Windowsのログオンスクリプトの実行権限（実行ユーザー）は？スタートアップスクリプトの場合は？GPO

プチSE

7年前

Windowsには

が存在します。
ADに参加しているパソコンの場合は、GPOで一元管理出来て便利ですね。

「コンピューターの構成」GPOによって実行されるのが、スタートアップスクリプト/シャットダウンスクリプトで
「ユーザーの構成」GPOによって実行されるのが、ログオンスクリプト/ログオフスクリプトです。

これらのスクリプトの実行ユーザーは誰か調べました。

レジュメ

ローカルのグループポリシーで確認しましたが、ADによるグループポリシーでも同様です。

結論、ログオンスクリプトの実行ユーザーはログオンしたユーザー

上記は以下のコマンドをスタートアップスクリプトで打った結果です。

まあ当然ですね。ログオンしたユーザーでログオンスクリプトが実行されていることがわかります。

ログオフスクリプトについても実行ユーザーは同じです。

上記は以下のコマンドをスタートアップスクリプトで打った結果です。

スタートアップスクリプトは、コンピューター自身（コンピューターアカウント）が実行します。
この場合、実行ユーザーはSYSTEMユーザーになります。
面白いのは、set usernameの結果が、「コンピュータ名$」アカウントということですね。

シャットダウンスクリプトについても実行ユーザーは同じです。

SYSTEMユーザーは

とかには見えてこない、秘密のユーザーです。
そんなSYSTEMユーザーは以下のグループに一般的には所属しています。

ローカルのadministrators権限はあることがわかりますね。

ログオンスクリプトでは一般ユーザー権限でしか実行できない場合は、スタートアップスクリプトで実行すると良いですね。

スタートアップスクリプトは、AD上の共有フォルダにあるということは、ドメイン共有フォルダへのアクセス権があるということです。
SYSTEMユーザーは、ローカルユーザーのようなのですが、ドメインの共有フォルダに書き込むためのアクセス権は何かあるか確認しました。

に書き込みのアクセス権があれば書き込みが可能です。（上の画像の、フルコントロール・変更チェック）