Windows Server 2003 / 2008 環境にいくつかの基本的な変更を加えています。Unix 側では、セキュリティ制約は単純です。
- 管理者権限を持つユーザーは、特別なグループ (「wheel」など) に属します。
- これらのユーザーがこれらのマシンにログオンしても、管理者権限を持つコマンド (「sudo コマンド」または「su」) を明示的に実行しない限り、管理者権限は付与されません。
- 「su」（「runas」のようなもの）を使用してコマンドを実行する場合でも、自分のパスワードを入力する必要があります。
このシステムでは、管理者権限を持つユーザーを制御でき (グループ メンバーシップによって)、ユーザーが誤って管理者権限で何かを実行するのを防止でき (「su」または「sudo」を要求することによって)、コアの「管理者」(つまり「root」) パスワードはユーザー自身のパスワードを求められるため、決して公開されません。
Windows Server で同等のことを実行するにはどうすればよいでしょうか? 私が考えるオプションは次のとおりです。
- ローカル管理者アカウントにユーザーを追加する: しかし、すべて彼らが行うことは管理者としてであり、エラーのリスクを負います。
- 「runas Administrator」を実行するように要求します。ただし、その場合、管理者パスワードを知っている必要がありますが、このパスワードは共有したくありません。
グループ メンバーシップによってアクセス権を持つユーザーを制御し、別のパスワードを要求することでユーザーが誤って損害を与えるようなことを行わないようにし、ユーザーが管理者パスワードを決して知らないようにする、という 2 つのことを同時に実行できるソリューションはありますか?
答え1
まず、管理者だけが管理者アクセス権を取得すべきなので、管理者がそれを必要とする非常に大きな理由（良い理由が思いつきません）がない限り、管理者に任せるべきです。一般ユーザーが管理者権限を取得することはまれですが、その場合でも、なぜ管理者権限が必要なのか疑問に思います。
2 番目に、Windows のグループ メンバーシップを使用して、目的を達成できます。Active Directory を使用しているとは言っていないので、ドメインがあり、それを使用しているかどうかはわかりませんが、セキュリティ グループを作成し、個々のユーザー アカウントを追加できます。 こちらをご覧ください。 サーバーのローカル管理者グループにユーザーを個別に追加することはお勧めしません。これは、後で面倒になり、追跡が困難になり、あなたにとって大きな頭痛の種となり、潜在的なセキュリティ問題を引き起こす可能性があるためです。私が行うことは、前述のように、セキュリティ グループを作成し、このグループに管理者アクセスを許可したいメンバーを追加することです。ユーザー用に 2 つのユーザー アカウントを作成します。1 つは通常のログイン用、もう 1 つは昇格されたアクションにのみ使用される 2 番目のアカウントです。ユーザーの「上位/特権」アカウントをセキュリティ グループに追加し、このグループを実際のサーバー上の昇格されたローカル グループ メンバーシップ (たとえば Power Users) に配置することができます。これにより、管理者でなくても多くの機能を実行できるようになります。グループにローカル管理者アクセスが必要な場合があり、その場合は、そのグループをサーバーのローカル管理者グループに配置することができます。
管理者として実行に関しては、常にそうする必要はありません。管理者または管理者のパスワードを知らなくても実行できるようにするには、Shift キーを押しながら右クリックして [別のユーザーとして実行] を選択するか、右クリックして [管理者として実行] を選択するのが最善の方法です。まず、上記のようにより高い権限または昇格された権限を持つ別のユーザーを作成する必要があります (この昇格されたユーザーは、上記のようにセキュリティ グループに再度追加されます)。そうすれば、このユーザーは、通常/標準のユーザー アカウントでログインしたまま、昇格を必要とする操作を実行できます。スクリーンショットをご覧ください。
これで、管理者として実行することに関して、やりたいことはすべて完了するはずです。最後にもう 1 つ付け加えておきたいのは、UAC をオンにしておくことです。これをオンにしておくと、ユーザーはサーバー上で操作するときに管理者パスワードではなく、自分の (昇格された) パスワードを入力する必要があります。何度も入力しなければならないのは面倒ですが、セキュリティのためにはそれだけの価値があります。
答え2
標準アカウントは「標準」のままにしておきます。特権アカウントを 2 つ作成し、それをさまざまな管理グループに追加します。特権アカウントでは「runas」を使用します。(管理者アカウントでの対話型ログオンを無効にすると便利かもしれませんが、おそらく面倒になります)。
答え3
Run As...Server 2003 では、管理者権限を持つアカウントとして実行するオプションを使用する必要があります。
Server 2008以降では、UACを使用する、および/またはRun as Administratorあなたが提案したオプション。パスワードを知る必要はありませんの[ローカル] 管理アカウント - 任意の管理資格情報を使用できます。
そのため、それらのアカウントをローカル管理グループに追加するか、セキュリティの観点から、別の管理アカウントを作成してローカル管理グループに追加することをお勧めします。その後、管理者権限で何かを実行する必要がある場合、UAC によって管理者の資格情報が求められ、/ オプションが使用されRun As...ますRun as Administrator。