Protected Users セキュリティ グループ

Protected Users は、資格情報の盗難攻撃から保護するように設計された Active Directory (AD) のグローバル セキュリティ グループです。 グループ メンバーがサインインしたときに資格情報がキャッシュされないように、グループはデバイスとホスト コンピューターで構成不可能な保護をトリガーします。

前提条件

Protected Users グループを展開するには、システムが次の前提条件を満たしている必要があります。

• ホストでは、次のいずれかのオペレーティング システムを実行している必要があります。

  • Windows 8.1 以降
  • Windows Server 2012 R2 以降で最新のセキュリティ更新プログラムがインストール済み

• ドメインの機能レベルが Windows Server 2012 R2 以降である必要があります。 機能レベルの詳細については、「フォレストとドメインの機能レベル」を参照してください。

• Protected Users のグローバル セキュリティ グループ メンバーシップでは、Kerberos 用の Advanced Encryption Standards (AES) のみを使用するようにメンバーが制限されます。 Protected Users グループのメンバーは、AES を使用した認証が可能である必要があります。

Active Directory によって適用される保護

Protected Users グループのメンバーになると、AD が事前に構成された特定のコントロールを自動的に適用し、そのコントロールはユーザーがグループ メンバーであることをやめない限り変更できません。

サインイン済みの Protected Users に対するデバイスの保護

サインインしたユーザーが Protected Users グループのメンバーである場合、グループは次の保護を提供します。

• 資格情報の委任 (CredSSP) では、ユーザーが [既定の資格情報の委任を許可する] グループ ポリシー設定を有効にした場合でも、ユーザーのプレーン テキストの資格情報はキャッシュされません。

• Windows 8.1 以降および Windows Server 2012 R2 以降では、Windows ダイジェストを有効にしている場合でも、Windows ダイジェストはユーザーのプレーンテキスト資格情報をキャッシュしません。

• NTLM は、ユーザーのプレーンテキスト資格情報または NT 一方向関数 (NTOWF) のキャッシュを停止します。

• Kerberos は、Data Encryption Standard (DES) または RC4 キーの作成を停止します。 Kerberos では、最初のチケット保証チケット (TGT) を取得した後も、ユーザーのプレーンテキスト資格情報または長期的なキーはキャッシュされません。

• ユーザーのサインイン時またはロック解除時にシステムはキャッシュされた検証ツールを作成しないため、メンバー システムはオフライン サインインをサポートしません。

新しいユーザー アカウントを Protected Users グループに追加すると、新しい Protected User がデバイスにサインインしたときに、これらの保護がアクティブになります。

Protected Users のドメイン コントローラー保護

Windows Server 2012 R2 以降を実行しているドメインに対して認証を行う Protected User アカウントは、次の操作を実行できません。

• NTLM 認証を使用して認証する。

• Kerberos の事前認証で DES または RC4 の暗号化の種類を使用する。

• 制約なしの委任または制約付き委任を使用して委任する。

• Kerberos TGT の最初の 4 時間の有効期間を更新する。

Protected Users グループは、メンバー アカウントごとに、TGT の期限切れに対する構成不可能な設定を適用します。 通常、ドメイン コントローラーは、次の 2 つのドメイン ポリシーに基づいて TGT の有効期間と更新を設定します。

• チケットの最長有効期間
• ユーザー チケットを更新できる最長有効期間

Protected Users メンバーの場合、グループではこれらの有効期間の制限を自動的に 600 分に設定します。 ユーザーは、グループを離脱しない限り、この制限を変更することはできません。

Protected Users グループのしくみ

次の方法を使用して、Protected Users グループにユーザーを追加できます。

• Active Directory Administrative Center (ADAC) や Active Directory ユーザーとコンピューティングなどの UI ツール。
• PowerShell などのコマンド ライン ツール。
• PowerShell で Add-ADGroupMember コマンドレットを使用する。

Protected Users グループのメンバーは、Kerberos で Advanced Encryption Standards (AES) を使用してのみ認証できます。 この方法では、Active Directory のアカウントに対する AES キーが必要です。 ビルトイン Administrator は、Windows Server 2008 以降を実行しているドメインのパスワードが変更されない限り、AES キーを持ちません。 以前のバージョンの Windows Server を実行しているドメイン コントローラーによってパスワードが変更されたアカウントは、認証からロックアウトされます。

ロックアウトや AES キーの欠落を回避するには、次のガイドラインに従うことをお勧めします。

• すべてのドメイン コントローラーが Windows Server 2008 以降を実行していない限り、ドメインでテストを実行しないでください。

• 他のドメイン からアカウントを移行した場合は、アカウントに AES ハッシュが設定されるようにパスワードをリセットする必要があります。 それ以外の場合、これらのアカウントは認証できるようになります。

• ユーザーは、Windows Server 2008 以降のドメイン機能レベルに切り替えた後に、パスワードを変更する必要があります。 これにより、Protected Users グループのメンバーになると、AES パスワードがハッシュ化されます。

Protected User グローバル セキュリティ グループをダウンレベル ドメインに追加する

Windows Server 2012 R2 より前のオペレーティング システムを実行するドメイン コントローラーでは、新しい Protected Users セキュリティ グループへのメンバーの追加をサポートできます。 これにより、これらのメンバーは、ドメインをアップグレードする前にデバイス保護のメリットを得ることができます。

以前のバージョンの Windows Server を実行しているドメイン コントローラーに Protected Users グループを作成するには:

1. PDC エミュレーターの役割を、Windows Server 2012 R2 を実行するドメイン コントローラーに転送します。

2. グループ オブジェクトを他のドメイン コントローラーにレプリケートします。

その後、ユーザーは、ドメインをアップグレードする前に、デバイス保護のメリットを得ることができます。

Protected Users グループの AD プロパティ

次の表は、Protected Users グループの Active Directory プロパティの一覧です。

イベント ログ

2 つの運用管理ログを使用して、Protected Users に関連するイベントを解決することができます。 これらの新しいログはイベント ビューアーに表示され、既定では無効です。ログは Applications and Services Logs\Microsoft\Windows\Authentication に保存されます。

これらのログを取得にするには、次の手順に従います。

1. [スタート] を右クリックし、[イベント ビューアー] を選択します。

2. Applications and Services Logs\Microsoft\Windows\Authentication を開きます。

3. 有効にする各ログのログ名を右クリックし、[ログの有効化] を選択します。

その他の資料

• 資格情報の保護と管理

• 認証ポリシーと認証ポリシー サイロ

• 保護されるアカウントの構成方法