【Active Directory】デフォルトドメインポリシーについて

Active Directory のグループポリシー（GPO）は、サイト、ドメイン、OU の3か所にリンクできます。グループポリシーの概要は 【Active Directory】グループポリシーの構成・適用・更新 で紹介しています。

ドメインを作ると、最初から2つの GPO がリンクされています。ドメインにリンクされた Default Domain Policy と、Domain Controllers OU にリンクされた Default Domain Controllers Policy です。この記事では、2つの GPO の役割と、主な設定の既定値を確認します。

2つのデフォルト GPO

グループ ポリシーの管理（GPMC）を開くと、ドメインの直下に Default Domain Policy、Domain Controllers OU の下に Default Domain Controllers Policy がリンクされています。GPO の本体は、どちらも「グループ ポリシー オブジェクト」の下にあります。

▾ フォレスト: hirotanoblog.local  ▾ ドメイン    ▾ hirotanoblog.local1        Default Domain Policy      ▾ Domain Controllers2          Default Domain Controllers Policy      ▾ グループ ポリシー オブジェクト          Default Domain Controllers Policy          Default Domain Policy      › WMI フィルター      › スターター GPO

一般に、Default Domain Policy ではドメインのパスワードやロックアウトのポリシーを、Default Domain Controllers Policy ではドメインコントローラのセキュリティに関する設定を管理します。

Default Domain Policy

Default Domain Policy は、ドメインにリンクされた GPO です。「コンピューターの構成」で、ドメインのパスワードやロックアウトのポリシー（アカウント ポリシー）を設定します。既定では「ユーザーの構成」には何も設定されていません。

パスワードのポリシー

グループ ポリシーの管理で フォレスト ›› ドメイン ›› hirotanoblog.local ›› グループ ポリシー オブジェクト を開き、Default Domain Policy を右クリックして 編集 を選びます。グループ ポリシー管理エディターで、コンピューターの構成 ›› ポリシー ›› Windows の設定 ›› セキュリティの設定 ›› アカウント ポリシー ›› パスワードのポリシー を開きます。

よく使うポリシーは次のとおりです。

複雑さの要件を有効にすると、パスワードは次の条件を満たす必要があります。

• ユーザーのアカウント名や、フル ネームの一部（3文字以上の部分）を含まない
• 6文字以上である
• 英大文字、英小文字、数字（0〜9）、記号（! $ # % など）、それ以外の Unicode の文字（漢字など）の5種類のうち、3種類以上を含む

表の「パスワードの最小文字数の監査」は、最小文字数を引き上げる前に、短いパスワードがどれだけ使われているかを監査イベントで確かめるための設定です。

実務では、パスワードのポリシーは企業のセキュリティ ポリシーによってさまざまです。毎月パスワードの変更を求める企業もありますが、変更はユーザーの負担が大きくなります。パスワードの有効期間や変更禁止期間は設けず、長さと複雑さの要件で強さを確保している企業が多いように思います。

アカウント ロックアウトのポリシー

パスワードを続けて間違えたときに、一定の時間、そのユーザーのログオンを禁止できます（アカウント ロックアウト）。グループ ポリシー管理エディターで、コンピューターの構成 ›› ポリシー ›› Windows の設定 ›› セキュリティの設定 ›› アカウント ポリシー ›› アカウント ロックアウトのポリシー を開きます。

カウンターのリセットとロックアウト期間は、しきい値を設定したときだけ意味を持つので、既定では「未定義」です。しきい値を設定する場合、カウンターのリセットの時間はロックアウト期間以下にします。

ロックアウトは、パスワードを総当たりで試す攻撃に効果があります。一方で、利用者がパスワードを間違えてロックアウトされると、ヘルプデスクでのロック解除やパスワード リセットが必要になります。攻撃者がわざと失敗を繰り返して、利用者をロックアウトさせることもできます。このあたりを考えて、使うかどうかと、しきい値などの値を決めるのがよいと思います。

Default Domain Controllers Policy

Default Domain Controllers Policy は、Domain Controllers OU にリンクされた GPO です。Domain Controllers OU は最初から作られていて、ドメインコントローラはここに入ります。この GPO で、ドメインコントローラのセキュリティに関する設定を管理します。ドメインコントローラにこの GPO がきちんと適用されるように、ドメインコントローラのコンピューター オブジェクトはこの OU から動かさないようにします。

グループ ポリシー管理エディターで Default Domain Controllers Policy を開き、コンピューターの構成 ›› ポリシー ›› Windows の設定 ›› セキュリティの設定 ›› ローカル ポリシー ›› ユーザー権利の割り当て に移動します。特に大事なのが「ローカル ログオンを許可」です。

ローカル ログオンを許可には、Administrators と、Account Operators、Backup Operators、Print Operators、Server Operators のような特権を持つグループ、そしてドメインコントローラ自身（ENTERPRISE DOMAIN CONTROLLERS）だけが入っています。Domain Users は入っていないので、一般のユーザーはドメインコントローラにログオンできません。

まとめ

関連記事：【Active Directory】グループポリシーの構成・適用・更新／【Active Directory】グループポリシーの適用順ルール（サイト・ドメイン・OU）／【Active Directory】ユーザがログインできるコンピューターを制限する