強化されたWindowsセキュリティのためのユーザーアカウント管理の手引き

Windows コンピューターにおけるユーザーアカウント管理の重要性

あなたのネットワークはデバイスとユーザーで構成されており、どちらも適切な管理が必要です。ユーザーがデバイスとそのホストされている資産にアクセスするには、そのユーザーに、コンピューターへのアクセス権を持つユーザーアカウントが必要です。これらのアカウントの割り当てと管理は、セキュリティ、パーソナライズ、説明責任など、複数の理由から重要です。効果的なユーザー管理により、機密データへの不正アクセスを防ぎ、ユーザータイプごとに最適化された体験を可能にし、システム活動の追跡と監査を容易にします。

ユーザーアカウントの種類の概要

現在、企業で最も主流のOSは Windows です。そのため、Windows のユーザー管理を理解することが不可欠です。まずはユーザー アカウントが作成される場所から始めましょう。

• ローカル アカウントは、最も基本的な種類のユーザー アカウントです。アカウントはそのマシン自身に直接保存され、対象はそのデバイスに限定されます。スタンドアロンのマシン、ネットワークに接続されていないデバイス、またはセキュリティ要件が制限されたマシンに適しています。
• Microsoft のクラウドベースのアカウントでは、ユーザーが複数の Windows デバイスにアクセスし、設定や好みを同期して、常に一貫したユーザー体験を得られます。また、OneDrive、Office 365、Microsoft Store など、他の Microsoft サービスへのアクセスも提供します。
• ドメイン アカウントは、指定されたサーバー上でネットワーク管理者によって一元的に管理されます。これにより、同一ネットワーク ドメイン内の複数のデバイスに対して、一貫したアクセスと権限を提供できます。

Windows アカウントがどこに保存されているかにかかわらず、各アカウントの種類にはアクセスと制御のレベルが異なります。ユーザー アカウントには、基本的に 3 種類があります:

• 管理者アカウント
• 標準ユーザー アカウント
• ゲスト アカウント

Windows 10 および Windows 11 でのユーザー アカウントの作成と管理

この記事では、ローカル ユーザー管理と Microsoft のクラウドベースのアカウントに焦点を当てます。新しい Windows 10 または Windows 11 のマシンをオンボードする準備ができたら、そのデバイス用に 1 つ以上のローカル アカウントを作成するか、Microsoft アカウントにリンクする必要があります。アカウントが作成またはリンクされたら、そのアカウントに付与すべきアクセスの種類を決める必要があります。ここでは、各アカウント タイプの内訳を示します：

• 管理者アカウント：システム全体へのアクセス、制御、管理機能
• 標準ユーザー アカウント：アクセスが制限され、システム全体の変更も制限されるため、日常利用に最適でセキュリティも強化
• ゲスト アカウント（有効な場合）：一時的な訪問者向けにアクセスを大幅に制限し、付与される権限は最小限

ユーザー アカウント作成のステップバイステップ ガイド

Windows 10 および Window 11 のユーザー管理は、複数の組み込みツールを使用して実行できます。

設定アプリの使用

設定アプリを使用して、デバイスを Microsoft アカウントにリンクします。設定アプリを開き、左側のサイドバーで「アカウント」をクリックします。「その他のユーザー」 の下で「アカウントを追加」をクリックしてください。ユーザーの Microsoft アカウントに関連付けられたメールアドレスを入力するか、下の図のように新しいアカウントを作成します。

ローカル アカウントを作成するには、上のスクリーンショットに示されている「このユーザーのサインイン情報がありません」をクリックします。次の画面では、下のスクリーンショットに示されている「Microsoft アカウントなしでユーザーを追加」を選択してください:

次の画面で、新しいアカウントのユーザー名を入力し、パスワードを作成して確認します。

その後、必要に応じてアカウントを復旧できるように、セキュリティ質問を追加できます。

コントロール パネルの使用

従来の Windows のコントロール パネルを開き、「ユーザー アカウント」を選択すると、ローカル アカウントも作成できます。

次に「別のアカウントの管理」をクリックし、「PC 設定で新しいユーザーを追加」を選択してから、「設定」アプリに進み、「この PC に別のユーザーを追加」をクリックし、先ほど説明した手順どおりに完了します。

コンピューターの管理コンソールの使用

「コンピューターの管理」コンソールを開き、「ローカル ユーザーとグループ」を開きます。「Users」フォルダーをクリックしてください。次に、右側のペインで右クリックし、「New User」を選択します。その後、ユーザー名やパスワードなどの詳細を指定します。以下のように、「User must change password at next logon」または「User cannot change password」などのパスワード オプションも設定できます。

コマンド プロンプトと PowerShell の使用

管理者としてコマンド プロンプトを開き、次のコマンドを使用して新しいローカル ユーザー アカウントを作成します：

      net user username password /add
      

Windows PowerShell の場合、複数のコマンド バージョンがあります。まずは PowerShell を管理者として開きます。以下にコマンドの一例を示します：

新しいローカル ユーザー アカウントを作成するには、次のコマンドを使用します：

      $Password = Read-Host -AsSecureString "Enter Password"

New-LocalUser -Name "NewUserName" -Password $Password -FullName "New User" -Description "Test user account"
      

PowerShell を使用して Windows アカウントを作成する方法について、さらに詳しくは こちら 。

ユーザー アカウントの管理

アカウント名、画像、パスワードの変更

設定アプリ、コンピューターの管理コンソール、または CMD や PowerShell のコマンドを使用して、ローカル アカウントのアカウント名とパスワードを変更できます。下のスクリーンショットは、コンピューターの管理コンソールを使用してローカル ユーザー アカウントのパスワードを変更する方法を示しています。

設定アプリを使用して、Windows コンピューターにリンクされている Microsoft アカウントの一部のオプションを変更できます。下のスクリーンショットは、プロフィール画像を関連付ける、または変更できる場所を示しています。

アカウントの有効化と無効化

ローカルの Windows ツールを使用して Microsoft のクラウドベースのアカウントを無効化することはできませんが、「コンピューターの管理」コンソールを使ってローカル アカウントを無効化することはできます。変更したいアカウントを右クリックし、「プロパティ」を選択してください。「プロパティ」ウィンドウで、「アカウントは無効です」ボックスをオン/オフして、下の例のようにアカウントを有効化または無効化します。

ユーザー アカウントの削除

Windows コンピューターにあるローカルの既定のユーザー アカウントは削除できませんが、手動で作成されたローカル アカウントは削除できます。Microsoft のクラウドベースのアカウントは削除できませんが、ローカル マシンからそのアカウントへのリンクは削除できます。

標準ユーザーを管理者に昇格する

新しく作成されたユーザー アカウントは、最初は標準ユーザーとして作成されます。セキュリティ上の理由から、すべてのユーザーに対して自分のコンピューターの管理者権限を付与したくないはずです。ユーザーには、職務の役割を実行するために必要な権限のみを付与してください。標準ユーザーを管理者アカウントに昇格させたい場合は、以下のように設定アプリを使用して行えます。

同じことは「コンピューターの管理」コンソールを使用しても実現できます。この場合は、以下のように指定したユーザーをローカルの Administrators グループのメンバーにします。

ファミリーと安全設定

ファミリー アカウントの設定

家族のメンバー用に個人用コンピューターをセットアップする場合は、設定アプリを使ってファミリー グループを作成したいことがあるかもしれません。ファミリー グループを使うと、保護者が子どものオンライン体験を一元的に管理し、デバイスを使用している間も安全を確保できます。そうするには、設定アプリを開き、「アカウント」>「ファミリーとその他のユーザー」に移動します。その後、以下のように誰かを自分のファミリー グループに追加できます。

Microsoft Family Safety 機能の管理

若年齢の低いユーザーのためにファミリー アカウントを作成すると、次のことができるようになります：

• Windows デバイス全体のアクティビティを監視
• 画面の利用時間の制限を設定
• 不適切なコンテンツをフィルタリング
• アプリおよびゲームの購入を管理する

子ども用アカウントの監視と制限

保護者の方であれば、ファミリー セーフティの設定によって、お子さまが訪問したWebサイトや使用したアプリなど、オンラインでの活動を確認できるようになります。不適切なWebサイトをフィルターで制限したり、ブラウザーで安全な検索オプションを設定したり、ダウンロードに年齢制限を設けたり、特定のアプリケーションへのアクセスを制限したりすることも可能です。画面時間の管理により、日ごとの使用上限を設定し、端末を使用できる時間のスケジュールを作成できます。これらをすべて整えることで、ご家族のより年少のメンバーにとって安全なユーザー体験を確保できます。

高度なユーザー管理

この記事では、コンピュータの管理コンソールの Local Users and Groups 機能を使用して、ユーザー アカウントを作成し管理する方法を示しました。以下のようにコマンド `lusrmgr.msc` を使って Local Users and Groups のスナップインに直接アクセスすれば、1 つの手順を省略できます。ここでは、このツールを使用する任意の Windows 10 または Windows 11 デバイスに存在するデフォルト グループの一覧を示します。

非表示アカウントと組み込みアカウントの管理

Windows には 2 つのデフォルト ユーザー アカウント（Administrator と Guest）が用意されています。デフォルトではセキュリティ上の理由により、Guest アカウントは無効になっています。コンピューターを公共のキオスク端末として使用していない限り、このアカウントを有効にする適切な理由はありません。また、デフォルトの Administrator アカウントも無効にすべきです。攻撃者はこのアカウントをよく知っているため、総当たり攻撃（ブートフォース）の格好の標的になります。管理者権限を持つすべてのアカウントについて、カスタムのユーザー名と複雑なパスワードを設定していることを確認してください。

ユーザー権限の割り当てと管理

ユーザー アカウントを作成して、ユーザーにコンピューターと、そのコンピューター上でホストされているデータやアプリケーションへのアクセスを許可します。権限を制御する方法は 2 つあります。1 つ目は、ユーザーに指定のグループを割り当てることです。そうすると、そのグループに割り当てられている権限が自動的にユーザーへ付与されます。よりきめ細かく制御したい場合は、コンピューター上のファイル、フォルダー、アプリケーションに対して権限を割り当てることもできます。その場合は、下の図のようにファイルまたはフォルダーを右クリックし、“Properties” > “Security” > “Advanced”を選択してください。

その後、下の図のようにユーザーまたはグループの権限を追加したり、削除したり、変更したりできます。

ベストプラクティスには 最小権限の原則の適用、定期的な権限監査の実施、効率的な管理のためのグループの活用、および説明責任を維持するためのすべての変更の記録が含まれます。

ユーザーアカウントを保護するためのヒント

強力なパスワードを作成する

辞書攻撃やブルートフォース攻撃に対してユーザーアカウントをより脆弱にしないために、12文字以上のパスワードを使用してください。大文字と小文字、数字、特殊文字を組み合わせ、一般的なパスワードのパターンや連続した数字は避けましょう。

二要素認証を有効にする

ローカルの Windows ユーザー アカウントには組み込みの MFA オプションがありませんが、Microsoft のクラウド アカウントでは多要素認証を有効にしてください。これは、パスワードだけに加えて、追加の検証レイヤーを提供するためです。この追加のセキュリティ対策は、フィッシング攻撃、クレデンシャル スタッフィング、ブルートフォース（総当たり）試行など、さまざまな脅威から守るのに役立ちます。

セキュリティ設定を定期的に更新する

Windows システムをパッチ適用し、最新の状態に保つことは必須のセキュリティ対策です。頻繁な更新により、新たに発見された脆弱性や出現しつつあるサイバー脅威から防御できます。さらに、アカウント保護をより強化するための新しいセキュリティ機能やツールが導入される可能性があります。加えて、システムの信頼性を高めるパフォーマンス改善も行われるため、結果として全体的なユーザー体験も向上します。

Dynamic Lock と Windows Hello を使う

Dynamic Lock は、離席すると Windows 10 または 11 の PC を自動的にロックする機能です。Bluetooth により、PC とスマートフォンをペアリングして動作します。これにより、離席するたびに他の人があなたの画面にアクセスしたり、画面をのぞき込んだりすることを防ぎます。Dynamic Lock を有効にするには、設定アプリを開き、「アカウント > サインイン オプション」に移動します。下へスクロールして「Dynamic Lock」を見つけ、必要に応じて Bluetooth でスマートフォンを PC とペアリングしてください。次に、下のスクリーンショットに示されている「離席時に Windows にデバイスを自動的にロックさせる」オプションを有効にします。

スクリーンショットでは、Windows Hello も有効になっていることに注目してください。これは、生体認証システムであり、ユーザーは顔認識、指紋、または PIN を使ってデバイスにサインインできます。顔認識や指紋は従来のパスワードよりも安全であるだけでなく、より高速でもあり、より速くて便利なサインイン手順を提供します。

よくある問題のトラブルシューティング

ログイン問題の解決

ログインの問題は、IT ヘルプデスクでよくある課題です。この繰り返し発生する問題を解決する代表的な方法としては、次のようなものがあります。

• Caps Lock または Num Lock キーが有効になっていないことを確認してください。
• ユーザーが仮想キーボードを使用している場合は、キーボードの言語が正しく設定されていることを確認してください。
• 再度ログインを試みる前に、アカウントのロックアウト時間が期限切れになるまで待ってください。
• ユーザーに、ログイン画面で「I forgot my password」オプションを使用してもらってください。
• 別の管理者アカウントを使用してパスワードをリセットする

紛失したパスワードの復旧

パスワードマネージャーは、さまざまなアカウントにまたがる認証情報を安全に保存・整理するためのソリューションとして強く推奨されます。これらのツールにより、複雑な複数のパスワードを記憶する負担が軽減されます。ユーザーが特定のパスワードを忘れた場合でも、パスワードマネージャーから簡単に取り戻せます。ですが、パスワードマネージャー自体のマスターパスワードを忘れてしまった場合は、保存済みのすべてのパスワードに再度アクセスするためにリセット手順が必要になります。Windows のローカルアカウントでは、事前に作成しておいたパスワードリセットディスクを使うか、管理者権限を持つ別のアカウントを利用して、忘れたパスワードをリセットすることでパスワードの復旧が可能です。Microsoft のクラウドアカウントの場合は、Microsoft アカウントの回復ページにアクセスするか、Azure 管理者に手動でリセットしてもらうよう依頼できます。

権限の問題を修正する

ユーザーがファイルやフォルダーへのアクセス問題に遭遇した場合は、同一の権限を持つ別のユーザーでテストしてください。必要に応じて、そのユーザーまたは所属グループの権限を調整します。場合によっては、管理者が権限を変更するために所有権を取得する必要があることもあります。破損したユーザープロファイルの場合は、新しいプロファイルを作成してください。必要に応じて、システムの復元ポイントからコンピューターを復元することも検討します。システムのセキュリティと安定性を維持するため、常に権限を慎重に確認し、変更してください。

ユーザーアカウント管理のベストプラクティス

定期的なアカウント監査

定期的なアカウント監査は、潜在的なリスクとなり得る不要なアカウントや古いアカウントを特定して削除することで、システム全体のセキュリティを強化できます。これらの監査は、ユーザーが不正アクセスを防ぎ、最小特権の原則に沿うように、役割に応じた適切な権限を持っていることを確認することで、アクセス制御を最適化します。また、アカウント管理やアクセス制御に関する規制のコンプライアンス要件を満たすうえでも役割を果たします。

ユーザーデータのバックアップ

データが常に最新の状態に保たれるように、自動化された頻繁なバックアップを設定してください。簡単なバックアップ手法の一つがバージョニング（versioning）で、ファイルの複数バージョンを保持して、段階的な変更や破損から復旧できるようにします。ビルトインまたはサードパーティのバックアップソリューションを使用して、プロファイルフォルダー（Documents、Pictures、Videos、Music、Desktop、Favorites）、アプリケーションデータ（AppDataフォルダーおよびカスタムフォルダー）、メールファイル、ブラウザデータ（ブックマーク、パスワード、拡張機能）、システム設定（ユーザーアカウント情報およびパーソナライズ設定）などのデータをバックアップできます。

アカウントポリシーの導入

すべてのユーザーアカウントに対してセキュリティ基準を強制するために、アカウントポリシーの導入を検討してください。検討すべきポリシーには、次のようなものがあります：

• パスワード ポリシー パスワードの標準を強制するため
• 指定された回数のログイン失敗の後にロックアウト期間を強制するアカウント ロックアウト ポリシー
• どのユーザーまたはグループが特定のシステム操作を実行できるかを定義するユーザー権限の割り当て
• 成功および失敗したログイン試行を記録し、ユーザー アカウントと権限の変更を追跡する監査ポリシー

これらのポリシーは、ローカル Security Policy または Group Policy を使用して作成できます。

結論

脅威の状況が拡大し続けるこの時代において、誰かにノートパソコンを渡し、その端末に対して幅広い管理者権限を与えるやり方は、残念ながらもう終わりです。Windows 10 のユーザーアカウント管理、または Windows 11 については、個人のコンピューター利用者も企業の利用者も、ベストプラクティスに従って運用することを最優先にする必要があります。これには、アクセス権限を慎重に制御し、ユーザーアカウントを定期的に監査し、潜在的な脅威や脆弱性を軽減するための堅牢なセキュリティ対策を導入することが含まれます。効果的なユーザーアカウント管理を優先することで、組織と個人は全体的なセキュリティ態勢を大幅に強化し、不正アクセスや データ漏えいを防ぐことができます。