ローカル管理者は、そのPCのAdministratorsグループ等を通じて端末を管理する立場です。Domain Adminsは、AD DSドメインの強力な管理グループです。違いはアカウント名ではなく権限の範囲です。ドメインユーザーでも特定PCのローカル管理者になれます。この記事では、通常のWindows PC・メンバーサーバーとAD DSを前提に説明します。
Adminの定義を確認
adminの定義を曖昧にしていると本記事の内容は理解し難いです。Adminの定義について以下の記事で解説していますのでご一読ください。
アドミン（admin）とは？曖昧な理解に終止符を！定義を分かり易く解説
ローカル管理者って何？
通常のWindows PC・メンバーサーバーでは、その端末のAdministratorsグループに直接またはグループ経由で所属するユーザーが、ローカルの管理権限を持ちます。
グループとは何？って方はグループアカウントの作成方法と、活用することのメリット｜Active Directoryの運用を参照してください。
ローカルのAdministratorsには、そのPCのローカルアカウントだけでなく、ドメインのユーザーやグループが含まれる場合があります。「ローカル管理者」と「ローカルアカウント」は同じ意味ではありません。なお、ドメインコントローラーは通常のメンバーPCと同じローカルアカウント管理ではないため、この説明をそのまま適用しません。
Administratorは組み込みのアカウント名、Administratorsはグループ名です。以下の古い画面例は所属の関係を示していますが、組み込みAdministratorがすべての端末で日常的に有効・使用中とは限りません。ユーザーをAdministratorsへ追加することは権限の拡大なので、説明の確認だけを目的に追加しないでください。
ドメイン管理者って何？
ドメイン管理者とはDomain Adminsというグループに所属したユーザです。
Domain Adminsは各AD DSドメインのUsersコンテナーにあるグローバルセキュリティグループです。特定のドメインコントローラーだけに閉じたローカルグループではありません。メンバーにはドメインに対する強い管理権限があります。
既定では、Domain Adminsはそのドメインに参加したコンピューターのローカルAdministratorsのメンバーになります。実際の構成やログオン制限等は管理方針によって異なります。それでもドメインへの影響が非常に大きいため、必要な管理者だけに限定して扱う権限です。
下図は、同じAD DSドメインへ参加し、既定のグループ関係を維持しているPC1・PC2の例です。Domain AdminsのユーザーSは両方で管理権限を持ちます。インターネット上のPC、未参加の端末、別ドメインやMicrosoft Entraの管理権限まで自動的に得る図ではありません。
ユーザーBにPC1のローカル管理権限だけを付けた場合、それだけではPC2の管理者にはなりません。PC2側で別の権限が付いていないことを前提にした比較です。Domain Adminsを日常作業の便利な権限として広く配らないようにします。
上記で説明した内容を理解すれば、他にも権限が複数ありますが、応用が効きますし、管理者としては運用がし易すくなります。
管理権限を確認する際は、ユーザー名だけでなく、その端末やAD DSでのグループ所属と管理方針を確認します。
また、そもそもWindowsの権限について以下の記事で解説していますので、宜しければご参考にしてください。
Windowsの管理者権限（Administrators）とユーザー権限(Users)の違いを噛み砕いて説明してみた
ローカル管理者とドメイン管理者の違い
主な違いは、端末単位の管理と、AD DSドメインに関わる広い管理です。Domain Adminsと、フォレストのEnterprise Admins、Microsoft Entraのグローバル管理者は別のグループ・役割です。また管理者グループの所属があっても、UACの昇格やログオン制限、アプリ側の許可などを確認する必要があります。
ローカル管理者とドメイン管理者の活用方法
PCのアプリ管理など端末単位の作業に、Domain Adminsが必須とは限りません。ドメイン側の作業も、必要な範囲を委任できるか検討します。普段使うアカウントと管理用アカウントを分け、作業に必要な最小権限を使うのが基本です。
ローカル管理者とドメイン管理者の適切な運用
ローカル管理者であっても、被害が必ずそのPC内だけで終わるわけではありません。同じ管理者パスワードの使い回しや端末に残った認証情報などから、影響が他の機器へ広がる危険があります。Windows LAPSなどを用いたローカル管理者パスワード管理、特権アカウントの利用先制限、日常利用との分離を検討します。Domain Adminsで一般のPCへ日常的にサインインする運用も避け、組織の管理手順に従います。
ドメインユーザーに特化した解説
ドメインユーザーに焦点を絞った解説を下記記事でしています。本記事の内容がしっくりこない場合一読ください。
【Active Directory】ドメインユーザーとは？Domain Users や Domain Adminsも絡めて明快に解説
まとめ
ローカル管理者は端末の管理権限、Domain AdminsはAD DSドメインの強力な管理グループです。アカウント名や保存先だけでなく、グループ所属と権限の範囲を見て区別してください。必要な作業に最小限の権限を割り当て、通常利用と特権管理を分けることが大切です。
公式資料
Domain Admins／ローカルグループの所属／ローカルアカウント／Windows LAPS／Entra参加端末の管理者
コメント