Windowsには、インストールした時点で「Administrator」（既定の管理者）と「Guest」（ゲスト）というアカウントが作られています。どのPCでも同じ名前なので、外から総当たりで試されるときは、まずこの名前が狙われます。ここでは、これらが有効になっていないかを確認し、無効にする手順をまとめます。
作業の順番
- 1
有効かどうか確認
net user / Get-LocalUser
- 2
別の管理者を確認
ログインできるか試す
- 3
1台で無効にする
コマンドまたは管理画面
- 4
全社に配る
グループポリシー
既定のアカウントが有効か確認する
管理者のPowerShellで、ローカルアカウントの一覧と、有効かどうかを表示します。
Get-LocalUser | Select-Object Name, Enabled, SID| アカウント | SIDの末尾 | Windows 10/11の既定 | Windows Serverの既定 |
|---|---|---|---|
| Administrator | -500 | 無効 | 有効（最初の管理者として使う） |
| Guest | -501 | 無効 | 無効 |
| DefaultAccount・WDAGUtilityAccount | -503・その他 | 無効（Windowsが内部で使う） | 無効 |
名前を変えていても、SIDの末尾が500なら既定のAdministratorです。コマンドプロンプトなら net user Administrator で、「アカウント有効」の行が「Yes」か「No」かを確認できます。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
既定のAdministratorやGuestを無効にしても、残った管理者アカウントがパスワードだけで入れるなら、パスワードが漏れた時点で本人として入られます。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
無効にする前に確認すること
管理者がいなくなると、元に戻せなくなります
管理者の一覧は次のコマンドで確認できます。詳しい見方は管理者権限があるユーザーを一覧で確認する方法にまとめています。
net localgroup Administrators| こういう使い方をしているなら | 先に確認すること |
|---|---|
| 保守業者がAdministratorで作業している | 業者用の別アカウントを用意し、伝える。共用のままだと誰が作業したか分からない |
| Windows LAPSでAdministratorのパスワードを管理している | LAPSの管理対象を別のアカウントに変えるか、無効のまま管理するかを決める（LAPSの解説） |
| ドメインコントローラー | ドメインのAdministratorは影響が大きい。無効にせず名前の変更と強いパスワード、緊急用の扱いを決める |
| スケジュールタスクやサービスがAdministratorで動いている | 無効にすると止まる。専用のアカウントに切り替えてから無効にする（サービスアカウントの管理） |
1台で無効にする
管理者のコマンドプロンプトかPowerShellで、次のどちらかを実行します。
net user Administrator /active:no
net user Guest /active:noDisable-LocalUser -Name "Administrator"
Disable-LocalUser -Name "Guest"画面で行う場合は、Windowsキー + R → lusrmgr.msc → ユーザーで対象を開き、「アカウントを無効にする」にチェックを入れます（Homeエディションにはこの画面がないため、コマンドを使います）。
グループポリシーで全社に配る
グループポリシーでの設定場所
- 1
gpmc.msc でGPOを編集
対象のOUにリンク
- 2
セキュリティ オプションを開く
コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → ローカル ポリシー
- 3
2つの項目を「無効」に
「アカウント: Administrator アカウントの状態」「アカウント: Guest アカウントの状態」
- 4
反映を確認
gpupdate /force のあと Get-LocalUser
Active Directoryがない会社では、同じ項目を各PCのローカル セキュリティ ポリシー（secpol.msc）で設定できます。同じ画面の「アカウント: Administrator アカウント名の変更」で名前を変えることもできます。
名前の変更とロックアウトの扱い
名前を変えると、「administrator」という名前での総当たりは当たらなくなります。ただし、SIDは変わらないため、社内に入られたあとは調べればすぐ分かります。名前の変更は、無効化やパスワードの管理の代わりにはなりません。
また、既定のAdministratorは、古いWindowsや設定によってはアカウント ロックアウトの対象外で、何度失敗してもロックされません。2022年10月以降の更新で「管理者アカウントのロックアウトを許可する」という設定が加わり、新しくインストールした環境では既定で有効になっています。古くから使っているPC・サーバーでは、ローカルアカウントのロックアウトの設定とあわせて確認してください。
無効にしても残ること
既定のアカウントを無効にしたあとに残る入られ方
無効にしても残る
- 担当者ごとの管理者アカウントのパスワードが漏れる・推測される
- 管理者のパスワードを複数人で共有している
- 社内に入られたあと、パスワードだけのログインでPC・サーバーを渡り歩かれる
無効にすれば減る
- どのPCにもある「Administrator」「Guest」の名前での総当たり
- パスワードが設定されていない・弱いままのGuestを使われること
既定のアカウントを無効にすると、狙われやすい名前は減ります。しかし、残った管理者アカウントがパスワードだけで入れる状態なら、パスワードが漏れた時点で入られることは変わりません。管理者アカウントこそ、パスワードを知っているだけでは入れない状態にしておくことが大切です。
普段の管理が楽になると何が変わるか
既定のアカウントを整理すると、次に困るのは「保守業者がどのアカウントで、いつ作業したか」を後から聞かれたときです。全PC・サーバーのログイン記録が1か所にあれば、日時・利用者・接続元のPC名とIPアドレスを、通常のログインでもリモートデスクトップでも、その場で絞り込めます。取引先や監査に聞かれたら、CSVでそのまま出せます。退職や異動のときも、席まで行かずにスマホの登録を外し、ローカルアカウントを止められます（アプリップリキー）。
社内のPC・サーバーのログインを2要素認証にする考え方はOSログイン・PCログインの二要素認証、委託先の正規アカウントで顧客のシステムに入られ、サーバー内のファイルが暗号化された実例は大阪公立大学・NEC委託先の不正アクセスで整理しています。サーバーの管理者アカウントの扱いはWindows Serverの特権アカウント管理、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
よくある質問
WindowsのAdministratorアカウントは無効にしたほうがよいですか
ふだん使っていないなら、無効にするのが一般的です。Windows 10/11では既定で無効ですが、Windows Serverでは有効なことが多いので確認してください。無効にする前に、別の管理者アカウントでログインできることを必ず確かめます。
Administratorが有効かどうかは、どう確認しますか
コマンドプロンプトで net user Administrator を実行し、「アカウント有効」の行を見ます。名前を変えている場合は、PowerShellの Get-LocalUser でSIDの末尾が500のアカウントを探します。
Guestアカウントは使っても大丈夫ですか
会社のPCでは使わないのが原則です。Windows 10/11では既定で無効で、有効にする理由はほとんどありません。来訪者に使わせる場合も、専用のアカウントを作るほうが管理しやすくなります。
いまの運用を棚卸ししてみる
既定のアカウントを整理したら、残った管理者アカウントの扱いです。applippliの無料チェックでは、10問・約3分で、管理者を含むPCログインまわりの対応状況を「解決済み／一部解決／人手で対応／未解決」に仕分けた一覧にできます。個人情報の入力は不要で、会員登録もありません。
参考・出典
- Microsoft Learn「アカウント: Administrator アカウントの状態」
- Microsoft Learn「アカウント: Guest アカウントの状態」
- Microsoft サポート「KB5020282: ローカル管理者のアカウント ロックアウト」（2022年10月の更新で追加された設定）
※ 本記事は2026年11月時点の一般的な解説です。既定の状態は、Windowsのエディション・バージョンやインストール方法によって異なる場合があります。