トップ回答者
Win2012管理共有アクセスについて

質問
-
WindowsServer2012の管理共有について教えてください
現在、WindowsServer2008R2が稼働しており、WindowsServer2012に更改を予定しております。
現状ドメインユーザから管理共有へアクセスさせる処理がありますが、WindowsServer2012で試験した場合アクセスできません。
これは、WindowsServer2012の仕様でしょうか?それとも2012にするとドメインユーザの権限を上げる必要があるのでしょうか?
◇現象
接続ユーザー:Domain\test
①Win2008R2→Win2008R2 管理共有 OK
②Win2008R2→Win2012 管理共有 NG(更改後)
※ローカル管理者権限を使用するとOK(ドメインユーザでの通信は不可です)
管理共有名:C:\Windows\System32\winevt\Logs
※Win2008R2およびWin2012共にUACは無効設定済みです。
回答
-
チャブーンです。
まず管理共有(ここではC$という前提にしますが)ですが、仕様上かならず「そのコンピューターの管理者権限」を持っている必要があります。
Server 2008ではドメインユーザーでできた、とのことですが、質問者さんの知らないところで、その2008コンピュータ上で「ローカルAdministrators」グループのユーザになっている可能性があります。
ドメインユーザがローカルAdministratorsグループのメンバーの場合、ローカル管理者と同じ権限をそのドメインユーザだけ振る舞うことができます。一例として「Domain Admins」ユーザ(グループですが)はすべてのドメイン参加したコンピュータのローカルAdministratorsグループのメンバのため、ローカル管理者と同じ振る舞いができます。
念のため2008コンピュータの[ローカルユーザーとグループ]でAdministratorsグループのメンバに該当するドメインユーザがいるかどうかを確かめ、それと同じような設定(つまり該当ドメインユーザーを2012コンピュータのローカルAdministratorsグループのメンバとする)を行ってみてください。
- 回答の候補に設定 Hebikuzure aka Murachi AkiraMVP 2015年3月16日 4:12
- 回答としてマーク 佐伯玲 2015年3月24日 2:40
-
LocalAccountTokenFilterPolicy のレジストリ値を設定する必要があるかもしれません。
リモート管理が有効になっている場合でも、ビルトイン Administrator アカウント以外のローカル管理者アカウントには、サーバーをリモートで管理するための権限がないことがあります。ビルトイン Administrator アカウント以外のローカル Administrator グループのアカウントでサーバーをリモートで管理できるようにするには、リモート ユーザー アカウント制御 (UAC) の LocalAccountTokenFilterPolicy レジストリ設定を構成する必要があります。
リモート UAC LocalAccountTokenFilterPolicy レジストリ設定は、Windows Vista のイメージを変更する方法
- 回答の候補に設定 Hebikuzure aka Murachi AkiraMVP 2015年3月16日 4:12
- 回答としてマーク 佐伯玲 2015年3月24日 2:40
すべての返信
-
チャブーンです。
まず管理共有(ここではC$という前提にしますが)ですが、仕様上かならず「そのコンピューターの管理者権限」を持っている必要があります。
Server 2008ではドメインユーザーでできた、とのことですが、質問者さんの知らないところで、その2008コンピュータ上で「ローカルAdministrators」グループのユーザになっている可能性があります。
ドメインユーザがローカルAdministratorsグループのメンバーの場合、ローカル管理者と同じ権限をそのドメインユーザだけ振る舞うことができます。一例として「Domain Admins」ユーザ(グループですが)はすべてのドメイン参加したコンピュータのローカルAdministratorsグループのメンバのため、ローカル管理者と同じ振る舞いができます。
念のため2008コンピュータの[ローカルユーザーとグループ]でAdministratorsグループのメンバに該当するドメインユーザがいるかどうかを確かめ、それと同じような設定(つまり該当ドメインユーザーを2012コンピュータのローカルAdministratorsグループのメンバとする)を行ってみてください。
- 回答の候補に設定 Hebikuzure aka Murachi AkiraMVP 2015年3月16日 4:12
- 回答としてマーク 佐伯玲 2015年3月24日 2:40
-
LocalAccountTokenFilterPolicy のレジストリ値を設定する必要があるかもしれません。
リモート管理が有効になっている場合でも、ビルトイン Administrator アカウント以外のローカル管理者アカウントには、サーバーをリモートで管理するための権限がないことがあります。ビルトイン Administrator アカウント以外のローカル Administrator グループのアカウントでサーバーをリモートで管理できるようにするには、リモート ユーザー アカウント制御 (UAC) の LocalAccountTokenFilterPolicy レジストリ設定を構成する必要があります。
リモート UAC LocalAccountTokenFilterPolicy レジストリ設定は、Windows Vista のイメージを変更する方法
- 回答の候補に設定 Hebikuzure aka Murachi AkiraMVP 2015年3月16日 4:12
- 回答としてマーク 佐伯玲 2015年3月24日 2:40