システムエンジニアXの「プログラミング以外」の話 50代会社員SEのお仕事・副業・システム運用の経験談
セキュリティ Active Directory Windows運用 ドメイン参加 権限委任 キッティング GPO セキュリティ

【AD運用】ドメイン参加権限のみを安全に委任する最小権限の手順

公開:

※本記事には広告を含みます。

はじめに

社内PCのキッティング作業やVDI（仮想デスクトップ）の自動プロビジョニングを行う際、ドメイン参加のためだけに強い管理者権限（Domain Admins）を作業担当者やスクリプトに渡していないでしょうか。

私も駆け出しのころ、キッティング用の共通アカウントに安易に強権限を与えてしまい、セキュリティ監査で「特権アカウントの放置」として重大な指摘を受けた経験があります。しかし、Active Directoryの権限設計を見直したことで、ドメイン管理者権限を一切与えずに、特定OUへのドメイン参加だけを完全に安全委任できるようになりました。

実は、Active Directoryの標準設定では「一般ユーザーでも10台までならドメイン参加できる」という隠れた仕様（ms-DS-MachineAccountQuota）があり、これが放置されている現場も少なくありません。

この記事では、不要な特権を一切渡さず、指定したOUに対してのみコンピューターのドメイン参加・再キッティングを許可する最小権限の委任手順を徹底解説します。

読み終えるころには、セキュアなPC展開フローを迷わず構築できるようになります。

この記事の要点

  • キッティング担当者や自動展開スクリプトに「Domain Admins」権限を渡す必要は一切ない
  • ADの「オブジェクト制御の委任ウィザード」を使い、キッティング対象OUのみにコンピューターオブジェクト作成権限を付与するのがベストプラクティス
  • デフォルトで誰でも10台参加できてしまう ms-DS-MachineAccountQuota は「0」に変更して塞ぐべきである
項目 動作確認・検証環境
検証年月 2026年3月
対象OS Windows Server 2022 / Windows 11 Pro 23H2・24H2
前提条件 Active Directory ドメインサービス稼働環境
実行権限 Domain Admins（委任作業時のみ）

結論：ドメイン参加の委任は「OU単位のオブジェクト作成権限」で行う

結論からお伝えすると、ドメイン参加権限の安全な委任は 「キッティング用OUに対して、専用グループへ『コンピューターオブジェクトの作成・削除』権限を委任する」 のが最も安全かつ確実な手法です。

ドメイン全体に権限を開放したり、グループポリシーの「ユーザー権利の割り当て」を触ったりする必要はありません。OU単位で委任することで、万が一アカウントの資格情報が漏洩しても、被害をそのOU内に完全に限定できます。

1. ドメイン参加権限の委任ステップ一覧

設定の流れは以下の3ステップのみです。

  1. ドメイン参加専用のセキュリティグループを作成し、作業用アカウントを所属させる
  2. 「Active Directory ユーザーとコンピューター」で対象OUの「オブジェクト制御の委任」を実行する
  3. 「コンピューターアカウントをドメインに参加させる」のカスタムタスクを付与する

【実践手順】特定OUへのドメイン参加権限を委任する設定フロー

管理ツール「Active Directory ユーザーとコンピューター（dsa.msc）」を使用した具体的な委任手順を解説します。

ステップ1：専用グループの作成

個人のユーザーアカウントに直接権限を付けるのではなく、必ずセキュリティグループを作成して権限を管理します。

  1. ドメイン内にグローバルセキュリティグループ（例：SEC-PC-Provisioning-Users）を作成します。
  2. キッティング作業を担当するユーザーアカウント、または自動展開サービスアカウントをこのグループのメンバーに追加します。

ステップ2：オブジェクト制御の委任ウィザードの実行

端末を格納する専用OU（例：OU=Workstations,DC=corp,DC=local）を右クリックし、「オブジェクト制御の委任」を選択します。

  1. ユーザーまたはグループ: ステップ1で作成したグループ（SEC-PC-Provisioning-Users）を追加します。
  2. 委任するタスク: 「委任するカスタム タスクを作成する」を選択します。
  3. Active Directory オブジェクトの種類:
  4. 「フォルダー内の次のオブジェクトのみ」を選択
  5. リストから 「コンピューター オブジェクト」 にチェックを入れます
  6. 「選択されたオブジェクトをこのフォルダーに作成する」 および 「選択されたオブジェクトをこのフォルダーから削除する」 にチェックを入れます。
  7. アクセス許可:
  8. 「全般」にチェックを入れた状態で、「パスワードのリセット」、「アカウントの制限の読み取りと書き込み」、「DNS ホスト名への検証済み書き込み」、「サービス プリンシパル名 (SPN) への検証済み書き込み」 を許可します。

これにより、既存PCの再キッティング（同名での再参加やパスワードリセット）にも対応可能な権限が過不足なく付与されます。

現場で盲点になりやすい2つの重大セキュリティリスク

現場の運用で放置されがちな2つのセキュリティリスクについて、対策手順を解説します。

リスク1：誰でも10台まで参加できる「ms-DS-MachineAccountQuota」の罠

Active Directoryの初期状態では、ドメイン内のすべての一般ユーザーが 最大10台までPCを自由にドメイン参加させられる 設定になっています。

この仕様が悪用されると、一般社員や侵入者が私物PCや攻撃用端末を勝手に社内ドメインへ参加させてしまうリスクがあります。

対策：属性エディターで値を「0」に変更する

PowerShellで以下のコマンドを実行し、ドメイン全体の参加上限を「0」に設定します。

# 現在のMachineAccountQuotaを確認
Get-ADDomain | Select-Object -ExpandProperty DistinguishedName | Get-ADObject -Properties "ms-DS-MachineAccountQuota" | Select-Object ms-DS-MachineAccountQuota

# 上限値を0に設定して一般ユーザーの勝手なドメイン参加を禁止
Set-ADDomain -Identity (Get-ADDomain).DistinguishedName -Replace @{"ms-DS-MachineAccountQuota"=0}

このコマンドを実行しても、前述の「OU委任」を設定したグループのメンバーは正常にドメイン参加を継続できます。

リスク2：「ドメインにワークステーションを追加」ポリシーの混同

グループポリシーの ユーザー権利の割り当て > ドメインにワークステーションを追加（SeMachineAccountPrivilege）を変更しようとする管理者がいます。

しかし、このポリシーは 「ドメインコントローラーのOU（Default Domain Controllers Policy）」 に適用しなければ機能しません。クライアント端末側のGPOに設定しても完全に無視されます。

さらに、このポリシーで権限を与えた場合、前述の「10台制限」の影響を受け、かつPCがデフォルトの CN=Computers コンテナに作成されてしまうため、OUごとの統制が効かなくなります。原則としてこのポリシーは変更せず、OUのアクセス制御リスト（ACL）委任で運用するのが正解 です。

委任設定後のドメイン参加テストと確認コマンド

委任されたアカウントを使用して、PowerShellから端末をリモートでドメイン参加させるコマンド例です。

# 委任アカウントで指定OUへ直接ドメイン参加させるコマンド
$Password = Read-Host -AsSecureString "キッティング用アカウントのパスワードを入力"
$Credential = New-Object System.Management.Automation.PSCredential ("CORP\kitting-user", $Password)

Add-Computer -DomainName "corp.local" `
             -OUPath "OU=Workstations,DC=corp,DC=local" `
             -Credential $Credential `
             -Restart

-OUPath パラメータで委任設定を行ったOUを明示することが重要です。指定を忘れるとデフォルトの CN=Computers に作成を試みて権限エラー（アクセス拒否）になります。

よくある質問（FAQ）

Q: PCを再キッティング（OS再インストール）して同じ名前で参加させようとすると「アクセスが拒否されました」となります。なぜですか？

A: 委任ウィザードで「パスワードのリセット」および「アカウントの制限の書き込み」権限が不足していることが原因です。既存のコンピューターオブジェクトが存在する場合、委任アカウントに対象オブジェクトのパスワードリセット権限がないと再参加できません。

Q: Azure / Citrix Cloud環境で仮想マシンを自動展開する場合も同じ設定で動きますか？

A: はい、動作します。Citrix MCS（Machine Creation Services）やAzure上のプロビジョニングツールが使用するサービスアカウントに対して、本記事のOU委任を行っておくことで、Domain Adminsを渡さずに安全にスケールアウトさせることが可能です。

まとめ

Active Directoryにおけるドメイン参加の権限設計は、以下のベストプラクティスを押さえることが鉄則です。

  • キッティング作業者やスクリプトに Domain Admins を絶対に渡さない
  • コンピューターの配置先となる OUに対してカスタム委任 を行う
  • 一般ユーザーの無制限なドメイン参加を防ぐため、ms-DS-MachineAccountQuota を必ず「0」にする
  • 「ユーザー権利の割り当て」ではなく、OUのオブジェクト作成権限 で制御する

最小権限の原則（PoLP）を徹底することで、社内ネットワークのセキュリティとキッティング作業の効率化を両立させることができます。

関連記事

免責規定

この記事で提供される情報は、一般的なガイダンスを目的としており、すべての環境やシステムでの動作を保証するものではありません。

OSのバージョンやリリースによっては、記載されている事が実行できない、または異なる結果をもたらす可能性があります。 また、会社所有のパソコン、スマホ、タブレットなどでは、ポリシーや権限によって実行できない場合があります。

この記事の情報を使用することによって生じる問題や結果について、筆者およびサイト管理者は責任を負いません。 すべての操作は自己責任で行ってください。

最後までお読みいただきありがとうございました。
またお会いしましょう！
← 記事一覧に戻る