ドメイン環境でのログイン規制

質問

いつもお世話になっております。
ドメイン環境において、役員のコンピュータにも従業員全員がそれぞれのログイン名とパスワードを用いてログインが出来る環境です。
先日、役員からそれでは困ると苦情を受けたため、以下の環境を構成したいと考えています。

・従業員は従業員同士のコンピュータにログインする規制を受けない
・役員は従業員のコンピュータにログインする規制を受けない
・従業員は役員のコンピュータにログインできない

Activedirectory ユーザーとコンピュータにてユーザーをドラッグしプロパティからアカウントタブ
コンピュータの制限にて、ひとつずつコンピュータ名を追加していく以外の方法が知りたいです。

尚、環境構成は以下の通りです。
Windows2003StandardEdition---ドメインコントローラ1台
WindowsXP_PRO_SP3---クライアント10台
NAS---2台

どうぞよろしくお願いします。

回答No.3

Lchan0211 · ベストアンサー

発想を変えて、役員のPCにBIOSパスワードを設定して、
役員以外はPCを起動できないようにするという手もあるかも?

シンプルでわかりやすいセキュリティなので、
役人にも安心してもらいやすいとか・・

お礼

ありがとうございます。biosのパスワードは考えていませんでした。
休日等、役員が出勤していない日に限っては有効かもしれませんね。

回答No.2

hallo_haro

すみません。先の回答で不十分でした。

ＩＤパスのハッキングなどしなくてもＨＤＤ抜き取りで
簡単にデータ読み出し可能です。
（ドライブの暗号化でもしないとそうなります）

お礼

ありがとうございます。
仰るとおり物理的な攻撃に対してはIDもPASSも弱いですからね。
ローカルマシン内のデータ規制を設けるとなると、上司への説明から
始めなければいけないため、将来的な手段として検討してきたいと思います。

回答No.1

hallo_haro

役員のＰＣを見られてまずいと言うことは
もし仮に盗難に遭った場合などまずくないでしょうか？

と考えると、すでにログインユーザーどうのこうのと言うこと自体
無意味だと思います。

ログイン情報自体、ユーザＩＤとパスで管理ですから、
ハッキングなど簡単です。

ということで、クライアントＰＣ本体には重要なデータは残さない
というのがシンプルでは？

ＯＵでのＧＰＯで役員も従業員もともに
ＰＣの詳細設定権限を制限すれば良いです。
（ＰＣ本体へのデータ保存の禁止とかです）

ＰＳ：２００３とＸＰでのＡＤではどこまでできるか
　　　すみません。未確認です・・・。
　　　２００８とＶＩＳＴＡ環境ではかなりの制限かけられます。