Windows 11 Pro の初回セットアップでローカル管理者アカウントを作り忘れ、標準ユーザーのまま業務を始めてしまう――実務では珍しくありません。ここでは、HP ProDesk を念頭に「net user で Administrator を有効化したのに再起動で無効に戻る」「PC のリセットが必ず失敗する」「Microsoft 365 の全体管理者を付けても変わらない」といった症状を想定し、最短で権限を復旧する具体的な手順と、再発防止・運用設計まで網羅的に解説します。
想定シナリオと症状の整理
以下のような状況を想定します。期限（例：9/22 に CAD ソフトをリモート導入）が迫る中、管理者権限が必須です。
- 初回セットアップ時にローカル管理者アカウントを作成し忘れ、標準ユーザーで運用を開始。
- 通常起動で
net user administrator /active:yesや lusrmgr.msc を実行しても組込み Administrator が有効化されない。 - セーフモードでは「成功しました」と表示されるのに、再起動すると無効に戻る。
- 「この PC をリセットする」は「問題が発生しました」で必ず失敗する。
- Microsoft 365 の全体管理者ロールを付与してもローカル権限は変わらない。
よくある原因の俯瞰
| 現象 | 主な原因候補 | ポイント |
|---|---|---|
| Administrator を有効化しても再起動で無効 | ローカルセキュリティポリシー／MDM（Intune）ベースライン、OEM タスクが再無効化 | ポリシー適用時は起動後に強制で無効化されるため、WinRE での対処と「ポリシーの修正」がセット |
| PC リセットが失敗 | BitLocker、WinRE 不整合、回復イメージ破損、OEM 付加ソフトの影響 | BitLocker の一時停止／回復キー確認、オフライン SFC/DISM、インストールメディアから修復を検討 |
| Microsoft 365 全体管理者でもローカル権限が付かない | テナントのロールはクラウド資源向け。端末ローカル権限とは別物 | Entra ID（旧 Azure AD）参加端末は Intune/ロールで「追加ローカル管理者」を割り当てる |
最短ルート：WinRE から Administrator を有効化し、普段使いユーザーを昇格
まずは Windows 回復環境（WinRE）で組込み Administrator を確実に有効化し、ログオン後に標準ユーザーを管理者グループへ昇格します。起動後にポリシー等で「無効に戻る」問題を回避するため、昇格直後にポリシー側も見直します。
WinRE に入る
- ログイン画面で Shift を押しながら「再起動」。
- トラブルシューティング > 詳細オプション > コマンド プロンプト を選択。
- BitLocker が有効なら回復キーの入力が求められます。未回収の場合は管理ポータルや記録から取得しておきます。
Administrator を有効化し、パスワードを設定
net user administrator /active:yes
net user administrator <強力な新パスワード>
続けて、普段使いアカウントをローカル管理者に追加します（ローカルユーザー名の例：taro）。
net localgroup administrators "taro" /add
端末が Microsoft Entra ID（旧 Azure AD）参加で、クラウド ID を直接管理者に加えたい場合は、次のように表記します。
net localgroup administrators "AzureAD\user@contoso.com" /add
コマンドを閉じて再起動し、表示された Administrator でログオン。すぐに「普段使いユーザー」でサインインして管理者権限が付いたことを確認します。
起動後に再び無効化されるのを防ぐ（必須）
- ローカル セキュリティ ポリシー（secpol.msc） > 「ローカル ポリシー > セキュリティ オプション」
「アカウント: Administrator アカウントの状態」を 有効 にする（必要時）。 - タスク スケジューラで OEM／セキュリティ製品が Administrator を無効化するタスクを持っていないか確認。
- MDM/Intune 管理の場合：
「Endpoint security（アカウント保護）/ 設定カタログ」で Administrators グループのメンバーを上書きするポリシーが適用されていないか確認し、必要ユーザー（またはグループ）を追加。
通常起動での権限状態を正確に確認する
- 設定 > アカウント > ユーザーの情報で、アカウント種別が「管理者」になっているか。
- 設定 > アカウント > 職場または学校へのアクセスで、ドメイン/Entra ID 参加の有無。
- コンピュータの管理 > 「ローカル ユーザーとグループ」>「グループ」>「Administrators」に対象ユーザーが含まれるか。
それでもダメな場合の第二ルート：インストールメディアで修復／クリーンインストール
WinRE での対処で改善しない、あるいは OS 自体の整合性が崩れていると判断できる場合は、Windows 11 のインストール USB から起動して修復を試みます。
インストールメディアからの修復
- Windows 11 インストール USB で起動し、「今すぐインストール」は押さずに左下のコンピューターを修復するを選択。
- トラブルシューティングから以下を順に検討：
- スタートアップ修復（起動関連の問題がある場合）
- システムの復元（復元ポイントがある場合）
- コマンド プロンプトから オフライン SFC/DISM による整合性修復
オフライン SFC/DISM の例
WinRE ではドライブ文字が入れ替わることがあります。まず diskpart で確認します。
diskpart
list vol
exit
Windows ボリュームが C: であると確認できた場合のコマンド例：
sfc /scannow /offbootdir=C:\ /offwindir=C:\Windows
DISM /Image:C:\ /Cleanup-Image /RestoreHealth
インストールメディアをソースにする場合（ドライブが E: の例）：
DISM /Image:C:\ /Cleanup-Image /RestoreHealth /Source:WIM:E:\sources\install.wim:1 /LimitAccess
クリーンインストールの判断基準
修復で改善しない／時間的制約が厳しい場合は、クリーンインストールが最も確実です。インストール後の OOBE（初期設定）で必ず「ローカル管理者」アカウントを作成し、必要に応じて Entra ID 参加や Intune 登録を行います。
注意：クリーンインストールはデータ消去を伴います。外付けストレージ等にバックアップを取得し、アプリのライセンス情報・BitLocker 回復キー・VPN 設定を控えてから実施してください。
BitLocker／OEM 固有設定の確認ポイント
- BitLocker の状態確認：
manage-bde -status暫定対応として起動前に一時停止する場合：manage-bde -protectors -disable C: -RebootCount 1これにより次回起動時の保護が一時的に無効化され、修復作業の失敗率を下げられます（必要時のみ）。 - WinRE の有効性確認：
reagentc /info無効ならreagentc /enable - HP 固有機能：多くの HP 機種では F11 でメーカー回復環境（HP Recovery）へ入れます。ここから初期化できる場合は手順を短縮できます。
「Microsoft 365 の全体管理者」と「端末ローカル管理者」は別物
Microsoft 365（Entra ID／Exchange 等）上のロールはクラウド資源の管理権限であり、端末のローカル Administrators グループとは無関係です。端末が Entra ID 参加の管理下にある場合は、以下いずれか（または両方）でローカル管理者を割り当てます。
- Intune（Endpoint Manager）で「追加のローカル管理者」を構成
設定カタログ／セキュリティベースライン／ローカルユーザーとグループのいずれかで、対象ユーザーまたは Azure AD グループを Administrators に追加。 - Entra ID の「端末ローカル管理者」相当のロール（旧称：Azure AD joined device local administrator）を、必要ユーザーへ割り当て。
権限の違いまとめ
| 権限の種類 | 作用範囲 | 用途 |
|---|---|---|
| Microsoft 365 全体管理者 | クラウド（テナント） | Exchange/SharePoint/Teams 等の管理 |
| ローカル Administrators グループ | 端末（Windows） | アプリ導入、ドライバ、ポリシー適用、UAC 昇格 |
| Entra ID「端末ローカル管理者」ロール/Intune 追加管理者 | Entra ID 参加端末 | クラウドからローカル管理者を配布 |
期限が迫るときの実戦プラン（優先度順）
- WinRE で Administrator を有効化 → 普段使いユーザーを昇格（本記事の手順）。
- 起動後すぐにポリシー／タスクの見直しを行い、再無効化が走らない状態に整える。
- リセット失敗が絡む場合は、インストールメディアからの修復（SFC/DISM）までを速やかに実行。
- 改善が見込めない／構成が複雑な場合は、クリーンインストールで確実にリカバリー。
再発防止：標準運用の作り方
- 初期設定で「名指しのローカル管理者」を必ず 1 つ作成（組込み Administrator は常用しない）。
- 作業完了後は組込み Administrator を無効化：
net user administrator /active:no - 強固なパスワード／多要素認証（Entra ID 側）と BitLocker 回復キーの保管。
- Intune のベースラインでは「Administrators の上書き」設定に注意。必要ユーザー/グループを予め追加。
- 回復ドライブの作成：障害時に WinRE へ確実に入れるよう USB 回復メディアを常備。
- 導入手順書に「ローカル管理者作成」「BitLocker 回復キー確認」「ドライバ適用」のチェックリストを明記。
補助テクニック：不確定要素をつぶすチェックリスト
| 確認項目 | 手段 | 想定アクション |
|---|---|---|
| 端末の参加状態 | 設定 > アカウント > 職場または学校 | Entra ID 参加なら Intune ポリシーも確認 |
| Administrator の可視性 | ローカル セキュリティ ポリシー | 「アカウント: Administrator アカウントの状態」を有効に |
| BitLocker 状態 | manage-bde -status | 必要に応じて一時停止／回復キー準備 |
| WinRE の有効性 | reagentc /info | 無効なら reagentc /enable |
| リセット失敗の兆候 | エラー表示／ログ（C:\$SysReset\Logs\ など） | オフライン SFC/DISM、またはクリーンインストール |
スクリプト例：クリーンなローカル管理者の新規作成
管理者取得後に、組込み Administrator を使わず「名指しのローカル管理者」を作るための例です。
REM ローカル管理者の作成とグループ追加
net user AdminLocal <強力なパスワード> /add
net localgroup administrators AdminLocal /add
REM パスワードの有効期限を無期限にする（運用ポリシーに応じて）
wmic useraccount where name="AdminLocal" set PasswordExpires=false 「セーフモードでは成功するのに通常起動で無効化される」理由を深掘り
セーフモードは最小限のサービスのみ起動するため、MDM のデバイス構成や OEM タスク、セキュリティソフトのポリシーが実行されにくくなります。通常起動ではこれらが動作して Administrator アカウント無効化のポリシーを再適用することがあり、結果として起動後に元へ戻されます。したがって、WinRE で Administrator を有効化 → 起動直後にポリシーを修正という順番が重要です。
HP ProDesk 向けの小さなコツ
- F11 リカバリ：起動時に F11 で HP 独自の回復環境へ入れるモデルが多く、ここから初期化を進められる場合がある。
- ファームウェア設定：Secure Boot／TPM 設定の変更は慎重に。BitLocker 回復キーの要求条件に影響するため、事前にキー管理を徹底。
クリーンインストール時の OOBE ベストプラクティス
- ネットワーク接続のタイミングを管理：まずローカル管理者を作ってからクラウドへの参加・登録を行うと、初期権限の不足を避けやすい。
- ドライバ適用：Windows Update を一巡させた後、メーカーのドライバパックで補完。特に NIC・チップセット・ストレージは優先。
- BitLocker は導入後に有効化：セットアップ直後は検証・導入の自由度を確保し、運用設計が固まってから有効化するとトラブルが減ります。
よくある質問（抜粋）
Q. Microsoft 365 の全体管理者を付けたのに、なぜアプリが入れられない？
全体管理者はクラウド資源の権限であり、端末ローカルの UAC 昇格とは別物です。端末に対しては「Administrators」グループへの所属が必要です。
Q. Entra ID 参加端末で、クラウド ID をローカル管理者にしたい
Intune で「追加のローカル管理者」ポリシーを配布するか、ロール（端末ローカル管理者相当）を割り当てる設計にします。個別に net localgroup administrators "AzureAD\user@domain" とする方法もありますが、組織運用ではポリシー配布が推奨です。
Q. リセット失敗が続くときは？
BitLocker を一時停止し、WinRE/インストールメディアからの SFC/DISM 修復を試します。改善しない場合はクリーンインストールの方が早く確実です。
実務に効くチェックシート（配布用テンプレ）
| ステップ | 目的 | 合否基準 | 備考 |
|---|---|---|---|
| WinRE から Administrator 有効化 | 緊急の昇格経路を確保 | ログオン画面に Administrator が表示 | パスワードは強固に。記録する |
| 普段使いユーザーを管理者へ | 運用アカウントでインストール可能化 | 設定 > ユーザーの情報 = 管理者 | 必要なら AzureAD\UPN で追加 |
| ポリシー・タスクの見直し | 再無効化の排除 | 再起動後も Administrator が無効化されない | Intune/セキュリティベースラインも確認 |
| OS 整合性の確認 | 修復可能性の評価 | SFC/DISM エラーなし | 失敗時はクリーンインストールへ |
| 再発防止設定 | 安全運用 | 組込み Administrator 無効・名指し管理者あり | 回復メディア作成・キー保管 |
まとめ：期限に間に合わせるための意思決定
最速の現実解は、WinRE で Administrator を有効化 → 普段使いユーザーを昇格 → ポリシー修正です。これで導入作業（CAD 等）の足場が整います。もし OS の整合性やベースラインが複雑で安定しないなら、ためらわずクリーンインストールを選び、OOBE でローカル管理者を必ず作成—その後に Entra ID 参加や Intune 登録を行う、という順序を徹底してください。作業完了後は組込み Administrator を無効化し、BitLocker と回復キー管理、回復メディアの常備まで含めて運用を完成させれば、同種のトラブルは未然に防げます。
参考：実行コマンド一覧（抜粋）
REM --- WinRE での基本 ---
net user administrator /active:yes
net user administrator <強力な新パスワード>
net localgroup administrators "taro" /add
net localgroup administrators "AzureAD\user@contoso.com" /add
REM --- 状態確認 ---
manage-bde -status
reagentc /info
REM --- 一時停止（必要時のみ） ---
manage-bde -protectors -disable C: -RebootCount 1
REM --- オフライン整合性修復 ---
sfc /scannow /offbootdir=C:\ /offwindir=C:\Windows
DISM /Image:C:\ /Cleanup-Image /RestoreHealth
REM --- 後処理（再発防止） ---
net user administrator /active:no 免責と注意
- 組織管理下の端末は IT ポリシーに従ってください。ローカル設定変更が禁止されている場合、正規の承認手続きが必要です。
- BitLocker 回復キーの保管と、重要データのバックアップは事前に必須です。
- 本記事の手順は正規の管理作業を想定しており、不正アクセスやセキュリティ回避を目的とした利用はできません。
要点の再掲
- Administrator が再起動で無効に戻るなら、ポリシーが上書きしている可能性が高い。
- WinRE で有効化 → 昇格 → ポリシー修正の順序で安定化。
- リセット失敗は BitLocker/WinRE 不整合が典型。SFC/DISMで整合性を取るか、クリーンインストールが確実。
- Microsoft 365 のロールはクラウド向け。端末のローカル管理者は別管理（Intune/Entra ID で配布）。
- 作業完了後は組込み Administrator を無効化し、再発防止の運用を整備。
コメント