特殊 ID グループ

Learn about Windows Server special identity groups (sometimes called security groups) that are used for Windows access control.

特殊 ID グループとは

特殊 ID グループは、Active Directory の Users および BuiltIn コンテナーに一覧表示される Active Directory セキュリティ グループに似ています。 特殊 ID グループは、ネットワーク内のリソースへのアクセス権を割り当てるための効率的な手段となります。 特殊 ID グループを使用すると、次のことができます。

• Active Directory のセキュリティ グループにユーザーの権利を割り当てる。

• セキュリティ グループにリソースに対するアクセス許可を割り当てる。

Windows Server での特殊 ID グループの機能

If a server is running one of the versions of the Windows Server operating system shown in Applies to at the beginning of this article, the server has several special identity groups. これらの特殊 ID グループは、変更できる特定のメンバーシップはないものの、状況に応じて、さまざまな時点でさまざまなユーザーを表すことができます。

特定のリソースに対する権限とアクセス許可を特殊 ID グループに割り当てることができますが、特殊 ID グループのメンバーシップを表示または変更することはできません。 グループ スコープは、特殊 ID グループには適用されません。 ユーザーは、サインインまたは特定のリソースへのアクセス時に、特殊 ID グループに自動的に割り当てられます。

Active Directory のセキュリティ グループとグループ スコープの詳細については、「Active Directory セキュリティ グループ」を参照してください。

既定の特殊 ID グループ

これ以降のセクションで、Windows Server の既定の特殊 ID グループについて説明します。

• Anonymous Logon
• 証明された重要なプロパティ
• Authenticated Users
• 認証機関が検証済みのアイデンティティ
• Batch
• Console logon
• Creator Group
• Creator Owner
• Dialup
• Digest Authentication
• エンタープライズ ドメイン コントローラー
• 企業向け読み取り専用ドメイン コントローラー
• Everyone
• 最新の公開キー ID
• Interactive
• IUSR
• Key trust
• Local Service
• LocalSystem
• MFA キー プロパティ
• Network
• Network Service
• NTLM Authentication
• Other Organization
• Owner Rights
• Principal Self
• Proxy
• 読み取り専用ドメイン コントローラー
• リモート 対話型ログオン
• Restricted
• SChannel Authentication
• Service
• Service asserted identity
• ターミナル サーバー ユーザー
• This Organization
• ウィンドウ マネージャー\ウィンドウ マネージャー グループ

Anonymous Logon

匿名ログオンを介してシステムにアクセスするすべてのユーザーには、Anonymous Logon ID が割り当てられます。 この ID を使用すると、企業サーバーで公開されている Web ページなどのリソースに匿名でアクセスできます。 Anonymous Logon グループは、既定では Everyone グループのメンバーではありません。

Attested key property

キー信頼オブジェクトが構成証明プロパティを持っていたことを意味するセキュリティ識別子 (SID)。

Authenticated Users

サインイン プロセスを通してシステムにアクセスするすべてのユーザーには、Authenticated Users ID が割り当てられます。 この ID を使用すると、組織内のすべての従業員がアクセスできる共有フォルダー内のファイルなど、ドメイン内の共有リソースにアクセスできます。 メンバーシップはオペレーティング システムによって制御されます。

Authentication authority asserted identity

クライアントの ID が、クライアント資格情報の所有証明に基づいて、認証機関によってアサートされていることを示す SID。

Batch

バッチ ジョブとして、またはバッチ キューを介してシステムにアクセスするすべてのユーザーまたはプロセスには、Batch ID が割り当てられます。 この ID を使用すると、バッチ ジョブは、一時ファイルを削除する夜間クリーンアップ ジョブなどのスケジュールされたタスクを実行できます。 メンバーシップはオペレーティング システムによって制御されます。

Console logon

物理コンソールにログオンしているユーザーを含むグループ。 この SID を使用して、ユーザーがコンソールへの物理的なアクセスを許可されているかどうかに基づいて異なる権限を付与するセキュリティ ポリシーを実装できます。

Creator Group

この特殊 ID グループのメンバーは、ファイルまたはディレクトリを作成したユーザーです。 Windows Server オペレーティング システムでは、この ID を使用して、ファイルまたはディレクトリの作成者にアクセス許可が自動的に付与されます。

継承可能なアクセス制御エントリ (ACE) にプレースホルダー SID が作成されます。 ACE が継承されると、この SID はシステムによって、オブジェクトの現在の所有者のプライマリ グループの SID に置き換えられます。 プライマリ グループは POSIX サブシステムでのみ使用されます。

Creator Owner

この特殊 ID グループのメンバーは、ファイルまたはディレクトリを作成したユーザーです。 Windows Server オペレーティング システムでは、この ID を使用して、ファイルまたはディレクトリの作成者にアクセス許可が自動的に付与されます。 継承可能な ACE にプレースホルダー SID が作成されます。 ACE が継承されると、この SID はシステムによって、オブジェクトの現在の所有者の SID に置き換えられます。

Dialup

ダイヤルアップ接続を介してシステムにアクセスするユーザーには、Dialup ID が割り当てられます。 この ID は、ダイヤルアップ ユーザーを他の種類の認証済みユーザーと区別します。

Digest Authentication

エンタープライズ ドメイン コントローラー

このグループには、Active Directory フォレスト内のすべてのドメイン コントローラーが含まれます。 エンタープライズ全体での役割と責任を持つドメイン コントローラーには、Enterprise Domain Controllers ID が割り当てられます。 この ID を使用すると、ドメイン コントローラーは推移的な信頼関係を使用して、エンタープライズ内で特定のタスクを実行できます。 メンバーシップはオペレーティング システムによって制御されます。

Enterprise Read-only Domain Controllers

このグループには、Active Directory フォレスト内のすべての読み取り専用ドメイン コントローラー (RODC) が含まれます。 エンタープライズ RODC は、Active Directory データベースのより大きなサブセットをレプリケートできます。これには、グローバル カタログや、フォレスト内のすべてのドメインの読み取り専用ドメイン パーティションが含まれます。 メンバーシップはオペレーティング システムによって制御されます。

Everyone

Everyone グループのメンバーは、対話型、ネットワーク、ダイヤルアップ、認証済みのすべてのユーザーです。 この特殊 ID グループは、システム リソースへの幅広いアクセスを提供します。 ユーザーがネットワークにログオンすると、そのユーザーが Everyone グループに自動的に追加されます。 メンバーシップはオペレーティング システムによって制御されます。

Windows 2000 以前を実行しているコンピューターでは、Everyone グループに既定のメンバーとして Anonymous Logon グループが含まれます。 Windows Server 2003 以降、Everyone グループには Authenticated Users と Guest のみが含まれています。 Everyone グループに Anonymous Logon グループは含まれていません。 To change the Everyone group setting to include the Anonymous Logon group, in the Registry Editor, go to the Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa key and set the value of the everyoneincludesanonymous DWORD to 1.

新しい公開鍵アイデンティティ

クライアントの ID が、クライアント公開キー資格情報の現在の所有証明に基づいて、認証機関によってアサートされていることを示す SID。

Interactive

ローカル システムにログオンしているすべてのユーザーには、Interactive ID が割り当てられます。 この ID を使用すると、ローカル ユーザーのみがリソースにアクセスできます。 ユーザーが現在ログオンしているコンピューター上の特定のリソースにアクセスすると、そのユーザーが Interactive グループに自動的に追加されます。 メンバーシップはオペレーティング システムによって制御されます。

IUSR

このアカウントは、匿名認証が有効になっている場合にインターネット インフォメーション サービス (IIS) によって既定で使用されます。

Key trust

クライアントの ID が、キー信頼オブジェクトを使用した公開キー資格情報の所有証明に基づくことを意味する SID。

Local Service

Local Service アカウントは、Authenticated User アカウントに似ています。 Local Service アカウントのメンバーは、リソースおよびオブジェクトに対して Users グループのメンバーと同じレベルのアクセス権限を持ちます。 このようなアクセス制限は、個々のサービスまたはプロセスが危害を受けそうになった場合のシステム保護に役立ちます。 Local Service アカウントとして実行されるサービスは、匿名の資格情報を使用した NULL セッションとしてネットワーク リソースにアクセスします。 アカウントの名前は NT AUTHORITY\LocalService です。 このアカウントにパスワードはありません。

LocalSystem

LocalSystem アカウントは、オペレーティング システムによって使用されるサービス アカウントです。 LocalSystem アカウントは、システムへのフル アクセスが可能な強力なアカウントであり、ネットワーク上のコンピューターとして機能します。 サービスがドメイン コントローラーの LocalSystem アカウントにログオンすると、そのサービスはドメイン全体にアクセスできます。 一部のサービスは、LocalSystem アカウントにログオンするように既定で構成されています。 既定のサービス設定は変更しないでください。 アカウントの名前は LocalSystem です。 このアカウントにパスワードはありません。

MFA key property

キー信頼オブジェクトに多要素認証 (MFA) プロパティがあったことを意味する SID。

Network

このグループには、ネットワーク接続を介してログオンしているすべてのユーザーが暗黙的に含まれます。 ネットワーク経由でシステムにアクセスするすべてのユーザーに、Network ID が割り当てられます。 この ID を使用すると、リモート ユーザーのみがリソースにアクセスできます。 ユーザーがネットワーク経由で特定のリソースにアクセスすると、そのユーザーが Network グループに自動的に追加されます。 メンバーシップはオペレーティング システムによって制御されます。

Network Service

Network Service アカウントは、Authenticated User アカウントに似ています。 Network Service アカウントのメンバーは、リソースおよびオブジェクトに対して Users グループのメンバーと同じレベルのアクセス権限を持ちます。 このようなアクセス制限は、個々のサービスまたはプロセスが危害を受けそうになった場合のシステム保護に役立ちます。 ネットワーク サービス アカウントとして実行されるサービスは、コンピューター アカウントの資格情報を使用してネットワーク リソースにアクセスします。 アカウントの名前は、NT AUTHORITY\NetworkService です。 このアカウントにパスワードはありません。

NTLM Authentication

Other Organization

このグループには、ダイヤルアップ接続を介してシステムにログオンしているすべてのユーザーが暗黙的に含まれます。 メンバーシップはオペレーティング システムによって制御されます。

Owner Rights

Owner Rights グループは、オブジェクトの現在の所有者を表します。 この SID を持つ ACE がオブジェクトに適用されると、オブジェクト所有者の暗黙的な READ_CONTROL と WRITE_DAC のアクセス許可がシステムで無視されます。

Principal Self

この ID は、Active Directory のユーザー、グループ、またはコンピューター オブジェクトの ACE のプレースホルダーです。 Principal Self にアクセス許可を付与するときは、オブジェクトによって表されるセキュリティ プリンシパルにアクセス許可を付与します。 アクセス チェック中に、Principal Self の SID がオペレーティング システムによって、オブジェクトで表されるセキュリティ プリンシパルの SID に置き換えられます。

Proxy

SECURITY_NT_AUTHORITY プロキシを識別します。

Read-Only Domain Controllers

このグループには、Active Directory データベースに対して読み取り専用の権限を持つ、ドメイン内のすべての RODC が含まれます。 アカウントのパスワードを除き、RODC は、書き込み可能なドメイン コントローラーが保持するすべての Active Directory オブジェクトと属性を保持します。 これを使用すると、物理セキュリティが不足しているか、保証されていない場合に、ドメイン コントローラーを展開できます。 RODC は、このグループの明示的なメンバーです。

リモート 対話型ログオン

この ID は、リモート デスクトップ プロトコル接続を使用してコンピューターに現在ログオンしているすべてのユーザーを表します。 このグループは、Interactive グループのサブセットです。 Remote Interactive Logon SID を含むアクセス トークンには、Interactive SID も含まれます。

Restricted

制限付き機能を持つユーザーとコンピューターには、Restricted ID が割り当てられます。 この ID グループは、RunAs サービスを使用してアプリケーションを実行する場合などに、制限付きセキュリティ コンテキストで実行されているプロセスによって使用されます。 Restricted セキュリティ レベルでコードを実行すると、Restricted SID がユーザーのアクセス トークンに追加されます。

SChannel Authentication

Service

システムにアクセスするすべてのサービスには、Service ID が割り当てられます。 この ID グループには、サービスとしてサインインしているすべてのセキュリティ プリンシパルが含まれます。 この ID によって、Windows Server サービスで実行されているプロセスへのアクセスが許可されます。 メンバーシップはオペレーティング システムによって制御されます。

Service asserted identity

クライアントの ID がサービスによってアサートされていることを示す SID。

ターミナル サーバー ユーザー

ターミナル サービスを介してシステムにアクセスするすべてのユーザーには、Terminal Server User ID が割り当てられます。 この ID を使用すると、ユーザーはターミナル サーバー アプリケーションにアクセスしたり、ターミナル サーバー サービスで他の必要なタスクを実行したりできます。 メンバーシップはオペレーティング システムによって制御されます。

This Organization

ウィンドウ マネージャー\ウィンドウ マネージャー グループ

Related content

• Active Directory セキュリティ グループ

• Security principals

• アクセス制御の概要