# 最小権限ポリシータイプ

<figure><img src="/files/mW6HvW3Z2Pk6vHZ1Yvbg" alt=""><figcaption></figcaption></figure>

## 概要 <a href="#overview" id="overview"></a>

Keeperは最小権限ポリシーを通じて、対象エンドポイント上の標準ユーザーからローカル管理者権限を取り除きます。Windowsデバイスでは、組み込みの管理者アカウントやルートアカウントについては、管理者権限を取り除きません。詳細については[保護対象管理者の除外リスト](#protected-administrators-exclusion-list)をご参照ください。

コマンド単位の細かな制限を設けることで、昇格は承認済みのコマンドや運用上許可された範囲に限定できます。また、許可されたアプリケーションの利用であっても、不必要な権限の拡大を防ぎやすくなります。

### ポリシー間の連携と適用モデル <a href="#policy-interaction-or-enforcement-model" id="policy-interaction-or-enforcement-model"></a>

Keeperでは、最小権限ポリシーをアプリケーションの許可リスト (AllowList) および拒否リスト (DenyList) の制御と組み合わせて運用できます。デフォルト拒否の方針を採っている場合は、最小権限の適用により、明示的に許可したアプリケーションの利用と承認済みの昇格操作のみが許可されます。

## 最小権限ポリシーの有効化 <a href="#activating-least-privilege" id="activating-least-privilege"></a>

Keeper管理コンソールで、**\[エンドポイント特権マネージャー]** → **\[ポリシー]** に移動し、新しいポリシーを作成します。ポリシータイプから **\[最小権限]** を選び、**\[適用]** を指定します。

**\[詳細設定]** を開き、Keeperの管理対象外としたいローカル管理者向けの除外を設定します。

<figure><img src="/files/v8fOYR8l5WnmLT9eBgLA" alt=""><figcaption></figcaption></figure>

## 除外リスト <a href="#exclusion-list" id="exclusion-list"></a>

最小権限ポリシーが適用されると、Keeperは除外リストに含まれていないすべてのユーザーからローカル管理者権限を取り除きます。このリストを定義するには、ポリシー編集画面の **\[詳細設定]** を使用します。

{% hint style="danger" %}
デフォルトの管理者ユーザー名を必ず除外リストに追加してください。追加していない場合、ポリシー適用後にそのユーザーは管理者権限を失います。
{% endhint %}

<figure><img src="/files/Y3nPu31R27szY7zTHO8v" alt=""><figcaption></figcaption></figure>

修正する箇所は以下のとおりです。

```
"CertificationCheck": [],
"Extension": {
    "Exclusions": [
        "your_username_to_exclude"
    ]
},
```

***

## 保護対象管理者の除外リスト <a href="#protected-administrators-exclusion-list" id="protected-administrators-exclusion-list"></a>

Keeperは、SID ([セキュリティ識別子](https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/understand-security-identifiers)) のパターンマッチングと拡張検出により、以下の管理者アカウントを既定で保護します。これにより、ルートアカウントに対して最小権限を一方的に適用してしまう事態を防ぎます。

#### 1. 既知のSIDパターン <a href="#id-1-well-known-sid-patterns" id="id-1-well-known-sid-patterns"></a>

* `S-1-5-32-544` – 組み込みの管理者グループ
* `S-1-5-18` – SYSTEMアカウント
* `S-1-5-19` – LOCAL SERVICE
* `S-1-5-20` – NETWORK SERVICE

#### 2. ドメイン管理者SIDパターン <a href="#id-2-domain-administrator-sid-patterns" id="id-2-domain-administrator-sid-patterns"></a>

* `S-1-5-21-*-512` – ドメイン管理者 (任意のドメイン)
* `S-1-5-21-*-519` – エンタープライズ管理者 (フォレストのルートドメイン)
* `S-1-5-21-*-518` – スキーマ管理者 (フォレストのルートドメイン)
* `S-1-5-21-*-500` – 組み込みの管理者アカウント (任意のドメイン)

#### 追加の保護対象アカウント <a href="#additional-protected-accounts" id="additional-protected-accounts"></a>

* `KeeperUserSession` – 常に保護対象 (サービスアカウント)
* `Built-in Administrator` – 常に保護対象 (名前を変更していても対象から外れません)

#### Linux / macOS の保護対象アカウント <a href="#linux-macos-protected-accounts" id="linux-macos-protected-accounts"></a>

* LinuxおよびmacOSの `root` ユーザー


---

# Agent Instructions: Querying This Documentation

If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/least-privilege-policy-type.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.