Windows Server のトップ 10 GPO
Windows Server オフィスの上位 10 のグループ ポリシー (パスワード ポリシー、画面ロック、USB ブロック、ドライブ マッピング、プリンター、更新プログラム、フォルダー リダイレクト、AppLocker、監査、ローカル管理者制御) をそれぞれ簡単な言葉で説明します。
📑章
- 新しいドメインに最初にこれら 10 個のポリシーが必要な理由
- パスワード ポリシー — ドメイン全体に対する 1 つのルール
- 画面ロック — 無人の PC は自動的にロックされます
- USB ブロック — ペンドライブがドアではなくなる
- ドライブ マッピング — サーバー共有は単独で表示されます
- プリンタ — PC に触れる必要のないオフィス プリンタ
- アップデート — Windows アップデートはスケジュールに従って行われます
- フォルダーのリダイレクト — ドキュメントは PC ではなくサーバー上に存在します
- AppLocker — 承認されたプログラムのみが実行されます
- 監査 — 誰がログインし、誰が失敗したかを記録する
- ローカル管理者制御 — 自分の PC では管理者になる人はほとんどいません
- 全員に展開する前にパイロット OU でテストする
📋 概要とステップバイステップガイド
最初にグループ ポリシー管理を開く
10 個のポリシーはすべて、グループ ポリシー管理コンソールという 1 つのコンソールに構築されています。 [ファイル名を指定して実行] ボックスを開き、以下のコマンドを入力して Enter キーを押します。リスト全体の動作ルールはジョブごとに 1 つの GPO です で、それぞれに Block-USB-Storage や Screen-Lock-10-Min などのわかりやすい名前が付けられています。個別のポリシーは単独でテスト、無効化、ロールバック、フィルタリングできますが、1 つの巨大な GPO は巨大な GPO として失敗します。
gpmc.mscパスワード ポリシー - ドメイン全体に 1 つのルール
パス:コンピュータの構成 → ポリシー → Windows の設定 → セキュリティ設定 → アカウント ポリシー → パスワード ポリシー。通常はデフォルト ドメイン ポリシーで編集します。人が実際に覚えられる最小の長さを設定します。拍子に複雑さを伴う 12 文字、毎月変更される 8 文字です。 Microsoft 独自の最新のガイダンスでは、ユーザーが予測可能なパターンで回答するため、頻繁な有効期限の強制は廃止されました。長さと賢明なアカウント ロックアウト ポリシーを組み合わせるのが正直な組み合わせです。
画面ロック - 無人の PC が自動的にロックされる
パス: ユーザー構成 → ポリシー → 管理用テンプレート → コントロール パネル → 個人用設定 — スクリーン セーバーを有効にし、タイムアウトを設定し、スクリーン セーバーのパスワード保護 をオンにします。コンピュータ側のツインである [セキュリティ オプション] の対話型ログオン: マシンの非アクティブ制限 は、マシンごとに同じジョブを実行します。オフィスのベストスポットは 10 分です。アカウントまたは人事としてサインインしたロックが解除された PC から誰かが立ち去ると、通り過ぎる人が突然その人になります。このポリシーは、建物内の最も安価なセキュリティ ホールを塞ぎます。
USB ストレージ コントロール — ペン ドライブはドアではなくなります
パス:コンピュータの構成 → ポリシー → 管理用テンプレート → システム → リムーバブル ストレージ アクセス。デバイス クラスごとに読み取り、書き込み、または実行を拒否したり、1 つの設定ですべてのリムーバブル ストレージを拒否したりできます。オフィスの理由はデータです。1 つのペン ドライブで顧客データベース全体が建物の外に持ち出されたり、ウイルスが持ち込まれたりする可能性があります。
ドライブ マッピング — サーバー共有が自動的に表示されます
パス:[ユーザー構成] → [環境設定] → [Windows 設定] → [ドライブ マップ]。これはグループ ポリシーの設定であり、従来のポリシーではありません。共有にドライブ文字を指定し、アクション (作成または更新) を選択し、アカウントが営業では取得できないドライブを取得する必要がある場合は項目レベルのターゲット設定を使用します。このポリシーにより、IT 部門で最も古いスクリプト (ログオン バッチ ファイル) と、毎日の「サーバー ドライブが消えた」という呼び出しが廃止されます。赤い十字が表示されているマップされたドライブは、マッピングの謎ではなく、ネットワークまたはアクセス許可の問題であることがすぐに判読可能になります。
プリンターの導入 — PC に触れることなくオフィス プリンターを導入
パス:設定 → コントロール パネル設定 → プリンター (または印刷管理から展開)。ユーザーがサインインすると、プリント サーバーから適切なドライバーが提供され、オフィスのプリンターがすぐにそこに存在します。 OU またはグループごとにプリンターをターゲットにして、3 階から 1 階への印刷を停止します。
Windows Update コントロール — アップデートはスケジュールに従って行われます
パス:コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → Windows Update。主な設定: 自動更新の構成、ログオンしているユーザーでの自動再起動なし、インストール期限、および (オフィスで WSUS を使用している場合は) イントラネット更新サーバーの場所。延期設定を使用すると、パイロット グループが最初に更新を取得し、残りのオフィスが数日後に更新を取得できます。ジョブについて明確にしてください。このポリシーは、更新が行われるかどうかではなくタイミングを制御します。営業時間外のインストール時間枠と再起動期限を設定すると、ユーザーはすぐに更新が退屈になることがわかります。これはまさにあなたが望んでいることです。
フォルダーのリダイレクト — ドキュメントは PC ではなくサーバー上に存在します
パス:ユーザー構成 → ポリシー → Windows 設定 → フォルダー リダイレクト。ドキュメント、デスクトップ、およびピクチャは、ローカル ディスクではなくファイル サーバー上のフォルダーを静かにポイントします。その代償は最悪の日に現れます。PC が故障し、ユーザーが他の PC にサインインすると、ファイルはすでにそこに存在し、サーバーのコピーは通常のバックアップ内に保存されます。
AppLocker — 承認されたプログラムのみが実行されます
パス:コンピューターの構成 → Windows の設定 → セキュリティの設定 → アプリケーション制御ポリシー → AppLocker、または同じ領域にある古いソフトウェア制限ポリシー。この考え方はホワイトリストです。Windows、Program Files、および管理者が承認したアプリは実行できます。ユーザーが自分のプロファイルにダウンロードしたものは何でも構いません。これはリストの中で最も強力なアイテムであり、最も敬意を払う必要があるアイテムです。
監査ログ - 誰がサインインしたか、誰がサインインに失敗したかを記録します
パス:コンピュータの構成 → ポリシー → Windows 設定 → セキュリティ設定 → 詳細監査ポリシー構成。少なくとも、ドメイン コントローラーとメンバー サーバーでのログオンの成功と失敗を監査します。監査は、インシデント後にすべてのオフィスが抱く質問、つまり誰のアカウントが、どの PC から、いつ使用されたのかという質問に答えます。
ローカル管理者制御 - 自分の PC では管理者になる人はほとんどいません
パス:[設定] → [コントロール パネルの設定] → [ローカル ユーザーとグループ] で、すべての PC の管理者グループをクリーンアップできます。つまり、不要なユーザー アカウントを削除し、IT サポート グループを維持します。これに付随するものはWindows LAPS で、すべての PC に固有の自動的に更新されるローカル管理者パスワードが付与され、Active Directory に安全に保存されます。日常的な作業には管理者権限は必要ありません。マルウェアはそれらを継承します。永続的な管理者権限を削除し、IT 部門がローカル パスワードを必要とする日だけ LAPS を保持します。通常のオフィスで発生するインシデントの半分は決して発生しません。ただし、展開前にテスト済みの非常事態ルートを 1 つ保持します。
テスト PC での適用、更新、検証
新しい GPO をテスト OU にリンクし、テスト クライアントでポリシーの更新を強制し、他の人が結果を受け取る前に結果を証明します。最初のコマンドは、次の更新サイクルを待たずに、すぐにポリシーを適用します。 2 つ目は、どの GPO が適用され、どの GPO が拒否され、その理由を正確にリストしたレポートを作成します。
gpupdate /forcegpresult /h report.html🏷️トピック検索変数とキーワード
🎙️ 全文転写 — タップして展開します
__TOK_35__
__TOK_36__
__TOK_37__
❓ よくある質問
このチュートリアルは完全に無料で実行できますか?
__TOK_38__
初心者でもこのガイドに従うことができますか?
__TOK_39__
行き詰まった場合はどこに質問すればよいですか?
__TOK_40__