Administratorsグループに属する一部のユーザーにグループポリシーエディターを使わせない方法について

この応答は自動的に翻訳されています。 その結果、文法上の誤りや奇妙な言い回しが生じる可能性があります。

こんにちはCobra918、

マイクロソフト コミュニティ フォーラムに投稿していただき、ありがとうございます。

Administrators グループのメンバーがグループ ポリシー エディター (gpedit.msc) を使用できないようにするには、管理者が既定で gpedit.msc などのシステム ツールを完全に制御できるため、少し注意が必要です。ただし、次の回避策を検討できます。

1. NTFSアクセス許可を使用してアクセスを拒否します。
   • 「C:\Windows\System32」ディレクトリに移動します。
   • 「gpedit.msc」ファイルを見つけます。
   • ファイルを右クリックして、[プロパティ]を選択します。
   • 「セキュリティ」タブに移動します。
   • 「詳細」をクリックし、「権限の変更」をクリックします。
   • 特定のユーザー (以下「user_a」と呼びます) を見つけ、 フル コントロールのアクセス許可を [拒否] に設定します。
   注: 管理者アカウントの権限を拒否すると、意図しない副作用が発生する可能性があるため、この方法は一般的にはお勧めしません。
2. ローカル ポリシーを変更します。
   • 「secpol.msc」を実行して、ローカルセキュリティポリシーエディターを開きます。
   • [Local Policies -> User Rights Assignment] に移動します。
   • 「ネットワークからこのコンピューターにアクセスする」および「ネットワークからこのコンピューターへのアクセスを拒否する」設定を変更して、ユーザーがgpedit.mscにリモートでアクセスする機能を制限します。

管理ユーザーを制限すると、システムの管理とトラブルシューティングの機能に影響を与える可能性があるため、その影響を慎重に検討することが重要です。制限によって問題が発生した場合に備えて、バックアップ計画があることを常に確認してください。

上記の情報がお役に立てば幸いです。

ご不明な点やご不明な点がございましたら、お気軽にお知らせください。

よろしくお願いいたします

デイジー・ジョウ

チャブーンです。

この件ですが、単純に技術的なレベルでの話しということでしたら、可能ではあります。

まず、ローカルポリシーの場合ですが、少しメンドウな方法になります。MMC管理とスナップイン画面から行う方法です。

1. mmc.exeを管理者権限で起動します。
2. [スナップインの追加と削除]を選択します。
3. [グループ ポリシー オブジェクト エディター]を選択し、[追加]ボタンをクリックします。
4. [参照]ボタンをクリックし、[ユーザー]タブを選択します。
5. 該当するユーザーを選択し、[OK]ボタンをクリックします。
6. グループポリシーオブジェクト欄に[ローカルコンピューター<ユーザー名>]と記載されていることを確認し、[完了]ボタンをクリックします。

この状況で出たグループポリシーエディター設定で、[Windows管理コンソール]-[制限および許可するスナップイン]配下にある[グループ ポリシー オブジェクト エディター]を制限すればいいように思います。

ドメイングループポリシーの場合は、上記と同じグループポリシー設定を「セキュリティフィルター」を構成したGPOで行います。セキュリティフィルターでは、対象のユーザーアカウントのみが[読み取り]と[グループポリシーの適用]が行われるよう、設定の必要があります。セキュリティフィルターの詳細については、以下を参照してください。

【Avtive Directory】GPOセキュリティフィルターを設定するとポリシーが適用されない件 | TechLog