デフォルトのローカルグループを知る【Windows OS】：Tech TIPS

連載目次

Windows OSの「グループ」は1種類ではない!?

　Windows OSをインストールすると、デフォルトではいくつかのユーザーやグループのアカウントが作成される。グループとは、ユーザーアカウントや他のグループなどをまとめたものであり、厳密には「ローカルグループ」や「グローバルグループ」「配布グループ」「セキュリティグループ」といった種別や分類がある。本Tech TIPSでは、これらのうちローカルグループについて解説する。

ローカルグループとは？

　ローカルグループは最も基本的なグループであり、Windows OSをインストールすると、各コンピュータ上に必ず作成されるものである。例えば、よく使われるAdministratorsやUsersグループはローカルグループの1つである。

　スタンドアロンのコンピュータ（ドメインに属していないコンピュータ）では、このようなローカルグループだけが利用できる。これに対してグローバルグループや配布グループなどは、ドメインに参加している場合に利用できるグループであり、ドメインコントローラ上で作成、管理される。

　ローカルグループは、コンピュータ上の各種リソースに対して、アクセス権などを設定するために利用されるセキュリティグループの1種である。ローカルのコンピュータ上に存在するリソースに対して、ローカルグループを使って制限を付けることにより、例えば、Windowsのシステムフォルダを不正なアクセスから保護したり、管理者以外がコンピュータの各種設定を変更したりしないようにできる。

　例えば以下は、Windows XP Professional（SP2）における、Program Filesフォルダのセキュリティの設定例である。

ローカルグループを使ったセキュリティ設定の例
ローカルグループは、セキュリティグループの1つ。ローカルのリソースに対するセキュリティ設定（アクセス権の設定）で利用できる。これはアプリケーションがデフォルトでインストールされるProgram Filesフォルダに対するアクセス権設定における、ローカルグループの使用例。
　 （1）一般ユーザー（Usersグループ）に対しては、読み取りと実行のみを許可。新規インストールは禁止する。
　 （2）Power Users（Usersよりも制限が少ないが、Administratorグループよりも制限が強いグループ）に対しては、変更（一般的なプログラムのインストール）は可能。ただしPower Usersグループではサービスやデバイスのインストールなどはできない。
　 （3）管理者に対してはフルコントロールが許可されている。

　管理者であるAdministratorsグループに対しては「フル コントロール」が許可されているが、Power Usersグループには少し制限のある「変更」が、一般のユーザーであるUsersグループには「読み取りと実行」のみが許可されている。

　この結果、一般ユーザーでは、すでにインストール済みのプログラムの実行は可能であるが、新しいプログラムのインストールや削除は行えなくなる。

　これは不正なプログラムのインストールなどを禁止するだけでなく、ウイルスなどが勝手にインストールされるのを防ぐために、有効なセキュリティ設定である。システムの安全性を考えると、日常業務ではこのUsersグループに属するアカウントで作業を行うべきである。

ローカルグループのスコープ

　ローカルグループは、作成されたコンピュータ上でのみ有効なグループであり、他のコンピュータからは参照できない。そのため、他のコンピュータ上のリソースに対するアクセス権設定で利用することはできない。例えばコンピュータ「PC01」上のリソースに対して、別のコンピュータ「PC02」上のローカルグループ「GroupA（PC02\GroupA）」を使ってアクセス権を設定することはできない。

　これに対してグローバルグループは、ドメインに参加しているコンピュータから利用できるグループであり、アクセス権設定で使用できる。例えば「PC01」上のリソースに対して、それらが属しているドメイン「DOM-B」上のグローバルグループ「GroupC（DOM-B\GroupC）」を使ってアクセス権を設定することは可能である。

デフォルトのローカルグループを確認する

　デフォルトで作成されるローカルグループは、Windows OSのバージョンによって異なるが、［コンピュータの管理］ツールや「net localgroup」コマンドで確認できる。

　例えば以下は、スタンドアロン構成のWindows XP Professional（SP2）におけるローカルグループの一覧であるが（インストールされているコンポーネントの状態によっては、他のグループが存在する場合もある）、Windows XP Home Editionでは「Administrators」「Guests」「HelpServicesGroup」「Users」の4つしか存在しないし、Windows Server 2003ではもっと多くのローカルグループが存在する。

　各ローカルグループに含まれているアカウントは、「net localgroup ＜グループ名＞」コマンドで確認できる。

デフォルトのローカルグループの一覧

　デフォルトで作成される主要なローカルグループには以下のようなものがある。ただしOSの種類によってはこの一部しか存在しないこともあるし、インストールされているサービスやアプリケーションによっては、他のローカルグループが作成されていることもある。

「Tech TIPS」