Skip to content

MS_GroupPolicy

Jump to bottom
nishi_74322014 edited this page Aug 4, 2026 · 1 revision

グループ・ポリシー

概要

  • GPOなどと略記される。
  • Active Directory 環境内でのコンピュータ群やリモートユーザ群の
    集中管理とコンフィギュレーションの機能
  • グループ・ポリシーによってできること。
    • デスクトップ環境の一元管理
    • アプリ配布の効率化（セキュリティパッチ）
    • 一貫したセキュリティ・ポリシー
    • .etc
  • これにより、ウィルス・アタックによる情報漏えいを未然に回避するなどが可能。
  • プロダクトによっては、ローカル・ポリシーもサポートする。

※ 厳密には、GPO（グループ ポリシー オブジェクト）が設定の実体で、
それをサイト／ドメイン／OU にリンクして適用する、という二段構えになっている。

作成

グループ・ポリシー定義

適用

リンクさせてフィルタを設定

運用

グループポリシーのクライアントは「プル型」モデルで運用する。
（90分から120分のランダムな間隔、ただし変更可能）

※ ドメイン コントローラだけは 5 分間隔。
また、ログオン／起動時にも適用される。

GPOの作成

OU階層の設計ガイドライン

管理構造の実現

  • 管理方針、ビジネス構造に合わせる。
  • 組織構造に合わせた階層で設計しない。
    （組織構造はビジネス構造に関係なく頻繁に変わるため）

OU構造の例

  • 第一階層 … 地理的要素
  • 第二階層以下 … ビジネス役割
    • 役割の例
      • ユーザ：管理職、一般職、技術職、ITスタッフ .etc
      • コンピュータ：ファイル、プリントサーバ、Webサーバ、Exchangeサーバ、デスクトップ、ノート
      • ドメイン・コントローラ：Domain Controllers OU の子

GPOを適用するOU階層の例

役割

  • 一般PC、ユーザ
  • キオスク用PC、ユーザ
  • 特定アプリケーション用PC、ユーザ
  • 複数ユーザ共有用PC、ユーザ
  • モバイル用PC、ユーザ

Common Scenarios

├[Computers]
│├[Highly Managed]
││├[AppStation]
││├[Kiosk]
││├[Multi-User]
││└[TaskStation]
│└[Lightly Managed]
│ └[Mobile]
│
└[Users]
 ├[Highly Managed]
 │├[AppStation]
 │├[Kiosk]
 │├[Multi-User]
 │└[TaskStation]
 └[Lightly Managed]
  └[Mobile]

グループ・ポリシー定義方法

  • GPOを作成する。
    グループポリシー管理コンソール（GPMC）
  • GPOを編集する。
    グループポリシー・オブジェクトエディタ（GPEdit）

GPOの適用

GPOは、ドメイン、サイト、OUにリンクさせて使用する。

GPOの適用先

ディレクトリなので…。

  • ノード
    • サイト
    • ドメイン
    • OU
  • リーフ・ノード
    • コンピュータの構成（コンピュータに適用）
    • ユーザの構成（ユーザに適用）

適用ルール

適用順

ローカル → サイト → ドメイン → OU の順に適用
（ただし、パスワード・ポリシーはドメイン・レベルで設定）

移行メモ: 原文は「サイト → ドメイン → OU」だったが、 適用順の起点はローカル グループ ポリシー（LSDOU の L）。 頭文字をとって LSDOU と呼ばれる。

なお「パスワード・ポリシーはドメイン・レベル」は原文どおり正しいが、 Windows Server 2008 以降は PSO（きめ細かなパスワード ポリシー） により ユーザ／グループ単位で別のパスワード ポリシーを適用できる。

優先順

後勝ち方式。

  • 競合する場合は、後から適用される設定が優先される（上書き）。
  • 強制を設定していると、上書きされなくなるように制御可能。

※ 「強制（Enforced）」を設定したリンクは後勝ちの例外となり、
下位でも上書きされない。逆に「継承のブロック」で上位の継承を止められるが、
「強制」はブロックも貫通する。

ディレクトリのノードの作成

  • サイト、ドメイン
    • Active Directory ユーザーとコンピューター（DSA）
  • OU
    • Active Directory ユーザーとコンピューター（DSA）
    • グループポリシー管理コンソール（GPMC）

移行メモ: サイトの作成に使うのは「Active Directory ユーザーとコンピューター」ではなく 「Active Directory サイトとサービス」（dssite.msc）。 ドメインの作成は昇格（dcpromo / Install-ADDSDomain）で行う。 原文の記述はいずれも OU の作成手順に引きずられたものと解される。

対象が含まれるか確認する

「Active Directory ユーザーとコンピューター」を使用して確認する。

  • サイト、ドメイン … サイトや、ドメイン全体のコンピュータ、ユーザに適用される。
  • OU … OUに含まれるコンピュータ、ユーザに適用される。

ディレクトリのノードにGPOをリンク

GPOをリンクする（グループポリシー管理コンソール（GPMC））。

リンク

GPOをOUにD&Dすればイイ。

セキュリティ・フィルタ

セキュリティ・フィルタ設定を行う。

  • アカウントを追加
    • コンピューターなら Domain Computers を追加
    • ユーザなら Authenticated Users を追加
  • 権限を追加する。
    • 読み取り　許可
    • グループポリシーの適用　許可

補足: MS16-072（2016年6月）以降、 ユーザ ポリシーの読み取りもコンピュータのコンテキストで行われるようになった。 このため、セキュリティ フィルタから Authenticated Users を外して 特定ユーザ グループだけにした GPO は適用されなくなる。 少なくとも Authenticated Users または Domain Computers に 「読み取り」だけは残す必要がある。

GPOの設定を反映して確認

プル

クライアントからプルする。

gpupdate /force

確認

  • サーバーの設定値を確認する。
    グループポリシー管理コンソール（GPMC）を使用する。
  • クライアント毎の適用結果を確認する。
gpresult /v                    ユーザのGPO
gpresult /v /scope computer    コンピュータのGPO
gpresult /h report.html        HTML レポートを出力（Vista 以降）

管理テンプレート

ソフトウェア毎

管理テンプレートはアプリケーション・ベンダーからも提供されており、
「テンプレートファイル」（拡張子 .admx ファイルとその関連ファイル / フォルダ群）を
DCの「PolicyDefinitions」フォルダに配置することで、GPOの設定項目を拡張できる。

補足（最新化）: Internet Explorer 11 デスクトップ アプリは 2022年に提供終了し、 Microsoft Edge の IE モードに置き換えられている（Edge 用の ADMX を使う）。

管理

管理テンプレートの管理

※ セントラル ストア（\\<domain>\SYSVOL\<domain>\Policies\PolicyDefinitions）に
ADMX を置くと、管理端末ごとにコピーする必要がなくなる。

参考

参考

関連

応用

補足（最新化）: クラウド管理端末では、GPO ではなく Microsoft Intune の構成プロファイル / 設定カタログ（ADMX 取り込み）で 同等の設定を配布するのが標準になりつつある。

Tags: セキュリティ, Active Directory

このWikiは「Open棟梁Project」,「OSSコンソーシアム 開発基盤部会」によって運営されています。

NetDevInfraWiki

マイクロソフト系技術情報 Wiki
Open 棟梁 Wiki

（未着手）

開発基盤部会 Wiki

移行管理: DONE ／ TODO

Clone this wiki locally