Active Directory設計・運用 【AD環境でやってみた】ドメインコントローラーのシャットダウン権限を絞ってみたら、想定外のところでつまずいた話
ADのシャットダウン権限（SeShutdownPrivilege）をユーザー単位で絞る検証をしてみました。検証中、Domain Usersだけではそもそもログオンできない、gpupdate /forceだけでは権限変更が反映されずサインアウトが必要、といった実機ならではのつまずきを実況形式でまとめています。
Active Directory設計・運用
Active Directory設計・運用 
Active Directory設計・運用 Entra IDのロール設計と最小権限ガイド｜グローバル管理者に頼らない権限設計の実務
Entra IDのロール設計を最小権限の観点で解説。グローバル管理者を2〜4人に絞る理由・機能別ロールの使い分け（ユーザー管理者・セキュリティ管理者・Exchange管理者等）・PIMによる一時昇格の導入方法・よくある設計ミスとチェックリスト付き。
Active Directory設計・運用 ADのDNS設計と運用ガイド｜Active Directoryが依存するDNSの仕組みと現場の落とし穴
Active DirectoryとDNSの関係・SRVレコードの役割・クライアントのDNS設定ミスを解説。「ドメインに参加できない」「GPOが効かない」トラブルの多くはDNSが原因。ADに統合されたDNSの設計・フォワーダー設定・SRVレコード確認コマンド・逆引きゾーン設定をPowerShell付きで解説。
Active Directory設計・運用 ADとEntra IDの権限設計比較｜オンプレとクラウドで何が変わるのかを整理する
Active DirectoryとMicrosoft Entra IDの権限設計の違いを解説。OU・GPOとロール・条件付きアクセスの設計思想の違い、Domain Adminsとグローバル管理者の比較、ハイブリッド構成での特権アカウント分離の重要性まで網羅。現場でよくある設計ミスとチェックリスト付き。
Active Directory設計・運用 条件付きアクセスとは？設計パターンと実務ガイド｜Entra IDでゼロトラストを実装する
条件付きアクセスの仕組みと現場でよく使う設計パターンを解説。海外IPブロック・管理者への常時MFA要求・非準拠デバイス制限の設定手順、レポート専用モードの使い方、緊急アクセスアカウントの設定など実務で必要な知識を網羅。チェックリスト付き。
Active Directory設計・運用 LAPSとは？設定手順と仕組みを解説｜ローカル管理者パスワードを端末ごとに自動管理する
LAPS（ローカル管理者パスワードソリューション）の仕組みと設定手順を解説。全端末で同じパスワードを使うPass-the-Hash横展開リスクをLAPSで根本解決。Windows LAPSのGPO設定・PowerShellでの確認方法・Legacy LAPSとの違い・よくある設定ミスとチェックリスト付き。
Active Directory設計・運用 gMSAとは？設定手順と使いどころをわかりやすく解説｜サービスアカウントを安全に管理する
gMSA（グループ管理サービスアカウント）の仕組みと設定手順を解説。120文字ランダムパスワードの自動ローテーションでKerberoastingを根本から防ぐ。KDSルートキーの作成・gMSAアカウント作成・サービスへの適用手順をPowerShellコマンド付きで説明。現場でよくある設定ミスとチェックリスト付き。
Active Directory設計・運用 LSA ProtectionとCredential Guardとは？Pass-the-Hashが通じにくくなった理由を解説
Windows 11でPass-the-Hashが難しくなった理由をLSA ProtectionとCredential Guardの仕組みから解説。lsassが狙われる理由・PPLによるプロセス保護・VBSによるハッシュ隔離の違いをわかりやすく説明。PowerShellでの有効状態確認コマンドとチェックリスト付き。
Active Directory設計・運用 RSATとは？Windows 11へのインストール手順とAD管理の使い方
RSATとは何か、Windows 11へのインストール手順（設定アプリ／PowerShell一括）を解説。ADUC・GPMC・ADSIエディターの使い方、「接続できない」「権限がない」などのトラブル対処まで。DCへの直接RDPを減らしたい方へ。
Active Directory設計・運用 イベントログで攻撃を検知する実践パターン｜Kerberoasting・DCSync・横展開の痕跡を追う
KerberoastingやDCSyncがイベントログにどう記録されるかを具体的なイベントIDとあわせて解説。4769（Kerberoasting）・4662（DCSync）・4648/4624/7045（横展開）の見方と、現場でよくある監査ポリシーの設定漏れも網羅。PowerShellでの確認コマンド付き。