Active Directoryの環境では、アカウント保護の多くをグループポリシー(GPO)で一括適用できます。追加コストがかからないため、まずここを固めるのが出発点です。
ただしGPOでは構造的に扱えない領域があります。要件の決め方は企業のパスワードポリシーの決め方に譲り、本記事はGPOで何がどこまでできるかに絞ります。
GPOで設定できるアカウント保護の項目
まず、GPOで一括して配れる5つの項目を確認します。
1. パスワードポリシー
最短・最長の有効期間、最小文字数、複雑性、履歴（再利用禁止）をドメイン全体に強制できます。
注意点はドメイン単位の設定であることです。管理者アカウントだけ厳しくしたい場合は、きめ細かいパスワードポリシーを別に設計します。
2. アカウントロックアウト
失敗が一定回数続いたアカウントを一時的に止める設定で、総当たり攻撃への基本対策です。しきい値・継続時間・リセット間隔を指定します。
ロックアウトの副作用と限界
3. ユーザー権利の割り当て(ログオン制限)
「どのアカウントが、どの方法でログオンできるか」を制御します。よく使う形は次の3つです。
- リモートデスクトップでのログオンを許可するアカウントを限定する — RDPで入れる範囲を絞る
- ローカルログオンを拒否する対象を指定する — サービス専用アカウントの対話ログオンを止める
- ネットワーク経由のアクセスを制限する — 侵害された1台からの横移動を抑える
2つ目の対象の洗い出しはサービスアカウントの管理を参照してください。
4. 管理者権限に関わる設定
管理者グループの構成員をGPOで固定すれば、勝手に追加された管理者は次回適用時に元へ戻ります。過剰な権限が定着した環境では、まず固定して増殖を止めます（アカウントの権限管理とは）。
5. 監査ポリシー
ログオンの成否、アカウントの作成・変更、権限の使用をイベントとして記録させます。無効のままだと、事故のときに追跡の材料が残りません（何を残せば使えるログになるか）。
GPOでは埋まらない4つの穴
「ポリシーは設定済み」と判断する前に、GPOの外に残る4つの領域を確認します。
| 穴 | なぜ埋まらないか | 関連する解説 |
|---|---|---|
| 1. 各PCのローカルアカウント | ドメインのポリシーはドメインアカウントにしか及ばない | ローカル管理者パスワードの管理 |
| 2. ドメイン非参加の端末 | GPOはドメイン参加端末にしか配られない | 台数の突き合わせで確認 |
| 3. クラウドサービスのアカウント | SaaSに個別に作ったアカウントは管理外 | アカウント一元管理の方法 |
| 4. 認証要素そのもの | パスワードの運用ルールは決められても、要素は足せない | OSログインの二要素認証 |
1. 各PCのローカルアカウント
各端末のローカルAdministratorが弱いまま、あるいは全台同じパスワードのまま残っている例は珍しくありません。これは1台の侵害が全台に広がる経路になります。
2. ドメインに参加していない端末
私物端末、工場や店舗の独立したPC、非参加のサーバーには適用されません。設定したつもりの範囲と実際の適用範囲が一致しているか、台数で確かめます。
3. クラウドサービスのアカウント
ID連携をしていなければ、退職時にADのアカウントを無効にしてもクラウド側は生き残ります。
4. 認証要素そのもの
もっとも本質的な限界です。文字数・有効期限・履歴を整えても、盗まれたID・パスワードで正規にログインされる経路は閉じません。フィッシングや流出で資格情報が渡れば、強度は無関係になります。
GPOの位置づけ
確認の手順
次の順で棚卸しすると、GPOの外に残った穴が見えます。
GPOの穴を見つける4ステップ
- 1
台数を突き合わせる
ドメイン非参加の端末を数える
- 2
ローカルアカウントを一覧化
管理者パスワードが個別か
- 3
クラウドを洗い出す
AD連携の有無で分ける
- 4
要素を確認する
パスワード以外があるか
GPOの外に残った端末（ドメインに参加していないPCなど）は、1台ずつ見に行くことになりがちです。アプリップリキーなら、ADがなくても全PC・サーバーの状態・ログイン記録・更新漏れを1画面で見られ、アプリップリキーを入れていれば、ドメインに参加していないPCも同じ画面で把握できます。GPOの設定が各PCに効いているかを確かめる機能ではありませんが、台数・OS・利用者・ログイン記録がそろうので、「ドメインの外にあるPCは何台か」を回らずに数えられます。さらに、GPOでは足せない「パスワード以外の要素」として、PC及びサーバーのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。毎回の操作はスマホでワンタッチなので、社員の手間はほとんど増えません。
同じくGPOで配る設定に、USBメモリの利用制限があります（USBメモリの使用をグループポリシーで禁止する手順）。
入れたあと日々の仕事で変わること
GPOを整えたあとの担当者の仕事は、ロックアウトの問い合わせ対応と、GPOの外に残ったPCの見回りに移ります。ログイン記録を1か所で見られるようにしておくと、「ロックされた」と言われたその場で、どのPCで誰が失敗したかを確かめられ、原因の端末を探して社内を回る時間が減ります。ログインの連続失敗があったときだけ担当者のLINEに届き、相手のIPは自動で遮断されるので、イベントログを毎日見に行かなくても、何かあればすぐ分かります。
自社の設定でどこまで守れているかを確認する
GPOで整えられる範囲と、外に残る範囲を切り分けることが出発点です。applippliの無料棚卸しでは、10問・約3分で、自社の対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。