none
Domain参加PCのLocalユーザーの所属グループが消去される件 RRS feed

  • 質問

  • お世話になっております。

    Windows Server 2012 R2 でDomain環境を構築しPC端末(Windows7 Professional 32bit)を70台ほど管理しております。

    通常はDomainユーザー(AD_Hoge)でログインして使用しておりますが、
    各端末のLocalユーザー(Local_hoge)をLocalのAdministratorsグループに所属させておりました。
    Localアカウントの設定をしている理由は何らかの問題でDomainから離脱する場合に使用するためです。

    Domain環境でログインしている状態で、コンピューターの管理 -> ローカルユーザーとグループ -> ユーザー から該当のLocalユーザー(Local_hoge)
    の所属するグループをチェックすると設定したはずの「Administatorsグループ」が消えていることに気が付きました。

    この段階で再度Administratorsグループに所属させてもログオフ/再起動を行うとまた「Administatorsグループ」が消えてしまいます。
    本現象は全端末で発生するわけではなく、一度再設定すると直る(消えない)端末もあるため原因の特定が出来ずにいます。
    (すべての端末をチェックできていませんが10台ほどみて4台該当します)

    GPOでDomiainユーザー(AD_Hoge)に制限されたグループのポリシーを設定しており、LocalのAdministratorsに関連付けています。

    素人考えではGPOの制限されたグループのポリシーとLocal端末で設定しているユーザー設定は矛盾しないと考えておりましたが、
    このような設定では上記問題が発生するものなのでしょうか?
    (GPO以外に干渉しそうな問題が思い浮かびませんでした)

    解決の糸口が掴めれば幸いです。
    よろしくお願いいたします。

    2015年8月30日 3:07

回答

  • チャブーンです。

    GPOの「制限されたグループ」設定ですが、ローカルグループに対するメンバーの指定であれば、指定されたメンバー以外はドメイン・ローカルにかかわりなく外される、という理解です。

    ローカルグループのメンバー指定では、ドメイン・ローカルの区別はなく、単にメンバーであるかどうかだけの指定しかありません。ユーザアカウント側から見た「所属するグループ」は、ローカルグループの「メンバー」と対になっている設定(システム設定)で、「メンバー」設定と矛盾する(メンバーには含まれていないのに、所属するグループには含まれている等)設定はできません。

    GPOの設定内容を確認することと、GPOの適用状況(何らかの理由で再適用されていない)の確認が必要な気がします。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    • 回答としてマーク Koba33 2015年8月31日 12:12
    2015年8月31日 2:27
    モデレータ

すべての返信

  • チャブーンです。

    GPOの「制限されたグループ」設定ですが、ローカルグループに対するメンバーの指定であれば、指定されたメンバー以外はドメイン・ローカルにかかわりなく外される、という理解です。

    ローカルグループのメンバー指定では、ドメイン・ローカルの区別はなく、単にメンバーであるかどうかだけの指定しかありません。ユーザアカウント側から見た「所属するグループ」は、ローカルグループの「メンバー」と対になっている設定(システム設定)で、「メンバー」設定と矛盾する(メンバーには含まれていないのに、所属するグループには含まれている等)設定はできません。

    GPOの設定内容を確認することと、GPOの適用状況(何らかの理由で再適用されていない)の確認が必要な気がします。


    フォーラムは有償サポートとは異なる「コミュニティ」です。フォーラムでご質問頂くにあたっての注意点 をご一読のうえ、お楽しみください。

    • 回答としてマーク Koba33 2015年8月31日 12:12
    2015年8月31日 2:27
    モデレータ
  • チャブーン様

    コメント有り難うございます。

    ご指摘いただいた通り、「制限されたグループ」の設定に対して誤解して設定しておりました。
    本件はGPOで設定しているAdministratorsのメンバとローカルで設定しているメンバに不一致があり、
    GPOの設定が優先されて発生したことが確認できました。
    (よく考えれば当たり前です…)

    コメントを頂いてから改めて「制限されたグループ」の設定に関する説明を読み理解出来ました。

    解決策としてはGPOの「制限されたグループ」でAdministratorsにドメインで使用するアカウントとローカルアドミンとして
    使用するアカウントを関連付けることで対応することとしました。

    有り難うございました。

    2015年8月31日 12:12