ユーザーのドメインパスワードが必要になることはありますか？

ユーザーのドメインアカウントパスワードなしでは絶対に実行できない、新しいユーザーのワークステーションを構成するときに、Windowsドメイン管理者が行う必要があることはありますか？ユーザーにパスワードの入力を求めないようにするために、管理者は理論的にはパスワードを変更し、ユーザーとしてログインして、やりたいことをすべて実行できますが、実際にはまだ持っていない追加のアクセス許可をユーザーに与えます。ドメイン管理者であることのメリット？

更新：

これまでの回答では、「チューニング」またはユーザーのプロファイルの変更について言及してきました。しかし、があります。この、彼らが初めてとログオンするときのユーザーに適用されますデフォルトのプロファイル変更に関するマイクロソフトからの記事の手順に従って、いつでも他のユーザーのWindowsレジストリ設定を変更するには。ユーザーとしてログインしているときに管理者が変更できるのは、ユーザーとしてログインする必要がないこれらの手法やその他の利用可能な手法を使用して変更できなかったことです。「ユーザーとしてログイン」するだけでは、ユーザーのパスワードを要求したり変更したりする必要はありません。そのための実用的な理由を探しています。

管理者がユーザーのパスワードを要求することは、容認も必要もありません。

管理者がユーザーとしてログインする必要がある状況（およびそのような状況が存在するとは思わない）では、ユーザーはログインして管理者のアクティビティを監視する必要があります。

これの理由は説明責任です。パスワードが安全であることを確認するのは、各ユーザーの責任です。悪意のあるアクティビティがユーザーの資格情報までさかのぼると、そのユーザーは責任を問われる可能性があります。したがって、資格情報を安全に保つ必要があります。

これが採用されるだけでなく、実施されることを保証することも組織の責任です。組織内の誰かが他の誰かのメールボックスを使用して悪意のあるメールを送信したという訴訟がありました。メールボックスの所有者は最終的に却下されました。彼らはパスワードを他人に渡したと彼らは主張したが、会社は彼らの資格情報の完全性を維持するのが彼らの責任であると主張し、それゆえ彼らは会社のITポリシーによって指示されたように責任を負う。その後、このユーザーが組織内で風土病のパスワードを共有する文化があることを証明したときに、裁判所はこれを覆しました。裁判所は、会社が自社のITポリシーを積極的に施行することができない場合、そのような状況下では説明責任を果たすことができないと判断しました。

とはいえ、理論と実践の間には明らかに隔たりがある。私は、とりわけITアドバイザリーサービスを提供する大手多国籍企業と契約しており、SOEアップグレードの文書化された手順の一部として、エンドユーザーのパスワードを要求するように指示されました。

個人的には、私はこれに対して固いアプローチをとっています。パスワードを要求する（またはユーザーのアカウントにアクセスするためにパスワードを再設定する）必要はないと思います。これを回避するために大幅に増加したワークロードがある場合は、それで十分です。セキュリティを危険にさらすのは言い訳にはなりません。私はマネージャーではないので幸運だと思うので、上層部から指示されたときにこれらの決定に責任を負う必要はありません。

明確にしましょう：ドメイン管理者であれば、文字通り何でもできるソフトウェア（デバイスドライバーが思い浮かぶ）をインストールできます。ただし、「デスクトップの背景のレジストリキーは何ですか？」など、実用的ではありません。「次に、暗号化されたプロファイルレイヤー内のファイル読み取り呼び出しにフックして、Firefoxがdoubleclick.netからのCookieを無効にしていると思わせるようにします」。

あなたは絶対的なものを求めているのですが、答えは「本当にユーザーのパスワードは必要ありません」となるので、これは間違った見方です。現実には、Microsoftが* NIXのsu/のような機能を提供する（またはサードパーティソフトウェアをインストールして許可する）まで、sudo時折必要とせずに、正気の類似性を維持しながら、すべての目的でユーザーのアカウントを完全に模倣することはできません。使用法-パスワードの "開示！"とは言わなかったことに注意してください。

私たちの多くは、さまざまな理由でパスワードの開示が要求される環境で働いてきました。私たち全員がそれを悪い考えだと言うまで、私は遠くまで行きます。そのようなことを行う必要がある場合、エンドユーザーは強制するのではなく、同意する必要があります。

かつて1998年と同じように、私のIT部門はPCの交換を行っているときにユーザーのパスワードを要求して、古いパスワードとまったく同じようにセットアップできるようにしていました。アイコンの場所まで。対応するWinNTドメインのないNovell NetWare環境にいたため、ネットワークパスワードを変更してもローカルパスワードは変更されなかったため、そのレベルのシームレスなサービスを提供するには、そのパスワードが必要でした。

それは13年前のことです。Windowsドメインについて具体的に質問しました。私が去ったばかりの大きな大学での仕事で、パスワードを公開するかどうか、または行われているあらゆる作業のためにそこにいるかどうかは、エンドユーザー次第でした。つまり、エンドユーザーは ITに強制されるのではなく、オプトインを選択しました。組織図の上位にある非常に忙しい特定のエグゼクティブタイプは、一般に管理アシスタントにログインしていたため、IT担当者が簡単に侵入できました（同意はすでに委任されていました）。

Windowsでは、ユーザーのプロファイルを手動で調整する唯一の方法は、そのユーザーとしてログインすることです。何らかの理由でプロファイルを手動で調整する必要がある場合（再インストールの邪魔になっている悪いアンインストールが残っているなど）、IT担当者はそのユーザーとしてログインする必要があります。これは、管理パスワードの変更を強制する、ユーザーにパスワードを開示させる、またはユーザーにIT担当者を自分としてログインさせ、IT担当者に作業を任せることで実行できます。

インストール中の一部のアプリケーションでは、％userprofile％などの環境変数を使用したり、HK_CURRENT_USERなどを変更したりして、ユーザープロファイルを変更または参照する機能（つまり、Outlookと統合するCRMアプリケーション）が必要です。

procmonなどのツールを使用してインストールを「リバースエンジニアリング」し、事後にユーザーのプロファイルやレジストリなどを手動で変更することもできますが、これは非常に非効率的で非実用的で、エラーが発生しやすくなります。

絶対に100％ではありません。別のユーザーアカウントで実行する必要があることは、ユーザーのパスワードをリセットしてログインし、ユーザーにヘルプデスクに電話をかけるか、ユーザーに通知されたパスワードを再設定して、アカウントにパスワードの変更を強制するように設定することによって実行する必要があります。次回のログイン時。私はかなり大規模で安全な環境で働いたことを認めていますが、パスワードを誰かに開示することは通常、解雇の根拠でした（そして、ほとんどの場合はそうです）

これらの投稿のほとんどはかなり古いようですが、これが現在のトピックであり続けるように思われるので、うまくいけば、知識のある人がまだスレッドでアクティブです。

確かに、パスワードを要求する必要がないはずの議論をすることができます。私はユーザーに「共有しないでください」と伝えたいと思います...そしてはい、ほとんどの場合、設定はユーザーの管理者が処理できます。しかし、トラブルシューティングは別の問題です。

2600人の学生と500人の従業員が参加する1対1のプログラムをサポートしています。私達は「奇妙な」ソフトウェア問題に日常的に取り組んでいます。問題を解決するために（またはリロードが必要になることを確信を持って判断するために）ユーザーとして問題を経験しなければならないことがよくあります。絶対に、ユーザーが存在する状態でこれを実行しようとしますが、それが常に実用的であるとは限りません。彼らは維持するスケジュールを持っています。

スマートカードはどうですか？スマートカードをドメインアカウントに（一時的に）関連付けることができる2010/2012 AD環境の実現可能性はありますか？これにより、実際にはユーザーのアカウントへのアクセスが許可されますが、パスワードは明示的に公開されません。トラブルシューティングが完了すると、カードは非アクティブ化されます。技術者はアカウントを利用できますが、カードは十分に監視できます。

私たちは何年も指紋リーダーを使用してきましたが、特定の技術のために指紋リーダーをセットアップしてから、そのプリントをクリアするプロセスは、単に実行可能ではありません。特定のユーザーに対してスマートカードを "承認"してから "非アクティブ化"するプロセスがどれほど複雑になるかはわかりませんが、かなり妥協の可能性があるようです。

はい：プロファイルに対して実行する必要があるすべてのこと。その場合、パスワードを知っているか、またはパスワードを設定する必要があります。その後、あなたが終わったときに彼らはそれを変更することができます。

そのユーザーとしてログインした場合、追加のアクセス許可は付与されません。あなたは彼らの権限で彼らとしてログインしています。