89390


Windows でローカルセキュリティポリシーを secpol.msc を起動して GUI で設定することなく、Ansible 等、CLI
にて変更するためにはどのようにすればよろしいでしょうか？

具体的には「シンボリックリンクの作成」について、ユーザーまたはグループを追加したいです。


CC BY-SA 4.0
2022-06-14T10:35:03.300
89386
2022-06-15T02:31:32.597
2022-06-14T11:10:43.837
3060
53067
question
windows
GUI を使わずコマンドでローカルセキュリティポリシーの設定を変更したい


手元のWindows 10 21H2にて、下記の手順で[secedit コマンド](https://docs.microsoft.com/ja-
jp/windows-server/administration/windows-
commands/secedit)を使用して権限変更できることを確認しました。

  1. PowerShellを管理者権限で開きます。

  * おそらくコマンドプロンプトでも実行できると思いますが未確認です。

  2. ` cd ~\Documents\` などで適当なフォルダに移動します
  3. `secedit /export` を実行し、ローカルセキュリティポリシーをファイルに出力します。

  * 例: `secedit /export /areas user_rights /cfg my_user_rights.inf`
    * /areas 「ユーザー権利の割り当て」などに項目を限定できます。
    * /cfg ファイルの出力先です。

  4. `notepad .\my_user_rights.inf` など、テキストエディタで先ほど出力したファイルを開きます。
  5. `SeCreateSymbolicLinkPrivilege` の行を編集します。

  * 編集前の例: `SeCreateSymbolicLinkPrivilege = *S-1-5-32-544`
  * 編集後の例: `SeCreateSymbolicLinkPrivilege = *S-1-5-32-544,{追加するユーザまたはグループ}`
    * `S-1-5-32-544`とは、組み込みの Administrators グループの SID (セキュリティID)です。

  6. `secedit /configure` を実行し、編集後のローカルセキュリティポリシーを適用します。

  * `secedit /configure /db C:\Users\{ユーザ名}\Documents\Security\my_user_rights.sdb /areas user_rights /cfg .\my_user_rights.inf /log .\result.log`
    * /db 任意のデータベースファイルパスです。コマンドを実行するとファイルが生成されます。
    * /areas, /cfg は出力時と同様のオプションです
    * /log ログ出力先です。なくても構いません

  7. `secpol.msc`から「ローカルポリシー > ユーザー権利の割り当て」を開き、「シンボリック リンクの作成」を確認するとユーザまたはグループが追加されています。

**参考資料**

  * Microsoft Docs 
    * [secedit コマンド ライン ツールの使用](https://docs.microsoft.com/ja-jp/windows/security/threat-protection/security-policy-settings/administer-security-policy-settings#secedit-%E3%82%B3%E3%83%9E%E3%83%B3%E3%83%89-%E3%83%A9%E3%82%A4%E3%83%B3-%E3%83%84%E3%83%BC%E3%83%AB%E3%81%AE%E4%BD%BF%E7%94%A8)
    * [secedit コマンド](https://docs.microsoft.com/ja-jp/windows-server/administration/windows-commands/secedit)
    * [secedit /export](https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/secedit-export)
    * [secedit /configure](https://docs.microsoft.com/en-us/windows-server/administration/windows-commands/secedit-configure)
    * [セキュリティ識別子](https://docs.microsoft.com/ja-jp/windows/security/identity-protection/access-control/security-identifiers)
  * /areas 一覧 
    * [seceditコマンドでローカル・セキュリティ・ポリシーを構成する](https://xtech.nikkei.com/it/article/COLUMN/20071113/287040/)
  * 実践的なガイド 
    * [Windows Server 2016のローカルセキュリティポリシーを「secedit」で操作する](https://win2012r2.com/2020/08/12/windows-server-2016%E3%81%AE%E3%83%AD%E3%83%BC%E3%82%AB%E3%83%AB%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E3%83%9D%E3%83%AA%E3%82%B7%E3%83%BC%E3%82%92%E3%80%8Csecedit%E3%80%8D%E3%81%A7/)


CC BY-SA 4.0
2022-06-15T02:31:32.597
89390
2022-06-15T02:31:32.597
9820
89386
answer