承認されたパスワード復号化機能の構成

この設定は、暗号化されたパスワードの暗号化解除権限を持つ特定のユーザーまたはグループに対する制御の目的で構成されます。

パスワードの暗号化が有効になっていない場合は、この設定を構成しても効果がありません。

この設定を有効にすると、指定したグループは、暗号化されたパスワードの暗号化解除を実行できます。

この設定が無効または未構成の場合、暗号化されたパスワードの暗号化解除を実行できるのはドメイン管理者グループのみです。

この設定を構成する際は、グループまたはユーザーのドメイン修飾名、または文字列形式の SID を設定する必要があります。有効な設定の例:

contoso\LAPSAdmins

lapsadmins@contoso.com

S-1-5-21-2127521184-1604012920-1887927527-35197

ユーザー名、グループ名、SID は、引用符やカッコで囲まないでください。

指定されたユーザーまたはグループは、管理対象デバイスで解決可能になっている必要があります。そうでない場合、パスワードはバックアップされません。

注: ディレクトリ サービス修復モード (DSRM) アカウントのパスワードがドメイン コントローラ上にバックアップされている場合、この設定は無視されます。そのようなシナリオでは、この設定にはドメイン コントローラーのドメインの Domain Admins グループが指定されていると見なされます。

詳細については、https://go.microsoft.com/fwlink/?linkid=2188435 を参照してください。