「社内のPCで、誰が管理者権限を持っているか」を即答できる会社は少ないです。管理者権限は奪われたときの影響が最も大きいアカウントですが、把握できていないことが多い領域です。この記事では、確認するための具体的な手順を、単体のPC・複数台・Active Directory環境の順に扱います。
自分のアカウントに管理者権限があるか確認する
いまログインしている自分のアカウントが管理者かどうかだけを知りたい場合は、次のどちらかで確認できます。
設定画面で確認する
「設定」→「アカウント」→「ユーザーの情報」を開きます。名前の下に「管理者」と表示されていれば、そのアカウントは管理者権限を持っています。「標準ユーザー」と表示されていれば、管理者ではありません。
コマンドで確認する
コマンドプロンプトを開き、次を実行します（管理者として実行する必要はありません）。
net user %USERNAME%結果の「ローカル グループ メンバー」の欄に「*Administrators」が含まれていれば、管理者です。会社のドメインに参加しているPCでは、この欄に出てこなくても、ドメインのグループ経由で管理者になっていることがあります。その場合は、次の「1台のPCで確認する」の手順で、管理者グループの中身を確認してください。
1台のPCで確認する
最も確実で速いのはコマンドです。画面のメニューを辿る方法より、結果が明確に出ます。
手順
スタートメニューで「cmd」と入力し、「管理者として実行」でコマンドプロンプトを開きます。そこで次を実行します。
net localgroup Administrators日本語版のWindowsでは、グループ名が「Administrators」のままの場合と日本語表記の場合があります。エラーが出る場合は次を試してください。
net localgroupグループの一覧が出るので、管理者グループの正確な名称を確認してから指定し直します。
PowerShellを使う場合
こちらの方が言語による表記の違いに強く、結果も扱いやすい形で出ます。
Get-LocalGroupMember -Group Administrators名前・種別（ユーザーかグループか）・所属元が表で出ます。種別の欄は必ず見てください。ここに「グループ」が入っている場合、そのグループの中身も管理者になります。
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
見落としやすい3つのパターン
一覧を取っただけでは把握できないものがあります。
① グループ経由で入っている管理者
一覧に Domain Admins のようなグループ名が入っている場合、そのグループのメンバー全員が、このPCの管理者です。人数が一覧の行数と一致しません。
グループの中身は次で確認できます。
net group "Domain Admins" /domain② 無効化されているだけのビルトイン管理者
Windowsには既定で Administrator という組み込みアカウントがあります。通常は無効ですが、過去の作業で有効化されたまま残っていることがあります。
状態は次で確認します。
net user Administrator「アカウントが有効」の行が Yes になっていれば、有効な管理者として存在しています。パスワードが初期設定のままなら、そこが侵入口になります。
各PCのローカル管理者パスワードの扱いは ローカル管理者パスワードの管理で扱っています。
③ 保守ベンダー用のアカウント
導入時に作られた保守用のアカウントが、契約終了後も管理者として残っていることがあります。社名や「support」「maintenance」を含む名前が典型です。
委託先アカウントの管理を参照してください。
ポイント
複数台をまとめて確認する
台数が増えると1台ずつでは終わりません。まず「全台を確認する」のを諦め、対象を絞るのが実務的です。
優先して確認すべき端末
- 個人情報や顧客データを扱う端末
- 社外に持ち出す端末
- 共用で使っている端末
- 担当者が退職・異動した端末
- 導入から一度も棚卸ししていない端末
この5つで、リスクの大部分が拾えます。全台に手を広げて途中で止まるより、対象を絞って完了させる方が結果が残ります。
リモートから取得する
管理者権限とネットワーク到達性がある環境なら、PowerShellで対象PCを指定して取得できます。
Invoke-Command -ComputerName PC001,PC002 -ScriptBlock { Get-LocalGroupMember -Group Administrators }実行にはリモート管理の機能が有効になっている必要があります。有効でない環境では、この方法は使えません。その場合は対象を絞って手元で確認する方が早く終わります。
Active Directory環境で確認する
ドメイン全体の管理者を確認する場合です。ドメインコントローラーまたは管理ツールが入った端末で実行します。
Get-ADGroupMember -Identity "Domain Admins"あわせて、より強い権限を持つ2つのグループも確認が必要です。
Enterprise Admins：フォレスト全体に及ぶ権限Schema Admins：ディレクトリの構造を変更できる権限
この2つは、通常は常時メンバーを置く必要がありません。人が入っている場合、その理由を確認してください。
Active Directory環境のID管理は Active DirectoryでのID管理、 Windowsサーバーの特権アカウントで扱っています。
確認したあとの判断基準
一覧が出たら、各アカウントを次の順で仕分けます。
| 状態 | 対応 |
|---|---|
| 在籍していない人のアカウント | 削除 |
| 誰のものか分からないアカウント | 無効化して様子を見る（削除は影響確認後） |
| 契約が終了したベンダーのアカウント | 削除 |
| 日常業務で管理者権限が不要な人 | 一般ユーザーへ降格 |
| 管理者権限が必要な人 | 残す。ただし認証の強化を検討 |
「誰のものか分からない」は即削除しないでください。システムが使用しているアカウントの場合、削除すると業務が止まります。無効化して影響を確認してから判断します。
システムが使うアカウントの扱いは サービスアカウントの管理で扱っています。
確認は一度で終わりません
管理者権限は、トラブル対応の過程で一時的に付与され、そのまま戻されないことがよくあります。一度整理しても、半年後には増えています。
確認した日付と結果を残しておくと、次回は差分だけを見れば済みます。凝った様式は不要で、日付・対象台数・削除した数が分かれば十分です。
棚卸しの進め方は 特権アカウントの管理、 IDの棚卸しと監査で扱っています。
なお、管理者アカウントで日常業務をしている場合は、権限を引き上げるときの確認画面が実質的な最後の歯止めになります。この設定を無効にしているPCがないかも併せて確認してください(ユーザーアカウント制御(UAC)の設定)。
よくある質問
コマンドを使わずに確認できますか
設定画面からも確認できますが、グループ経由で管理者になっているアカウントが表示されないことがあります。コマンドの方が確実です。
一覧に出たアカウントを全部削除してよいですか
いけません。システムが使用しているアカウントを削除すると業務が止まります。誰のものか分からないものは、まず無効化して影響を確認します。
管理者権限を残す場合、何をすべきですか
管理者権限のアカウントは奪われたときの影響が最も大きいため、一般ユーザーと同じ認証条件では不十分な場合があります。認証の強化を優先的に検討する対象になります。
いまの運用を棚卸ししてみる
applippliの無料棚卸しでは、10問・約3分で、管理者権限やアカウント管理の状況を、「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。結果はPDFレポートでもお届けします。個人情報の入力は不要で、会員登録もありません。