グループ ポリシー オブジェクトを定義する

Windows オペレーティング システムのグループ ポリシー機能は、管理者が設定を一元的に定義し、組織全体のコンピューターに展開できるインフラストラクチャを提供しています。

Contoso の IT スタッフは、GPO 設定を使用して、構成全体を定義、適用、更新できます。 GPO 設定を使用すると、組織内のサイト全体またはドメインに一連の構成設定を適用したり、部門を表す 1 つの OU にフォーカスを絞り込んだりすることができます。

グループ ポリシーとは

グループ ポリシーは、AD DS、ドメイン コントローラー、および各 Windows Server とクライアントに存在するコンポーネントを含む Windows オペレーティング システムのフレームワークです。 これらのコンポーネントを使用することにより、AD DS ドメインの構成を管理できます。 グループ ポリシー オブジェクト (GPO) 内でグループ ポリシー設定を定義します。 GPO は、ユーザーまたはコンピューターの 1 つ以上の構成設定に適用される 1 つ以上のポリシー設定が含まれるオブジェクトです。

グループ ポリシーは、強力な管理ツールです。 GPO を使用して、多数のユーザーとコンピューターにさまざまな設定をプッシュできます。 ローカル コンピューターからドメインまで、さまざまなレベルに適用できるため、これらの設定に正確に集中することもできます。 グループ ポリシーは、主に、ユーザーに構成させたくない設定を構成するのに使用します。 さらに、グループ ポリシーを使用して、組織単位 (OU) または組織全体のすべてのコンピューター上のデスクトップ環境を標準化できます。 また、グループ ポリシーを使用して、追加のセキュリティを提供したり、システムの詳細設定を構成したり、以降のデモ ユニットで説明するその他の目的で使用したりすることもできます。

GPO とは

グループ ポリシー オブジェクト (GPO) は、グループ ポリシー設定のコレクションです。 個々のポリシー設定で、ユーザーがレジストリ編集ツールにアクセスできないようにするポリシー設定など、特定の構成を定義します。 そのポリシー設定を定義してユーザーに適用した場合、そのユーザーは Regedit.exe などのツールを実行できなくなります。

ユーザーに影響を与える設定は、ユーザー構成設定またはユーザー ポリシーと呼ばれ、コンピューターに影響を与える設定は、コンピューター構成設定またはコンピューター ポリシーと呼ばれます。

グループ ポリシーによりさまざまなポリシー設定が管理され、グループ ポリシー フレームワークは拡張可能です。 グループ ポリシーを使用すると、構成可能なほぼすべての設定を管理できます。

ポリシー設定を定義するには:

1. グループ ポリシー管理エディターで、ポリシー設定を見つけて Enter キーを押します。 ポリシー設定の [プロパティ ] ダイアログ ボックスが表示されます。
2. ポリシーの状態を [有効] または [無効] に変更します。 ほとんどのポリシー設定には、[未構成]、[有効]、[無効] の 3 つの状態があります。
3. 必要に応じて追加の値を構成し、終わったら [OK] を選択します。

GPO によりグループ ポリシーの設定が格納されます。 新しい GPO では、すべてのポリシー設定が既定で [未構成] に設定されます。 ポリシー設定を有効または無効にすると、Windows Server により、GPO が適用されるユーザーとコンピューターの構成が変更されます。

ドメインで新しい GPO を作成するには:

1. グループ ポリシー管理で、 グループ ポリシー オブジェクト コンテナーのコンテキスト メニューを右クリックまたはアクセスし、[ 新規] を選択します。
2. GPO の構成設定を変更するには、右クリックするか、GPO のコンテキスト メニューにアクセスして、[編集] を選択します。 これにより、グループ ポリシー管理エディター スナップインが開きます。

グループ ポリシー管理エディターには、GPO で使用できるすべてのポリシー設定が、[コンピューターの構成] ノードと [ユーザーの構成] ノードという、コンピューターの設定とユーザーの設定の分割から始まる整理された階層に表示されます。

GPO は、[グループ ポリシー オブジェクト] という名前のコンテナーに表示されます。 階層の次の 2 つのレベルのノード名は、[ポリシー] と [詳細設定] です。 グループ ポリシー管理エディターの階層には、ノードまたはポリシー設定グループと呼ばれるフォルダーが表示されます。 ポリシー設定はフォルダー内にあります。

コンピューターの構成とユーザーの構成

すべての GPO の上部で、設定は 2 つのノードに分割されます。 この部門は、各設定が影響を受ける内容を決定するため、GPO の最も重要な構造上の区別です。

• コンピューターの構成 には、サインインするユーザーに関係なく、コンピューターに適用される設定が含まれています。 これらの設定は、オペレーティング システムの動作、セキュリティ構成、スタートアップ スクリプトとシャットダウン スクリプト、およびシステム全体のアプリケーション設定を定義します。 たとえば、パスワードとアカウントロックアウトの要件、サービスの起動動作、デバイスのすべてのユーザーのWindowsコンポーネントを制御する設定などがあります。
• ユーザー構成 には、ユーザーがサインインするコンピューターに関係なく、ユーザーに適用される設定が含まれます。 これらの設定は、デスクトップ環境を定義します。たとえば、[スタート] メニューの外観、ログオンスクリプトとログオフ スクリプト、フォルダーリダイレクト、ユーザーがアクセスできるツールとコントロール パネル項目の制限などです。

多くの設定は、2 つのノードのうちの 1 つだけに表示されます。これは、1 つのコンピューターにのみ、またはユーザーにのみ関連するためです。 一部の設定は両方のノードに表示されます。この場合、各インスタンスは独自のターゲットを構成します。

ポリシーと基本設定

[コンピューターの構成] ノードと [ユーザー構成] ノードの両方で、設定は 2 つのノード (ポリシーと基本設定) の下にグループ化され、動作が異なります。

• ポリシーには、 グループ ポリシーによって適用される管理設定が含まれます。 通常、ユーザーは管理設定を変更できず、GPO が適用されなくなった場合、設定は以前の値に戻ります。 ほとんどのポリシー設定は、レジストリの保護された領域に書き込みます。
• 基本設定には、 ユーザーが後で変更できる初期構成を確立する設定が含まれます。 GPO が適用されなくなった場合、ユーザー設定は適用されず、既定では削除されません。 基本設定項目では、項目レベルのターゲット設定もサポートされています。これにより、定義された条件 (特定のオペレーティング システム、セキュリティ グループ、コンピューター名など) が満たされた場合にのみ 1 つの項目を適用できます。

2 つの実際の違いは、強制、永続化、およびクライアントが構成を書き込む方法にかかっています。 ポリシーは管理: クライアントは、4 つの予約済みの制限付きレジストリ キー (HKEY_LOCAL_MACHINE および HKEY_CURRENT_USER の下のポリシー ブランチ) に書き込み、準拠Windows アプリケーションがこれらのキーを読み取り、対応するインターフェイスを無効にして、ユーザーが値をオーバーライドできないようにします。 ポリシーは、この予約領域に存在するため、グループ ポリシーが更新されるたびに削除され、書き換えられます。GPO がスコープ外になった場合 (ターゲットから削除、リンク解除、またはフィルター処理されるため)、値は消え、設定は既定値に戻ります。 この更新と元に戻す動作は、ロックダウンして継続的に適用する設定にポリシーが適している理由です。 一方、ユーザー設定は 管理されません。クライアントは、ユーザーまたは管理者が手動で構成するのと同じレジストリとファイル システムの場所に書き込みます。そのため、設定は手動で設定されたものと同じで、完全に使用可能な状態を維持します。 したがって、設定項目は構成にいわば「入れ墨」を刻み込みます。つまり、明示的に 1 回適用し、再適用しない オプションまたは この項目が適用されなくなったときに削除する オプションをその項目に対して選択しない限り、GPO が適用されなくなった後もその構成は保持されます。 ユーザー設定により、詳細な条件付きアプリケーションの項目レベルのターゲット設定、項目ごとの複数のアクション (作成、置換、更新、削除)、マップされたドライブ、ショートカット、スケジュールされたタスク、ローカル グループ メンバーシップなど、ポリシー設定がまったくないものを構成する機能など、ポリシーに欠ける柔軟性が追加されます。 原則として、設定を必須にし、自動的に元に戻るようにする必要がある場合はポリシーを使用し、ユーザーが後から調整できる妥当な初期構成を提供したい場合、または一部のコンピューターやユーザーのみを対象にする場合はプリファレンスを使用します。

ポリシー ノード

[ポリシー] ノードには、[コンピューターの構成] と [ユーザーの構成] の両方に次の 3 つのサブフォルダーがあります。

• ソフトウェア設定 には、コンピューターまたはユーザーにアプリケーションを展開するために使用するソフトウェア インストール 拡張機能が保持されます。
• Windows Settings は、オペレーティング システムを構成する設定を保持します。 一般的な項目には、Scripts (コンピューターの起動とシャットダウン、 ユーザーのログオンとログオフ)、Security Settings (アカウント ポリシー、ローカル ポリシー、Windows Defender ファイアウォールなど)、Name Resolution Policy、Deployed Printers。 ユーザー 構成の下で、このフォルダーには フォルダー リダイレクトも含まれます。
• Administrative Templates には、コントロール パネル Network、System、Printers、および Windows Components。 このフォルダー内の各設定は、Windowsまたはアプリケーションの動作を制御する特定のレジストリ値に対応します。

基本設定ノード

[基本設定] ノードでは、基本設定項目が関連するグループに整理されます。

• Windows Settings には、Drive Maps、Environment などの項目が含まれます。 Files、Folders、Registry、および Shortcuts。
• コントロール パネル Settings には、Data Sources、Devices などの項目が含まれます。 Local Users and Groups, Power Options, Printers, Scheduled Tasks, および Services。

個々のポリシー設定の構造

1 つのポリシー設定は GPO の最も細かい要素ですが、各設定は単純なオン/オフ スイッチ以上です。 設定を開くと、[ プロパティ ] ダイアログ ボックスにはいくつかの要素が表示されます。

• 設定の状態 (未構成、有効、無効)。
• 設定を有効にすると使用可能になる 追加のオプションまたは値 。 たとえば、パスワードの最小長ポリシーを有効にするには、文字数を指定する必要があります。
• 設定の動作とそのオプションの相互作用を説明する 説明ヘルプ テキスト ウィンドウ。
• 設定を受け入れたオペレーティング システムのバージョンとアプリケーションを識別する情報でサポートされます。 要件を満たしていないターゲットは、設定を無視します。

ほとんどのポリシー設定はレジストリ ベースであるため、設定を有効または無効にすると、クライアントは対応する値をレジストリに書き込みます。 設定が [未構成] に戻ると、グループ ポリシーはその値を削除し、構成は既定値に戻ります。

スターター GPO とは

スターター GPO をテンプレートとして使用して、グループ ポリシー管理コンソールで他の GPO を作成することができます。 スターター GPO には、管理用テンプレートの設定のみが含まれます。 スターター GPO を起点にして、ドメインに新しい GPO を作り始めることができます。 スターター GPO には、環境のベスト プラクティスである特定の設定が既に含まれている場合があります。 スターター GPO をキャビネット (.cab) ファイルにエクスポートしてインポートし、他の環境に簡単かつ効率的に配布することができます。

Microsoft には、Windows クライアント オペレーティング システム用の事前構成されたスターター GPO が含まれています。 これらのスターター GPO には、Microsoft によってクライアント環境の構成に推奨されるベスト プラクティスが反映された管理用テンプレートの設定が含まれます。