Windows Server 2012 R2のActive Directory環境にて、ユーザ権限でドメイン参加は可能

最近知ったのですが、Windows Server 2012で構築したAD環境において、ドメインユーザ（一般権限）でコンピュータをドメインに参加できる事を知りました。（※Windows Server 2008 R2も同様です。）

つまり、ユーザー自身でドメイン再参加ができてしまうのです。

これまで管理者権限でしかドメイン参加などの作業をした事がなかったので、ちょっと驚きでした。

デフォルトでは、「Domain Controllers」OUにリンクされた「Default Domain Controllers Policy」というGPOにの設定に「ドメインにワークステーションを追加」という項目があり、「Authenticated Users」グループが割り当てられています。

ちなみに、設定は場所は以下になります。

【GPOの設定場所】

「コンピューターの構成」
　 ∟「Windowsの設定」
　　 ∟「セキュリティの設定」
　　　 ∟「ローカルポリシー］
　　　　 ∟「ユーザー権利の割り当て」
　　　　 ∟「ドメインにワークステーションを追加」

f:id:merrywhite:20200727042216j:plain

また、ドメインユーザ権限でドメインに参加できるコンピュータの台数が制限されていて、デフォルトでは”10回”です。

以下は、グループポリシーから抜粋。
-----------------------

■ドメインにワークステーションを追加

このセキュリティ設定は、ドメインにワークステーションを追加できるグループまたはユーザーを決定します。

このセキュリティ設定は、ドメインコントローラーでのみ有効です。既定では、認証済みのすべてのユーザーにこの権利があり、最大 10 個のコンピューターアカウントをドメインに作成できます。

ドメインにコンピューターアカウントを追加すると、そのコンピューターは Active Directory ベースのネットワークに参加できます。たとえば、ワークステーションをドメインに追加すると、そのワークステーションは Active Directory にあるアカウントとグループを認識できるようになります。

既定値: Authenticated Users (ドメインコントローラー)

注意: Active Directory コンピューターコンテナーで "コンピューターオブジェクト作成" アクセス許可を持つユーザーは、ドメインにコンピューターアカウントを作成することもできます。

コンテナーでのアクセス許可を持つユーザーは、作成できるコンピューターアカウントの数が 10 個に制限されません。

また、"ドメインにワークステーションを追加" を使用して作成したコンピューターアカウントの所有者は Domain Administrators になります。

一方、コンピューターコンテナーでのアクセス許可を使用して作成したコンピューターアカウントの所有者は、コンピューターアカウントの作成者になります。

コンテナーでのアクセス許可を持つユーザーが、"ドメインにワークステーションを追加" ユーザー権利も持っている場合、ユーザー権利ではなくコンピューターコンテナーのアクセス許可に基づいてコンピューターが追加されます。

-----------------------

設定は「adsiedit.msc」を使って確認、値を変更する事ができます。

【確認手順】
①コマンドプロンプトで「adsiedit.msc」を実行。

②「ADSIエディター」が起動するので、

「既定の名前つけコンテキスト[XXX.domain name]」
　 ∟「DC=XXXX.,DC=YYYY」を右クリックし、「プロパティ」をクリック。

③「MachineAccountQuota」の値を確認。
※「0」にすると無効になります。