Group Policy & Group Policy Objects (GPOs) を理解する

効果的なセキュリティ設定は、ユーザーがサーバーを必要以上に操作できないようにしつつ、日々の業務を完了するために必要なツールは提供できるものでなければなりません。

適切なポリシー設定が導入されていない場合、一般ユーザーは、意図せずとも脆弱なソフトウェアをインストールしたり、セキュリティ制御を変更したり、機密ファイルを閲覧したり、あるいはその他の方法でセキュリティ態勢を弱めてしまう可能性があります。同時に、ユーザーを過度に制限すると、日常業務の遂行において不要な障害が生じることがあります。

最適な保護を得るには、ユーザーに対して、その役割に必要な分だけのアクセス権を付与し、それ以上は付与しない構成を整えることが不可欠です。

Microsoft システムには、Group Policy を通じてこれらの問題に対応できる既製のソリューションがあります。これは、管理者が複数のユーザーやグループに対して制限、ルール、標準を設定できるツールです。これらのポリシーは、Group Policy Objects (GPOs) と呼ばれるコレクションにまとめられ、Group Policy Management Console 内のノードに関連ポリシーが保存されます。

組織のニーズに応じて Group Policy 内の膨大なオプションを適切に構成することで、ユーザーに日常業務を行うために必要なアクセス権限を正確に提供しつつ、サーバーのセキュリティ態勢を効果的に維持できます。

グループポリシーとは？

グループポリシー（Group Policy）とは、管理者がドメイン全体、またはより具体的なサブカテゴリに対して制御を設定できるポリシー管理ツールです。Active DirectoryとともにWindows 2000で最初に導入されました。グループポリシーには非常に多くの制御項目が用意されており、必要に応じて、できるだけ包括的にも、または必要最小限の範囲に限定しても適用できます。

例として、グループポリシー機能を次の用途に使用できます：

• 機密ファイルへのアクセスを制限または防止する
• パスワード要件を設定する
• アプリケーションを許可または拒否する
• ネットワークおよびファイアウォールの設定を制御する
• コントロール パネルまたはレジストリ設定へのアクセスを制限する

これは、ツール内で利用できる数千もの設定のうちのほんの一部です。この幅広いオプションにより、管理者は必須の日常業務をサポートしながら、過剰なアクセスを制限できます。

Active Directory のグループ ポリシーとローカル グループ ポリシーを調べる

この記事は主にActive Directory レベルのグループ ポリシーについて扱います。これは、組織単位（OU）またはドメイン全体にわたって適用できます。 ただし Windows には、Local Group Policy というツールもあります。これは、AD Group Policy と同様の多くのオプションを提供するグループ ポリシーの一種ですが、影響するのはローカルの Windows ワークステーションのみに限られます。

Local Group Policy は個々のデバイス向けに設計されていますが、AD Group Policy を使用して同じコンピューター上のさまざまなユーザーに異なる設定を割り当てることもできます。たとえば、ビジネス ユーザー向けの構成一式と、管理者向けの構成一式を分けることができます。

ローカル GPO は Active Directory GPO とは別物であり、ドメインに接続されていないコンピューターなど、Active Directory が利用できない場合に最適です。Local Computer Policy Editor は、コンピューター上の Local Group Policy を編集するために使用します。開くには、単に Start ボタンをクリックして、コマンド GPEDIT.MSC を実行します。

グループ ポリシーの利点は何ですか？

これまでの例が示し始めているように、グループ ポリシーは、ユーザーの生産性とセキュリティの向上から IT の作業負荷の軽減まで、非常に大きなメリットをもたらします。ここでは、グループ ポリシーを活用することで組織に役立つ方法を、さらにいくつか紹介します：

• ユーザーが使用するすべてのデバイスで、ユーザーのファイルやフォルダーにアクセス可能であること、さらにカスタム設定（タスクバーの位置、壁紙の選択、デスクトップアイコンなど）も維持されることを確認してください。
• 強力なネットワークおよび認証プロトコルの使用を必須にすることで、セキュリティを強化します。
• 勤務時間外にソフトウェアをインストールし、アップデートすることで、従業員の生産性を向上させます。

さらに、グループポリシーは、インストールできるソフトウェアを制限することから、ユーザーが変更できるコントロールパネルの設定を戦略的に制限することまで、かなりきめ細かい制御を可能にします。たとえば、ユーザーが必要に応じて画面解像度を調整できるように許可しつつ、VPNの設定を変更できないようにすることができます。

GPO（Group Policy Object）とは何ですか？

グループ ポリシー オブジェクト（Group Policy Object、GPO）は、複数の関連 Group Policy setting を保存し、整理するためのコンテナーです。たとえば、ある GPO はデスクトップ構成の設定を保存し、別の GPO にはネットワーク ポリシーの設定が含まれる場合があります。

グループ ポリシー管理コンソール内では、GPO は標準化されたツリー構造の下でノードとしてグループ化されます。管理者がグラフィカル インターフェイスを使いたくない場合は、PowerShell やその他のコマンドライン ツールを通じて GPO を設定することも可能です。

管理者は、必要に応じて簡単に見つけて更新できるように、GPO を作成し、名前を付け、整理しておくべきです。

GPO はどのように動作しますか？

各 GPO には 2 つの部分があります。:

• コンピューター Computer node には、特定の瞬間に誰がログオンしているかに関係なく、コンピューターのみに適用されるポリシー設定が含まれています。例として、スタートアップ スクリプト、シャットダウン スクリプト、ローカル ファイアウォールをどのように構成すべきかを制御する設定などがあります。
• ユーザー User node には、ユーザーのみに適用されるポリシー設定が含まれています。これらの設定は、ユーザーがログオンするすべてのマシンに引き継がれます。例として、ログオン スクリプト、ログオフ スクリプト、および Control Panel へのアクセス オプションなどがあります。

ユーザー ノードとコンピューター ノードの両方に、3つの主要なセクション（ソフトウェアの設定、Windows の設定、および 管理用テンプレート）が含まれています。ただし、それぞれの区分には違いがあります。たとえば、コンピューター ノードの 管理用テンプレート セクションにはプリンタが含まれますが、ユーザー ノードの同セクションには含まれません。ユーザー ノードでは、共有フォルダー、デスクトップ、スタート メニュー、タスクバーなどのオプションが含まれます。

Active Directory の GPO は、ドメイン コントローラー（DC）に保存されます。

グループ ポリシー管理（GPM）を使用してユーザーとデバイスを保護する

グループ ポリシー オブジェクト（Group Policy Objects）は関連する設定の管理を簡素化しますが、GPO が多すぎると複雑さが増してしまいます。ここで特に効果を発揮するのが Group Policy Management ツールです。

Group Policy Management （GPM）は、Windows Server Manager の［Tools］メニューにある Group Policy Management Console（GPMC）からアクセスできる機能です。Group Policy Management Console を使用すると、管理者は Active Directory 内で任意の GPO を直接管理できるため、ドメイン コントローラー（Domain Controllers）に直接アクセスする必要なく、グループ ポリシーを一元的に制御できます。

GPMC では、管理者はわかりやすいグラフィカル インターフェイス上で GPO を作成・編集・削除できるほか、ドメイン、サイト、または組織単位（OUs）に対してリンク オブジェクトを作成することもできます。さらに、コンソールを通じて GPO を個々のコンピューターやユーザーに適用することも可能で、必要に応じて可能な限り具体的な一連の制御を設定できます。各グループ ポリシー（Group Policy）の設定はインターフェイス上で簡単に参照でき、集中管理を支援します。

Group Policy Management Console には、GPO に関する 2 つの主要なカテゴリがあります：Computer Configuration と User Configurationです。これらのセクションは Policies と Preferences に分かれており、管理者レベルの設定とユーザーが管理する設定を、それぞれ簡略化して制御できるようになっています。

で GPO を管理するのは簡単です。Group Policy Management Console ：フォレスト メニューから目的のオブジェクトを見つけて選択します。そこから、次のことができます：

• GPO を編集
• GPO がリンクされている Active Directory を変更
• GPO リンクを有効化または無効化
• プリセットの GPO 設定をインポート
• GPO をバックアップ

特に GPO を継続的にバックアップすることは、サイバー攻撃や意図しないエラーが発生した場合に、組織の保護を維持するうえで非常に重要です。バックアップは定期的に実施し、特にグループ ポリシーまたは GPO に大きな変更が加えられるたびに必ず行ってください。また、復元を迅速かつ効率的に行えるよう、バックアップは一元化された場所に保存します。バックアップ履歴を維持しておけば、復元プロセスがさらに簡単になるだけでなく、より大きな安心感も得られます。

適切なコンテナーに GPO をリンクする

グループ ポリシー オブジェクト（GPO）を作成すると、そのActive Directory ドメイン内で使用できるようになります。GPO を有効にするには、次のような 1 つ以上のコンテナーにリンクする必要があります。

• サイト：GPO をサイト レベルでリンクすると、そのサイト内のすべてのユーザー アカウントとコンピューター アカウントに対して、どのドメインまたは OU に属しているかにかかわらず設定が適用されます。
• ドメイン：GPO をドメイン レベルでリンクすると、そのドメイン内のすべてのユーザーとコンピューターに加えて、その下位のすべての OU にも影響します。
• 組織単位: GPO が OU レベルでリンクされている場合、その OU 内のすべてのユーザーまたはコンピューターと、その下にあるすべての OU（子 OU またはサブ OU と呼ばれます）に影響します。

特定のグループ ポリシー オブジェクトは、異なるレベルであっても複数のコンテナーにリンクできます。さらに、特定のコンテナーに対して複数の GPO がリンクされることもあります。その場合は、GPO が適用される順序を指定できます。

グループ ポリシーの設定は、次の順序で適用されます。ローカル、サイト、ドメイン、その後に組織単位（OU）です。この順序が重要なのは、2つの GPO の設定が競合する可能性があるためです。たとえば、ドメイン レベルのポリシーでは 1 つの設定が指定されている一方で、OU レベルのポリシーでは別の設定が指定されている場合があります。結果はシンプルです。階層の下の方にあるポリシー設定の方が優先されます。競合がある場合は、最後に適用された設定が優先されます。例では、OU レベルの設定がドメイン レベルの設定よりも優先されます。直感に反するように見えるかもしれませんが、重要なのは、グループ ポリシーでは「最後に書き込んだものが勝つ（last writer wins）」というルールを覚えておくことです。

グループ ポリシーの優先設定を構成する

グループ ポリシーの優先設定（Group Policy Preferences、GPPrefs）は、グループ ポリシーの適用範囲と機能を拡張する一連のクライアント側拡張機能です。これらはポリシーではなく、グループ ポリシー管理コンソール（GPMC）内で管理者が管理できる構成可能な設定です。グループ ポリシーの優先設定を使用すると、強制せずに既定の構成をコンピューターやユーザーに展開できます。必要であれば、ユーザーは引き続き設定を変更できます。たとえば、次のことができます：

• ユーザーが特定のファイルにアクセスする際、毎回フルパスを入力しなくても済むように環境変数を設定します。
• サーバーからユーザーのマシンへファイルをコピーします。
• 毎日、特定のフォルダーの中身を削除します。
• 特定のレジストリ設定をすべてのクライアントマシンに送信します。
• ワークステーションまたはサーバー上で共有を作成または削除します。
• デスクトップにショートカットを作成します。
• ネットワークドライブを割り当てます。
• ファイルの関連付けを変更します。
• VPN とダイヤルアップ接続を構成します。
• モニターがスタンバイ モードに入るまでの時間などの電源オプションを変更します。
• 共有プリンターを管理します。
• スケジュールされたタスクを設定します。
• スタート メニューを変更します。

設定は、適用するタイミングや方法を制御する条件によってカスタマイズできます。AD グループ ポリシーとは異なり、グループ ポリシーの優先設定（Group Policy Preferences）では、項目レベルのターゲティングを通じて、特定のユーザーまたはデバイスにのみ適用するように設定することも可能です。特定の GPO には、必要に応じて、これらの優先設定を必要な数だけ含めることができます。

Netwrix はグループ ポリシー オブジェクトと管理を簡素化します。

Group Policy の管理は複雑になり得ますが、正しく構成することは極めて重要です。設定ミスのある GPO が 1 つだけでも、セキュリティに影響し、業務の継続性を中断する可能性があります。これらの設定を確実に設定・管理・追跡できるように、Netwrix では Group Policy を制御するための包括的なソリューション群を提供しています。たとえば：

• Netwrix PolicyPak GPO を整理して統合することで、Group Policy の管理を簡素化します。管理対象オブジェクトの数を減らすことは、ログイン時間の改善、セキュリティの強化、稼働率の向上、そして設定エラーの最小化に役立ちます。
• Netwrix Auditor Group Policy オブジェクトに対する望ましくない変更をいち早く見つけられるようにし、侵害やその他の問題が起きる前にそれらを是正できるよう支援します。あらかじめ用意されたレポートは標準ツールを大きく上回り、影響を受けた GPO がどれか、変更を行ったのは誰か、いつ変更が実施されたか、変更元のワークステーションはどれか、そして変更前後の値まで、あらゆる変更の詳細を完全に把握できます。

これらのツールが実際にどのように活用されているかを示す、現実の一例として、自動車向け電子機器の小売企業 Crutchfield は、Firefox ブラウザーのように社内ユーザーが必要とするアプリケーションを、より効率的に管理する方法を求めていました。しかし、同社の IT チームは、そのソフトウェアがベストプラクティスに従ってインストールされ、更新されていることを確実にするのに苦労していました。

Crutchfield の 750 台のマシンすべてに Netwrix PolicyPak を導入したことで、アプリケーションの保護は合理化された自動化プロセスに変わりました。これにより、数十台のデバイスに対する手作業のレビューが不要になったのです。現在、Crutchfield の IT 部門は、強固なセキュリティ体制を維持しながら、ほぼあらゆる新しいアプリケーションのオンボーディング依頼を柔軟に受け入れられるようになっています。

詳しくはこちら Netwrixが、効果的で監査対応可能なセキュリティのために、貴社がGroup Policyを開発・管理するのをどのように支援できるかをご確認ください。

Group Policy のよくある質問

Active Directory における Group Policy とは？

Group Policy は、コンピューターとユーザー アカウントを一元管理できる Windows の機能です。Active Directory の Group Policy では、環境全体を管理できます。一方、Local Group Policy では、特定のマシン上のさまざまなユーザーをよりきめ細かく管理できます。

どちらのレベルでも、Group Policy は、ネットワークやファイアウォールの設定、ファイルのアクセス制御、パスワード要件、または Control Panel で変更できる設定など、サーバーの重要な要素を制御できます。これにより、管理者はすべてのデバイスに対して効果的な保護をより迅速かつ容易に導入しながら、それでも個々のユーザーが日々の業務を行うために必要なファイル、設定、アプリケーションにアクセスできるようにできます。

グループポリシーオブジェクト（GPO）とは？

グループポリシーオブジェクト（Group Policy Object、GPO）とは、デスクトップの構成やネットワークの構成など、同じコンポーネントに関係するグループポリシー設定の集合です。GPO は、管理者がさまざまな構成をより明確かつ効果的に整理するため、また各ポリシーの意図をより適切に示すために作成します。

グループポリシー管理とは？

グループポリシー管理は、管理者がグループポリシー設定を表示、編集、削除できるようにするツールです。この機能では、セキュリティ担当者が、必要に応じて十分な粒度で GPO を管理できるグラフィカルなインターフェイスを提供します。対象には、コンピューター構成とユーザー構成の管理だけでなく、両方に対するポリシーおよび優先設定の管理も含まれます。さらに、このツールは、システム障害が発生した場合に設定の継続性をより確実にするため、GPO の既成バックアップ機能も用意しています。

Windows グループポリシーとは？

Windows Group Policyは、ローカルのGroup Policyを指すために使われることがある用語、または特定のコンピューターにのみ適用される一連のポリシーのことを指します。ローカルのGroup Policyに含まれる制御は、Active Directory Group Policyにあるものと実質的に同一であるため、ドメインに接続されていない、またはActive Directoryによってそれ以外の方法でアクセスできないマシンに最適です。ただし、コンピューター固有の制御は、AD Group Policyを使用して引き続き適用し、強制することができます。

なぜ組織には Group Policy が必要なのでしょうか？

Group Policyは、ドメインに参加しているコンピューターに対して、各コンピューターを手動で個別に設定する必要なく、ユーザーおよびコンピューターの設定を簡単に構成するための手段を提供します。Group Policy内でセキュリティ制御を設定し、それらのプロトコルをGPOとして整理することで、セキュリティ担当者は、ネットワーク全体にわたるセキュリティを包括的に監視・管理できる集中型のプラットフォームを得られます。また、Group Policyでは追加ルール、例外、条件を幅広く設定できるため、新しいアプリケーションを安全に導入することも容易になり、すべての従業員が日々の業務を行うのに必要なアクセス権限のレベルをちょうど確保できるようになります。

管理者は Group Policy 内で自動更新を制御できますか？

Group Policyエディターを使用して自動のGroup Policy更新を有効にできます。これには、Windows Server Update Services (WSUS) から更新を自動的に受信するためのオプションが含まれています。コンピューターの構成 > 管理用テンプレート > Windows コンポーネント を展開し、次に Windows Update をクリックします。 自動更新の構成 ウィンドウで、有効 チェックボックスを選択し、更新プログラムのダウンロードとインストールに関するお好みのオプションを指定してください。これらのオプションについては、右側の [ヘルプ] セクションで詳細に説明されています。管理者は、ユーザーが更新通知を受け取るかどうか、更新プログラムを確認する頻度、ネットワークがMicrosoft以外のエンティティによって署名された更新プログラムを受け入れる可能性があるかどうかなどを指定することで、更新の受信方法をさらにカスタマイズできます。