グループ ポリシー管理の概要
グループ ポリシー は、Microsoft Windows オペレーティング システムの機能で、管理者が Active Directory 環境におけるユーザーとコンピューターを管理し、保護するのに役立ちます。 グループ ポリシーの設定 はグループ ポリシー オブジェクト（GPO）にまとめられ、GPO のスコープ内にあるコンピューターおよびユーザー オブジェクトに適用されます。
たとえば、グループ ポリシー オブジェクト（Group Policy objects）を使用して次を管理できます。:
- 設定， たとえばデスクトップ設定、スタートアップ スクリプト、およびログオン/ログオフ スクリプト
- セキュリティ， Active Directory（AD） を含む パスワード ポリシー、アカウントのロックアウト ポリシー、およびファイアウォール設定
- アクセス 共有フォルダー、プリンター、アプリケーションなどのネットワーク リソースへの
- ソフトウェアの展開 、選択したコンピューターへのソフトウェアのインストールや、パッチおよびアップデートのスケジュール設定を含みます。
本ガイドでは グループ ポリシー管理 の主要な要素を説明します。
グループ ポリシー管理ツール
GPO を管理するには、管理者は Group Policy Management Console（GPMC）を使用します。このドメインのグループ ポリシー エディターは、Windows Server Manager の［ツール］メニューから開くことができます。
グループ ポリシー管理コンソールの左ペインで「Group Policy Objects」コンテナーをクリックすると、ドメイン内のすべての GPO を表示できます。以下では、AD ドメイン ad.contoso.com には GPO が 1 つしかないことが分かります。Default Domain Policy:
グループ ポリシー管理コンソールには、ここに示すようにグループ ポリシー エディターが含まれています。:
グループ ポリシー設定の種類
以下のスクリーンショットの左側のパネルには、GPO 内の設定の種類が示されています：
ご覧のとおり、主なカテゴリは2つあります。 コンピューターの構成 と ユーザーの構成。
それぞれに ポリシー（Policies） と プリファレンス（Preferences）があり、展開して次を設定できます：
- ソフトウェアの設定
- Windows の設定
- 管理用テンプレート
グループ ポリシー管理を改善する
ポリシーと優先設定
ポリシーと優先設定のどちらも、Active Directory のコンピューターおよびユーザー オブジェクトの設定を管理するために使用できます。主な違いは次のとおりです。
- ポリシー(Policies) ユーザーは変更できません。したがって、セキュリティや規制のコンプライアンスに関連する設定は、ポリシーで行う必要があります。例として、パスワード ポリシー、アカウント ロックアウト ポリシー、ファイアウォール ポリシー、ソフトウェア制限ポリシーなどがあります。
- 設定(Preferences) ユーザーが変更できるため、ユーザー エクスペリエンスや環境設定の目的に限って使用する必要があります。たとえば、標準的なセットとしてマップされたネットワーク ドライブ、プリンター、デスクトップ ショートカットを用意することはできますが、Preferences を通じてそれらを設定することで、ユーザーは自分のニーズに合わせて調整できるようになります。
Windows Server に Group Policy Management Console をインストールする
Windows Server に Group Policy Management Console をインストールするには、次の手順を実行します。
- スタート メニューをクリックし、Server Manager を選択して Server Manager を起動します。
- サーバー マネージャーで、上部メニューの Manage をクリックし、次に Add Roles and Features を選択します。
- Role-based or feature-based installation を選択し、Next をクリックします。
- GPMC をインストールするサーバーを選択し、Next をクリックします。
- 「サーバーの役割の選択」ページで Next をクリックします。役割を追加しないためです。
- 下にスクロールして「Group Policy Management」を見つけ、その横のチェックボックスをオンにします。
- インストールが完了したら、確認メッセージが表示されるたびに「次へ」をクリックします。ウィザードを終了するには「閉じる」をクリックします。
Windows にグループ ポリシー管理コンソールをインストールする
Windows 10 のバージョン 1809 以降を使用している場合は、設定アプリを使って GPMC をインストールできます：
- WIN+I を押して設定を開きます。
- 「オプション機能」を検索します。
- クリック + 機能を追加。
- クリック RSAT: Group Policy Management Tools を選択してから、インストール をクリックします。
古いバージョンの Windows を使用している場合は、Microsoft の Web サイトから正しい RSAT のバージョンをダウンロードする必要があります。
GPO の作成方法
新しいグループ ポリシー オブジェクトを作成するには：
• サーバー マネージャー（Server Manager）を開き、右上隅の Tools をクリックしてから Group Policy Management をドロップダウン メニューから選択します。
- グループ ポリシー管理コンソールで、GPO をリンクしたいフォレストとドメインを展開します。
- GPO をリンクしたい OU、ドメイン、またはサイトを右クリックし、対応する Create オプション（例：Create a GPO in this domain, and Link it here…
• 新しい GPO にわかりやすい名前を入力し、OK をクリックします。
GPO の編集方法
Group Policy Management Console でグループ ポリシーを編集するには、次の手順に従ってください：
- GPO が属するフォレストとドメインを展開します。
- GPO がリンクされている OU、ドメイン、またはサイトへ移動します。
- 編集したい GPO を右クリックし、Edit を選択します。
- Group Policy Management Editor で目的のポリシー設定をダブルクリックし、要件に応じて変更します。
コンピューター設定は Windows の起動時に適用され、ユーザー設定はユーザーがログインしたときに使用されます。グループ ポリシーのバックグラウンド処理は、GPO が変更された場合に設定を定期的に適用します。
GPO をリンクする方法
有効にするには、GPO を少なくとも 1 つの Active Directory コンテナー（OU、ドメイン、またはサイトなど）にリンクする必要があります。GPO をリンクするには、次の手順を実行します：
- グループ ポリシー管理コンソールで、GPO をリンクしたいフォレストとドメインを展開します。
- GPO をリンクしたい OU、ドメイン、またはサイトを右クリックし、Link an Existing GPO を選択します。
• 利用可能な GPO の一覧から、リンクしたい GPO を選択してから OK をクリックします。
GPO リンクを有効または無効にする方法
GPO リンクが無効になっている場合、その設定はリンク先のコンテナー内のオブジェクトには適用されません。GPO リンクを有効または無効にする方法は次のとおりです：
- グループ ポリシー管理コンソールで、リンクされた GPO が属している Active Directory フォレストとドメインを展開します。
- GPO がリンクされているコンテナーを展開し、GPO を右クリックします。
- コンテキスト メニューで Link Enabled をオンにしてリンクを有効化するか、オフにしてリンクを無効化します。
GPO 設定をインポートする方法
バックアップ GPO またはテンプレート ファイルから設定をインポートすることで、GPO を構成できます。手順は次のとおりです：
- グループ ポリシー管理コンソールで、設定をインポートしたい GPO がある OU、ドメイン、またはサイトへ移動します。
- 対象の GPO を右クリックし、Import Settings…
- 目的の GPO 設定が含まれているバックアップまたはテンプレート ファイル（.admx または .adml）を選択し、クリック 開く。
- バックアップの場所には複数の GPO が含まれる場合があるため、設定をインポートしたい GPO を選択してください。
- 「次へ」を 2 回クリックし、概要を確認してから 「完了」 をクリックしてインポート処理を完了します。
GPO の継承と優先順位
グループ ポリシーの継承と優先順位によって、グループ ポリシー オブジェクトがオブジェクトに適用される方法が決まります。
継承
グループ ポリシーの継承は、AD ドメインと OU の階層構造に従います。ドメイン レベルのポリシーは、ドメイン内のすべてのオブジェクト（ユーザー、コンピューター、グループ）に適用されます。OU レベルのポリシーは、特定の OU 内のオブジェクトに適用されます。階層の上位で適用されたポリシーは子オブジェクトに継承されるため、ドメイン レベルの GPO はドメイン内のすべての OU に継承され、OU にリンクされたポリシーは、その OU の下にネストされたすべてのサブ OU に継承されます。
ただし、サイト、ドメイン、または OU で Block Inheritance の設定を使用すると、親オブジェクトにリンクされた GPO が子オブジェクトに適用されないようにすることができます。個々の GPO に Enforced フラグを設定すると、Block Inheritance の設定は上書きされます。
親オブジェクトからオブジェクトが継承する GPO を表示するには、GPMC でオブジェクトをクリックし、[Group Policy Inheritance] タブに移動します。
優先順位
特定のドメイン、サイト、または OU には複数の GPO をリンクできます。また、それらのポリシーには競合する設定が含まれている可能性があります。 グループポリシーの優先順位 GPO が適用される順序を制御するため、どの設定が有効になるかが決まります。シーケンスの中で後から適用される GPO ほど、優先順位が高くなります。
ポリシーが適用される順序は次のとおりです:
- ローカル グループ ポリシー
- サイト レベルの GPO
- ドメイン レベルの GPO
- OU（組織単位）レベルの GPO
オブジェクトにリンクされている GPO を表示するには、GPMC でそのオブジェクトをクリックし、「Linked Group Policy Objects」タブに移動します。Link Order の数値が大きい GPO は、数値が小さい GPO より優先されます。GPO をクリックし、左側の矢印を使って上下に移動することで、リンク順序番号を変更できます。
グループ ポリシーの拡張性
追加機能の統合、カスタム設定、またはサードパーティ製コンポーネントを組み込むことで、グループ ポリシーの機能を拡張できます。グループ ポリシーの拡張性には、いくつかの側面があります：
- 管理用テンプレート （.admx ファイル）— 管理者は、追加の設定を管理したり、カスタム ポリシーを構成したりするために、カスタム テンプレートを作成できます。
- カスタム グループ ポリシーの優先設定 — XML ファイルまたはスクリプトを使用して、カスタムの優先設定（Preference）項目を作成できます。これにより、クライアント コンピューター上のマップされたドライブ、プリンター、レジストリ設定、ファイル、ショートカットなどを管理できます。
- グループ ポリシー クライアント側拡張（CSE） — 追加の設定、ポリシー、または管理タスクを加えるために、カスタムの CSE を作成できます。
- グループ ポリシー フィルターおよび WMI フィルター — 特定の条件（ユーザーやコンピューターの属性など）に基づいて、グループ ポリシーの設定を対象にするためのフィルターを作成できます。
- サードパーティのグループ ポリシー ツール — サードパーティのソリューションは、追加の管理機能、レポート機能、監査ツール、ポリシー テンプレートを提供します。
GPO のバックアップ
誤って削除された場合や悪意のある削除、破損、または誤った構成に備えて、GPOを定期的にバックアップし、直近のコピーが手元にある状態を保ってください。重要な変更を行った後、またはグループ ポリシー（Group Policy）設定に影響を与えうるメンテナンス作業を実施する前にも、GPOをバックアップすることをおすすめします。
GPOのバックアップを保存するための一元的な保管場所を設け、容易なアクセスと管理を可能にしてください。検索や復旧をしやすくするために、バックアップファイルをドメイン、日付、または目的ごとに整理することを検討します。バックアップのバージョンや関連する変更内容を特定するために、説明的な命名規則またはメタデータを使用してください。時間の経過に伴う GPO の変更を追跡するためにバージョン管理の運用を導入し、バックアップ履歴を維持してください。
グループ ポリシー（Group Policy）設定の変更をモデル化する
グループ ポリシー モデリング（Group Policy Modeling）は GPMC の機能で、Active Directory 環境において、グループ ポリシー設定がユーザーやコンピューターに対してどのように動作するかを管理者がシミュレーションできるようにします。これにより、特定のグループ ポリシー設定を実装することなく、その適用結果を予測する手段が提供されます。
高度なグループ ポリシー管理
Advanced Group Policy Management (AGPM) は、Microsoft Desktop Optimization Pack (MDOP) のコンポーネントであり、Group Policy オブジェクトの管理、委任、バージョン管理、および監査を強化します。
GPMC とは異なり、AGPM はクライアント/サーバー アプリケーションです。サーバー コンポーネントは GPO とその履歴をオフラインで保存します。AGPM によって管理される GPO は controlled GPO と呼ばれます。管理者は、GitHub やドキュメント管理システムでファイルやコードを扱うのと同様に、これらをチェックイン／チェックアウトできます。
AGPM は GPMC よりも GPO に対してより高度な制御を提供します。バージョン管理に加えて、Group Policy 管理者に Reviewer、Editor、Approver などのロールを割り当てることができます。これにより、GPO のライフサイクル全体にわたって厳格な変更管理を行いやすくなります。AGPM の監査（auditing）により、Group Policy の変更内容についてより深い理解も得られます。
Netwrix が支援できること
Netwrix Auditor 従来の Group Policy 管理を、セキュリティとコンプライアンスを向上させる強化された可視性、監査（auditing）、変更管理（change control）およびレポート機能によって拡張します。たとえば、管理者は「何が変更されたのか」「誰が変更したのか」「その操作がいつ発生したのか」について詳細な把握ができます。直感的なインターフェースから、さまざまなバージョンの GPO を簡単に比較し、特定の変更を特定することができ、さらに不要な変更をロールバックすることも可能です。
この強化された透明性により、管理者は Group Policy の設定が組織のポリシー、安全基準、および規制要件と確実に一致していることを担保できます。Netwrix Auditor を Group Policy の管理戦略に統合することで、組織はより安全で準拠性の高く、効率的に管理された IT インフラを実現できます。
よくある質問
Active Directory の Group Policy 管理とは何ですか？
Group Policy は Active Directory の機能であり、管理者がユーザーやコンピューターの構成設定を制御できるようにします。Group Policy の管理とは、セキュリティの強制、ソフトウェアの配布、デスクトップの構成管理などを目的として、Group Policy 設定を作成し維持していくプロセスです。
Group Policy Management Console はどのように開きますか？
Active Directory のグループ ポリシー管理コンソールを開くには：
- キーボードの Windows キー + R を押します。
- 表示された［ファイル名を指定して実行］ダイアログ ボックスで gpmc. msc を入力し、Enter を押すか、OK をクリックします。
グループ ポリシー管理コンソールをインストールするにはどうすればよいですか？
Windows Server に GPMC をインストールするには、次の手順を実行します：
- サーバー マネージャーを起動します。通常はタスクバーにあります。または、[スタート] メニューから見つけることもできます。
- サーバー マネージャーで、右上の Manageをクリックし、次に Add Roles and Features を選択します。
- 「開始する前に」の画面で Next をクリックします。
- 「インストールの種類の選択」画面で Role-based or feature-based installation を選択してから Next をクリックします。
- GPMC 機能をインストールするサーバーを選択し、Nextをクリックします。
- 「機能の選択」画面で、 Group Policy Management の横のチェックボックスをオンにします。次に Next をクリックします。
- 選択内容を確認して、Install をクリックします。
- インストール処理が完了するまで待ちます。確認メッセージが表示されたら、Server Manager を閉じてください。
どのユーザーが、グループ ポリシー管理タスクを実行するための権限を自動的に付与されますか？
Group Policy Creator Owners グループは、Active Directory フォレストを作成すると自動的に作成されます。このグループのメンバーは、ドメイン レベルで Group Policy オブジェクトを作成、編集、および管理できます。このグループは、管理者が完全な管理者特権を付与せずに Group Policy の制御を委任したい場合に、通常使用されます。既定では、このグループのメンバーはドメイン管理者のみです。
共有する
もっと詳しく
著者について
Russell Smith
ITコンサルタント
管理およびセキュリティ技術を専門とする IT コンサルタント兼著者です。Russell は IT 分野で 15 年以上の経験があり、Windows セキュリティに関する書籍を執筆し、Microsoft の Official Academic Course（MOAC）シリーズ向けの教材も共著しています。