Windowsのセキュリティ機能
ADではグループポリシーという機能を用いて各ユーザアカウントの各端末における特権・権利を一括で設定できる。グループポリシーの管理はgpmc.mscツールを用いて管理できる。
各グループポリシーはGPO(グループポリシーオブジェクト)とリンクからなる。GPOにはユーザアカウントや端末に認可(ないし禁止)したい特権・権利を指定し、リンクはGPOを適用するOUを指定する。ユーザアカウントからなるOUやコンピュータアカウントからなるOUをリンクに指定する事で、ユーザや端末の特権・権利を一括で設定できる。
GPOとしては例えば以下のものが設定可能である:
セキュリティ周りでは例えば以下のものが設定可能である:
ファイルやレジストリのアクセス権などの設定
パスワードポリシーの設定
ローカルへのパスワード保存やパスワードキャッシュ保存の禁止
アカウントロックポリシーの設定
管理者グループメンバーの制限
ファイヤーウォールの受信ポート制御
シャットダウン時のページファイルの削除
サインイン時の利用規約の表示
グループポリシーはGPMCというツールで管理する事ができる。
ユーザ名を用いてアカウント管理を行う仕組みである。すなわち、あるマシンから別のマシンのリソースにアクセスする(例:エクスプローラーにパス名を打ち込んでファイルやフォルダにアクセスする)場合、アクセス元のマシンとアクセス先のマシンで同一のユーザ名が登録されており、しかもアクセス先に登録されているパスワードを打ち込めばアクセスが許可される。
クライアントWindowsではワークグループはユーザ数が20以下(Windows 7)ないし10以下(それ以前)の場合しか利用できない。WindowsサーバやNASを使えばこの制限はない。
ワークグループはTCP/IPベースのNetBIOSにより通信を行っている。古いバージョンのWindowsではNetBEUIベースのNetBIOSでも通信できた。