウントのクォータ属性値を次のように設定します。0AD では、次の手順に従ってください。

始めるActive Directory ユーザーとコンピュータ
をクリックしてくださいビュー
有効にする高度な機能

右クリックして、ドメイン
クリックプロパティ

属性を選択しますms-DS-MachineAccountQuota
クリック編集

値を次のように設定します。0
クリックわかりました

ことを確認します。ms-DS-MachineAccountQuota属性は値を示します0

同じことを PowerShell で実行したいとします。

ms-DS-MachineAccountQuota 属性値を取得します。

Get-ADDomain | Get-ADObject -Properties ms-DS-MachineAccountQuota

ms-DS-MachineAccountQuota を次のように設定します。0。

Set-ADdomain -Identity contoso.com -Replace @{"ms-DS-MachineAccountQuota"="0"}

ステップ 3. 専用アカウントを作成する

コンピューターをドメインに参加させるために使用する専用のサービスアカウントを作成します。

始めるActive Directory ユーザーとコンピュータ
強力なパスワードを使用して専用のサービスアカウントを作成する

次のことを確認してください。パスワードは無期限ですアカウントオプションが選択されています

ステップ 4. アカウントにアクセス許可を付与する

コンピューターをドメインに追加、削除、再参加するために必要なアクセス許可をサービスアカウントに付与します。

始めるActive Directory ユーザーとコンピュータ
デフォルトを右クリックしますコンピュータ容器
選択委任制御…

クリック次

サービスアカウントを選択しますsvc-domainjoin
クリック次

選択委任するカスタムタスクを作成する
クリック次

選択フォルダ内の以下のオブジェクトのみ
有効にするコンピュータオブジェクトリストから
有効にする選択したオブジェクトをこのフォルダーに作成します
有効にするこのフォルダ内の選択したオブジェクトを削除します
クリック次

選択フルコントロール(クリックするとすべてが選択されます)

注記：選択させていただきますフルコントロールサービスアカウントを使用して、コンピュータをドメインに参加させるだけでなく、コンピュータの再参加、削除、名前変更にも使用したいためです。

それを確認してくださいすべて選択されています
クリック次

クリック仕上げる

ステップ 5. ドメイン参加コンピュータアカウントを確認する

すべての設定が完了したら、変更をテストすることが重要です。

注記：管理者はすべての権限を持っているため、コンピュータをドメインに参加させることができます。ただし、これらのアカウントの使用はお勧めできません。最小限の権限を持つ作成したサービスアカウントを使用する必要があります。

コンピューターにサインインし、標準ユーザーアカウントを使用してコンピューターをドメインに参加させます。エラーが表示されます。

サービスアカウントを使用してコンピュータをドメインに参加させると、正常に動作します。

それでおしまい！

結論

ドメイン参加コンピューターアカウントを構成する方法を学習しました。まず、ユーザーがコンピューターからドメインに参加することを制限します。その後、専用のサービスアカウントを設定し、このアカウントを使用してコンピュータをドメインに参加させます。チーム全体がこのことを認識し、管理者アカウントを今後使用しないようにしてください。

この記事は楽しかったですか? KRBTGT アカウントのパスワードのリセットも気に入っていただけると思います。ぜひフォローしてこの記事をシェアしてください。