グループポリシーで特定のフォルダに管理者権限付与

質問

ネットワークドライブ上に有る、特定のフォルダ内のプログラムがUser権限で動作しないため、そのシステムを使うクライアントが、ADに参加させられません。

システムベンダーに相談したのですが、ADの事が分からず困っております。

◎環境
基幹システムAサーバー：WindowsServer2008R2
ADサーバー：WindowsServer2008R2
クライアント：Windows7Pro

基幹システムAサーバー内の、フォルダAにプログラム各種が入っており、クライアント側でフォルダAをネットワークドライブとしてマウントしております。

そこで、フォルダA内のすべてのファイルに対してだけ、Administrator権限で動作するように設定出来ればと考えております。

あわせて、クライアントが２０台近くある為、出来ればグループポリシーの設定でなんとかならないかとっ考えております。

目的としては、下記要件を達成できれば、最悪グループポリシーで一括設定にはこだわりません。
ただ、クライアントPC移動や、ユーザーの移動が考えられる為、出来ればAD側でコントロール出来れば幸いです。
◎クライアントをADに参加させ、User権限で動作させる事。
◎その上で、基幹システムAが動作する事。

ADの知識が乏しいため、全く分かりません。
参考になる、日本語サイトでも結構ですので、アドバイスを頂けましたら幸いです。

回答No.1

komekome2014

全クライアントが同じユーザーでアクセスするようになりますが、以下のような方法で実現できます。
※各クライアントでWindows（ドメイン）へのログインはこれまで通り普通に行ってください。

１．ドメインに新しいユーザーを作成し、このユーザーの権限をすべての業務アプリが動作する権限に設定します。
　　ここでは、このユーザーの名前をuser、パスワードをpassと仮定してご説明します。
　　また、共有フォルダのあるサーバーの名前をserver.domain、フォルダAの共有ボリューム名をshare-aと仮定してご説明します。

２．共有ボリューム \\domain\SYSVOL\domain\scripts 配下に以下のバッチファイルを作成します。
※ローカルパスはADサーバーの%systemroot%\SYSVOL\domain\scripts　または
%systemroot%\SYSVOL_DFSR\domain\scripts　です。

[mapdrive.bat]

@echo off
net use \\server.domain\share-a /delete /y
net use \\server.domain\share-a pass /user:domain\user /persistent:no

３．ADサーバー上で新しいグループポリシーを作成し、ユーザーポリシーのログオンスクリプトにフルパス指定で作成したバッチファイルを登録して下さい。

４．作成したグループポリシーが業務アプリを利用するすべてのユーザーに対して適用されるように設定して下さい。

（解説）
Windows7はnet useコマンドによってネットワーク上の共有リソースにアクセスするときに使用するユーザーアカウントをログインしているユーザーとは異なるアカウントに設定することができます。一度設定された情報は、ネットワークインターフェースを無効にするか、ネットワーク設定を変更するか、ログオフ・再起動するか、またはnet use /deleteコマンドで登録した情報を削除しないかぎり継続して同じユーザーアカウントを利用します。
この性質を利用し、ユーザーログオン時にバッチファイルでnet useコマンドを実行し、ログオンユーザーとは異なるユーザーで共有ボリュームにアクセスするように設定することで、フォルダAにあるプログラムを実行する時だけ異なるユーザー権限で実行することが可能です。

（問題点）
ユーザーがパスワードを再入力せずに利用するためにはパスワードをバッチファイルに直接書かないといけないので、セキュリティ上の懸念があります。特に利用するユーザーの権限が高いと注意が必要です。対策としてはバッチ処理と同じ内容を実行するEXEファイルなどを作成してパスワードを隠ぺいする必要があります。

お礼

komekome2014様
アドバイスありがとうございます。
いま、他の仕事に追われてますので、来週時間を作ってやってみます。
ありがとうございました。