Active Directoryの最小権限運用：Tierと専用管理端末で守る

※本記事にはアフィリエイト広告（PR）を含みます。

Active DirectoryのDomain Adminsは、フォレスト内のほぼすべてのオブジェクトを操作できる最強の権限グループだ。「困ったときはDomain Adminsで入る」運用は珍しくないが、これは攻撃者に最短の侵入経路を用意しているのに等しい。Domain Adminsの資格情報を日常端末に入力し、その端末が侵害されれば、資格情報の窃取からドメイン全体の掌握までの距離は一気に縮まる。

本稿では最小権限の考え方を軸に、Tierモデル・役割別アカウント・委任・専用管理端末、LAPSやProtected Usersといった補強策まで、現実的な運用への落とし込み方を整理する。公開情報をもとに構成しているが、ガイダンスは今後も更新され得るため、導入時は必ず最新の一次情報を確認してほしい。

Domain Adminsを日常使いしないという原則

Domain AdminsやEnterprise Adminsは、Active Directoryで「保護されたグループ」に分類される特別な存在だ。Administrators、Account Operators、Schema Adminsなども同様で、これらのアクセス許可はAdminSDHolderというテンプレートを基準に、SDPropというプロセスが既定60分間隔で強制的に同期し直す。設定を変えても定期的に元へ戻る仕組みがOSレベルで組み込まれているほど、乱用時の影響が大きい権限だということだ。

Microsoftのガイダンスは、日常業務でDomain Admins相当のアカウントを使うこと自体を典型的なアンチパターンとして挙げている。日常端末にDomain Admins権限でサインインすれば、端末がどれほど堅牢でも最上位の資格情報が低信頼環境にさらされる。バックアップ・監視・EDRエージェントをDomain Admins権限で動かすことも同じ理由で避けるべきだ。

現実的な目標として、Domain Admins相当のアクセス権を持つ人間の管理者を5人未満に抑え、Domain Admins権限で動くサービスアカウントは作らないことが一つの目安とされる。「困ったら全部Domain Adminsに入れておく」運用が続いているなら、まず人数とサービスアカウントの棚卸しから着手するとよい。

権限を分ける考え方(Tier/役割別アカウント/委任)

最小権限を仕組みとして定着させる土台が、Microsoftの管理階層モデル(Tierモデル)だ。ID・システム・アプリケーションを支配範囲に応じてTier 0/1/2の3段階に分類する。Tier 0はドメインコントローラーやAD FS、AD CS、Entra Connect、Tier 0の管理者アカウント・グループなどID基盤そのものを制御できる範囲。Tier 1はメンバーサーバーやExchange Server、SQL Serverなど業務アプリケーションとそのサーバー管理者。Tier 2はエンドユーザーの端末とアカウント、ヘルプデスクの管理ロールが該当する。

設計原則として押さえておきたいのは次の点だ。

• 同じTier内でも最小権限を徹底する(Tier 0でも全員がDomain Admins不要)。
• アカウント・サービスアカウントを複数Tierで使い回さない。
• 業務アプリケーションをTier 0に持ち込まない。
• 作業者・承認者・監査者の役割を分離する。

実務では、管理者ごとに「日常業務用アカウント」(例: user01)と「管理タスク専用アカウント」(例: adm-user01)を分け、adm-user01ではメールもWeb閲覧も行わない運用が、Tierの最小権限を実現する第一歩になる。OUもTierに沿って分けておくと管理しやすい。

OU=Tier0-Admins,DC=corp,DC=example,DC=local
OU=Tier1-Servers,DC=corp,DC=example,DC=local
OU=Tier2-Workstations,DC=corp,DC=example,DC=local

さらに、Domain Admins自体への追加を避け、必要な作業だけを委任することも欠かせない。ADUC(Active Directory ユーザーとコンピューター)でOUを選択し「制御の委任」を実行すると委任ウィザードが起動し、委任先のユーザー・グループを選んだうえで「ユーザーアカウントの作成・削除・管理」「パスワードのリセット」「グループメンバーシップの変更」などタスク単位で権限を割り当てられる。利用にはDomain Adminsのメンバーであるか委任済みの権限を持つこと、作業端末にAD DS向けRSATの導入が前提だ。ヘルプデスクにパスワードリセットだけを許可する運用もこれで実現できる。

管理端末を分ける(踏み台・PAW・RSAT)

権限をどれだけ分けても、管理者が日常端末からDomain Admins相当の資格情報を入力すれば意味がない。特権アクセス戦略では、信頼できるクリーンな端末から作業を始める「クリーンソースの原則」が繰り返し強調される。信頼は最初にサインインしたキーボードから始まり、Tier 0の資格情報をTier 2の端末に入力した時点で、その資格情報は低信頼環境にさらされる。

これを実現するのがPAW(Privileged Access Workstation、特権アクセスワークステーション)だ。管理業務専用のハードウェア端末で、メールやWebブラウジングなど生産性用途を一切行わない。対象がTier 0ならTier 0用PAWから、Tier 1ならTier 1用PAWから接続するというように、TierとPAWを対応させるのが基本になる。

フルセットのPAW基盤をすぐ用意できない組織も多いだろう。現実的な第一歩として、最低限次の分離は行っておきたい。

• AD管理者の日常業務用PCと、AD管理タスク専用PC(または専用の仮想デスクトップ)を分ける。
• 専用管理端末ではWebブラウジングとメールクライアントの利用を禁止する。
• RSATは、このAD管理専用端末にのみ導入する。
• 踏み台(ジャンプサーバー)経由でドメインコントローラーへ接続する場合、その踏み台もTier 0の資産として扱う。踏み台を「別扱いの安全地帯」と考えるのは典型的な誤りだ。

併せて有効化したい保護(LAPS/Protected Users/監査)

権限・Tier・端末を整理したら、次は個々の資格情報を守る仕組みを重ねたい。

Windows LAPS(Local Administrator Password Solution)は、ADまたはMicrosoft Entra IDに参加する端末のローカル管理者アカウントのパスワードを自動ローテーションしてバックアップする機能で、ドメインコントローラーのDSRM(ディレクトリサービス復元モード)アカウントの管理にも対応する。AD向けバックアップは追加ライセンス不要だ。ローカル管理者パスワードを全端末で使い回す状態は、1台の侵害がパスワードハッシュを使った横展開に直結するため、LAPSは最小権限運用とセットで検討したい。

Protected Usersグループは、資格情報の窃取対策として用意されたグローバルセキュリティグループだ。メンバーはKerberosでAESのみを使うようになり、NTLM・Digest・CredSSPによる平文資格情報のキャッシュが無効化され、Kerberosチケット(TGT)の有効期間も既定4時間(240分)に固定される。追加はPowerShellでも行える。

Add-ADGroupMember -Identity "Protected Users" -Members "adm-user01"

強力な保護だが注意点もある。サービスアカウントやコンピューターアカウントを追加しても保護効果はなく、Domain AdminsやEnterprise Adminsのメンバーをそのまま追加すると制限が原因でロックアウトする恐れがある。必ず検証環境で影響を確認してから適用したい。

最後に監査。高度な監査ポリシーの「セキュリティ グループの管理」を有効にすれば、Domain AdminsやEnterprise Adminsなどのグループのメンバー追加・削除をイベントとして記録できる。権限を絞っても維持を確認できなければ意味がないため、監査ログとアラートも最小権限運用に組み込みたい。

導入の進め方と注意点

Tierモデルへの移行は、技術的な作業自体は短時間で終わることが多い一方、組織の合意形成や役割分担の見直しには時間がかかる。対象範囲と責任者を決め、資産を棚卸ししてTier 0・Tier 1相当を洗い出し、管理者の役割・PAW・運用フローを設計し、OUやグループポリシーなど必要な仕組みを実装したうえで、Tier 0から順にTier 1、Tier 2へ段階的に移行し、継続的に監査する、というのがMicrosoftの示す進め方だ。

注意したいのは、Protected Usersへの追加は必ず検証環境かパイロットで影響を確認してから本番へ適用すること。ロックアウトは業務影響が大きい。バックアップ・監視・EDRにDomain Admins権限を与えない、サービスアカウントを複数Tierで使い回さないといった落とし穴も避けたい。そして一度にすべてを変えないことも重要だ。まずはDomain Adminsメンバーの棚卸しと削減、adm-user01のような管理専用アカウントの導入、管理専用PC一台の用意という小さな一歩からでも、資格情報の露出面は確実に減らせる。

まとめ

Active Directoryの最小権限運用は、単一の設定変更で完結しない。Domain Adminsを日常業務で使わない原則を起点に、Tierによる権限区分、役割別アカウント、委任によるタスク単位の権限付与、管理業務専用端末の分離、LAPSやProtected Users、監査といった補強策を重ねて、初めて実効性のある防御になる。まずはDomain Adminsメンバーの棚卸しと専用アカウント・管理端末の用意から着手し、段階的に積み上げていくのが現実的だ。

最終更新：2026年7月