あなたのWindows 11 PCの管理者保護を構成する方法
近年、Windowsの管理者アカウントは、マルウェアの作成者や認証情報の窃盗者によってターゲットにされることが増えています。これらの継続的な脅威に対処するために、Windows 11では管理者保護機能が展開されています。この機能は、Windows Helloトークンに基づいてユーザーに「瞬時の」特権アクセスを提供します。利用可能になり次第、あなたのWindows 11 PCでこれを構成する方法は次のとおりです。
Windows 11の管理者保護とは
管理者保護は、ユーザーアクセスコントロール（UAC）を超えてデバイスのセキュリティを確保するWindows 11のセキュリティ機能です。管理者ユーザーに無制限の権限を与える代わりに、システムは一時的で分離されたトークンを生成します。管理者タスクが完了すると、そのトークンは破棄されます。2025年5月現在、この機能はWindows 11の一般リリースでは利用できません。
そのトークンはWindows Helloを介して認証され、ユーザーには見えず、ユーザーはWindows HelloのPINや生体認証のみを確認します。不正使用を防ぐために、それは1回の管理リクエストの間だけ存在します。この方法により、マルウェアはWindowsセキュリティの下に隠れたレイヤーにアクセスできないため、デバイスに変更を加えることができません。
すべての管理操作は、Windows Helloでの二段階認証を通じて個別に承認されなければなりません。たとえネットワーク内で最も特権を持つユーザーであっても、システムはあなたに「最小限の権限」アクセスレベルを割り当てます。これにより、Windows NTLMの脅威などの認証情報の盗難に対する堅牢なセキュリティ層が追加されます。
注意：管理者保護機能は、トラステッドプラットフォームモジュール（TPM）へのアクセスが必要なため、Windows 10ユーザーには利用できません。
Windows 11デバイスで管理者保護を有効にする方法
この機能は、ビルド27774以降のすべてのWindows 11ユーザー（Home / Proなど）に徐々に展開されます。設定 -> システム -> 情報 -> Windowsの仕様 -> OSビルドを確認してください。現在、これはインサイダー・カナリアリリースであるため、Windows 11の更新を定期的にチェックする必要があります。
管理者保護のワークフローをトリガーするには、標準ユーザーアカウントから管理者アカウントに切り替える必要があります。これを行うには、Win + Rを押してnetplwizと入力します。サインイン中のユーザーアカウント（「Administrator」など）をダブルクリックします。
グループメンバーシップの下に、Administratorアカウントを使用していることがわかるかもしれません。標準ユーザーレベルの場合は、変更を加え、適用 -> OKをクリックし、ログインセッションからサインアウトして再起動します。
次に、デバイスのサインイン方法としてWindows Helloを設定する必要があります。設定 -> アカウント -> サインインオプションに移動し、PIN（Windows Hello）の下で好みのPINを設定します。確認し、その後OKをクリックします。
Windows HelloでPINを使用することはほとんどのユーザーにとって機能します。利用可能であれば、顔認識や指紋も使用できます。
最後に、Windows 11で管理者保護を構成するために、検索メニューまたはタスクバーからWindowsセキュリティを起動します。
アカウント保護 -> 管理者保護の設定に移動します。ここで、管理者保護のトグルを有効にする必要があります。
管理者保護を有効にする別の方法は、ローカルグループポリシーエディタを介することです（これもWindows 11インサイダー・ビルド27774以降のみで可能）。コンピュータの構成 -> Windowsの設定 -> セキュリティ設定 -> ローカルポリシー -> セキュリティオプションに移動します。
次に、ユーザーアカウント制御：管理者承認モードの種類を構成をダブルクリックし、管理者保護付きの管理者承認モードを選択します。そこで、セキュアデスクトップでの認証情報の要求にWindows Hello認証を選択する必要があります。
両方の方法が有効化されると、管理関連のタスクを初期化すると、システムが承認を得るためにWindows Hello PINプロンプトを表示します。これはパスワードを使用するよりもはるかに安全で、実際の承認は目に見えず、バックグラウンドで行われます。タスクが完了した後、たとえばアクセス権の必要なソフトウェアをインストールする際、一時的なアクセスは撤回されます。
もう一つだけ小さな前提条件があります。この新機能を有効にするには、ユーザープロファイルが正常に機能している必要があります。万が一、ユーザープロファイルサービスがサインインに失敗した場合は、それを元に戻すためのいくつかの方法があります。
