【図解】SIDとは？Windowsがユーザーやグループを見分ける番号を初心者向けに解説

Windowsでファイルのアクセス許可を開くと「営業部」「Administrators」のような名前が並んでいます。ところが、Windowsの内部では、ユーザーやグループを名前ではなく「SID」という番号で見分けています。SIDが分かると、「名前を変えても権限が消えない理由」や「作り直したアカウントでフォルダが開けなくなる理由」が説明できるようになります。

この記事でわかること
  1. SIDとは何か、名前とどう違うのか
  2. SIDの読み方（S-1-5-21-…-RID）と、よく見るSID
  3. アカウントの削除やPCの複製など、SIDでつまずく場面

SIDとは

SID（Security Identifier、セキュリティ識別子）は、ユーザー、グループ、コンピュータなどのアカウントを見分けるための番号です。アカウントを作ったときに割り当てられ、同じSIDがほかのアカウントに使われることはありません。私たちは名前でアカウントを呼びますが、Windowsは内部ではSIDでアカウントを扱います。

たとえるなら、名前は「呼び名」、SIDは「社員番号」です。結婚などで呼び名が変わっても社員番号は変わらず、一度退職して再入社すると、前と同じ名前でも新しい社員番号になります。

① 作成② 名前を変える③ 削除して作り直すuser01…-1104SIDが割り当てられるtanaka01…-1104SIDは同じ → 権限もそのままtanaka01…-1187SIDが変わる → 権限は消えるたとえるなら名前は「呼び名」、SIDは「社員番号」。呼び名が変わっても社員番号は同じで、一度退職して再入社すると、前と同じ名前でも新しい社員番号になる。
図1　アカウントとSIDの関係。名前を変えてもSIDは同じで、作り直すとSIDが変わる
やったことSIDアクセス許可はどうなるか
アカウントの名前を変えた変わらないそのまま使える。ACLはSIDで登録されているため
アカウントを削除して、同じ名前で作り直した新しいSIDになる前のアクセス許可は引き継がれない。設定し直しが必要
別のドメインにアカウントを移した新しいSIDになる前のSIDをSID履歴（SIDHistory）に残しておけば、前のアクセス許可も使える

アカウントを削除してしまうと、同じ名前で作り直しても元には戻りません。退職者のアカウントを一時的に止めたいだけなら、削除ではなく無効にしておくのが安全です。

SIDの読み方

SIDは、もともとはバイナリのデータですが、画面やコマンドでは「S-」で始まる文字列で表示されます。ハイフンで区切られた数字には、それぞれ意味があります。

Contoso\Domain Admins のSID（Microsoftのドキュメントの例）SSIDの印–1リビジョン–5発行機関–21-1004336348-1177238915-682003330ドメイン識別子–512RIDS-1-5 ＝ NT Authorityどのドメインかを表すドメインの中の何番かドメインのSID（ドメイン識別子まで）＋ RID ＝ アカウントのSIDDomain Admins は、どのドメインでも RID が 512。ドメイン識別子の部分で区別される
図2　SIDの読み方。最後のRIDの手前までが「どのドメインか」、RIDが「ドメインの中の何番か」を表す
部分意味
Sこの文字列がSIDであることを表す
1リビジョン（SIDの構造のバージョン）
5発行機関。5はNT Authority（Windowsのアカウント）、1はWorld Authority（Everyoneなど）
21-…-…-…ドメイン識別子。どのドメイン（またはどのPC）が発行したかを表す
512RID（相対識別子）。ドメインの中で、どのアカウントかを表す

Domain Adminsグループは、どのドメインでもRIDが512です。それでもSIDが重ならないのは、ドメインごとにドメイン識別子が違うからです。同じように、ドメインのAdministratorはRIDが500、Domain Usersは513と決まっています。

ドメインのSID、PCのSID、組み込みのSID

SIDを発行するのは、ドメインのアカウントならドメイン、ローカルアカウントならそのPCです。どちらも「S-1-5-21-」で始まり、その後ろのドメイン識別子の部分で、どのドメインやPCのものかが分かれます。一方、Administratorsのような組み込みのグループは「S-1-5-32-」で始まり、どのPCでも同じ値です。

種類形例
ドメインのアカウントS-1-5-21-ドメイン識別子-RIDドメインのユーザー、Domain Admins（…-512）
ローカルアカウントS-1-5-21-PCの識別子-RIDそのPCのAdministrator（…-500）
組み込みのグループS-1-5-32-RIDAdministrators（S-1-5-32-544）、Users（S-1-5-32-545）
どの環境でも同じSID決まった値Everyone（S-1-1-0）、SYSTEM（S-1-5-18）

RIDはDCが重ならないように配る

ドメインには複数のDCがあり、どのDCでもアカウントを作れます。そこで、ドメインに1台だけある「RIDマスター」が、RIDの束を各DCに配ります。各DCは、アカウントを作るたびに自分の束からRIDを使い、残りが少なくなると新しい束をもらいます。束の大きさは、既定では500個です。

RIDマスター（ドメインに1台）RIDの束を配るRIDの束を配るDC1手持ちのRID：1100〜1599DC2手持ちのRID：1600〜2099user01作成→ user01 は …-1104 になる→ 別のDCで作っても番号はかぶらない
図3　RIDの割り当て。各DCは配られた束の中からRIDを使うので、どのDCで作っても番号が重ならない（RIDの範囲は例）

使ったRIDは、アカウントを削除しても戻りません。作り直したアカウントが新しいSIDになるのは、このためです。

よく見るSID

決まった値を持つSIDは、ACLの設定やログを見るときによく出てきます。覚えておくと便利なものを挙げます。「…」の部分は、ドメインやPCによって変わるドメイン識別子です。

SID名前意味
S-1-1-0Everyoneすべてのユーザーを含むグループ
S-1-5-11Authenticated Users認証されたユーザーとコンピュータ（Guestは含まない）
S-1-5-18SYSTEMOSやサービスが使うアカウント（LocalSystem）
S-1-5-32-544Administrators組み込みの管理者グループ
S-1-5-32-545Users組み込みのユーザーグループ
S-1-5-…-500Administrator管理者のユーザー。PCごと、ドメインごとに1つある
S-1-5-…-502krbtgtKerberosのチケットを発行するサービスのアカウント（DCにだけある）
S-1-5-…-512Domain Adminsドメインの管理者グループ
S-1-5-…-513Domain Usersドメインのすべてのユーザー
S-1-5-…-515Domain Computersドメインに参加しているコンピュータ（DCを除く）
S-1-5-…-516Domain ControllersドメインのDC

SIDはどこで使われているのか

フォルダのACLに登録されているのは、名前ではなくSIDです。画面に名前が表示されるのは、WindowsがSIDを名前に変換して見せているからです。ドメインのアカウントの場合、この変換はDCに問い合わせて行います。

サインインしたユーザーのアクセストークンにも、本人のSIDと、入っているグループのSIDが入っています。ファイルを開くとき、WindowsはトークンのSIDとACLのSIDを照らし合わせて、許可するかどうかを決めます。

画面に見えるものWindowsが実際に持っているもの営業資料のACL営業部：読み取り・書き込み経理部：読み取りAdministrators：フル…-1108：読み取り・書き込み…-1109：読み取りS-1-5-32-544：フルSIDを名前に変えて表示（DCなどに問い合わせ）アクセストークン（user01）…-1104（user01）…-1108（営業部）、…-513 などSID同士で照合削除されたアカウントは、名前に変えられない→ ACLにSIDの文字列のまま表示される
図4　ACLとアクセストークンはSIDで照合される。画面の名前は、SIDを変換して表示したもの（SIDは例）

Kerberosのチケットにも、ユーザーとグループのSIDが入っています。ファイルサーバは、チケットに入ったSIDを使ってアクセストークンを作り、ACLと照らし合わせます。

SIDでつまずきやすい場面

ACLに「S-1-5-21-…」が表示される

アクセス許可の画面に、名前ではなくSIDの文字列が表示されることがあります。多くは、そのSIDのアカウントがすでに削除されていて、名前に変換できない状態です。不要になったエントリであれば、ACLから削除して整理できます。

ただし、「S-1-15-3-」で始まるSIDは、アプリのアクセス制御に使う「機能（Capability）SID」です。もともと名前に変換されない仕組みなので、削除しないでください。

PCを複製するときはSysprepを使う

ローカルアカウントのSIDは、PCごとのSID（コンピュータのSID）をもとに作られます。インストール済みのWindowsを、Sysprepで一般化しないままディスクごと複製すると、コンピュータのSIDが同じPCが何台もできてしまいます。

Sysprepをしないで複製Sysprepをしてから展開PC-APC-BS-1-5-21-A-B-CS-1-5-21-A-B-CコンピュータのSID同じSIDのPCが2台ある最近の更新後は、PC同士の認証が失敗するPC-APC-BS-1-5-21-A-B-CS-1-5-21-D-E-FコンピュータのSIDPCごとに別のSID認証は通常どおり
図5　PCの複製とSID。Sysprepをしないで複製すると、同じSIDのPCができる
現在の状況

Microsoftは、2025年8月29日以降に公開した更新プログラムで、SIDが重複しているデバイス同士の認証を止めるチェックを加えました。対象は、Windows 11 バージョン24H2・25H2とWindows Server 2025です。該当すると、資格情報の入力を何度も求められる、共有フォルダやリモートデスクトップにつながらない、といった症状が出ます。恒久的な対策は、サポートされている方法（Sysprepなど）でPCを作り直し、PCごとに別のSIDにすることです。

SIDを確認するコマンド

自分のSIDや、入っているグループのSIDは、コマンドで確認できます。

PC（コマンドプロンプト）：自分のユーザーのSIDを表示する

whoami /user

PC（コマンドプロンプト）：自分が入っているグループとそのSIDを表示する

whoami /groups

PC（PowerShell）：このPCのローカルアカウントとSIDを一覧にする

Get-LocalUser | Select-Object Name, SID

DCまたは管理用PC（PowerShell、ActiveDirectoryモジュール）：ドメインのユーザーのSIDを表示する

Get-ADUser -Identity user01 | Select-Object Name, SID

まとめ

SIDは、Windowsがユーザーやグループを見分けるための番号です。アクセス許可もアクセストークンもSIDで扱われるので、名前を変えても権限は残り、作り直すと権限は引き継がれません。

項目押さえておくこと
SIDとはアカウントを見分ける番号。作成時に割り当てられ、ほかのアカウントに使い回されない
読み方S-1-5-21-ドメイン識別子-RID。ドメイン識別子でドメインを、RIDでその中のアカウントを区別する
RIDRIDマスターが各DCに束（既定500個）で配る。削除しても再利用されない
名前の変更と作り直し名前を変えてもSIDは同じ。削除して作り直すと新しいSIDになり、権限は消える
使われる場所ACL、アクセストークン、Kerberosのチケット
注意点ACLに残ったSIDは削除済みのアカウントのことが多い。PCの複製はSysprepで行う
確認方法whoami /user、whoami /groups、Get-LocalUser、Get-ADUser
参考にした資料

この記事は、次の資料を確認して書いています。

関連記事：【図解】認証と認可の違いとは？／【図解】ワークグループとドメインの違いとは？／Active Directory ユーザ追加と端末のドメイン参加／【図解】LDAPとは？仕組みと必要な理由

コメント