Windows Server 2025 / ローカルユーザーとグループを管理する

ローカルユーザーは一台のサーバーに属するアカウントで、ローカルグループはそのサーバー上の権限をまとめて割り当てる単位です。日常用と管理用を分け、作業に必要な権限だけを付与します。

同じ名前でも別のアカウントになる

FS1のlabuserと別のサーバーのlabuserは、同じ名前でも同一の利用者として管理されません。ドメインユーザーはActive Directoryで管理します。この実習はDCではないFS1で行います。DCで通常の「ローカルユーザーとグループ」が見えないこと自体は異常ではありません。

GUIで一般ユーザーとグループを作る

1. FS1へ管理者で入り、compmgmt.mscから「システムツール → ローカルユーザーとグループ」を開きます。
2. 「ユーザー」でlabuserを作り、固有のパスワードと変更条件を設定します。
3. 「グループ」でLabReadersを作り、labuserを追加します。Administratorsには追加しません。

LabReadersは自分で決める名前です。組み込みグループの表示名は言語によって異なるため、説明や所属も確認します。グループへ入れただけでは、ファイルアクセスや遠隔サインインまで許可されません。対象リソースの権限も別に必要です。

PowerShellで同じ構成を作る

GUIですでに作成した名前を重複して作らないでください。未作成のFS1で、管理者の64ビットWindows PowerShellを使います。パスワードは画面で入力し、ソースへ平文で書きません。

$labPassword = Read-Host 'labuserのパスワード' -AsSecureString
New-LocalUser -Name 'labuser' -Password $labPassword -Description 'Lab standard user'
New-LocalGroup -Name 'LabReaders' -Description 'Lab read access group'
Add-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Get-LocalGroupMember -Group 'LabReaders'

最後の結果でLabReadersにFS1\labuserが表示されることを確認します。利用条件はNew-LocalUserのリファレンスに記載されています。

有効状態と実際の利用者を確認する

Get-LocalUser -Name 'labuser' | Select-Object Name,Enabled,LastLogon
Get-LocalGroupMember -Group 'LabReaders'
whoami
whoami /groups

アカウントの有効状態と所属の確認に加え、一般ユーザー自身のセッションでwhoamiを実行します。管理者の画面で実行しても一般ユーザーの権限は検証できません。所属変更後はサインアウトして入り直し、新しいアクセストークンで比べます。

サインインできない場合は有効状態、配列、パスワード、ローカルとドメインの指定、拒否ポリシーを順に確認します。管理者へ昇格させて問題を隠さないようにしてください。

不要になったアカウントを整理する

一時停止なら削除より無効化を検討します。次の二つは反対の操作なので、必要な方だけを実行します。

Disable-LocalUser -Name 'labuser'
Enable-LocalUser -Name 'labuser'

完全に削除する場合は、このグループに割り当てた権限や後続実習での利用を確認します。不要と判断した場合だけ次を実行します。

Remove-LocalGroupMember -Group 'LabReaders' -Member "$env:COMPUTERNAME\labuser"
Remove-LocalGroup -Name 'LabReaders'
Remove-LocalUser -Name 'labuser'

同じ名前を作り直してもセキュリティ識別子（SID）は変わるため、以前のアクセス権は自動で戻りません。管理用アカウントを無効にする前には、別の管理者で実際に入れることを確認してください。