Active Directory GPO の完全なチュートリアル ⚡ ユーザーとコンピューターのポリシーの説明

GPO とは実際には何ですか

GPO は単に名前付きの設定のバンドルです。それ自体は何もしません。この機能は、サイト、ドメイン、または組織単位 (OU) などのコンテナにリンクした場合にのみ機能し始め、その後、そのコンテナ内のユーザーまたはコンピュータ アカウントに適用されます。

これから 2 つの事実が導き出されます。まず、GPO の編集と GPO のリンクは 2 つの別個の作業です。完全に構成された GPO がどこにもリンクされていない場合は、何も変わりません。 2 つ目は、1 つの GPO を複数の OU にリンクでき、1 つの OU が多数の GPO を受け取ることができます。

このチュートリアルのすべては 1 つのコンソール (グループ ポリシー管理コンソール) で行われます。ドメイン コントローラー、または RSAT ツールがインストールされている任意の PC で、[実行] ボックスからファイルを開きます。

gpmc.msc

コンピュータ ポリシーとユーザー ポリシー — 両陣営

任意の GPO を開くと、コンピューターの構成 と ユーザーの構成 という同じ 2 つのセクションが表示されます。これらは 1 つのリストの 2 つのビューではなく、異なる設定を持つ 2 つの異なるツールボックスであり、異なる時点で異なるアカウントに適用されます。

コンピュータの構成はコンピュータ アカウントに適用されます。これは、PC の起動時に、誰かがログオンする前に処理されます。マシンのソフトウェアのインストール、起動スクリプト、USB ブロック、Windows Update の動作、およびセキュリティ設定がここに存在します。

ユーザー設定はユーザー アカウントに適用されます。ユーザーが任意の PC にログオンすると処理されます。壁紙、ドライブ マッピング、フォルダー リダイレクト、ログオン スクリプト、コントロール パネルの制限がここに存在します。

どこにリンクするかで誰がそれを入手できるかが決まります

GPO は、サイト (物理的なオフィスの場所)、ドメイン (全員)、OU (1 つの部門またはグループ) の 3 つのレベルでリンクします。中小規模のオフィスでは、アカウントを最初に OU (オフィス PC 用、スタッフ ユーザー用、ラップトップ用など) に整理するため、ほとんどすべてのリンクが OU レベルで行われます。

デフォルトで存在する 2 つの GPO、デフォルト ドメイン ポリシー (パスワードとアカウント ルール) とデフォルト ドメイン コントローラ ポリシー は、ほとんどそのままにしておくのが最善です。独自の設定用に独自の GPO を作成すると、デフォルトを変更せずに GPO をオフにできます。

最初の GPO を作成、構成、リンクする

gpmc.msc で、グループ ポリシー オブジェクト を右クリックし、→ 新規 を選択し、Block-USB-Drives など、機能を表す名前を付けます。正直に言うと、名前を付けることは重要です。6 か月後にはオフィスに 40 個の GPO があり、「新しい GPO」や「test2」などの名前では何も分かりません。日付ではなく、職務に基づいた名前です。

新しい GPO を右クリックし、[編集] をクリックします。エディターが開き、2 つの部分が表示されます。正しい半分で設定を構成し、エディタを閉じます。

GPMC に戻り、ターゲット OU を右クリック → 既存の GPO をリンク → GPO を選択します。クライアント PC で、再起動するか (コンピューター設定の場合)、ログオフしてから再度オンにします (ユーザー設定の場合)。または、次の手順のコマンドを使用して強制的に更新します。

強制して証明する — gpupdate と gpresult

ポリシーはおよそ 90 分 ごとに (ランダムなオフセットあり) 自動的に更新されますが、それをゆっくりとテストする人はいません。クライアント PC でコマンド プロンプトを開き、次のコマンドを実行します。

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force は、すべてのポリシーを今すぐ再適用します。一部の設定では、依然として再起動 (コンピューター設定、ソフトウェアのインストール) または新たなログオン (ユーザー設定) が必要です。/force は物理をスキップできません。

gpresult /r はレシートです。どの GPO がコンピューターとユーザーに適用され、どの GPO が除外されたのか、およびその理由が正確にリストされます。読みやすいレポートを作成するために、gpresult /h report.html は、すべての有効な設定とその設定がどの GPO からのものかを示す HTML ページを作成します。 GPO を希望で判断しないでください。ポリシーが「機能しない」場合は、最初に gpresult /r を実行する必要があります。