管理者保護

管理者保護は、Windows 11 のプラットフォーム セキュリティ機能であり、必要な最小限の特権で実行できるように設計されており、必要な場合にのみ、ユーザーの明示的な承認がある場合にのみ管理者権限に昇格します。 この機能は最小特権の原則に基づいて動作し、ユーザーを特権を解除された状態を維持し、必要な場合にのみ Just-In-Time 昇格権限を付与します。

今日のデジタル環境では、Windows の管理者権限を持つユーザーは、構成を変更したり、Windows 11 デバイスの全体的なセキュリティ体制に影響を与える可能性のあるシステム全体の変更を加えたりする強力な機能を利用できます。 管理者特権は、重大な攻撃ベクトルを作成します。 悪意のある攻撃者は多くの場合、これらの特権を悪用して、ユーザー データへの不正アクセスを取得し、プライバシーを侵害し、ユーザーの知らないうちに OS セキュリティ機能を無効にします。

管理者保護は、Windows Hello 統合認証による ID の確認をユーザーに要求することで、この課題に対処します。 ソフトウェアのインストール、時刻やレジストリなどのシステム設定の変更、機密データへのアクセスなど、管理者特権を必要とするアクションを許可する前に、この検証が強制されます。

メリット

管理者保護には、いくつかの主な利点があります。

• 強化されたセキュリティ: 管理者保護は、すべての管理タスクに対してユーザーに明示的な承認を要求することにより、ユーザーによる偶発的な変更やマルウェアによる変更から Windows を保護します。 これにより、ユーザーは潜在的に有害なアクションを事前に認識できるようになり、脅威に対する追加の防御レイヤーが提供されます。

• ユーザー制御: 管理者保護を使うと、ユーザーは特定のアプリケーションを管理者特権として実行するかどうかを明示的に決定する必要があります。 これにより、承認されたアプリのみがシステムを変更できるようになり、偶発的または悪意のある変更のリスクが軽減されます。

• マルウェアの削減: 悪意のあるソフトウェアは、多くの場合、管理者権限に依存してデバイスの設定を変更し、有害なアクションを実行します。 マルウェアは管理者特権を警告なしに取得できなくなったため、管理者保護により攻撃キル チェーンが中断されます。

システム要件

KB5120998 で管理者保護を利用できるようになりました。 この機能は既定ではオフになっています。 エンタープライズのお客様は、カスタム OMA-URI を使用してこの機能を有効にできます。

サポートされているエディション: Windows 11 Home、Pro、Enterprise、Education。

管理者保護は現在、Windows 365 クラウド PC および Azure 仮想デスクトップ セッション ホスト以外のサポートされている Windows 11 デバイスに適用されます。 これらの環境および Windows Server エディションのサポートは、将来のリリースで計画されています。

Windows 365 および Azure Virtual Desktop セッション ホストの場合は、最小特権のベスト プラクティスに従うようにユーザーを標準ユーザーとして構成します。

管理者保護のしくみ

その中心的な機能として、管理者保護は最小限の特権の原則に基づいて動作します。 ユーザーが Windows にサインインすると、特権が剥奪されたユーザー トークンを受け取ります。 ただし、管理者特権が必要な場合、Windows はユーザーに操作を承認するように要求します。 承認されると、Windows は、システムによって生成され、プロファイルで区切られた非表示のユーザー アカウントを使用して、分離された管理者トークンを作成します。 このトークンは要求側プロセスに発行され、プロセスが終了すると破棄されるため、管理者特権が保持されなくなります。 アーキテクチャの変更により、すべてのユーザーが適切な承認なしに管理者特権のセッションのコードまたはデータにアクセスしたり、改ざんしたりすることはできません。

一部のアプリケーションは、管理者権限が常に存在し、管理者特権なしで実行しているときに管理者特権のプロファイルにアクセスできることに依存している場合があります。 この新しいアプローチでは、これらのアプリの一部のシナリオで、強化されたセキュリティ モデルでスムーズに動作するために更新が必要になる場合があります。 Microsoft はアプリ開発者と積極的に協力して適応を支援し、システムを保護しながらお気に入りのエクスペリエンスをシームレスに保ちます。 アプリケーション開発のガイダンスについては、「 管理者保護を使用したアプリケーション セキュリティの強化」を参照してください。

最終的には、これらの変更はすべて、Windows のセキュリティを強化し、強力な機能により安心して利用できるようにするためのものです。

アーキテクチャの主なハイライト

• Just-In-Time 昇格: ユーザーは特権を剥奪されたままで、管理操作中にのみ Just-In-Time 昇格権限が付与されます。 管理者トークンは使用後に破棄され、管理者特権を必要とする別のタスクが実行されたときに再作成されます。

• プロファイルの分離: 管理者保護では、システムによって生成され、プロファイルで区切られた非表示のユーザー アカウントを使用して、分離された管理者トークンを作成します。 これにより、ユーザー レベルのマルウェアが管理者特権のセッションを侵害できないようにすることができます。

• 自動昇格なし: ユーザーはすべての管理操作を対話的に承認する必要があります。 これにより、管理者ユーザーが完全な制御を維持し、管理者特権が悪用されないようにします。

• Windows Hello の統合: 管理者保護は Windows Hello と統合され、シンプルで安全な承認を実現します。

構成

管理者の保護は、いくつかの方法で有効にできます。

• Microsoft Intune 設定カタログ (プレビュー)
• CSP
• グループ ポリシー
• Windows セキュリティ設定 (プレビュー)

イベントの監視とレポート

昇格を追跡するために、管理者保護には、GUID {93c05d69-51a3-485e-877f-1806a8731346}を持つ既存の Microsoft-Windows-LUA プロバイダーの下に 2 つの新しい Windows イベント トレーシング (ETW) イベントがあります。

ログに記録される内容

• 昇格をトリガーしたユーザーのセキュリティ識別子 (SID)
• アプリケーション名とパス
• 昇格の結果 (承認、拒否、タイムアウト)
• タスクの実行に使用されるシステム管理の管理者アカウント
• 認証方法 (パスワード、PIN、Windows Hello など)

これらのイベントをキャプチャする方法

• Microsoft-Windows-LUA プロバイダーを有効にする (GUID: {93c05d69-51a3-485e-877f-1806a8731346})
• Logman または WPR (Windows パフォーマンス レコーダー) を使用してトレース セッションを開始する
• イベント ID のフィルター 15031 と 15032
• Windows パフォーマンス アナライザーまたはお好みのツールを使用して、結果の .etl ファイルを分析します

コマンドの例を次に示します。

logman start AdminProtectionTrace -p {93c05d69-51a3-485e-877f-1806a8731346} -ets

トラブルシューティング

• "最高の特権" で実行するように設定されたスケジュールされたタスクまたはスクリプトには、ローカル SYSTEM または専用サービス アカウントを使用します。 基本的には、常時オンの管理者トークンが期待されないようにスクリプトを再設計することです。 管理セッションが使用可能であることを想定したワークフローを調整する必要があります。

• アプリが管理者保護付きで管理者特権で実行される場合、標準セッションからの単一 Sign-On (SSO) 資格情報は管理者特権のセッションでは使用できません。 ドメインまたはクラウド認証は、その管理者特権のセッション内で再確立する必要があります。

• ネットワーク ドライブ/リソース: 管理者特権のアプリからアクセスできない。 ユーザー コンテキストにインストールして、ネットワーク資格情報プロンプトを有効にします。 アプリケーションを昇格としてインストールすることが不可欠な場合は、昇格する前にインストール ファイルをローカル ドライブにコピーします。

• アプリケーションの設定データは、通常の (管理者特権ではない) プロファイルと管理者特権のプロファイルの間で引き継がれません。 本当に必要なアプリだけを昇格させます。 可能な場合は、両方のプロファイルからアクセスできる共通のデータ ディレクトリを使用するように、これらのアプリケーションを構成することを検討してください。

• Windows 365 クラウド PC および Azure Virtual Desktop セッション ホスト、移動プロファイル、バックアップ管理者へのリモート ログオンはサポートされていません。

• コンピューター間のリモート管理シナリオでは、リモート昇格の動作は、ユーザー アカウント制御によって制御できます : [管理者保護が有効になっている場合に、ローカル管理者グループ内のドメイン ユーザーに昇格された特権でリモート ログオンを許可する] ポリシー。

  動作:

  • 無効 (既定): ローカル Administrators グループのドメイン ユーザーは、昇格された特権なしでリモート ログオンを実行します。
  • 有効: ローカル Administrators グループのドメイン ユーザーは、従来の UAC 動作と同じ昇格された特権でリモート ログオンを実行します。

  より細かい制御を行うには、 ユーザー アカウント制御を使用します: 管理者保護が有効な場合に、指定されたドメイン ユーザーとグループに対して昇格された特権でリモート ログオンを許可 するポリシー 管理者特権のリモート ログオンを指定されたドメイン ユーザーまたはグループにのみ許可し、他のメンバーは昇格されていないままにします。

• 一部のアプリケーションでは、インストール後にスタート メニューに起動アイコンが表示されません。 管理者特権でインストールした場合は、インストール場所まで手動で移動する必要があります。 AppData\Roaming\Microsoft\Windows\Start Menu\Programs\<App name>

• アプリケーションの更新がブロックされている場合は、この機能を一時的に無効にします。 (再起動が必要です)。

関連記事

• ユーザー アカウント制御 (UAC)
• Windows Hello 強化されたサインイン セキュリティ
• Microsoft Intune 設定カタログ