Configuration Manager の役割ベースの管理を構成する

  • [アーティクル]

適用対象: Configuration Manager (Current Branch)

Configuration Manager では、役割ベースの管理は、セキュリティ ロール、セキュリティ スコープ、および割り当てられたコレクションを組み合わせ、各管理ユーザーの管理スコープを定義します。 管理スコープには、管理ユーザーが Configuration Manager コンソールで表示できるオブジェクトと、アクセス許可を持つオブジェクトに関連するタスクが含まれます。

これらの概念についてまだ理解していない場合は、「役割ベースの管理の基本 」を参照してください。

この記事の情報を使用して、役割ベースの管理と関連するセキュリティ設定を作成および構成します。

注意

この記事の手順では、管理ユーザーが必要なアクセス許可を持つセキュリティ ロールに含まれると仮定します。 たとえば、管理者 全体またはセキュリティ管理者****の 役割です。

ヒント

役割ベース の管理と監査ツールを使用して 、次の操作を支援します。

  • 作成する新しい役割の権限をモデル化します。
  • すべての既存の管理ユーザー、コレクション、およびセキュリティ スコープを監査します。
  • 特定のユーザーを監査する

カスタム セキュリティ ロールの作成

Configuration Manager には、いくつかの 組み込みのセキュリティ ロールがあります。 組み込みの役割のアクセス許可を変更することはできません。 他の役割が必要な場合は、カスタム ロールを作成します。 カスタム ロールを作成して、管理ユーザーに必要な他のアクセス許可を付与し、組み込みの役割に含めません。 カスタム セキュリティ ロールを使用すると、最も必要ないアクセス許可を割り当てできます。 カスタム ロールは、必要以上に多くのアクセス許可を付与するセキュリティ ロールを割り当てない場合に役立ちます。

カスタム セキュリティ ロールを作成する方法

Configuration Manager コンソールで、[管理] ワークスペースに 移動 します。 [セキュリティ ] を 展開し、[セキュリティの役割] ノードを選択 します。 次に、次のいずれかのプロセスを使用して新しいセキュリティ ロールを作成します。

組み込みの役割をコピーして新しいカスタム セキュリティ ロールを作成する

  1. 新しい役割のソースとして使用する既存のセキュリティ ロールを選択します。

  2. リボンの [ホーム ] タブの [セキュリティ役割] グループ で、[コピー ] を 選択します。 このアクションは、ソース セキュリティ ロールのコピーを作成します。

  3. [セキュリティ 役割のコピー] ウィザードで、新しい カスタム セキュリティ ロールの [ 名前] を指定します。 最大の長さは 256 文字です。

  4. オプションですが推奨される場合は、 このカスタム セキュリティ ロール の目的を要約する Description を指定します。 最大長は 512 文字です。

  5. [ アクセス許可] で、各オブジェクトの種類を展開して、使用可能なアクセス許可を表示します。

  6. アクセス許可を変更するには、ドロップダウン リストを選択し、[はい] または [いいえ ] を 選択します。

    注意事項

    カスタム セキュリティ ロールを構成する場合は、この役割に割り当てられたユーザーに必要なアクセス許可のみを付与します。 たとえば、Security Roles オブジェクトの Modify アクセス許可を使用すると、割り当てられたユーザーは、そのセキュリティ ロールに割り当てられていない場合でも、アクセス可能なセキュリティ ロールを編集できます。

  7. アクセス許可を構成した後 、[OK] を選択 して新しいセキュリティ ロールを保存します。

別の Configuration Manager 階層からエクスポートされたセキュリティ ロールをインポートする

重要

信頼できるソースからカスタム セキュリティ 役割構成ファイルのみをインポートします。 カスタム セキュリティ ロールをエクスポートする場合は、セキュリティで保護された場所に保存します。 XML ファイルはデジタル署名されていない。

  1. リボンの [ホーム ] タブの [作成] グループ で、[セキュリティ 役割のインポート] を選択します。

  2. エクスポートされたセキュリティ ロール構成を含む XML ファイルを指定します。 [ 開く] を選択して手順を完了し、セキュリティ ロールを作成します。

  3. カスタム セキュリティ ロールをインポートした後、その [プロパティ] を 開きます。 アクセス許可を表示して、この役割に必要な最小のアクセス許可が含まれるか確認します。 この環境で必要とされないアクセス許可を変更します。

注意

組み込みのセキュリティ ロールをエクスポートできない。

セキュリティ ロールの構成

カスタム セキュリティ ロールのアクセス許可は変更できますが、組み込みのセキュリティ ロールは変更することはできません。

  1. Configuration Manager コンソールで、[管理]ワークスペースに移動し、[セキュリティ] を展開し、[セキュリティの役割 ] ノードを選択 します。

  2. 変更または表示するカスタム セキュリティ ロールを選択します。

  3. リボンの [ホーム ] タブの [プロパティ] グループ で 、[プロパティ] を 選択します。

  4. [プロパティ] ウィンドウの [全般] タブで、必要に応じて [名前 ] または [説明] を 変更します。

  5. [管理 ユーザー] タブ で、この役割に関連付けられているユーザーを表示します。 割り当てを変更するには、管理ユーザーのプロパティに移動します。

  6. [アクセス許可 ] タブ で、各オブジェクトの種類を展開して、使用可能なアクセス許可を表示します。

  7. アクセス許可を変更するには、ドロップダウン リストを選択し、[はい] または [いいえ ] を 選択します。

    注意事項

    カスタム セキュリティ ロールを構成する場合は、この役割に割り当てられたユーザーに必要なアクセス許可のみを付与します。 たとえば、Security Roles オブジェクトの Modify アクセス許可を使用すると、割り当てられたユーザーは、そのセキュリティ ロールに割り当てられていない場合でも、アクセス可能なセキュリティ ロールを編集できます。

  8. 完了したら 、[OK] を選択してカスタム セキュリティ ロールを保存します。

オブジェクトのセキュリティ スコープを構成する

セキュリティ スコープではなく、セキュリティ保護可能なオブジェクトからセキュリティ スコープを管理します。 カスタム セキュリティ スコープで変更できるプロパティは、名前と説明のみです。 2 つの組み込みスコープを変更できない。 カスタム スコープの名前と説明を変更するには 、Security Scopes オブジェクトの Modify アクセス 許可が必要 です。

Configuration Manager で新しいオブジェクトを作成すると、そのオブジェクトは、オブジェクトの作成に使用されるアカウントのセキュリティ ロールに関連付けられた各セキュリティ スコープに関連付けされます。 この動作は、これらのセキュリティ ロールが Create アクセス許可または Set Security Scope アクセス許可を提供する場合に発生 します。 オブジェクトを作成した後、セキュリティ スコープを変更し、複数のスコープに割り当てできます。

たとえば、新しい境界グループを作成するアクセス許可を付与するセキュリティ ロールが割り当てられているとします。 その役割は 、Admins セキュリティ スコープに 関連付けられている。 新しい境界グループを作成する場合、特定のセキュリティ スコープを割り当てるオプションはありません。 管理者 のセキュリティ スコープ は、新しい境界グループに自動的に割り当てられます。 新しい境界グループを保存した後、境界グループのセキュリティ スコープを編集できます。

ユーザーのスコープを追加する方法の詳細については、「管理ユーザーの管理スコープを変更する」 を参照してください。

カスタム セキュリティ スコープを作成する方法

  1. Configuration Manager コンソールで、[管理]ワークスペースに移動し、[セキュリティ] を展開し、[セキュリティ スコープ] ノード を選択 します。

  2. リボンの [ホーム ] タブの [作成] グループ で、[セキュリティ スコープの作成] を選択します。

  3. [セキュリティ スコープの作成] ウィンドウで、セキュリティ スコープ 名を指定します。 最大の長さは 256 文字です。

  4. オプションですが、推奨される場合は 、この カスタム セキュリティ スコープの目的を要約する Description を指定します。 最大長は 512 文字です。

  5. 管理ユーザーの割り当てを選択または削除します。 これらを変更するには、セキュリティ スコープを作成した後で行います。

  6. カスタム セキュリティ スコープを保存するには 、[OK] を選択します。

オブジェクトのセキュリティ スコープを構成する方法

  1. Configuration Manager コンソールで、セキュリティ スコープへの割り当てをサポートするオブジェクトを選択します。 サポートされているオブジェクトの一覧については、「役割ベースの管理の基本 - セキュリティ スコープ」 を参照してください。

  2. リボンの [ホーム ] タブの [分類] グループ で 、[セキュリティ スコープの 設定] を選択します。

    フォルダーの場合は、リボンの [フォルダー ] タブに移動します。 [アクション] グループで 、[セキュリティ スコープ の設定] を選択します。

    注意

    アイテムは、ユーザーがオブジェクトを作成したユーザーとセキュリティ スコープを共有している場合、ユーザーのセキュリティ スコープ外のフォルダーで検索できます。

  3. [セキュリティ スコープの設定] ウィンドウ で、このオブジェクトのセキュリティ スコープを選択またはクリアします。 少なくとも 1 つのセキュリティ スコープを選択します。

  4. [OK] を 選択して、割り当てられたセキュリティ スコープを保存します。

セキュリティを管理するためのコレクションの構成

役割ベースの管理用にコレクションを構成する手順はありません。 コレクションには、役割ベースの管理構成が含めロールベースの構成は含めかねない。 代わりに、管理ユーザーにコレクションを割り当てる必要があります。 管理ユーザーがコレクションとそのメンバーに対して実行できるアクションを決定するには、セキュリティ ロールの Collection オブジェクトの種類のアクセス許可を表示します。

管理ユーザーがコレクションに対するアクセス許可を持っている場合、そのコレクションに限定されたコレクションに対するアクセス許可も持っています。 たとえば、組織は All Desktops という名前の コレクションを使用します。 All North America Desktops という名前のコレクションも、All Desktops コレクションに限定 されています。 管理ユーザーがすべてのデスクトップに対するアクセス許可を持っている場合、すべての北米デスクトップ コレクションに対して同じアクセス許可 を持 っています。

管理ユーザーは、直接割り当 てられている コレクションに対する削除または変更のアクセス許可を使用できません。 これらのアクセス許可は、そのコレクションに制限されているコレクションに対して使用できます。 前の例では、管理ユーザーは All North America Desktops コレクションを削除または変更できますが 、All Desktops コレクションを削除または変更できます。

新しい管理ユーザーを作成する

セキュリティ グループの個人またはメンバーに Configuration Manager を管理するためのアクセス権を付与するには、管理ユーザーを作成します。 ユーザーまたはWindowsのアカウントを指定します。 各管理ユーザーを、少なくとも 1 つのセキュリティ ロールと 1 つのセキュリティ スコープに割り当てる。 コレクションを割り当て、ユーザーまたはグループの管理スコープを制限できます。

新しい管理ユーザーを作成する方法

  1. Configuration Manager コンソールで、[管理]ワークスペースに移動し、[セキュリティ] を展開し、[管理ユーザー]ノードを選択 します。

  2. リボンの [ホーム ] タブの [作成] グループ で、[ユーザー の追加] または [グループ] を選択します。

  3. [ 参照] を選択し、Configuration Manager でこの新しい管理ユーザーに使用するユーザー アカウントまたはグループを選択します。

    注意

    コンソール ベースの管理では、ドメイン ユーザーまたはドメイン セキュリティ グループのみを管理ユーザーとして指定できます。

  4. [関連付 けられたセキュリティ ロール] で、[追加] を 選択して、使用可能なセキュリティ ロールの一覧を開きます。 1 つ以上のセキュリティ ロールを選択し 、[OK] を選択します。

  5. 新しいユーザーのセキュリティ保護可能なオブジェクトの動作を定義するには、次のいずれかのオプションを選択します。

    • 割り当てられたセキュリティ ロールに関連付 けされているオブジェクトのすべてのインスタンス : このオプションには、次の動作があります。

      • セキュリティ スコープ: すべて
      • コレクション:すべてのシステムと****すべてのユーザーとユーザー グループ
      • ユーザーに割り当てるセキュリティ ロールは、オブジェクトへのアクセスを定義します。
      • このユーザーが作成する新しいオブジェクトは、既定のセキュリティ スコープ に割り 当てられます。

    • 指定したセキュリティ スコープとコレクションに 割り当てられているオブジェクトのインスタンスのみ: このオプションには、次の動作があります。

      • セキュリティ スコープ: 既定
      • コレクション:すべてのシステムと****すべてのユーザーとユーザー グループ
      • 実際のセキュリティ スコープとコレクションは、管理ユーザーの作成に使用するアカウントに関連付けられているものに制限されているので、これらの既定値は異なる場合があります。
      • セキュリティ スコープ とコレクション を追加または削除して、このユーザーの管理スコープをカスタマイズします。

    重要

    ユーザーを作成した後、そのプロパティを表示して 3 番目のオプションを選択します。割り当てられたセキュリティ ロールを特定のセキュリティ スコープとコレクションに 関連付ける。 詳細については、「管理ユーザー の管理スコープを変更する」を参照してください。

  6. [OK] を 選択してウィンドウを閉じ、管理ユーザーを作成します。

管理ユーザーの管理スコープを変更する

管理ユーザーの管理スコープを変更するには、ユーザーに関連付けられているセキュリティ ロール、セキュリティ スコープ、およびコレクションを追加または削除します。 各管理ユーザーは、少なくとも 1 つのセキュリティ ロールと 1 つのセキュリティ スコープに関連付けられている必要があります。 ユーザーの管理スコープに 1 つ以上のコレクションを割り当てる必要がある場合があります。 ほとんどのセキュリティ ロールはコレクションと対話し、割り当てられたコレクションなしでは正しく機能しません。

管理ユーザーを変更すると、セキュリティ保護可能なオブジェクトが割り当てられたセキュリティ ロールに関連付けられる方法の動作を変更できます。 選択できる 3 つの動作は次のとおりです。

  • 割り当てられた セキュリティ ロールに関連付けるオブジェクトのすべてのインスタンス : このオプションは、管理ユーザーを All スコープ、および All Systems および All Users and User Groups コレクションに関連付ける。 ユーザーに割り当てられているセキュリティ ロールは、オブジェクトへのアクセスを定義します。

  • 指定したセキュリティ スコープとコレクションに割り当てられているオブジェクトのインスタンスのみ: このオプションは、管理ユーザーを、管理ユーザーの構成に使用するアカウントに関連付けられているのと同じセキュリティ スコープとコレクションに関連付ける。 このオプションは、管理ユーザーの管理スコープをカスタマイズするためのセキュリティ ロールとコレクションの追加または削除をサポートします。

  • 割り当てられたセキュリティ ロールを特定のセキュリティ スコープとコレクションに関連付ける : このオプションを使用すると、個々のセキュリティ ロールとユーザーの特定のセキュリティ スコープとコレクションの間に特定の関連付けを作成できます。

    注意

    このオプションは、管理ユーザーのプロパティを変更する場合にのみ使用できます。

セキュリティ保護可能なオブジェクト動作の現在の構成によって、追加のセキュリティ ロールの割り当てに使用するプロセスが変更されます。 管理ユーザーの管理に役立つセキュリティ保護可能なオブジェクトのさまざまなオプションに基づいて、次の手順を実行します。

管理ユーザーのセキュリティ保護可能なオブジェクトの構成を表示および管理するには、次の手順を使用します。

管理ユーザーのセキュリティ保護可能なオブジェクトの動作を表示および管理するには

  1. Configuration Manager コンソールで、[管理] を 選択します。
  2. [管理 ] ワークスペースで 、[セキュリティ] を展開 し、[管理ユーザー] を選択します。
  3. 変更する管理ユーザーを選択します。
  4. [ホーム] タブの [プロパティ] グループで 、[プロパティ] を 選択します。
  5. [セキュリティ スコープ] タブを選択 して、この管理ユーザーのセキュリティ保護可能なオブジェクトの現在の構成を表示します。
  6. セキュリティ保護可能なオブジェクトの動作を変更するには、セキュリティ保護可能なオブジェクトの動作の新しいオプションを選択します。 この構成を変更した後、この管理ユーザーのセキュリティ スコープとコレクション、およびセキュリティ ロールを構成する詳細なガイダンスについては、適切な手順を参照してください。
  7. [OK] を 選択して手順を完了します。

セキュリティ保護可能なオブジェクトの動作が割り当てられたセキュリティ ロールに関連するオブジェクトのすべてのインスタンスに設定されている管理ユーザーを変更するには、次の手順 を使用します。

  1. Configuration Manager コンソールで、[管理] を 選択します。

  2. [管理 ] ワークスペースで 、[セキュリティ] を展開 し、[管理ユーザー] を選択します。

  3. 変更する管理ユーザーを選択します。

  4. [ホーム] タブの [プロパティ] グループで 、[プロパティ] を 選択します。

  5. [セキュリティ スコープ] タブを 選択して、管理者ユーザーが割り当てられたセキュリティ ロールに関連するオブジェクトのすべてのインスタンスに対して構成されていることを 確認します。

  6. 割り当てられたセキュリティ ロールを変更するには、[セキュリティ の役割 ] タブを選択 します。

    • この管理ユーザーに追加のセキュリティ ロールを割り当てるには、[追加] を選択し、割り当てる追加のセキュリティ ロールごとにチェック ボックスをオンにして 、[OK] を選択します。
    • セキュリティ ロールを削除するには、一覧から 1 つ以上のセキュリティ ロールを選択し、[削除] を選択 します。

  7. セキュリティ保護可能なオブジェクトの動作を変更するには、[セキュリティ スコープ] タブを 選択 し、セキュリティ保護可能なオブジェクトの動作に対する新しいオプションを選択します。 この構成を変更した後、この管理ユーザーのセキュリティ スコープとコレクション、およびセキュリティ ロールを構成する詳細なガイダンスについては、適切な手順を参照してください。

    注意

    セキュリティ保護可能なオブジェクトの動作が、割り当てられたセキュリティ ロールに関連するオブジェクトのすべてのインスタンスに設定されている場合、特定のセキュリティ スコープとコレクションを追加または削除できません。

  8. [OK] を選択 して、この手順を完了します。

セキュリティ保護可能なオブジェクト動作が設定されている管理ユーザーを変更するには、次の手順を使用します。指定したセキュリティ スコープとコレクションに割り当てられているオブジェクトのインスタンスのみ。

オプション: 指定したセキュリティ スコープとコレクションに割り当てられているオブジェクトのインスタンスのみ

  1. Configuration Manager コンソールで、[管理] を 選択します。

  2. [管理 ] ワークスペースで 、[セキュリティ] を展開 し、[管理ユーザー] を選択します。

  3. 変更する管理ユーザーを選択します。

  4. [ホーム] タブの [プロパティ] グループで 、[プロパティ] を 選択します。

  5. [セキュリティ スコープ] タブを選択して、指定したセキュリティ スコープとコレクションに割り当てられているオブジェクトのインスタンスのみをユーザーが構成されていることを 確認します。

  6. 割り当てられたセキュリティ ロールを変更するには、[セキュリティ の役割 ] タブを選択 します。

    • このユーザーに追加のセキュリティ ロールを割り当てるには、[追加] を選択し、割り当てる追加のセキュリティ ロールごとにチェック ボックスをオンにして 、[OK] を選択します。
    • セキュリティ ロールを削除するには、一覧から 1 つ以上のセキュリティ ロールを選択し、[削除] を選択 します。

  7. セキュリティ ロールに関連付けられているセキュリティ スコープとコレクションを変更するには、[セキュリティ スコープ ] タブを選択 します。

    • 新しいセキュリティ スコープまたはコレクションを、この管理ユーザーに割り当てられているすべてのセキュリティ ロールに関連付けるには、[追加] を選択し、4 つのオプションのいずれかを選択します。 [セキュリティ スコープ] または [コレクション] を選択 した 場合は、1 つ以上のオブジェクトのチェック ボックスをオンにして、その選択を完了し 、[OK] を選択します。
    • セキュリティ スコープまたはコレクションを削除するには、オブジェクトを選択し、[削除] を選択 します。

  8. [OK] を選択 して、この手順を完了します。

セキュリティ保護可能なオブジェクト動作が設定されている管理ユーザーを変更するには、次の手順を使用して、割り当てられたセキュリティ ロールを特定のセキュリティ スコープとコレクションに関連 付けるに設定します。

オプション: 割り当てられたセキュリティ ロールを特定のセキュリティ スコープとコレクションに関連付ける

  1. Configuration Manager コンソールで、[管理] を 選択します。

  2. [管理 ] ワークスペースで 、[セキュリティ] を展開 し、[管理ユーザー] を選択します。

  3. 変更する管理ユーザーを選択します。

  4. [ホーム] タブの [プロパティ] グループで 、[プロパティ] を 選択します。

  5. [セキュリティ スコープ] タブを選択 して、管理ユーザーが [割り当てられたセキュリティ ロールを特定のセキュリティ スコープとコレクションに関連付ける] に構成されていることを 確認します。

  6. 割り当てられたセキュリティ ロールを変更するには、[セキュリティ の役割 ] タブを選択 します。

    • この管理ユーザーに追加のセキュリティ ロールを割り当てるには、[追加] を 選択します。 [セキュリティ 役割の追加] ダイアログ ボックスで、1 つ以上の使用可能なセキュリティ ロールを選択し、[追加] を選択し、選択したセキュリティ ロールに関連付けるオブジェクトの種類を選択します。 [セキュリティ スコープ] または [コレクション] を選択 した 場合は、1 つ以上のオブジェクトのチェック ボックスをオンにして、その選択を完了し 、[OK] を選択します。

      注意

      選択したセキュリティ ロールを管理ユーザーに割り当てる前に、少なくとも 1 つのセキュリティ スコープを構成する必要があります。 複数のセキュリティ ロールを選択すると、構成する各セキュリティ スコープとコレクションが、選択した各セキュリティ ロールに関連付けられる。

    • セキュリティ ロールを削除するには、一覧から 1 つ以上のセキュリティ ロールを選択し、[削除] を選択 します。

  7. 特定のセキュリティ ロールに関連付けられているセキュリティ スコープとコレクションを変更するには、[セキュリティスコープ] タブを選択し、セキュリティ ロールを選択し、[編集] を選択 します。

    • 新しいオブジェクトをこのセキュリティ ロールに関連付けるには、[追加] を選択し、選択したセキュリティ ロールに関連付けるオブジェクトの種類を選択します。 [セキュリティ スコープ] または [コレクション] を選択 した 場合は、1 つ以上のオブジェクトのチェック ボックスをオンにして、その選択を完了し 、[OK] を選択します。

      注意

      少なくとも 1 つのセキュリティ スコープを構成する必要があります。

    • このセキュリティ ロールに関連付けられているセキュリティ スコープまたはコレクションを削除するには、オブジェクトを選択し、[削除] を選択 します。

    • 関連付けられたオブジェクトの変更が完了したら 、[OK] を選択します。

  8. [OK] を選択 して、この手順を完了します。

    注意事項

    セキュリティ ロールが管理ユーザーにコレクション展開アクセス許可を付与すると、それらの管理ユーザーは、そのセキュリティ スコープが別のセキュリティ ロールに関連付けられている場合でも、オブジェクトの読み取りアクセス許可を持つ任意のセキュリティ スコープからオブジェクトを配布できます。

自動操作Windows PowerShell

次の PowerShell コマンドレットを使用して、次のタスクの一部を自動化できます。

管理ユーザーの管理:

ユーザーの役割とスコープを管理する:

セキュリティ ロールの管理:

セキュリティ ロールに対するアクセス許可を管理する:

セキュリティ スコープを管理する:

オブジェクト のセキュリティ スコープを管理する:

次の手順

役割ベースの管理と監査ツール

Configuration Manager で使用されるアカウント