MENU

PowerShellでローカル管理者権限を検出・削除するセキュリティ対策方法

PowerShell

Windows PCのセキュリティ対策として、ローカル管理者権限の管理は非常に重要な課題です。不要なローカル管理者アカウントを放置すると、悪意のあるアクセスやランサムウェア感染などのセキュリティリスクが高まります。特に企業環境では、複数の端末で適切な権限管理を行うことが、情報漏洩やシステム障害を防ぐ鍵となります。本記事では、PowerShellを使用して効率的にローカル管理者アカウントを検出し、必要に応じて削除する方法を具体的に解説します。これにより、セキュリティリスクを低減し、システムの健全性を維持するための手法を学ぶことができます。

目次

ローカル管理者権限のリスクと重要性

ローカル管理者権限がもたらすリスク


ローカル管理者権限を持つアカウントは、システムに完全な制御権を持ちます。この権限を悪用されると、以下のような深刻なリスクが発生します：

1. マルウェア感染のリスク増大


ローカル管理者権限を利用して、攻撃者が不正なソフトウェアをインストールする可能性があります。これにより、ランサムウェアやキーロガーなどの悪意あるプログラムがシステム全体に影響を及ぼす危険性があります。

2. 不正アクセスの温床


権限を持つアカウントが不正に利用されると、ファイルの削除、システム設定の変更、他のアカウント情報の取得など、システム全体が危険にさらされます。

3. セキュリティポリシーの回避


ローカル管理者権限を持つユーザーは、パスワードポリシーやインストール制限などのセキュリティルールを簡単に回避でき、企業のセキュリティポリシーが無効化される恐れがあります。

適切な管理の重要性


ローカル管理者権限を適切に管理することで、次のようなメリットが得られます：

1. セキュリティの向上


不要な権限を削除することで、システムのセキュリティが強化され、攻撃対象が減少します。

2. 管理負担の軽減


ローカル管理者アカウントを整理することで、権限管理の簡素化が図られ、IT管理者の負担が軽減します。

3. コンプライアンスの遵守


適切な権限管理は、GDPRやISO 27001などのコンプライアンス基準を満たすために不可欠です。

次章では、PowerShellを使用してローカル管理者権限を効率的に検出するための基本スクリプトを解説します。

PowerShellによるローカル管理者検出の基本スクリプト

ローカル管理者グループの検出手法


PowerShellは、ローカル管理者グループに属するアカウントを簡単に検出するための強力なツールです。この手順を実施することで、現在の管理者権限を持つユーザーを特定できます。

基本的なPowerShellスクリプト


以下は、ローカル管理者グループのメンバーを取得する基本スクリプトです：

# ローカル管理者グループのメンバーを取得
$LocalAdmins = Get-LocalGroupMember -Group "Administrators"

# メンバー情報を出力
$LocalAdmins | ForEach-Object {
    Write-Output "Name: $($_.Name), PrincipalType: $($_.ObjectClass)"
}

スクリプトの説明

1. `Get-LocalGroupMember` コマンドレット


このコマンドレットは、指定したグループ（この場合は “Administrators”）のメンバー情報を取得します。

2. `ForEach-Object` と出力のフォーマット


各メンバーの名前とその種別（ユーザーまたはグループ）をループ処理で整形して出力します。

スクリプトの実行結果


このスクリプトを実行すると、以下のような出力が得られます：

Name: AdminUser, PrincipalType: User  
Name: DomainAdmins, PrincipalType: Group  
Name: SYSTEM, PrincipalType: User

これにより、どのユーザーやグループが管理者権限を持っているかを明確に把握できます。

次のステップ


次章では、この基本スクリプトの詳細な応用例を紹介し、特定の条件に基づいて管理者権限をフィルタリングする方法を解説します。

スクリプトの詳細解説と応用例

基本スクリプトの詳細解説


先ほど紹介した基本スクリプトをさらに詳細に分解して説明します。

1. `Get-LocalGroupMember` の使用


このコマンドレットは、指定したローカルグループ（ここでは “Administrators”）に属するすべてのメンバーを返します。結果には、ユーザーだけでなく、グループも含まれる場合があります。

2. オブジェクトプロパティ


取得したメンバー情報には以下のプロパティが含まれます：

  • Name：メンバーの名前
  • ObjectClass：ユーザー（User）またはグループ（Group）などの種類
  • SID：セキュリティ識別子（Security Identifier）

例：$LocalAdmins[0] で個別メンバーのプロパティを確認可能です。

$LocalAdmins[0] | Select-Object *

応用例：特定の条件でフィルタリング


以下は、応用スクリプト例です。特定の条件に基づいてメンバーをフィルタリングします。

1. ユーザーのみを取得


ローカル管理者グループに属する個別ユーザーのみを取得するスクリプトです。

$LocalAdmins = Get-LocalGroupMember -Group "Administrators"  
$UsersOnly = $LocalAdmins | Where-Object { $_.ObjectClass -eq "User" }  

# 出力
$UsersOnly | ForEach-Object {
    Write-Output "User: $($_.Name)"
}

2. グループのみを取得


ローカル管理者グループに含まれるサブグループを特定します。

$GroupsOnly = $LocalAdmins | Where-Object { $_.ObjectClass -eq "Group" }  

# 出力
$GroupsOnly | ForEach-Object {
    Write-Output "Group: $($_.Name)"
}

3. 特定のユーザーやグループを検出


特定のアカウント（例: “AdminUser”）が管理者グループに含まれているかをチェックします。

$TargetUser = "AdminUser"
$IsMember = $LocalAdmins | Where-Object { $_.Name -eq $TargetUser }

if ($IsMember) {
    Write-Output "$TargetUser is a member of Administrators group."
} else {
    Write-Output "$TargetUser is not a member of Administrators group."
}

スクリプトの応用例

1. CSVファイルへのエクスポート


取得した管理者アカウントをCSV形式で保存する方法です。

$LocalAdmins = Get-LocalGroupMember -Group "Administrators"
$LocalAdmins | Export-Csv -Path "LocalAdmins.csv" -NoTypeInformation

2. 管理者リストのメール送信


特定の管理者リストをメールで共有するスクリプト例です。

$LocalAdmins = Get-LocalGroupMember -Group "Administrators"  
$AdminsList = $LocalAdmins | Out-String  

Send-MailMessage -From "[email protected]" -To "[email protected]" -Subject "Local Admins List" -Body $AdminsList -SmtpServer "smtp.example.com"

次のステップ


次章では、ローカル管理者権限を削除するためのPowerShellスクリプトとその安全な実行方法について解説します。

ローカル管理者権限を削除するPowerShellスクリプト

ローカル管理者権限の削除とは


不要なアカウントがローカル管理者グループに含まれている場合、そのアカウントを削除することがセキュリティ対策の重要な一環となります。以下に、PowerShellを使用して効率的にローカル管理者権限を削除するスクリプトを紹介します。

削除スクリプトの基本構造


以下のスクリプトは、指定したアカウントをローカル管理者グループから削除します。

# 削除対象アカウントの名前
$AccountToRemove = "AdminUser"

# ローカル管理者グループからアカウントを削除
Try {
    Remove-LocalGroupMember -Group "Administrators" -Member $AccountToRemove
    Write-Output "Account '$AccountToRemove' has been successfully removed from the Administrators group."
} Catch {
    Write-Output "Failed to remove account '$AccountToRemove'. Error: $($_.Exception.Message)"
}

スクリプトの説明

1. `Remove-LocalGroupMember` コマンドレット


このコマンドレットは、指定したグループ（ここでは “Administrators”）からメンバーを削除します。-Member パラメータで削除対象のアカウント名を指定します。

2. エラーハンドリング


Try-Catch ブロックを使用して、削除に失敗した場合のエラーをキャッチし、詳細なメッセージを表示します。これにより、問題が発生した際に迅速なトラブルシューティングが可能です。

応用例：複数アカウントの削除


複数のアカウントを一括で削除するスクリプト例です：

# 削除対象のアカウントリスト
$AccountsToRemove = @("AdminUser1", "AdminUser2", "OldAdmin")

# ループで各アカウントを削除
$AccountsToRemove | ForEach-Object {
    Try {
        Remove-LocalGroupMember -Group "Administrators" -Member $_
        Write-Output "Account '$_' has been successfully removed."
    } Catch {
        Write-Output "Failed to remove account '$_'. Error: $($_.Exception.Message)"
    }
}

削除前の確認手順


削除する前に、対象アカウントが管理者グループに含まれているかを確認することが推奨されます。以下のスクリプトで確認できます：

$LocalAdmins = Get-LocalGroupMember -Group "Administrators"
$AccountToCheck = "AdminUser"

if ($LocalAdmins.Name -contains $AccountToCheck) {
    Write-Output "Account '$AccountToCheck' is a member of Administrators group."
} else {
    Write-Output "Account '$AccountToCheck' is not a member of Administrators group."
}

スクリプトの実行環境と注意点

  • 管理者権限で実行：これらのスクリプトは、PowerShellを管理者権限で実行する必要があります。
  • バックアップの作成：削除操作を行う前に、システムのバックアップを作成することをお勧めします。
  • 対象の確認：意図しないアカウントを削除しないよう、対象リストを慎重に確認してください。

次のステップ


次章では、削除スクリプトの実行後に権限削除が正しく行われたことを確認する手順について解説します。

権限削除スクリプトの検証手順

削除操作の検証が重要な理由


ローカル管理者権限の削除後に正しく検証を行わないと、削除対象が完全に削除されていなかったり、誤ったアカウントに影響を与えたりするリスクがあります。本節では、削除スクリプトの実行結果を確認する手順を解説します。

管理者グループの再確認


削除操作が正しく行われたかを確認するには、再度ローカル管理者グループのメンバーを取得します。

# 管理者グループのメンバーを再取得
$LocalAdmins = Get-LocalGroupMember -Group "Administrators"

# グループメンバーを出力
Write-Output "Updated Administrators group members:"
$LocalAdmins | ForEach-Object {
    Write-Output "Name: $($_.Name), PrincipalType: $($_.ObjectClass)"
}

削除対象のアカウントがリストに含まれていなければ、削除操作が成功したことを確認できます。

特定アカウントの存在チェック


削除したアカウントが管理者グループから除外されているかを明示的に確認するスクリプトです。

# 削除対象アカウントの確認
$AccountToVerify = "AdminUser"
$IsStillMember = Get-LocalGroupMember -Group "Administrators" | Where-Object { $_.Name -eq $AccountToVerify }

if ($IsStillMember) {
    Write-Output "Account '$AccountToVerify' is still in the Administrators group."
} else {
    Write-Output "Account '$AccountToVerify' has been successfully removed."
}

ログの活用


削除プロセスを監査するために、操作結果をログファイルに保存する方法を紹介します。

# ログファイルのパス
$LogFile = "C:\Logs\AdminGroupChangeLog.txt"

# 管理者グループの最新メンバーをログに記録
Get-LocalGroupMember -Group "Administrators" | ForEach-Object {
    "Name: $($_.Name), PrincipalType: $($_.ObjectClass)" | Out-File -FilePath $LogFile -Append
}

Write-Output "Log has been updated at $LogFile"

削除スクリプトのテスト環境構築


本番環境で実行する前に、以下の手順でテスト環境を構築し、動作確認を行うことをお勧めします。

1. 仮想環境でのテスト


仮想マシンを使用して、スクリプトを安全に実行し、影響を確認します。

2. テスト用のダミーアカウント作成


テスト用のローカルユーザーを作成し、削除操作を検証します。

# テスト用アカウント作成
New-LocalUser -Name "TestUser" -Password (ConvertTo-SecureString "P@ssw0rd!" -AsPlainText -Force) -PasswordNeverExpires:$true

# 管理者グループに追加
Add-LocalGroupMember -Group "Administrators" -Member "TestUser"

# 削除操作をテスト
Remove-LocalGroupMember -Group "Administrators" -Member "TestUser"

トラブルシューティングのポイント


削除操作が失敗した場合の一般的な原因と解決方法を以下に示します：

  1. アカウント名の入力ミス：アカウント名が正しいか確認してください。
  2. 権限不足：PowerShellを管理者として実行しているか確認してください。
  3. アカウントが存在しない：削除対象のアカウントが既に削除されていないか確認してください。

次のステップ


次章では、セキュリティ強化のための適切なポリシー設定方法について解説します。これにより、ローカル管理者アカウントをより効率的に管理できます。

適切なセキュリティポリシーの設定方法

セキュリティポリシーの重要性


ローカル管理者権限の削除だけでは、十分なセキュリティ対策とは言えません。管理者権限を適切に管理し、不正なアクセスや権限の乱用を防ぐためには、ポリシー設定が欠かせません。本節では、Windows環境におけるセキュリティポリシーの設定方法を解説します。

グループポリシーの活用


Windowsのグループポリシーを利用して、ローカル管理者アカウントの管理を強化できます。以下は、具体的な設定手順です。

1. ローカル管理者グループへの追加制限


グループポリシーを使用して、ローカル管理者グループに特定のアカウントのみを追加できるように制限します。

  1. グループポリシーエディタを開く
  • gpedit.msc を実行してローカルグループポリシーエディタを開きます。
  1. ポリシーの設定
  • [コンピュータの構成] > [Windowsの設定] > [セキュリティ設定] > [制限されたグループ] を選択します。
  • [Administrators] グループを編集し、許可されたメンバーを指定します。
  1. 適用と検証
  • ポリシーを適用後、gpupdate /force を実行して反映します。

2. ログオン試行の監査


ログオン試行を監視することで、異常な動きを検知できます。

  1. 監査ポリシーを設定
  • [コンピュータの構成] > [Windowsの設定] > [セキュリティ設定] > [ローカルポリシー] > [監査ポリシー] を選択します。
  • [ログオンイベントの監査] を有効にし、成功と失敗を記録します。
  1. イベントビューアで確認
  • イベントビューアを開き、[セキュリティ] ログでログオンイベントを確認します。

アカウントポリシーの設定


不正アクセスを防ぐために、アカウントポリシーを適切に設定します。

1. 強力なパスワードポリシー


以下のポリシーを適用することで、アカウントの安全性を向上させます：

  • パスワードの最小長：12文字以上
  • 複雑な文字列の使用（英大文字、小文字、数字、特殊文字）
  • パスワードの有効期限：90日以内

設定方法：

  • [コンピュータの構成] > [Windowsの設定] > [セキュリティ設定] > [アカウントポリシー] > [パスワードポリシー]

2. アカウントロックアウトポリシー


アカウントロックアウトを設定することで、不正なログイン試行を防ぎます：

  • ロックアウトしきい値：5回失敗
  • ロックアウト期間：30分

設定方法：

  • [アカウントポリシー] > [アカウントロックアウトポリシー]

スクリプトを利用した一括設定


PowerShellを使用してポリシーを一括設定する方法を紹介します。

# パスワードポリシーの設定
SecEdit.exe /export /cfg "C:\Temp\SecurityTemplate.inf"
(Get-Content "C:\Temp\SecurityTemplate.inf") -replace "PasswordComplexity = 0", "PasswordComplexity = 1" |
    Set-Content "C:\Temp\SecurityTemplate.inf"
SecEdit.exe /configure /db secedit.sdb /cfg "C:\Temp\SecurityTemplate.inf"

# アカウントロックアウトポリシーの設定
SecEdit.exe /export /cfg "C:\Temp\SecurityTemplate.inf"
(Get-Content "C:\Temp\SecurityTemplate.inf") -replace "LockoutThreshold = 0", "LockoutThreshold = 5" |
    Set-Content "C:\Temp\SecurityTemplate.inf"
SecEdit.exe /configure /db secedit.sdb /cfg "C:\Temp\SecurityTemplate.inf"

セキュリティポリシー適用後の検証


ポリシーが適用されているかを確認するには、以下のコマンドを使用します：

# パスワードポリシーの確認
net accounts

# アカウントロックアウトポリシーの確認
secedit /export /cfg "C:\Temp\PolicyCheck.inf" | Select-String "LockoutThreshold"

次のステップ


次章では、複数デバイスへのスクリプト適用方法を解説します。これにより、広範な環境で効率的にセキュリティ対策を展開できます。

応用：複数デバイスへのスクリプト適用方法

複数デバイスへの適用が必要な理由


企業や組織では、複数のWindows端末に一貫したセキュリティ対策を施すことが必要です。PowerShellスクリプトを活用することで、複数デバイスに対して効率的に設定を展開できます。本章では、スクリプトをリモートで実行する方法や管理を簡素化する手法を解説します。

1. PowerShell Remoting を使用したリモート実行

PowerShell Remoting の有効化


PowerShell Remoting を使用すると、リモートマシンでスクリプトを実行できます。以下の手順で有効化します：

# WinRMの有効化
Enable-PSRemoting -Force

# リモートアクセスを許可するファイアウォール設定
Set-NetFirewallRule -Name "WINRM-HTTP-In-TCP" -Enabled True

リモート実行のスクリプト


リモートPCでスクリプトを実行する基本コマンドです：

# ターゲットPCの名前またはIPアドレス
$RemotePC = "RemotePC1"

# 実行するスクリプト
$Script = {
    Get-LocalGroupMember -Group "Administrators" | Where-Object { $_.ObjectClass -eq "User" }
}

# リモート実行
Invoke-Command -ComputerName $RemotePC -ScriptBlock $Script

2. Active Directory 環境での一括適用

グループポリシーによるスクリプト展開


Active Directory (AD) 環境では、グループポリシーを使用して複数のデバイスにスクリプトを配布できます。

  1. スクリプトファイルを準備
  • ローカル管理者権限を削除するPowerShellスクリプトを .ps1 ファイルとして保存します。
  1. グループポリシーにスクリプトを登録
  • [グループポリシー管理] > [コンピュータの構成] > [スクリプト] > [スタートアップ] に登録します。
  1. 適用範囲の設定
  • グループポリシーのリンクを適切なOUに適用してスクリプトを配布します。

Active Directoryスクリプト例


以下のスクリプトをAD環境で実行し、複数PCの管理者アカウントを一括削除します。

# ドメイン内のすべてのコンピュータを取得
$Computers = Get-ADComputer -Filter * | Select-Object -ExpandProperty Name

# 各コンピュータでスクリプトを実行
$ScriptBlock = {
    Remove-LocalGroupMember -Group "Administrators" -Member "OldAdmin"
}

foreach ($Computer in $Computers) {
    Invoke-Command -ComputerName $Computer -ScriptBlock $ScriptBlock
}

3. スクリプト管理ツールの利用


大規模な環境では、以下の管理ツールを使用するとスクリプト展開がさらに効率的になります：

Microsoft Intune


Intuneを使用して、PowerShellスクリプトを一元管理し、対象デバイスに自動配布できます。

  1. Intuneポータルにアクセス
  2. [デバイス] > [スクリプト] > [新しいスクリプトの追加]
  3. 配布するスクリプトをアップロード

System Center Configuration Manager (SCCM)


SCCMを活用して、詳細なデプロイ設定を行うことで効率的にスクリプトを展開できます。

4. リモート操作の検証

実行結果の収集


リモート操作後、結果を収集してスクリプトの実行状況を確認します。

# リモートマシンの実行結果を取得
Invoke-Command -ComputerName $RemotePC -ScriptBlock {
    Get-LocalGroupMember -Group "Administrators"
} | Out-File -FilePath "C:\Logs\RemoteExecutionResult.txt"

次のステップ


次章では、これまで解説した内容を総括し、PowerShellを用いたセキュリティ管理のポイントをまとめます。これにより、実践的な対策を確立できるようになります。

まとめ

本記事では、PowerShellを用いてWindows PCのローカル管理者権限を検出および削除する方法について解説しました。ローカル管理者権限を適切に管理することは、システムセキュリティの基盤を強化し、不正アクセスやマルウェア感染のリスクを低減する重要なステップです。

主な内容として、以下のポイントを取り上げました：

  • ローカル管理者権限のリスクと、その管理の重要性
  • ローカル管理者グループのメンバーを検出する基本スクリプト
  • 不要なアカウントを削除するためのスクリプトと手順
  • 削除操作の検証方法とセキュリティポリシーの適用手順
  • 複数デバイスへのスクリプト展開方法と管理ツールの活用

これらの手法を組み合わせることで、セキュリティ管理を効率化し、組織全体のITインフラを強化することが可能です。PowerShellの柔軟性を活かし、さらに高度な自動化や監査プロセスの構築にも挑戦してみてください。

セキュリティ対策を徹底することで、安定したIT環境の維持と運用コストの削減を実現しましょう。

PowerShell
PowerShell セキュリティ ローカル管理者権限

この記事を書いた人

佐藤健司のアバター 佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。

関連記事

コメント

コメントする

目次