Hebikuzure's Tech Memo

2018年8月29日

非管理者ユーザーにセーフモードでサインインさせない

Filed under: Windows Tips — タグ: , , , , , — hebikuzure @ 5:06 午後

Windows 10 を含めて Windows 7 以降のバージョンでは、Windows をセーフモードやセーフモードとネットワークで起動した場合、管理者権限の有無を問わずどのユーザーでもサインイン(ログオン)が可能です。しかしセーフモードでは通常起動の際には自動的に動作するサービスやプログラムが起動していない状態になるため、挿入しているセキュリティ ソリューションが無効になってしまう場合があります。またセーフモードでは通常アクセスできない機能などにアクセスできる場合もあります。

こうしたことを考えると、管理者権限を持たない通常のユーザーがセーフモードでサインインできなくすることは、コンピューターのセキュリティ強化に繋がるといえます。

非管理者にセーフモードでサインインさせない設定

管理者権限を持たないユーザーをセーフモードでサインインできなくするには、以下のレジストリを構成します。
※Windows 7 / Windows Server 2008 R2 の場合は SP1 の適用が必要です

キー:HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System
名前:SafeModeBlockNonAdmins
種類:REG_DWORD
データ:1

ドメイン環境であれば、このレジストリ構成をグループポリシーで配布できます。

コンピューターの構成 > 基本設定 > Windows の設定 > レジストリ
image

参考情報

広告

2018年8月28日

Windows の「ユーザー名」

Filed under: Windows Info — タグ: , , , , , — hebikuzure @ 6:08 午後

Windows の利用上でよくある質問が

  • サインイン(ログオン)画面で表示される名前を変えたい
  • ユーザー名を変えたい
  • ユーザー プロファイル フォルダー名(C:\Users\ の配下のフォルダー名)を変えたい

というものです。これらの質問はいずれも Windows では利用する「ユーザー名」に関わるものですが、Windows の「ユーザー名」が正しく理解されていない場合も少なくないので、解説しておきたいと思います。

ユーザー名と「表示名」

先ほどの質問のうち、「サインイン(ログオン)画面で表示される名前を変えたい」という場合の「表示される名前」は「表示名」(フルネーム)で、実際の「ユーザー名」ではありません。表示名はサインイン(ログオン)画面やアカウントの管理画面、スタート画面(スタートメニュー)などに表示されますが、表示にだけ使われる「看板」のようなもので、Windows の内部的な管理情報としては利用されませんし、必須でもありません(ユーザーを新規作成した時は「表示名」は付けられていません)。

これに対して「ユーザー名」は実際に Windows の内部的な管理情報として利用される名前です。先ほどの質問のうちの「ユーザー プロファイル フォルダー名」もこのユーザー名を元に(通常はユーザー名そのまま)作成されます。またファイルとフォルダーの共有を行うなどのリモート アクセスの際に必要となる資格情報で使われるのもこの「ユーザー名」です。

したがって Windows を利用するには「ユーザー名」は必須で、ユーザー名なしに Windows にサインインして利用することはできません。また「表示名」が設定されていない場合は、ユーザー名がそのまま表示名として利用されます。

Windows 10 の場合、これらの名前は以下のように決められます。

ローカルアカウントの場合

アカウントの作成時に付けた名前がユーザー名になります。下のスクリーンショットの場合、「山田太郎」がユーザー名になります。この画面でのアカウントの作成時には「表示名」を設定できないので、「山田太郎」が表示名としても使われます。

キャプチャ

表示名を設定・変更するには、コントロールパネルを利用します。下の画面で「アカウント名の変更」をクリックすると設定・変更ができます。

キャプチャ3

Microsoft アカウントの場合

Microsoft アカウントの場合は、Microsoft アカウントのユーザ名(@ の左側の部分、myuser@hotmail.com なら myuser )が内部的なユーザー名として利用されますが、通常は Microsoft アカウント全体(@ の左側のドメイン名まで含めて)を「ユーザー名」と考えても良いでしょう。
表示名は Microsoft アカウントに設定している表示名(名前)がそのまま使われます。これは https://account.microsoft.com/profile/ で編集・変更することが可能です。

Active Directory ドメイン ユーザーや Azure AD ユーザーの場合

コンピューターが Active Directory ドメインに参加していて、ドメインユーザーでサインインしている場合のユーザー名と表示名はドメインの管理者が登録した情報になります。ユーザーが直接変更することはできませんので、表示名を変えたい場合はドメインの管理者に依頼する必要があります。

AzureAD に参加したコンピューターで AzureAD ユーザーでサインインした場合も AzureAD に登録されている内容になりますが、表示名はユーザーが変更可能です(Office365 ユーザーなら https://portal.office.com/account/#personalinfo から編集できます)。

ローカル ユーザーとグループ

Windows のエディションが Pro (Professional) 以上なら、[コンピューターの管理] の中に [ローカル ユーザーとグループ] があります。

キャプチャ3

これを使うとローカル アカウントのユーザー名や表示名をより簡単に確認・変更できます。ここでは「表示名」は「フルネーム」として扱われていますが、変更したいユーザーをダブルクリック(または右クリックして [プロパティ])すれば、フルネームの編集ができます。またユーザー名自体もここで変更可能です。ユーザー名を変更するには、変更したいユーザーを右クリックし、[名前の変更] を選択します。

エディションが Home の場合「ローカル ユーザーとグループ」が利用でいません。そのため Home エディションでユーザー名を変更するにはコマンドプロンプトを利用する必要があります。以下のコマンドで「山田太郎」というユーザー名を「Tyamada」に変更できます(もちろん Pro 以上のエディションでも利用できます)。

wmic useraccount where name=’山田太郎’ call rename name=’Tyamada’

[ローカル ユーザーとグループ] には Microsoft アカウントのユーザーも表示されおり、変更などの操作も可能になっていますが、Microsoftアカウントのユーザーの名前変更はここで行わない方が良いと思います(試したことがありませんが、問題が起きる可能性も考えられます)。

ユーザー名と SID

先に「ユーザー名は Windows の内部的な管理情報として利用されている」と書きましたが、実際に最終的な管理情報として使われているのはユーザー名ではなく SID と呼ばれる一意の(重複することがない)管理番号です。

SID は次のような形式で表されます。

S-1-5-21-4260733700-639579216-3482586806-1001

この SID とユーザー名が紐づけられて管理されています。したがって表示名(フルネーム)まで含めると

SID ⇒ ユーザ名 ⇒ 表示名(フルネーム)

という構造になっています。このように SID はユーザーを識別する根本であるため、表示名やユーザー名は変更可能ですが、一度ユーザーに割り振られた SID は変更できません。ユーザーのサインイン パスワードやファイル/フォルダーに対するアクセス権、記憶させた資格情報は SID と紐づけられて管理されているため、ユーザー名を変更してもこれらの情報は新しいユーザー名でそのまま利用することができます。

SID についての詳細は以下も参照してください
Well-known security identifiers in Windows operating systems

プロファイル フォルダー名

最初に書いた質問のうち「ユーザー プロファイル フォルダー名(C:\Users\ の配下のフォルダー名)を変えたい」というものはよく見かけるのですが、結論から言えばこれは「できない(正式な手段が提供されていない)」になります。先に書いたようにこのプロファイル フォルダー名はユーザーが最初にサインインする際に、そのユーザー名を使って命名され作成されるのですが、その情報はレジストリに SID と関連付けられて記録されます。そのため表示名やユーザー名を変更しても、プロファイル フォルダーの名前は変更されませんし、また(別のユーザーでサインインして操作するなど)無理やり名前を変更すると、利用できなくなって一時プロファイルが使われるようになってしまいます。

レジストリに記録されている情報をすべて書き換えることで変更ができる/できたという情報もありますが、公式に提供されている手段ではありませんので、どのような副作用が起きるかわかりません。これはやらない方が良いことだと思います。

まとめ

Windows でユーザーを識別する情報と、変更可能かどうかをまとめています。

  • SID:変更不可
  • ユーザー名:変更可能([ローカル ユーザーとグループ] またはコマンド)
  • 表示名(フルネーム):変更可能(コントロール パネルやオンライン アカウントのプロファイルから)

2018年8月26日

BitLocker の回復パスワードを確認する

Filed under: Windows Tips — タグ: , , , — hebikuzure @ 2:15 午後

Windows のセキュリティー機能にディスクを暗号化する BitLocker があります。

BitLocker と「回復パスワード」

BitLocker 暗号化では復号のために必要となるキーを TPM チップに格納して、暗号化したディスクが同じデバイスに接続されている限りは透過的に復号が行われるようになってるため、ユーザーは普段は復号のための操作をする必要はありません。

追加の構成で TPM チップではなく USB ドライブを使用したり、起動時にパスワードや PIN を求めるようにすこことも可能です。
BitLocker についての詳細は Microsoft Docs の「BitLocker」を参照してください。

ただしデバイスのブート構成が変更された場合や、PC が起動できなくなってドライブを別のデバイスで読み取る必要がある場合、また上記の追加の構成で USB ドライブを紛失したり PIN を忘れたりした場合、「回復パスワード」を使うことで暗号化されたディスクにアクセスすることが可能になります。回復パスワードは 48桁の数字からなるパスワードです。

回復パスワードだ求められる場合については「BitLocker 回復ガイド」の「BitLocker 回復が実行される原因」を参照してください。

BitLocker を有効にする場合、次のようなメッセージが表示されて「回復キー」の保存を求められますが、ここで保存できるのが「回復パスワード」です(資料や UI、実際のデータで用語が混乱していますが、ここで「回復パスワード」が自動生成され、指定した方法で保存できます)。

image

この他に Active Directory ドメインに参加している PC の場合は、ドメイン内のサーバーに自動的に保存されるよう構成できます。
AzureAD に参加している PC では AzureAD に保存することもできます。

回復パスワードが不明になったら

さて、何らかの理由でここで保存した回復パスワードの情報が利用できなくなった場合、例えば利用していた Microsoft アカウントが利用できなくなったり、保存したファイルや印刷物を紛失した場合、設定済みの回復キーを調べなければならなくなります。

回復パスワードを求めれれる状況にならなければ通常の使用には問題ないのですが、ひとたび回復パスワードを求められると、それを入力しない限りそのディスクを読み取ることはできなくなります。

参考:BitLocker 回復キーを探す

参考資料に書かれているように、起動ディスクが暗号化されていて回復パスワードが分からない場合、PC を初期化しなければ利用できなくなります。当然ディスクに保存していたデーターもすべて失われます。

回復パスワードを調べる

設定済みの回復パスワードを調べるには管理者コマンドプロンプトで以下のコマンドを実行します。

manage-bde.exe –protectors –get C:
(C ドライブを暗号化した場合)

これで最初に保存した時と同じ ID とパスワードを表示することができます。改めてファイルに保存したり印刷したりして、大切に保管しておきましょう。

WordPress.com Blog.

%d人のブロガーが「いいね」をつけました。