さらに安全な環境を実現するために、DRAは与えられた権限をMicrosoft Windowsの組み込みセキュリティグループに制限できます。グループメンバーシップ、組み込みセキュリティグループのプロパティ、またはグループメンバーシップのプロパティを変更できることはセキュリティ的に重要な意味合いがあります。たとえば、サーバオペレータグループ内のユーザのパスワードを変更できる場合、そのユーザとしてログオンでき、この組み込みセキュリティグループに委任された権限を行使します。
DRAは、ネーティブの組み込みセキュリティグループとそのメンバーに対してどのような権限を持っているかを検証するポリシーを用意することで、このセキュリティの問題を防止します。この検証では、要求したアクションによって権限が増すことがないことを確認しています。このポリシーを有効にした後は、サーバオペレータグループなど、ビルトインセキュリティグループのメンバーであるアシスタント管理者は、同じグループの他のメンバーの管理のみできます。
次に示すMicrosoft Windows組み込みセキュリティグループの権限を、DRAのポリシーで制限することができます。
アカウントオペレータ
管理者
バックアップオペレータ
証明書の発行元
DNS管理者
ドメイン管理者
企業管理者
グループポリシー作成元の所有者
プリントオペレータ
スキーマ管理者
メモ:DRAは内部識別子で組み込みのセキュリティグループを参照します。その結果、グループ名が変更されても、DRAがこれらのグループをサポートします。この機能により、さまざまな国々で異なる名前を使った組み込みセキュリティグループをDRAがサポートします。たとえば、DRAは管理者グループと、同じ内部IDのAdministratorenというグループを参照します。
DRAはポリシーを使用してネーティブの組み込みセキュリティグループとそのメンバーが実行できる権限を制限することができます。このポリシーは、$SpecialGroupsPolicyと呼ばれ、ネーティブの組み込みセキュリティグループのメンバーが他のメンバーまたは他のネーティブの組み込みセキュリティグループに対して実行できるアクションを制限します。DRAではデフォルトでこのポリシーが有効になります。ネーティブの組み込みセキュリティグループとそのメンバーに対するアクションを制限したくない場合は、このポリシーを無効にすることができます。
このポリシーを有効にすると、DRAは次に示す検証テストを使用して、ネーティブの組み込みセキュリティグループまたはそのメンバーに対してのアクションが許可されているかどうかを判断します。
Microsoft Windowsの管理者の人であれば、適切な権限のあるネーティブの組み込みセキュリティグループとそのメンバーに対しアクションを実行できます。
組み込みのセキュリティグループのメンバーであれば、適切な権限を持っている限り、同じ組み込みセキュリティグループとそのメンバーに対してアクションを実行できます。
組み込みセキュリティグループのメンバーでない人は、組み込みのセキュリティグループやそのメンバーを変更することができません。
たとえば、適切な権限を持ち、サーバオペレータグループとアカウントオペレータグループのメンバーの人であれば、サーバオペレータのメンバーに、アカウントオペレータのグループのメンバーに、または両グループのメンバーに対してアクションを実行できます。ただし、その人はプリントオペレータグループとアカウントオペレータグループのメンバーのユーザアカウントに対してアクションを実行できません。
DRAはネーティブの組み込みセキュリティグループに対し次に挙げる操作の実行を制限します。
グループのクローン作成
グループの作成
グループの削除
グループへのメンバー追加
グループからのメンバー削除
OUのグループへの移動
グループのプロパティ変更
メールボックスのコピー
メールボックスの削除
ユーザアカウントのクローン作成
ユーザアカウントの作成
ユーザーアカウントの削除
OUへのユーザアカウントの移動
ユーザアカウントのプロパティ変更
DRAは、あるオブジェクトに対しユーザが権限を獲得しないように、アクションも制限します。たとえば、あるユーザアカウントをグループに追加するときに、それがそのグループのメンバーであるため、DRAがその操作をした人がそのユーザアカウントに対し追加の権限を獲得しないようチェックします。この検証は権限格上げの防止に役立ちます。