Microsoft Defender for Identity 導入手順としての[サービスとしてのログオン] の設定方法を確認したい

Question

Microsoft Defender for Identity を導入したいと考えています。

このサービスの導入手順として、

以下ドキュメントにローカルポリシーの[サービスとしてログオン]をグループポリシーに構成しなおす必要があると記載があります。

https://learn.microsoft.com/ja-jp/defender-for-identity/deploy/create-directory-service-account-gmsa#verify-that-the-gmsa-account-has-the-required-rights

---

グループ ポリシー管理エディターを使用して [サービスとしてのログオン] 設定を構成する場合は、NT Service\All Services と作成した gMSA アカウントの両方を必ず追加します。

---

 

NT Service\All Servicesをグループポリシーに追加する必要があるとのことですが、

これはどのようにすればよいのでしょうか。

こちらのサービスは該当設定項目では普通に入力すると設定することができません。（おそらくドメインのオブジェクトではないため）

Answer 1

@Hebikuzure aka Murachi Akira
仰る通りでございます。
既定ではドメインの[サービスとしてログオン]が未定義であるため、

こちらの環境のようなローカルポリシーが禁止されている環境ではドメインでMSドキュメントに案内されている NT Service\All Services を追加することが必要となります。

そのような方法（ローカルポリシーを禁止している環境でNT Service\All Servicesを[サービスとしてログオン]に追加する）は不可能なのでしょうか？

であれば、それはそれで仕方ないですので、今回はMDI導入は諦めようと考えております。

Answer 2

チャブーンです。

この件ですが、

こちらの環境のようなローカルポリシーが禁止されている環境ではドメインでMSドキュメントに案内されている NT Service\All Services を追加することが必要となります。

なのですが、根拠というか技術的な認定ポイントをいただけますでしょうか？ローカルポリシー全体を拒否するといったことは、ドメインに参加していても不可能です。Hebikuzureさんがおっしゃっているのは、ドメイングループポリシーで上書きされる項目のうち「ポリシー項目が重なる」部分だけがドメインで反映される、[未定義]の場合スルーという意味なので、(その部分の)ローカルポリシーはそのまま適用される、ということです。

上記の質問にどうしても答えたくない、という場合、グループポリシーでも[NT SERVICE\ALL SERVICES]のプリンシパルは設定ができますので、そうしてみるのも一手です。その際ですが、[ユーザーまたはグループの追加]ボタンを押した後、出てきた(シンプルな)ダイアログに直接入力してください。[参照]ボタンを押してしまうと、この文字列でのプリンシパルは検出できないので、失敗します。

なお、グループポリシーで設定した場合、グループポリシーオブジェクトの適用範囲内の全コンピューターの[サービスとしてログオン]設定が上書きされてしまい、問題が起こるかもしれません。ですので、セキュリティフィルター等で特定のサーバーだけに適用するよう、調整してください。

上記の設定は、ドメインコントローラー上での[グループポリシーの管理]スナップインを前提としていますので、ローカルグループポリシーやクライアントOSのポリシー管理ツールは対象外です。