この記事には広告を含む場合があります。
記事内で紹介する商品を購入することで、当サイトに売り上げの一部が還元されることがあります。
ども。あいしんくいっと（@ithinkitnet）です。
ithinkit
セキュリティ上、サーバやクライアント端末にログオン出来るドメインユーザを制限したいことがあります。
例えば、ADサーバや事務処理系のサーバへはアクセス出来るユーザに制限をかけることが多かったりします。
そんな時に使えるのが、「ローカルログオンを許可」というGPO（グループポリシー）です。
「ローカルログオンを許可」というGPOを利用することで、ホストにログオンできるユーザを制限することが出来ます。
設定の流れとしては下記のとおり。
GPOで特定ホストにログオンできるユーザを制限する方法
OU作成
アクセス制限をかけたいホストを格納するOUを作成します。
ここでは「Servers」というOUを作成しました。
コンピューターアカウントの移動
制限をかけたいコンピューターアカウントを作成したOU「Servers」へ移動させます。
GPO作成
ホストにログオン出来るユーザを制限するため、「ローカルログオンを許可」のGPOを設定します。
ローカルログオンを許可のプロパティを開き、ログインさせたいユーザもしくはグループを追加します。（ここでは「ServerAdmin」追加）
Administratorsグループは必ず追加すること
作成したGPOをOUに適用させます。
これでOU下のコンピューターアカウントへのローカルログオンは制限されます。
アクセス制限の確認
ローカルログオンを許可したユーザもしくはグループに所属するユーザしか、ホストへアクセス出来ないことを確認します。
「このサインイン方法は利用できません。詳しくは、ネットワーク管理者に問い合わせてください。」
と表示されれば、アクセス制限は効いています。
なお、今回の手順はあくまでローカルログオン（コンソールログオン）を制限するだけ。リモートデスクトップ接続は別途制限をかける必要がありますので悪しからず。。。
GPOが効かない場合はこちらの記事参照。
ActiveDirectoryでGPOが適用されない時に確認したいこと
ログオンスクリプトが動かない場合はこちらも。
ログオンスクリプトが動かない！キャッシュログオン無効化すると動くかも
ローカルログオンを許可のGPOを利用すれば、ホストへアクセス出来るユーザを制限することが出来ます。
覚えておいてください。
以上、あいしんくいっとでした。
