ドメイン参加後、ローカルにログオンできない

質問

ドメイン参加後、ローカルにローカルの管理者アカウントでログオンできない

会社でPCのキッティング作業をしています。
本職は事務であり難儀している上、上司の意向で他の部署（今回の質問ではサーバーを扱う部署）への質問が禁止となっています。他部署へは設定変更依頼しか出せません。内容に誤りがあっても回答や示唆はありません。
そんな状況で申し訳ないのですが、質問させていただきます。
気軽にご回答いただいて大丈夫です。
本環境のサーバーはWindows Server でバージョンなどは不明、クライアントPCはWindows 7 Professionalです。

会社で使用する複数の同機種同構成のPCを設定していますが、ドメイン参加後に、それまでの設定作業で使用していたローカルのAdministratorsグループのアカウントでローカルにログオンできなくなります。
その際の操作と表示は以下のとおりなのですが、要因がドメイン参加後やサーバー側にあるとした場合、どの設定が関与している思われますでしょうか。

---

1)Adminsitrator権限である「KIT」というアカウントで、WORKGROUPで作業。
　ソフトのインストールなどを行います

2)ドメイン参加を行う。
　KITアカウントには参加させる権限は無いので、KITでログオン後に
　定められたユーザーアカウントでドメイン参加のユーザー認証を行う
　参加後はPCを再起動

3)ドメイン参加後にもローカルにログオンして作業を行うため、以下のようにKITアカウントでログオンを試みる

・ユーザー名　ホスト名\KIT
・パスワード　KITのパスワード

4）以下のメッセージが表示されてローカルにログオンできない。

お使いのログオンの方法はこのコンピューターでは許可されていないためログオンできません。
詳細はネットワーク管理者に問い合わせください。

---

ほかの気になるところ

ドメイン参加の「KIT」による作業は、サーバー管理者が作成したキッティング工程に含まれています。

ドメイン参加後、ビルドインのAdministratorは無効になり、「KIT」以外の、サーバー管理者が定めたアカウント以外は削除されるか無効になります。なので、ドメイン参加後に「KIT」でログオンできなくなると、キッティング作業者は作業ができません。

「KIT」でログオンできなくても、既存の従業員はログオンできます。（\ドメイン\従業員ID、と従業員のPW）

ドメイン参加後の初回のPC再起動で必ずログオンできなくなるのではなく、数時間や一日後にログオンできなくなるPCがあります。

ドメイン参加後に行う作業は他のファイルサーバー（NAS）からのソフトウェアインストールだけで、そのソフトはローカルへのログオンに関与していないことは確認済です。

ドメイン参加後にログオンできたPCと、ドメイン参加前までの作業を行ったPCを比較してみましたが、ローカルグループポリシーに差異はなく、KITアカウントもAdministratorのままであり、Administratorsグループに有効な設定で存在していました。

レジストリは自分の技術では比較箇所の見当がつきません。

あと、キッティング作業者の伝え聞く話では、サーバー担当者が今回のPCを参加させるドメインのOUを作るの作らないの、入れるの入れないの、ドメイン参加させるPCのコンピューター名が登録済みだの済んでないだので、なんだか怒られるそうです。
OUが何か調べればわかりましたが、概要だけです。

だらだらと書かせていただきましたが、どこの設定が関与していると思われますでしょうか。

回答No.2

celtis · ベストアンサー

サーバー側のグループポリシーで「ローカル ログオンを許可」にKITアカウントが登録されていないのかもしれません。このあたりの設定はサーバー管理者にしか変更できないので、現場の側ではどうにもできないのが残念です。
http://nasunoblog.blogspot.jp/2012/07/whs2011.html

ローカルアカウントが使えなくなるタイミングがバラけているのは、ポリシーの適用に時間差があるからだと思います。通常は再起動で適用されると言われていますが、そうでない場合が多いような気がします。
http://www.atmarkit.co.jp/ait/articles/1503/06/news026.html

NASからソフトのインストールをする手順を、ローカルのKITが使えている時点まで前倒しすることができればいいのですが。

お礼

ご回答ありがとうございます。
また詳説のリンクもありがとうございます。

やはりサーバー側の設定なのですね。
あと、ポリシーの適用に時間が掛かるというのは、そんな気がしていましたが、
実際にあることなのですね。勉強になりました。

工程の前倒しは難しいところです。
工程策定者が他者の意見を受け入れないのです。

回答No.1

oboroxx

PCがドメインに参加しているので、そのPCにログイン出来るユーザはドメインに登録されているユーザのみになるから、ではないでしょうか。
既存の従業員のログインIDも\ドメイン\従業員IDと従業員のPWとドメインユーザに登録されているからログイン出来るのです。
ですので、KITというユーザをドメインに登録してもらうか、もしくはドメインに参加したPCを一度ワークグループに参加させて、ソフトのインストールなどをしてから再度ドメインに参加させるかではないでしょうか。
ただドメインからワークグループに変更するにはドメインのアドミニストレータ出ないといけないとは思うけど。

お礼

ご回答有り難うございます。

ご指摘の箇所を整理して管理者に打診してみます。

実のところ、PCに詳しい管理者とその上司が会社の内部統制に反して好きにやっているというレベルなので、ちょっと大変です。