グループ ポリシー オブジェクト（GPO）の優先順位を正しく設定する

Group Policy は、Microsoft Windows Server Active Directory に含まれる構成管理技術です。Windows および Windows Server の設定をきめ細かく制御する必要がある場合、Group Policy が最適な解決策です。しかし、各 Group Policy object（GPO）には、ユーザーとコンピューターの両方に対して数百もの設定が含まれることがあり、さらに、競合する可能性のある複数の GPO が、特定の Active Directory サイト、ドメイン、または組織単位（OU）にリンクされる場合があるため、Group Policy はすぐに複雑になります。

この記事では、Group Policy の優先順位（precedence）をどのように判断するかを解説します。これにより、Group Policy を正しく適用し、必要なセキュリティ ポリシーが確実に強制されるようにできます。

ローカル ポリシー

Windows の設定を一元管理できるグループ ポリシーについて説明する前に、すべての Windows デバイスにはローカル ポリシーがあることを知っておくとよいでしょう。ローカル ポリシーは常に、グループ ポリシー オブジェクト内の設定によって上書きされます。したがって一般的に、ローカル ポリシーは Active Directory ドメインに参加していないデバイスの設定 の構成にのみ使用してください。

Active Directory のグループ ポリシー

グループ ポリシー オブジェクトは、コンピューターやユーザーに適用する前に、Active Directory のサイト、ドメイン、または OU にリンクしておく必要があります。GPO はリンクされているオブジェクトと、その配下にあるすべての子オブジェクトに適用されます。たとえば、サイトにリンクされた GPO は、そのサイトのドメインおよび OU にあるオブジェクトにも適用されます。組織単位にリンクされた GPO は、その OU 内のすべてのオブジェクトと、任意の子 OU に適用されます。

GPO を表示または編集するには、Group Policy Management コンソール（GPMC）を、サーバー マネージャー（Server Manager）の [Tools] メニューから使用します。グループ ポリシー オブジェクトの設定はローカル ポリシーと同じように整理されていますが、さらに「Group Policy Preferences（グループ ポリシーの基本設定）」という追加カテゴリがあり、管理者がユーザーの環境をカスタマイズできる追加設定が用意されています。

サイトへのグループポリシーの適用

GPO をサイトにリンクすると、その GPO の設定はそのサイト内のすべてのオブジェクトに適用されます。これらのオブジェクトは、GPO の管理スコープ（管理範囲）に入ると言われます。特定のサイトには複数の GPO をリンクでき、その GPO どうしで設定が競合する可能性もあります。この場合は、どの設定が適用されるのかを理解する必要があります。たとえば、同じ設定が、あるサイトにリンクされている 2 つ以上の GPO でそれぞれ異なるように構成されている場合、どの GPO が優先されるのでしょうか？答えは、Link Order（リンク順序）番号が最も小さい GPO です。Link Order 番号は、グループ ポリシーの優先順位を示し、グループ ポリシーの処理順序を制御します。

サイトに対する GPO の Link Order（リンク順序）番号を確認するには、GPMC を開き、Active Directory ドメインを展開します。次に、以下の手順を実行してください：

手順 #1. Sites を右クリックして Show Sites…

ステップ #2. Show Sites ダイアログで、GPMC に表示したいサイトを選択し、クリック OK します。

ステップ #3. GPMC で Sites を展開します。Active Directory で構成したすべてのサイトが表示されます。デフォルトのサイト名は Default-First-Site-Name です（ただし、名前を変更することも可能です）。

ステップ #4. 対象のサイトの 1 つをクリックします。

図 1. リンク順序の確認。

ステップ #5. Linked Group Policy Objects タブの下に、このサイトにリンクされている GPO の一覧が表示されます。リンクされている GPO がない場合もあります。リンクされている GPO がある場合は、それらの Link Order 番号が表示され、優先順位の順序を示します。番号が大きいほど、その GPO の優先順位は低くなります。たとえば、Link Order 番号が 2 の GPO の設定は、Link Order 番号が 3 の GPO の設定より常に優先されます。

ステップ #6。GPO の Link Order（リンク順序）番号を変更するには、GPO をクリックし、左側の上下矢印を使ってリスト内の目的の位置に移動します。

ドメインおよび組織単位に Group Policy を適用する

GPO は、サイトにリンクできるのと同じ方法で、ドメインや OU（組織単位）にもリンクできます。デフォルトのドメイン ポリシーは、既定で各ドメインにリンクされます。組織単位にリンクされた GPO は最も高い優先順位を持ち、その次にドメインにリンクされた GPO が続きます。サイトにリンクされた GPO は常に最も低い優先順位になります。

ドメインまたは OU にどの GPO がリンクされているかを確認するには、GPMC でドメインまたは OU をクリックし、Linked Group Policy Objects タブを選択します。より広い範囲で表示するには、Group Policy Inheritance タブを選択してください。これにより、親ドメインおよび親 OU にリンクされている GPO も表示されます。優先順位番号が小さい GPO は最後に処理され、番号が大きい GPO よりも優先されます。

図 2. ドメインまたは OU にリンクされた GPO の優先順位を確認します。

サイトにリンクされた GPO も、そのサイトの子オブジェクトに適用され、処理順序の一部として適用されることを忘れないでください。ただし、GPMC は特定の時点でどのユーザーやコンピューター オブジェクトが指定した AD サイトに存在するかを把握できないため、サイトにリンクされた GPO は「グループ ポリシーの継承（Group Policy Inheritance）」タブには表示されません。