Loading article…
グループ ポリシーは、ユーザー アカウントとコンピューター アカウントの作業環境を制御するMicrosoft Windows NTファミリーのオペレーティング システム(Windows 8.1、Windows 10、Windows 11 を含む) の機能です。グループ ポリシーは、 Active Directory環境でオペレーティング システム、アプリケーション、およびユーザーの設定を一元的に管理および構成します。グループ ポリシー構成のセットは、グループ ポリシー オブジェクト( GPO ) と呼ばれます。ローカル グループ ポリシー(LGPO または LocalGPO)と呼ばれるグループ ポリシーのバージョンでは、スタンドアロン コンピューターで Active Directory を使用せずにグループ ポリシー オブジェクトを管理できます。[1] [2]
Active Directory サーバーは、 LDAPディレクトリのクラス のオブジェクトの下にグループ ポリシーをリストすることで、グループ ポリシーを配布します。これらは、実際のグループ ポリシー オブジェクトを格納するgroupPolicyContainerファイル サーバー パス (属性 ) を参照します。通常は、Active Directory サーバーによって共有されるSMB共有 \\ domain.com \ SYSVOLに格納されます。グループ ポリシーにレジストリ設定がある場合、関連付けられたファイル共有には、クライアントが適用する必要があるレジストリ設定を含むファイルがあります。[3]gPCFileSysPathregistry.pol
ポリシー エディター (gpedit.msc) は、Windows XP/Vista/7/8/8.1/10/11 の Home バージョンでは提供されません。
手術
グループ ポリシーは、部分的には、ユーザーがコンピュータ システムで実行できる操作と実行できない操作を制御します。たとえば、グループ ポリシーを使用して、ユーザーが過度に単純なパスワードを選択できないようにするパスワードの複雑さのポリシーを適用できます。その他の例としては、リモート コンピュータの未確認のユーザーがネットワーク共有に接続することを許可または禁止したり、特定のフォルダへのアクセスをブロック/制限したりすることが挙げられます。このような構成のセットは、グループ ポリシー オブジェクト (GPO) と呼ばれます。
Microsoft のIntelliMirrorテクノロジの一部として、グループ ポリシーはユーザー サポートのコストを削減することを目的としています。IntelliMirror テクノロジは、切断されたマシンまたはローミング ユーザーの管理に関連し、ローミング ユーザー プロファイル、フォルダー リダイレクト、およびオフライン ファイルが含まれます。
執行
コンピュータのグループを集中管理するという目標を達成するには、マシンが GPO を受信して適用する必要があります。 1 台のマシンに存在する GPO は、そのコンピュータにのみ適用されます。 コンピュータのグループに GPO を適用するには、グループ ポリシーはActive Directory (またはZENworks Desktop Managementなどのサードパーティ製品) を利用して配布します。 Active Directory は、 Windows ドメインに属するコンピュータに GPO を配布できます。
デフォルトでは、Microsoft Windows のグループ ポリシーの更新時間は、ユーザーの場合は 90 分、ドメイン コントローラーの場合は 5 分と設定されており、Microsoft Windows は 5 分ごとに更新を実行します。更新中は、マシンとログオン ユーザーに適用されるすべての GPO を検出、取得、適用します。自動ソフトウェア インストール、ドライブ マッピング、スタートアップ スクリプト、ログオン スクリプトなどの設定は、スタートアップまたはユーザー ログオン時にのみ適用されます。Windows XP以降、ユーザーはコマンド プロンプトからgpupdate コマンドを使用して、グループ ポリシーの更新を手動で開始できます。[4]
グループポリシーオブジェクトは、次の順序（上から下へ）で処理されます。[5]
- ローカル- コンピュータのローカル ポリシー内の任意の設定。Windows Vista より前は、コンピュータごとに 1 つのローカル グループ ポリシーしか保存されていませんでした。Windows Vista 以降の Windows バージョンでは、ユーザー アカウントごとに個別のグループ ポリシーが許可されます。[6]
- サイト-コンピュータが存在するActive Directoryサイトに関連付けられているグループ ポリシー。(Active Directory サイトは、物理的な近接性に基づいてコンピュータの管理を容易にすることを目的とした、コンピュータの論理的なグループです。) 複数のポリシーがサイトにリンクされている場合、それらのポリシーは管理者が設定した順序で処理されます。
- ドメイン- コンピュータが存在するWindows ドメインに関連付けられているグループ ポリシー。複数のポリシーがドメインにリンクされている場合、それらは管理者が設定した順序で処理されます。
- 組織単位- コンピュータまたはユーザーが配置されているActive Directory 組織単位 (OU)に割り当てられたグループ ポリシー。 (OU は、ユーザー、コンピュータ、またはその他の Active Directory オブジェクトのグループを整理および管理するのに役立つ論理単位です。) 複数のポリシーが OU にリンクされている場合、それらのポリシーは管理者が設定した順序で処理されます。
特定のコンピュータまたはユーザーに適用されるグループポリシー設定の結果は、ポリシーの結果セット (RSoP) と呼ばれます。RSoP 情報は、gpresultコマンドを使用してコンピュータとユーザーの両方に対して表示できます。[7]
継承
階層構造内のポリシー設定は通常、親から子へ、子から孫へと受け継がれます。これを継承と呼びます。継承をブロックまたは強制することで、各レベルで適用されるポリシーを制御できます。上位レベルの管理者 (エンタープライズ管理者) が、下位レベルの管理者 (ドメイン管理者) によって継承がブロックされているポリシーを作成した場合、このポリシーは引き続き処理されます。
グループ ポリシーの基本設定が構成され、同等のグループ ポリシー設定も構成されている場合は、グループ ポリシー設定の値が優先されます。
フィルタリング
WMI フィルタリングは、適用する (WMI) フィルタを選択して GPO のスコープをカスタマイズするプロセスです。これらのフィルタを使用すると、管理者は、たとえば特定のモデルのコンピュータ、RAM、インストールされているソフトウェア、または WMI クエリ経由で利用可能なものにのみ GPO を適用できます。
ローカルグループポリシー
ローカル グループ ポリシー (LGP、または LocalGPO)は、スタンドアロンおよび非ドメイン コンピュータ用のグループ ポリシーのより基本的なバージョンであり、少なくともWindows XP以降存在し、[いつ? ]ドメイン コンピュータに適用できます。[引用が必要] Windows Vista より前は、LGP は単一のローカル コンピュータに対してグループ ポリシー オブジェクトを適用できましたが、個々のユーザーまたはグループに対してポリシーを作成することはできませんでした。Windows Vista 以降、LGP では個々のユーザーおよびグループに対してもローカル グループ ポリシーの管理が可能になりました。[1]また、"GPO パック" (グループ ポリシー コンテナーで、ポリシーを宛先マシンにインポートするために必要なファイルが含まれています) を介して、スタンドアロン マシン間でポリシーをバックアップ、インポート、およびエクスポートすることもできます。[2]
グループポリシーの設定
グループ ポリシーの基本設定は、管理者がユーザーまたはコンピューターに対して必須ではないがオプションのポリシーを設定する方法です。以前は PolicyMaker と呼ばれていたグループ ポリシー設定拡張機能のセットがあります。Microsoft は PolicyMaker を買収し、Windows Server 2008に統合しました。その後、Microsoft は、ユーザーが PolicyMaker 項目をグループ ポリシーの基本設定に移行できるようにする移行ツールをリリースしました。[8]
グループ ポリシーの基本設定では、いくつかの新しい構成項目が追加されます。これらの項目には、設定項目の適用を細かく制御するために使用できる追加のターゲット オプションもいくつかあります。
グループポリシーの基本設定は、クライアント側拡張機能（CSEとも呼ばれる）が追加されたWindows XP、Windows Server 2003、Windows Vistaのx86およびx64バージョンと互換性があります。[9] [10] [11] [12] [13] [14]
クライアント側拡張機能は、 Windows Server 2008、Windows 7、およびWindows Server 2008 R2に含まれるようになりました。
グループ ポリシー管理コンソール
当初、グループ ポリシーは、Active Directory ユーザーとコンピューターのMicrosoft 管理コンソール(MMC) スナップインに統合されたグループ ポリシー編集ツールを使用して変更されていましたが、後にグループ ポリシー管理コンソール (GPMC) と呼ばれる別の MMC スナップインに分割されました。GPMC は現在、Windows Server 2008およびWindows Server 2008 R2のユーザー コンポーネントであり、 Windows VistaおよびWindows 7のリモート サーバー管理ツールの一部としてダウンロードとして提供されています。[15] [16] [17] [18]
高度なグループポリシー管理
マイクロソフトは、グループポリシーを変更するためのツールであるAdvanced Group Policy Management [19] (別名AGPM)もリリースしました。このツールは、Microsoft Desktop Optimization Pack (別名MDOP)の ライセンスを取得したすべての組織で利用できます。この高度なツールにより、管理者はグループポリシーオブジェクトの変更に対するチェックイン/チェックアウトプロセスを実行したり、グループポリシーオブジェクトへの変更を追跡したり、グループポリシーオブジェクトへの変更に対する承認ワークフローを実装したりできます。
AGPM は、サーバーとクライアントの 2 つの部分で構成されます。サーバーは、同じコンピューターまたはネットワーク共有にあるアーカイブにグループ ポリシー オブジェクトを保存する Windows サービスです。クライアントは、グループ ポリシー管理コンソールのスナップインであり、AGPM サーバーに接続します。クライアントの構成は、グループ ポリシーを介して実行されます。
安全
グループポリシー設定は、対象となるアプリケーションによって自発的に適用されます。多くの場合、これは特定の機能のユーザーインターフェイスを無効にするだけです。[20]
あるいは、悪意のあるユーザーがアプリケーションを変更または妨害して、グループポリシー設定を正常に読み取れないようにし、潜在的に低いセキュリティのデフォルトを強制したり、任意の値を返したりすることもできます。[21]
グループポリシーのその後の強化
グループ ポリシーは、 Windows 2000での最初のリリース後に強化されました。たとえば、Windows XP では、コマンドに代わるグループ ポリシー更新という新機能が導入されましたsecedit。[22]この機能により、管理者は特定の組織単位のアカウントを持つすべてのコンピューターでグループ ポリシーの更新を強制できます。これにより、コンピューターの既定のスケジュール タスクがオーバーライドされ、gpupdate90 分以内にコマンドが実行されますが、ドメイン コントローラーの過負荷を回避するためにランダムなオフセットで調整されます。[23]
グループポリシーインフラストラクチャステータスが導入され、グループポリシーオブジェクトがドメインコントローラ間で正しく複製されていない場合に報告できるようになりました。[24]
グループポリシー結果レポートには、グループポリシーの更新時に個々のコンポーネントの実行時間を計測する新しい機能もあります。[25]
参照
参考文献
- ^ ab LLC)、Tara Meyer (Aquent (2008 年 7 月 25 日)。「複数のローカル グループ ポリシー オブジェクトを管理するためのステップ バイ ステップ ガイド」。go.microsoft.com。
- ^ ab Sigman, Jeff. 「SCM v2 ベータ版: LocalGPO は最高!」 Microsoft . 2018 年 11 月 24 日閲覧。
- ^ 「[MS-GPOD]: グループ ポリシー プロトコルの概要」。Microsoft。セクション 1.1.5 グループ ポリシー データ ストレージ。2020年 2 月 22 日閲覧。
- ^ アップデート
- ^ 「グループ ポリシーの処理と優先順位」。Microsoft Corporation。2012 年 4 月 22 日。
- ^ 「グループ ポリシー - 特定のユーザーまたはグループに適用 - Windows 7 ヘルプ フォーラム」。www.sevenforums.com。
- ^ アーカイブドキュメント (2012 年 4 月 18 日)。「Gpresult」。technet.microsoft.com。
- ^ 「グループ ポリシー基本設定移行ツール (GPPMIG)」。Microsoft。
- ^ 「Windows XP 用グループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Windows XP x64 Edition のグループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Windows Vista 用グループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Windows Vista x64 Edition のグループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Windows Server 2003 のグループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Windows Server 2003 x64 Edition のグループ ポリシー基本設定クライアント側拡張機能 (KB943729)」。Microsoft ダウンロード センター。
- ^ 「Server 2008、2008 R2、および Windows 7 に GPMC をインストールする方法 (RSAT 経由)」。2009 年 12 月 23 日。2009 年 12 月 26 日にオリジナルからアーカイブ。2010年 3 月 12 日に取得。
- ^ Windows Vista 用 Microsoft リモート サーバー管理ツール
- ^ Windows Vista for x64 ベース システム用 Microsoft リモート サーバー管理ツール
- ^ Windows 7 用リモート サーバー管理ツール
- ^ 「Windows - Microsoft Windows 10 Home & Pro OS、ラップトップ、PC、タブレットなどの公式サイト」。www.microsoft.com。
- ^ レイモンド・チェン、「シェルポリシーはセキュリティと同じではない」
- ^ Russinovich, Mark (2019-06-26) [2005-12-12]. 「制限付きユーザーとしてグループ ポリシーを回避する」. Microsoft コミュニティ ハブ. Microsoft . 2023-06-10に取得。
- ^ 「Windows 2000、XP、Vista、8、10 でグループ ポリシーの更新を強制する方法」。Help Desk Geek - 信頼できる技術専門家からの技術ヒント。2009 年 6 月 16 日。2024年 12 月 3 日閲覧。
- ^ 「Windows グループ ポリシーがすぐに有効にならない理由 - IUKB」。servicenow.iu.edu 。2024年 12 月 3 日閲覧。
- ^ 「更新: Windows 8 のグループ ポリシーの新機能」。2011 年 10 月 17 日。
- ^ 「Windows 8 グループ ポリシー パフォーマンス トラブルシューティング機能」。2012 年 1 月 23 日。
さらに読む
- 「初心者向けグループ ポリシー」。Windows 7 テクニカル ライブラリ。Microsoft。2011 年 4 月 27 日。2012年4 月 22 日に取得。
- 「グループ ポリシー管理コンソール」。Dev Center - デスクトップ。Microsoft。2012 年 2 月 3 日。2012 年4 月 22 日に取得。
- 「複数のローカル グループ ポリシー オブジェクトを管理するためのステップ バイ ステップ ガイド」。Windows Vista テクニカル ライブラリ。Microsoft。2008 年 7 月 25 日。2012年4 月 22 日に取得。
- 「グループ ポリシーの処理と優先順位」。Windows Server 2003 製品ヘルプ。Microsoft。2005 年 1 月 21 日。2012年4 月 22 日に取得。
外部リンク
Wikiversityにはグループポリシーに関する学習リソースがあります
- 公式サイト
- グループ ポリシー チームのブログ (2010-04-20 にWayback Machineにアーカイブ)
- Windows および Windows Server のグループ ポリシー設定リファレンス
- Gpupdate を強制する