【図解】ADの特権グループとは？Domain Admins・Enterprise Admins・Operatorsの役割と守り方を初心者向けに解説

Domain Admins や Enterprise Admins、各種 Operators など、ADの特権グループの役割と、盗まれると何が起きるのか、どう守るのかを図解で説明します。 図と参考資料はブログ記事で：https://hirotanoblog.com/privileged-g... 特権グループは、入っているだけでドメインやフォレストのほぼすべてを操作できるグループです。主なグループの置き場所と既定の入れ子、資格情報が盗まれる典型的な流れ、Tier モデル、Protected Users、AdminSDHolder と SDProp、確認に使うコマンドまでを順に見ていきます。 ▼目次 0:00 はじめに 1:06 特権グループとは 2:18 主な特権グループと置き場所 3:53 Enterprise Admins と Schema Admins 4:24 Domain Admins と Administrators 5:23 Operators と名の付くグループ 6:56 なぜ守る必要があるのか 8:02 Tier モデル 9:10 特権グループの守り方 10:36 Protected Users 11:47 AdminSDHolder と SDProp 13:13 確認に使うコマンドとイベントID 14:18 まとめ ▼参考資料（動画で紹介した仕様・数値の出典） ・特権グループの役割と既定の権利（Operators を含む）：Active Directory security groups（Microsoft Learn） https://learn.microsoft.com/windows-s... ・Enterprise Admins の守り方：Appendix E（Microsoft Learn） https://learn.microsoft.com/windows-s... ・Domain Admins の守り方：Appendix F（Microsoft Learn） https://learn.microsoft.com/windows-s... ・Administrators の守り方：Appendix G（Microsoft Learn） https://learn.microsoft.com/windows-s... ・特権アカウントの盗難と最小権限の考え方：Implementing Least-Privilege Administrative Models（Microsoft Learn） https://learn.microsoft.com/windows-s... ・攻撃対象を減らす全体の指針：Reducing the Active Directory Attack Surface（Microsoft Learn） https://learn.microsoft.com/windows-s... ・Tier 0〜2 の分け方：Tier model for Active Directory Domain Services（Microsoft Learn） https://learn.microsoft.com/windows-s... ・管理用PC（PAW）：Legacy privileged access guidance（Microsoft Learn） https://learn.microsoft.com/security/... ・Protected Users の制限（Kerberos だけ・TGT 4時間など）：Protected Users security group（Microsoft Learn） https://learn.microsoft.com/windows-s... ・Protected Users を入れるときの注意：Guidance about how to configure protected accounts（Microsoft Learn） https://learn.microsoft.com/windows-s... ・AdminSDHolder・SDProp と保護の対象：Appendix C（Microsoft Learn） https://learn.microsoft.com/windows-s... ・adminCount で委任が効かないとき：Troubleshoot insufficient access rights error（Microsoft Learn） https://learn.microsoft.com/entra/ide... ・イベントID 4728・4732・4756：Appendix L: Events to monitor（Microsoft Learn） https://learn.microsoft.com/windows-s... ▼この動画について ・図解スライドと合成音声のナレーションで、ブログ記事の内容を説明しています。 ・ナレーション：VOICEPEAK 女性1（声優：若守みづき） ▼免責事項 ・掲載内容は個人の見解です。正確な仕様は各メーカーの公式ドキュメントでご確認ください。 ・できるだけ正確な情報をお伝えするよう努めていますが、正確性や安全性を保証するものではありません。公開後に情報が古くなることもあります。 ・この動画の内容を参考にしたことで生じたトラブルについては、責任を負いかねます。あらかじめご了承ください。 ・ブログの免責事項：https://hirotanoblog.com/disclaimer/ ▼ブログ https://hirotanoblog.com/ #ActiveDirectory #WindowsServer #セキュリティ