JEA の前提条件

Just Enough Administration は、PowerShell 5.0 以降に含まれる機能です。この記事では、JEA の使用を開始するために満たす必要のある前提条件について説明します。

インストールされている PowerShell のバージョンを確認する

システムにインストールされている PowerShell のバージョンを確認するには、Windows PowerShell プロンプトで $PSVersionTable 変数を調べます。

$PSVersionTable.PSVersion

Major  Minor  Build  Revision
-----  -----  -----  --------
5      1      14393  1000

JEA は PowerShell 5.0 以降で利用できます。完全な機能のためには、システムで使用できる最新バージョンの PowerShell をインストールすることをお勧めします。次の表は、Windows Server での JEA の可用性を示します。

JEA は、自宅または会社のコンピューターでも使用できます。

¹ Windows Server 2008 R2 または Windows 7 で、グループが管理するサービスアカウントを使用するように JEA を構成することはできません。仮想アカウントと他の JEA 機能はサポートされています。
² 次の JEA 機能は、Windows 10 バージョン 1511 と 1603 ではサポートされていません。
- グループ管理されたサービスアカウントとして実行する
- セッション構成での条件付きアクセス規則
- ユーザードライブ
- ローカルユーザーアカウントにアクセス許可を付与する
これらの機能を使うには、Windows をバージョン 1607 (Anniversary Update) 以降に更新します。

より古いバージョンの PowerShell を実行している場合、最新の Windows Management Framework (WMF) 更新プログラムでご利用のシステムを更新する必要がある可能性があります。詳細については、WMF のドキュメントを参照してください。

ご利用のすべてのサーバーをアップグレードする前に、WMF とのワークロードの互換性をテストすることをお勧めします。

Windows 10 のユーザーは、現在のバージョンの Windows PowerShell を取得するには、最新の機能更新をインストールする必要があります。

PowerShell リモート処理は、JEA 構築の基盤を提供します。 JEA を使用する前に、PowerShell リモート処理を有効にし、適切にセキュリティで保護されていることを確実にする必要があります。詳細については、WinRM セキュリティに関するページを参照してください。

Windows Server 2012 以降では、PowerShell リモート処理は既定で有効になります。管理者特権の PowerShell ウィンドウで次のコマンドを実行することにより、PowerShell リモート処理を有効にできます。

Enable-PSRemoting

次の手順で、システム上のすべての PowerShell 操作のログを有効にします。 PowerShell モジュールログは JEA には必要ありませんが、ユーザーが実行するコマンドが確実に中央の場所にログ記録されるように、有効にすることをお勧めします。

グループポリシーを使って、PowerShell モジュールログポリシーを構成できます。

ワークステーションでローカルグループポリシーエディターを開くか、Active Directory ドメインコントローラーのグループポリシー管理コンソールでグループポリシーオブジェクトを開きます
Computer Configuration\Administrative Templates\Windows Components\Windows PowerShell に移動します
[モジュールログを有効にする] をダブルクリックします。
[有効] をクリックします。
[オプション] セクションで、モジュール名の横にある [表示] をクリックします。
ポップアップウィンドウに「*」を入力して、すべてのモジュールからのコマンドをログ記録します。
[OK] をクリックしてポリシーを設定します。
[PowerShell スクリプトブロックのログ記録を有効にする] をダブルクリックします。
[有効] をクリックします。
[OK] をクリックしてポリシーを設定します。
(ドメインに参加しているコンピューターのみ) gpupdate を実行するか、グループポリシーが更新されたポリシーを処理して設定を適用するのを待ちます

グループポリシーを通してシステム全体の PowerShell トランスクリプトを有効にすることもできます。