Windows AD DCのドメイン管理者と管理者[非公開]

Microsoft Docsの記事Defaultを読んで、これら2つのグループの説明をグループ化します。

ドメイン管理者

このグループのメンバーは、ドメインを完全に制御できます。既定では、このグループは、すべてのドメインコントローラー、すべてのドメインワークステーション、およびドメインに参加した時点のすべてのドメインメンバーサーバーのAdministratorsグループのメンバーです。デフォルトでは、管理者アカウントはこのグループのメンバーです。グループはドメイン内で完全に制御できるため、ユーザーの追加には注意が必要です。」

管理者

このグループのメンバーは、ドメイン内のすべてのドメインコントローラーを完全に制御できます。既定では、Domain AdminsおよびEnterprise AdminsグループはAdministratorsグループのメンバーです。管理者アカウントもデフォルトのメンバーです。このグループはドメイン内で完全に制御できるため、ユーザーを追加する際は注意してください。」

また、同じ記事では、両方のグループがデフォルトのユーザー権限についてまったく同じ説明を持っていると述べています。

ネットワークからこのコンピューターにアクセスします。プロセスのメモリクォータを調整します。ファイルとディレクトリをバックアップします。トラバースチェックのバイパス。システム時刻を変更します。ページファイルを作成します。プログラムのデバッグ。コンピューターとユーザーアカウントを委任に対して信頼できるようにします。リモートシステムから強制的にシャットダウンします。スケジューリングの優先度を上げます。デバイスドライバーのロードとアンロード。ローカルログオンを許可します。監査とセキュリティログを管理します。ファームウェア環境値を変更します。単一プロセスのプロファイル。システムパフォーマンスのプロファイル。ドッキングステーションからコンピューターを取り外します。ファイルとディレクトリを復元します。システムをシャットダウンします。ファイルまたは他のオブジェクトの所有権を取得します。

さらに、Microsoft Docsの記事Default local groupsには、Administratorsグループの次の説明が含まれています。

このグループのメンバーはサーバーを完全に制御し、必要に応じてユーザーにユーザー権限とアクセス制御許可を割り当てることができます。管理者アカウントもデフォルトのメンバーです。このサーバーがドメインに参加すると、Domain Adminsグループがこのグループに自動的に追加されます...」

[強調鉱山]

上記を考えると、私は理解していません：

1. それらの違いは何ですか？
2. デフォルトのインカネーションでどれを使用するのですか？
3. エンゲージメントを専門化する方法は？
4. ドメイン管理者が管理者のメンバーである場合、それらは常に同等になりませんか？

この質問はサブ質問であり、質問のコンテキストで尋ねられますAD参加マシンのローカルユーザーのコンテキストはドメインマシンアカウントですか、それともローカルマシンアカウントですか？

ドメインコントローラーがその役割に昇格する前は、単純なワークグループ（スタンドアロン）サーバーであり、ローカルのAdministratorアカウントとローカルのAdministratorsグループがあります。ドメインを作成しても、それらのアカウントは消えません。ドメイン管理者アカウントおよびドメインbuiltin \ Administratorsグループとしてドメインに組み込まれます。

builtin \ Administratorsグループにはドメインコントローラーへの管理アクセス権がありますが、ドメイン内のすべてのコンピューターへの管理アクセス権は自動的に付与されませんが、Domain Adminsはそうです。

ドメイン管理者グループ、およびAD builtin \ Adminstratorsグループ（クライアントのローカル管理者グループではない）は、それらのユーザーに実質的に同じ権限を付与しますが、いくつかの微妙な違いがあります。

• builtin \ administratorsはドメインローカルグループで、ドメイン管理者はグローバルグループです
• ドメイン管理者はbuiltin \ administratorsのメンバーです
• ドメイン管理者は、各クライアントPCのローカル管理者グループのメンバーです
• builtin \ administratorsグループは、AD以前のシステムとの後方互換性を提供するためにあります。

これは、単純で複雑な答えのある質問です。

簡単な答えは、常にドメイン管理者グループを使用することです。

複雑な答えは、ドメイン管理者がドメイン上のすべて（DC、サーバー、およびワークステーション）に管理者を与えるということです。builtin \ Administratorsは、最初はすべての DC（ローカルグループですが、複製されます）へのアクセスのみを許可し、サーバーまたはワークステーションへのアクセスは許可しません。ただし、DCへの管理者アクセスにより、ドメイン管理者に昇格することができます。 したがって、セキュリティハメ撮りからは同等です。

builtin \ administratorsが存在する主な理由は、管理者アクセスをチェックするプログラムが任意のマシンの同じ場所をチェックできるようにするためです。

DCは城の鍵であり、ドメイン全体ではなく他の（効果的に）またはローカルサーバーに管理者を割り当てることはできません。

bultin / administratorsグループは、Windowsのインストール時にデフォルトで作成されます。このグループには、コンピューターへの完全かつ無制限のアクセス権があります。デフォルトでは、このグループのメンバーであるユーザーアカウントは管理者のみです。

Domain Administratorsグループは、Windowsドメインにのみ存在します。このグループには、ドメイン全体への完全かつ無制限のアクセス権があり、ドメインのメンバーである任意のpcまたはサーバーにログオンできます。

pc /サーバーがドメインに追加されると、ドメイン管理者グループは自動的にビルトイン/管理者グループのメンバーになり、ドメイン管理者にコンピューターへの管理者レベルのアクセスを提供します。

ドメイン管理者グループからビルトイン/管理者グループにアカウントを移動した場合、他のビルトイン/管理者グループにアカウントを追加しない限り、そのアカウントはそのローカルコンピューターを管理できますが、それ以外は何もできません。