概要
Microsoft Windows 2000 Service Pack 4 (SP4) より前のバージョンの Microsoft Windows では、グループ ポリシーのセキュリティの制限付きグループ メンバー設定を使用して、メンバー コンピューター上のローカル グループにドメイン グループを追加することはできません。 制限付きグループの動作は、Microsoft Windows 2000 SP4 Windows Server 2003 以降のリリースで更新されました。 Microsoft Windows XP Service Pack 1 (SP1) では、制限付きグループの動作を更新するための修正プログラムが必要です。Windows Vista 以降では、この更新プログラムが組み込まれています。 この記事では、機能の変更について説明します。
追加情報
制限付きグループのメンバーの機能を使用して、ドメイン グループをローカル グループに追加できるようになりました。 メンバーや Memberof の説明など、制限付きグループ機能の詳細については、Windows Server製品ドキュメントの「制限付きグループ」を参照してください。
Windows XP
Service Pack の情報
この問題を解決するには、Windows XP 用の最新のサービス パックを入手します。 詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。
322389 最新の Windows XP Service Pack を入手する方法
修正プログラムの情報
マイクロソフトでは、この問題を修正する修正プログラムを提供しています。 ただし、この修正プログラムは、ここで説明する問題のみを修正することを目的としたものです。 この修正プログラムは、ここで説明する問題が発生しているシステムにのみ適用してください。 この修正プログラムは、今後さらにテストを行う場合があります。 したがって、この問題で深刻な影響を受けていない場合は、この修正プログラムが含まれる次のソフトウェア更新プログラムがリリースされるまで待つことを推奨します。
修正プログラムをダウンロードできる場合は、このサポート技術情報の資料の上部に「修正プログラムのダウンロード」セクションがあります。 このセクションが表示されていない場合は、Microsoft カスタマー サービス & サポート にお問い合わせのうえ、修正プログラムを入手してください。
注: 別の問題が発生した場合、またはトラブルシューティングが必要な場合には、別のサービス リクエストを作成することが必要になる場合があります。 特定の修正プログラムの対象とならない追加の質問および問題については、通常のサポート料金が適用されます。 Microsoft カスタマー サービス & サポート の電話番号一覧または別のサービス リクエストの作成については、次のマイクロソフト Web サイトを参照してください。
http://support.microsoft.com/contactus/?ws=support メモ "修正プログラムのダウンロードが可能" フォームには、修正プログラムを使用できる言語が表示されます。 使用している言語が表示されない場合は、その言語の修正プログラムが存在しないことになります。 この機能の英語版には、次の表に示すファイル属性 (またはそれ以降のファイル属性) があります。 これらのファイルの日付と時刻は世界協定時 (UTC) で記載されています。 ファイル情報に表示される時刻は、ローカル時刻に変換されています。 UTC とローカル時刻との時差を確認するには、[コントロール パネル] の [日付と時刻] の [タイム ゾーン] タブを使用してください。
Date Time Version Size File name Platform
----------------------------------------------------------------
2003 年 1 月 31 日 02:53 5.1.2600.1163 849,408 Scesrv.dll IA64
2003 年 1 月 31 日 02:53 5.1.2600.1163 307,712 Scesrv.dll i386
ローカル グループへのドメイン グループの追加
機能がすべての適切なコンピューターにインストールされていることを確認したら、制限付きグループのメンバーの設定を使用して、ドメイン グループをローカル グループ (組み込みまたはカスタム) に追加できます。 任意のサイト、任意のドメイン、または任意の組織単位 (OU) にリンクされている複数のグループ ポリシー オブジェクト (GPO) 内の個別のグループのポリシーのメンバーを定義でき、すべてのポリシーが有効になります。 たとえば、次の表に示すように、ドメイン管理者をローカルの Administrators グループに追加するポリシーを作成し、ローカルの Administrators グループに My Management Admins グループを追加するポリシーを追加できます。 このグループは、ドメイン レベルの GPO にリンクされています。 ローカルの Administrators グループに [組織単位の地域管理者] グループを追加するポリシーを作成することもできます。 このグループは、OU レベルの GPO にリンクされています。 すべてのポリシーが適用されます。
表 1: ローカル グループへのドメイン グループの追加
| 制限付きグループ ポリシーを定義するドメイン グループ | "メンバーの" エントリ: メンバー コンピューター上のローカル グループ | 制限付きグループ ポリシーが定義されている GPO レベル | 結果 |
|---|---|---|---|
| Domain Admins (ドメイン組み込み) | 管理者 (ローカル組み込み) | ドメイン レベル | Administrators グループには、Domain Admins、My Management Admins、および My Organization Unit Admins が含まれています |
| My Management Admins (ドメイン カスタム) | 管理者 (ローカル組み込み) | ドメイン レベル | Administrators グループには、Domain Admins、My Management Admins、および My Organization Unit Admins が含まれています |
| 組織単位のリージョン管理者 (リージョン OU カスタム) | 管理者 (ローカル組み込み) | OU レベル | Administrators グループには、Domain Admins、My Management Admins、および My Organization Unit Admins が含まれています |
GPO 全体のローカル グループに同じドメイン グループを追加する
複数の GPO で同じグループに対して複数の制限付きグループ ポリシーを作成した場合、有効になるポリシーは 1 つだけです。 同じグループの制限付きグループ ポリシーは、GPO 間でマージされません。 有効なポリシーは、グループ ポリシー処理の順序によって決まります。 階層と処理順序グループ ポリシー詳細については、次の Microsoft Developer Network Web サイトを参照してください。
http://msdn2.microsoft.com/en-us/library/aa374155.aspx たとえば、次の表に示すように、Domain Admins には 2 つの制限付きグループ ポリシーが定義されています。 1 つはドメイン レベルで定義され、Domain Admins をローカルの Administrators グループに追加します。 もう 1 つは OU レベルで定義され、Domain Admins グループが [My Regional Division Admins] に追加されます。 ドメイン管理者は、My Regional Division Admins にのみ追加されます (既定では、OU レベルでリンクされている GPO は、ドメイン レベルで定義されている GPO よりも優先されます)。
表 2: GPO 全体のローカル グループに同じドメイン グループを追加する
| 制限付きグループ ポリシーを定義するドメイン グループ | "メンバーの" エントリ: メンバー コンピューター上のローカル グループ | 制限付きグループ ポリシーが定義されている GPO レベル | 結果 |
|---|---|---|---|
| Domain Admins (ドメイン組み込み) | 管理者 (ローカル組み込み) | ドメイン レベル | GPO の処理方法により、ドメイン管理者は My Regional Division Admins グループにのみ追加されます。 |
| Domain Admins (ドメイン組み込み) | My Regional Division Admins (ローカル カスタム) | Ou | GPO の処理方法により、ドメイン管理者は My Regional Division Admins グループにのみ追加されます。 |
ドメイン コントローラー
以前のバージョンの Windows では、ドメイン コントローラーが [メンバー] セクションを空白のままにした制限付きグループ ポリシーを処理する場合、メンバーの設定に関係なく、ポリシーが適用されるときにすべてのメンバーがグループから消去されます。 たとえば、ドメイン管理者のドメイン レベルで制限付きグループ ポリシーを作成し、[メンバー] セクションにローカル管理者を含めた場合、ポリシーが適用されると、Domain Admins グループのすべてのメンバー (組み込みの管理者アカウントを含む) が削除され、空の Domain Admins グループがローカル管理者グループに追加されます。
Windows 2000 SP4、Windows XP と Service Pack 2 (SP2)、Windows Server 2003 の動作が修正されました。 これらのバージョンの Windows のいずれかを実行しているコンピューターで、 のメンバーを定義するがメンバーを空白のままにする制限付きグループ ポリシーを適用した場合、[メンバー] セクションは無視され、グループ メンバーシップは空になりません。
この更新プログラムで有効になっている制限付きグループ機能を使用してドメイン コントローラー、メンバー サーバー、またはワークステーションを構成する場合は、それらがすべて Windows 2000 SP4、Windows XP SP2、または Windows Server 2003 を実行していることを確認して、ドメイン グループメンバーシップが意図せずに変更されないようにします。
メンバー サーバーとワークステーションの場合、このシナリオの動作は変更されません。
"メンバー" ポリシーと "メンバー" 制限付きグループ ポリシーをローカル グループに適用する
ドメイン グループをローカル グループに追加する制限付きグループ ポリシーを定義し、そのローカル グループのメンバーシップを制限する別の制限付きグループ ポリシーを定義することをお勧めします。 2 つの制限付きグループ ポリシーの処理順序が定義されていないため、そのローカル グループの最終的なグループ メンバーシップを予測できません。 たとえば、次の表に示すように、ドメイン管理者をローカルの Administrators グループに追加する制限付きグループ ポリシーを作成し、ローカル管理者グループのメンバーシップを組み込みの管理者アカウントに制限する制限付きグループ ポリシーを作成した場合、どちらのポリシーが適用されるかは予測できません。 Administrators メンバーシップが制限される前にドメイン管理者がローカルの Administrators グループに追加された場合、Domain Admins はローカルの Administrators グループに追加され、削除されます。 ただし、Domain Admins が Administrators グループに追加される前にローカル管理者グループのメンバーシップが制限されている場合、Domain Admins はローカルの Administrators グループに残ります。
表 3: メンバーシップが制限されたローカル グループへのドメイン グループの追加
| 制限付きグループ ポリシーを定義するグループ | "メンバー" エントリ | "メンバーの" エントリ |
結果のグループ メンバーシップ |
|---|---|---|---|
| Domain Admins (ドメイン組み込み) | なし | 管理者 (ローカル組み込み) | ローカル Administrators グループの最終的なグループ メンバーシップを予測することはできません。 |
| 管理者 (ローカル組み込み) | 管理者 (ローカル組み込み) | なし | ローカル Administrators グループの最終的なグループ メンバーシップを予測することはできません。 |
必要なメンバーシップを取得するには、[メンバー] または [制限付きグループのメンバー] ポリシーのみを使用します。 表 3 の例で、必要な Administrators グループ メンバーシップを取得するには、ローカルの Administrators グループの制限付きグループ ポリシーの [メンバー] エントリに Domain Admins を追加します。
Windows 2000
Service Pack の情報
この問題を解決するには、Microsoft Windows 2000 用の最新のサービス パックを入手してください。 詳細については、次のマイクロソフト サポート技術情報番号をクリックしてください。
260910 最新の Windows 2000 Service Pack を入手する方法
修正プログラムの情報
製品の既定の動作を変更するサポートされている機能は、Microsoft から入手できます。 ただし、この機能は、この記事で説明する動作のみを変更することを目的としています。 この機能は、特にそれを必要とするシステムにのみ適用します。
この機能をダウンロードできる場合は、このサポート技術情報の記事の上部に 「修正プログラムのダウンロード」セクションがあります。 このセクションが表示されない場合は、Microsoft カスタマー サービスとサポートに問い合わせて機能を入手してください。
注: 別の問題が発生した場合、またはトラブルシューティングが必要な場合には、別のサービス リクエストを作成することが必要になる場合があります。 通常のサポート コストは、この特定の機能に該当しない追加のサポートの質問や問題に適用されます。 Microsoft カスタマー サービス & サポート の電話番号一覧または別のサービス リクエストの作成については、次のマイクロソフト Web サイトを参照してください。
http://support.microsoft.com/contactus/?ws=support メモ [修正プログラムのダウンロードが可能] フォームには、機能が使用可能な言語が表示されます。 言語が表示されない場合は、その言語で機能を使用できないためです。 この修正プログラムの英語版には、次の表に示すファイル属性 (またはそれ以降のファイル属性) があります。 これらのファイルの日付と時刻は世界協定時 (UTC) で記載されています。 ファイル情報に表示される時刻は、ローカル時刻に変換されています。 UTC とローカル時刻との時差を確認するには、[コントロール パネル] の [日付と時刻] の [タイム ゾーン] タブを使用してください。
日付時刻バージョン サイズ ファイル名
-------------------------------------------------------------
2002 年 11 月 7 日 22:33 5.0.2195.6109 124,688 Adsldp.dll
2002 年 11 月 7 日 22:33 5.0.2195.5781 131,344 Adsldpc.dll
2002 年 11 月 7 日 22:33 5.0.2195.6109 62,736 Adsmsext.dll
2002 年 11 月 7 日 22:33 5.0.2195.6052 358,160 Advapi32.dll
2002 年 11 月 7 日 22:33 5.0.2195.6094 49,936 Browser.dll
2002 年 11 月 7 日 22:33 5.0.2195.6012 135,952 Dnsapi.dll
2002 年 11 月 7 日 22:33 5.0.2195.6076 96,016 Dnsrslvr.dll
2001年11月15日 23:27 5,149 Empty.cat
2002 年 11 月 7 日 22:33 5.0.2195.5722 45,328 Eventlog.dll
2002 年 11 月 7 日 22:33 5.0.2195.6059 146,704 Kdcsvc.dll
2002年11月1日 18:52 5.0.2195.6112 204,048 Kerberos.dll
2002 年 8 月 21 日 16:27 5.0.2195.6023 71,248 Ksecdd.sys
2002 年 11 月 7 日 02:02 5.0.2195.6118 507,664 Lsasrv.dll
2002 年 11 月 7 日 02:02 5.0.2195.6118 33,552 Lsass.exe
2002 年 8 月 27 日 22:53 5.0.2195.6034 108,816 Msv1_0.dll
2002 年 11 月 7 日 22:33 5.0.2195.5979 307,472 Netapi32.dll
2002 年 11 月 7 日 22:33 5.0.2195.6075 360,720 Netlogon.dll
2002 年 11 月 7 日 22:33 5.0.2195.6100 920,848 Ntdsa.dll
2002 年 11 月 7 日 22:33 5.0.2195.6100 389,392 Samsrv.dll
2002 年 11 月 7 日 22:33 5.0.2195.6120 130,320 Scecli.dll
2002 年 11 月 7 日 22:33 5.0.2195.6120 303,888 Scesrv.dll
2002 年 11 月 7 日 01:56 5.0.2195.6118 139,264 Sp3res.dll
2002 年 11 月 7 日 00:05 5.3.9.0 4,096 Spmsg.dll
2002 年 11 月 7 日 00:06 5.3.9.0 87,040 Spuninst.exe
2002 年 11 月 7 日 22:33 5.0.2195.5859 48,912 W32time.dll
2002 年 6 月 4 日 21:32 5.0.2195.5859 57,104 W32tm.exe
2002 年 11 月 7 日 22:33 5.0.2195.6100 126,224 Wldap32.dll
2002 年 11 月 7 日 02:02 5.0.2195.6118 507,664 Lsasrv.dll -- 56 ビット Windows 2000 Datacenter Server の修正プログラムを入手する方法の詳細については、次の記事番号をクリックして、Microsoft サポート技術情報の記事を表示します。
265173 Datacenter プログラムと Windows 2000 Datacenter Server 製品
再起動中に複数の Windows 更新プログラムまたは修正プログラムを 1 回だけインストールする方法の詳細については、次の記事番号をクリックして、Microsoft サポート技術情報の記事を参照してください。
296861 複数の Windows Update または hotfix を 1 回の再起動でインストールする方法