GPO ループバックとセキュリティ フィルタリングの説明

デフォルトから開始 — 認証されたユーザー

すぐに使えるすべての新しい GPO には、認証済みユーザー という 1 つのセキュリティ フィルターがあり、読み取り と グループ ポリシーの適用 の両方のアクセス許可を保持します。このグループは思ったよりも広く、サインインしているすべてのユーザーとすべてのドメイン コンピューター アカウントが含まれます。これが、新しい GPO が、リンクされている OU 内のすべてのユーザーに対して「適切に機能する」理由です。グループ ポリシー管理コンソールでフィルタを確認できます。GPO を選択し、[スコープ] タブの [セキュリティ フィルタリング] ボックスを確認します。このビデオのすべては、そのデフォルトに対する意図的な変更であり、すべての驚きはそこから始まります。

ループバック処理をオンにする

ループバック処理はコンピュータの設定です。コンピューターを保持している OU にリンクされている GPO を編集し、コンピューターの構成 → ポリシー → 管理用テンプレート → システム → グループ ポリシー に移動します。 ユーザー グループ ポリシー ループバック処理モードの構成 を開き、有効 に設定します。その瞬間から、これらの PC にログオンするユーザーの設定は、ユーザー自身の OU のみではなく、コンピューターの OU にリンクされた GPO から取得されます。ループバックはコンピュータのポリシーの半分を変更することはありません。コンピュータの設定は常に通常どおりに処理されます。

結合モードまたは置換モードを選択します

同じ設定でモードが要求され、選択によってすべてが変わります。 置換 では、ユーザー自身のユーザー側 GPO が完全にスキップされます。コンピューターの GPO のユーザー設定のみが適用されます。これはキオスク、教室、RDS サーバーのモードであり、マシンは完全に全員に 1 つの同一の制御された環境を提供する必要があります。 マージ では、最初にユーザー自身の GPO が適用され、次にコンピュータのユーザー設定がその上に適用され、コンピュータの設定が競合に優先します。 Merge は、ユーザーが通常のポリシーのほとんどを維持するが、マシンのルールが最終決定を行う必要がある通常の PC に適合します。

セキュリティ フィルタリングで GPO を狙う

セキュリティ フィルタリングは、GPO が OU 内の全員に送信されるのを阻止する方法です。コンソールで GPO を選択し、スコープ タブを開き、セキュリティ フィルタリング セクションで認証されたユーザー を削除し、ポリシーを受け取る必要があるグループのみを追加します。 GPO を受信するには、アカウントにグループ ポリシーの読み取りと適用の両方が必要です。2 つのうち 1 つだけの場合、GPO はダウンロードされないか、一覧表示されてもスキップされます。フィルタリングは、OU 間で 1 つのアカウントを移動せずに、最初に 1 つの小さなグループに対して新しいポリシーを試験運用したり、単一の部門を対象にしたりするための標準的な方法です。

コンピュータの読み取り権限を維持する (MS16-072)

これは、2016 年 6 月以来、管理者を悩ませてきた罠です。MS16-072 セキュリティ アップデートにより、グループ ポリシーの取得方法が変更されました。コンピュータ アカウント は、コンピュータ独自のセキュリティ コンテキストでドメイン コントローラからユーザー GPO を取得するようになりました。したがって、コンピューターは、コンピューターがメンバーではないグループにフィルターされたユーザー GPO を含め、取得するすべての GPO に対する読み取り アクセス許可を保持する必要があります。前の手順で認証されたユーザーを削除した場合は、GPO の委任 タブを開き、追加 をクリックして、認証されたユーザー (またはドメイン コンピューター) に読み取り アクセス許可のみを与えます。マシンが必要とするのは読み取りだけです。ターゲットグループに宿泊を申し込みます。

ループバックとフィルタリングが融合するとき

2 つのコントロールは相互作用し、その相互作用は経験豊富な管理者でも理解できます。ループバックによって配信されるユーザー設定は、コンピューターの OU にリンクされた GPO 内に残りますが、 依然としてユーザー設定であるため、キーボードを操作する人は引き続きその GPO にグループ ポリシーを適用する必要があり、コンピューターは引き続きその GPO を読み取る必要があります。ループバック GPO のフィルターをコンピューター グループのみに絞り込むと、コンピューターは律儀に、そのユーザー設定を適用することが許可されている GPO を取得します。これは、何も配信せずに完全に構​​成されたキオスク GPO です。ポリシー自体を非難する前に、権限ペアの両方の半分を確認してください。

gpresult で証明する

推測ではなく、検証してください。影響を受ける PC の影響を受けるユーザーのセッションで、コマンド プロンプトを開き、ビデオの証拠コマンドを実行します。

gpresult /h report.html

生成された report.html を開いて、判定を読みます。適用された GPO が一番上にリストされ、拒否されたすべての GPO にはその理由が示されます。拒否 (セキュリティ) はフィルタリングの決定を意味し、拒否 (アクセス不能) はフェッチまたはアクセス許可の失敗を意味し、拒否 (空) は GPO の半分に単純に設定がないことを意味します。ループバックが機能している場合、フィンガープリントは紛れもなく、ユーザー設定を提供する GPO はコンピューターの OU からのものです。スコープ、フィルター、ループバックの順に証拠を調べれば、ほとんどの「GPO が適用されない」ケースはそれ自体で説明がつきます。