WindowsServer2003のドメイン参加で

質問

WindowsServer2003でアクティブディレクトリを構築してあるのですが、クライアントパソコンには、Windows98、WindowsMe、WindowsXP Home、WindowsXP Proが混在しています。

セキュリティを向上させるためには、Windows98、WindowsMe、WindowsXP Homeは外したほうがいいと聞きます。

やはりネットワークからは外した方がいいのでしょうか。
全35台中、15台に相当するのでどうしたらいいのか困っています。

又、特定のパソコンにログインできるユーザを限定することはポリシーなどで設定できるのでしょうか。

基本的にWindowsXP ProのクライアントPCにはアクティブディレクトリのユーザに登録してあるユーザであればやはり誰でもログインできるものなのでしょうか。

宜しくお願いします。

回答No.1

YSNR-HRN · ベストアンサー

> WindowsXP ProのクライアントPCにはアクティブディレクトリのユーザに登録してあるユーザであればやはり誰でもログインできるものなのでしょうか。

クライアントPCのローカルグループのメンバーに「Domain Users」が設定されていればログオンできます。
それを回避するには「Domain Users」を削除し、そのクライアントPCを実際にに使う人の「ドメインユーザ名」をローカルグループのメンバーに設定します。

具体例としては、
「ローカルusers」から「Domain Users」を削除。
ドメインAAAのユーザBBBを「ローカルadministrators」のメンバーに設定する。
これでこのクライアントPCからドメインAAAにログオンできるのはドメインAAAのユーザBBBだけとなります。クライアントPCに対しては管理者権限を持っています。

実際の運用では「Domain Administrators」は「ローカルadministrators」のメンバーに設定したほうがよいでしょう。

セキュリティを向上させるためには、Windows98、WindowsMe、WindowsXP HomeはXPに買い換えたほうがよいでしょう。
リース、レンタルも選択肢になると思います。

お礼

返事が遅れてすいませんでした

具体的な方法まで書いていただいてありがとうございます
なるほどDomain Userを許可しているからログインできるのですね

ありがとうございました

回答No.2

junkUser

XP Home はドメインに参加できませんよ。
98, Me は参加できないこともないですが、参加させる労力に比べメリットがほとんどありません。

＞WindowsXP ProのクライアントPCにはアクティブディレクトリのユーザに登録してあるユーザであればやはり誰でもログインできるものなのでしょうか。

初期設定はそうです。
ユーザーがログオンできるPCを限定することもできますよ。

お礼

返事が遅れてすいませんでした。

98,MEはドメイン参加できるのですね
メリットがさほどなければやはり買い替えなのでしょうか

基本的にまだ動くパソコンを
なぜ捨てるという考え方の上司がいますので
説得するのが一苦労です