管理者保護

管理者保護は、Windows 11 のプラットフォーム セキュリティ機能であり、必要な最小限の特権で実行できるように設計されており、必要な場合にのみ、ユーザーの明示的な承認がある場合にのみ管理者権限に昇格します。 この機能は最小特権の原則に基づいて動作し、ユーザーを特権を解除された状態を維持し、必要な場合にのみ Just-In-Time 昇格権限を付与します。

今日のデジタル環境では、Windows の管理者権限を持つユーザーは、構成を変更したり、Windows 11 デバイスの全体的なセキュリティ体制に影響を与える可能性のあるシステム全体の変更を加えたりする強力な機能を利用できます。 管理者特権は、重大な攻撃ベクトルを作成します。 悪意のある攻撃者は多くの場合、これらの特権を悪用して、ユーザー データへの不正アクセスを取得し、プライバシーを侵害し、ユーザーの知らないうちに OS セキュリティ機能を無効にします。

管理者保護は、Windows Hello 統合認証による ID の確認をユーザーに要求することで、この課題に対処します。 ソフトウェアのインストール、時刻やレジストリなどのシステム設定の変更、機密データへのアクセスなど、管理者特権を必要とするアクションを許可する前に、この検証が強制されます。

メリット

管理者保護には、いくつかの主な利点があります。

  • 強化されたセキュリティ: 管理者保護は、すべての管理タスクに対してユーザーに明示的な承認を要求することにより、ユーザーによる偶発的な変更やマルウェアによる変更から Windows を保護します。 これにより、ユーザーは潜在的に有害なアクションを事前に認識できるようになり、脅威に対する追加の防御レイヤーが提供されます。

  • ユーザー制御: 管理者保護を使うと、ユーザーは特定のアプリケーションを管理者特権として実行するかどうかを明示的に決定する必要があります。 これにより、承認されたアプリのみがシステムを変更できるようになり、偶発的または悪意のある変更のリスクが軽減されます。

  • マルウェアの削減: 悪意のあるソフトウェアは、多くの場合、管理者権限に依存してデバイスの設定を変更し、有害なアクションを実行します。 マルウェアは管理者特権を警告なしに取得できなくなったため、管理者保護により攻撃キル チェーンが中断されます。

システム要件

KB5120998 で管理者保護を利用できるようになりました。 この機能は既定ではオフになっています。 エンタープライズのお客様は、カスタム OMA-URI を使用してこの機能を有効にできます。

サポートされているエディション: Windows 11 Home、Pro、Enterprise、Education。

管理者保護は現在、Windows 365 クラウド PC および Azure 仮想デスクトップ セッション ホスト以外のサポートされている Windows 11 デバイスに適用されます。 これらの環境および Windows Server エディションのサポートは、将来のリリースで計画されています。

Windows 365 および Azure Virtual Desktop セッション ホストの場合は、最小特権のベスト プラクティスに従うようにユーザーを標準ユーザーとして構成します。

注

organization で Windows セキュリティ ベースラインを使用している場合、2026 年 10 月の Windows セキュリティ更新プログラムでは、管理者保護が既定で有効になります。 Windows 11 バージョン 26H2、25H2、24H2 のセキュリティ ベースラインには、ポリシーで管理可能な新しい既定の設定が含まれています。 既存の構成を確認してテストし、環境に合わせて調整します。 ポリシーの詳細

管理者保護のしくみ

その中心的な機能として、管理者保護は最小限の特権の原則に基づいて動作します。 ユーザーが Windows にサインインすると、特権が剥奪されたユーザー トークンを受け取ります。 ただし、管理者特権が必要な場合、Windows はユーザーに操作を承認するように要求します。 承認されると、Windows は、システムによって生成され、プロファイルで区切られた非表示のユーザー アカウントを使用して、分離された管理者トークンを作成します。 このトークンは要求側プロセスに発行され、プロセスが終了すると破棄されるため、管理者特権が保持されなくなります。 アーキテクチャの変更により、すべてのユーザーが適切な承認なしに管理者特権のセッションのコードまたはデータにアクセスしたり、改ざんしたりすることはできません。

一部のアプリケーションは、管理者権限が常に存在し、管理者特権なしで実行しているときに管理者特権のプロファイルにアクセスできることに依存している場合があります。 この新しいアプローチでは、これらのアプリの一部のシナリオで、強化されたセキュリティ モデルでスムーズに動作するために更新が必要になる場合があります。 Microsoft はアプリ開発者と積極的に協力して適応を支援し、システムを保護しながらお気に入りのエクスペリエンスをシームレスに保ちます。 アプリケーション開発のガイダンスについては、「 管理者保護を使用したアプリケーション セキュリティの強化」を参照してください。

最終的には、これらの変更はすべて、Windows のセキュリティを強化し、強力な機能により安心して利用できるようにするためのものです。

アーキテクチャの主なハイライト

管理者保護アーキテクチャの図。

  • Just-In-Time 昇格: ユーザーは特権を剥奪されたままで、管理操作中にのみ Just-In-Time 昇格権限が付与されます。 管理者トークンは使用後に破棄され、管理者特権を必要とする別のタスクが実行されたときに再作成されます。

  • プロファイルの分離: 管理者保護では、システムによって生成され、プロファイルで区切られた非表示のユーザー アカウントを使用して、分離された管理者トークンを作成します。 これにより、ユーザー レベルのマルウェアが管理者特権のセッションを侵害できないようにすることができます。

  • 自動昇格なし: ユーザーはすべての管理操作を対話的に承認する必要があります。 これにより、管理者ユーザーが完全な制御を維持し、管理者特権が悪用されないようにします。

  • Windows Hello の統合: 管理者保護は Windows Hello と統合され、シンプルで安全な承認を実現します。

構成

管理者の保護は、いくつかの方法で有効にできます。

Microsoft Intune を使用してデバイスを構成するには、設定カタログ ポリシーを作成し、カテゴリLocal Policies Security Options の下に一覧表示される設定を使用します。

  • 管理承認モードのユーザー アカウント制御の種類 (機能を有効にする)
  • 管理者保護のための昇格時プロンプトのユーザー アカウント制御の動作 (昇格時プロンプトの種類を選択)

構成するデバイスまたはユーザーをメンバーとして含むセキュリティ グループにポリシーを割り当てます。

重要

管理者保護を有効にするには、再起動が必要です。

イベントの監視とレポート

昇格を追跡するために、管理者保護には、GUID {93c05d69-51a3-485e-877f-1806a8731346}を持つ既存の Microsoft-Windows-LUA プロバイダーの下に 2 つの新しい Windows イベント トレーシング (ETW) イベントがあります。

イベント ID イベント名 説明
15031 昇格の承認 ユーザーが正常に認証され、昇格が許可されたときにログに記録される
15032 昇格拒否/失敗 昇格が拒否されたとき、失敗したとき、またはタイムアウトしたときにログに記録される

ログに記録される内容

  • 昇格をトリガーしたユーザーのセキュリティ識別子 (SID)
  • アプリケーション名とパス
  • 昇格の結果 (承認、拒否、タイムアウト)
  • タスクの実行に使用されるシステム管理の管理者アカウント
  • 認証方法 (パスワード、PIN、Windows Hello など)

これらのイベントをキャプチャする方法

  • Microsoft-Windows-LUA プロバイダーを有効にする (GUID: {93c05d69-51a3-485e-877f-1806a8731346})
  • Logman または WPR (Windows パフォーマンス レコーダー) を使用してトレース セッションを開始する
  • イベント ID のフィルター 15031 と 15032
  • Windows パフォーマンス アナライザーまたはお好みのツールを使用して、結果の .etl ファイルを分析します

コマンドの例を次に示します。

logman start AdminProtectionTrace -p {93c05d69-51a3-485e-877f-1806a8731346} -ets

トラブルシューティング

注

この機能を有効にしない場合:

  • アプリケーションの設定データは、通常の (管理者特権ではない) プロファイルと管理者特権のプロファイルの間で引き継がれません。 本当に必要なアプリだけを昇格させます。

  • Linux 用 Windows サブシステム (WSL) や Visual Studio などの開発ツールまたは環境を使用していて、パフォーマンス テストなどの特定のタスクのために管理者特権を実行する必要がある場合は、管理者特権のプロファイルでディストリビューションを個別に再インストールして構成する必要があります。

  • Windows 365 クラウド PC および Azure Virtual Desktop セッション ホスト、移動プロファイル、バックアップ管理者へのリモート ログオンはサポートされていません。

  • コンピューター間のリモート管理シナリオでは、リモート昇格の動作は、ユーザー アカウント制御によって制御できます : [管理者保護が有効になっている場合に、ローカル管理者グループ内のドメイン ユーザーに昇格された特権でリモート ログオンを許可する] ポリシー。

    動作:

    • 無効 (既定): ローカル Administrators グループのドメイン ユーザーは、昇格された特権なしでリモート ログオンを実行します。
    • 有効: ローカル Administrators グループのドメイン ユーザーは、従来の UAC 動作と同じ昇格された特権でリモート ログオンを実行します。

    より細かい制御を行うには、 ユーザー アカウント制御を使用します: 管理者保護が有効な場合に、指定されたドメイン ユーザーとグループに対して昇格された特権でリモート ログオンを許可 するポリシー 管理者特権のリモート ログオンを指定されたドメイン ユーザーまたはグループにのみ許可し、他のメンバーは昇格されていないままにします。

  • KB5124010 をインストールした後、管理者保護が有効になっているデバイスでは、管理者以外の RDP ログオンがエラー 0xC000000Dで失敗します。 回避策: Intune または グループ ポリシー を使用して承認モード ポリシーのユーザー アカウント制御の種類管理リセットして、影響を受けるデバイスで管理者保護をオフにします。

  • 管理者保護

  • 一部のアプリケーションでは、インストール後にスタート メニューに起動アイコンが表示されません。 この問題は KB5124010 で修正されています。 問題が解決しない場合は、インストール場所まで手動で移動する必要があります。 AppData\Roaming\Microsoft\Windows\Start Menu\Programs\<App name>

  • アプリが管理者保護付きで管理者特権で実行される場合、標準セッションからの単一 Sign-On (SSO) 資格情報は管理者特権のセッションでは使用できません。 ドメインまたはクラウド認証は、その管理者特権のセッション内で再確立する必要があります。

  • ネットワーク ドライブ/リソース: 管理者特権のアプリからアクセスできない。 ユーザー コンテキストにインストールして、ネットワーク資格情報プロンプトを有効にします。 アプリケーションを昇格としてインストールすることが不可欠な場合は、昇格する前にインストール ファイルをローカル ドライブにコピーします。

  • Edge 拡張機能を使用している一部のアプリは、正常に起動した場合でも、昇格されたアクセス許可を要求する場合があります。 これは KB5124010 で修正されています。 問題が解決しない場合は、管理者保護を無効にする必要があります。

  • いずれかのアプリケーションの更新がブロックされている場合は、管理者特権の更新プログラムをダウンロードしてから、インストールしてみてください。 失敗した場合は、管理者保護を一時的に無効にします。

  • 最終更新: