本記事はマイクロソフト社員によって公開されております。
こんにちは。Windows Commercial Support Directory Services チームです。
今回は、Windows OS のアップグレード (FU) 時に、ユーザー アカウント制御（UAC）に関連するポリシーの設定値が変更される動作について説明します。
動作について
Windows OS をアップグレード (FU) する際に、ローカルの Administrators グループのメンバーがビルトインの Administrator のみである 場合、以下のローカル セキュリティ ポリシー 「ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード」 が自動的に 有効 となります。
アップグレード前に、本ポリシーを明示的に無効に設定していた場合も、条件を満たしていれば自動的に有効となります。
セキュリティの設定 - ローカル ポリシー - セキュリティ オプション
⇒ ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード
なお、ローカルの Administartors グループのメンバーにビルトインの Administartor ではないアカウントが存在する場合はこの動作は発生しません。
この動作は、以下の公開情報においても説明されています。
User Account Control: Admin Approval Mode for the Built-in Administrator account
ポリシーの効果について
「ユーザー アカウント制御: ビルトイン Administrator アカウントのための管理者承認モード」を有効/無効に設定した際の挙動についてご説明します。
有効
ビルトイン Administrator でも管理者承認モードでログオンし、昇格が必要な操作ごとに同意を求めるプロンプトが表示されます。
仕組みとしては、ログオン時に標準トークンと管理者トークンの 2 つが作られ、通常起動のアプリは標準トークンで動作します。
管理者権限が必要となった場合は利用者の同意を得た後に昇格し、管理者トークンを使い動作します。
無効
ビルトイン Administrator による操作では、既定で常にフル管理者権限（フルトークン）でアプリが動作します。
昇格プロンプト無しで管理操作が通りやすい一方、万が一攻撃者が仕込んだ悪意のあるコードが存在する場合も高権限で動きやすい状態です。
なお、ポリシーが未定義の場合、この無効の動作となります。
UAC の仕組みについては、以下の公開情報をご参考としていただければと存じます。
ユーザー アカウント制御のしくみ
影響について
前項のとおり未定義の場合は無効の動作となりますので、今回ご案内している動作によりポリシーが有効となった場合、OS のアップグレード後、挙動に変化が生じる可能性があります。
具体的には以下のような影響が想定されます。
- ビルトイン Administrator での作業において、昇格を求めるプロンプトの表示が増える
- ビルトイン Administrator であれば常に管理者権限でアプリを実行できることを前提としたアプリケーションが動作している場合、非昇格での起動により処理が失敗する
前述の公開情報においても Best practices として記載のとおり、ビルトイン Administrator を常用することは推奨しておらず、利用される場合は本ポリシーを有効としていただくようにご案内しております。
本ブログでご紹介した動作は、このようなセキュリティ面での推奨事項を背景とした動作となっておりますので、OS アップグレードの際には本動作をご認識いただいた上、作業をご計画いただけますようお願いいたします。
なお、本ポリシーを無効の動作とされたい場合は、上記のとおり非推奨ではございますが、お客様にて十分ご検討いただいた上、ポリシーの設定を未定義もしくは無効に変更いただけますようお願いいたします。
更新履歴
2026/02/19 : 本ブログの公開