グループポリシーを確実に運用するには：基礎から分かるグループポリシー再入門（2）

「グループポリシー」を効果的に活用するには、ポリシーの設定内容はもちろん、確実に運用していくことも大事になる。今回は、グループポリシーの運用面でIT管理者が行うべき作業を紹介する。

[国井傑（Microsoft MVP for Directory Services），株式会社ソフィアネットワーク]

連載目次

グループポリシーをバックアップするには

　前回、グループポリシーを利用する際の作業には、どのような設定を行うかを決める「グループポリシーオブジェクト」（以下、GPO）の作成と、GPOの適用先を決める「リンク」の設定の二つがあることを説明した。GPOとリンクはグループポリシーを運用する上で重要な要素なので、サーバーのトラブルや故障などで喪失しないようにしなければならない。そのために「グループポリシーのバックアップ」もIT管理者の大事な作業となる。

　通常、グループポリシーはドメインコントローラーごとに保存される。ドメインコントローラーを2台以上で運用している環境では、グループポリシーも複数の場所（ドメインコントローラー）に保存されていることになる。従って、操作ミスなどでグループポリシーを削除してしまった場合には、同期している全てのドメインコントローラー上からそのグループポリシーは削除されることになる。そうした事態に備え、別途オフラインへのバックアップは用意しておきたいものだ。

　一般的にグループポリシーは、Active Directoryデータベースと同時にバックアップされるようになっている。そのため、Active Directoryデータベースが正しくバックアップされていれば、グループポリシーのバックアップに特別な作業は必要ない。ただし、バックアップからのグループポリシーの復元は、“Active Directoryデータベース全体を復元”しなければならないことに注意してほしい。

　グループポリシーを間違って消してしまったというレベルのミスに手軽に対処したいのであれば、グループポリシーだけを単独でバックアップする方法も用意されているので、そちらを利用して復元するとよいだろう。

　GPOだけをバックアップするには、「グループポリシー管理コンソール」（GPMC）を利用する方法がある。GPMCを起動して左ペインの「グループポリシーオブジェクト」に移動し、右ペインでバックアップしたいGPOを右クリックして、メニューから「バックアップ」を実行する（画面1）。

画面1　バックアップしたいGPOを右クリックして、メニューから「バックアップ」を選択する

　バックアップからGPOを復元する場合は、GPMCで左ペインの「グループポリシーオブジェクト」を右クリックして、「バックアップの管理」を選択して、バックアップしておいたGPOデータを指定すればよい（画面2）。

画面2　「グループポリシーオブジェクト」を右クリックして、「バックアップの管理」を選択する

同じような設定のGPOを複数作成するには

　GPOを作成する際には、複数のGPOに同じような設定を何度もしなければならないことがある。こうした場合には、GPOの「コピー／貼り付け」機能を活用したい。操作は簡単で、作成済みのGPOを右クリックしたメニューから「コピー」を選択し、GPMCの左ペインで「グループポリシーオブジェクト」を右クリックしたメニューから「貼り付け」を実行するだけだ。

適用前にグループポリシーを確認するには

　グループポリシーを活用すると、さまざまな設定をユーザーやコンピューターに適用できる。しかし、作成したグループポリシーの設定は、IT管理者が考えていた通りに適用されているのか不安になることもあるだろう。この不安を解消してくれるのが、グループポリシー設定のシミュレーション機能だ。

　GPMCの左ペインで「グループポリシーのモデル作成」を右クリックしたメニューから「グループポリシーのモデル作成ウィザード」を実行し、グループポリシーを適用したいユーザー／コンピューターを指定する（画面3）。すると、指定したユーザー／コンピューターに割り当てられる（であろう）グループポリシーの設定を確認できる（画面4）。

画面3　「グループポリシーのモデル作成ウィザード」を開始する

画面4　「グループポリシーのモデル作成ウィザード」の実行結果。設定したグループポリシーの適用結果を事前に確認できる

GPOのリンクはできるだけシンプルに！

　前回、グループポリシーには“優先順位”があり、「OU（Organizational Unit：組織単位）→ドメイン→サイト」の順で適用されると説明した。

　しかし、グループポリシーには優先順位をカスタマイズする機能があり、OUよりもドメインのリンクを優先する「強制」や、特定のOUではドメインのリンクを一切適用させない「継承しない」といった設定が用意されている。これらの設定については、以下の記事で詳しく解説されているので、参考にしてほしい。

• 【参考記事】リンクの継承と優先度およびフィルター機能（＠IT）

　グループポリシー適用の優先順位をうまく活用できれば、ユーザー／コンピューターを柔軟にコントロールできるようになるのだが、筆者はあまりお勧めしたくない。その理由は「策士策に溺れる」ではないが、自分で設定した内容が複雑になりすぎて、最終的にどのような設定が適用されるのかが分かりにくくなるからだ。

　前述のシミュレーション機能を使えば事前に設定状況を簡単に確認できるが、何度もシミュレーションしながら設定していたのでは作業の効率が悪くなってしまう。そうならないためにも、適用順位のカスタマイズは絶対に必要な場合だけに絞って活用した方がよいのだ。

思い通りにグループポリシーが適用されなかったら……

　グループポリシーは数あるマイクロソフトの製品（や機能、テクノロジ）の中でも、非常に信頼性が高い機能の一つである。そのため、グループポリシーがクライアントに正しく適用されていない場合は、どこかで設定をミスしていることが多い。設定ミスが原因なのか、それとも他に原因があるのかどうかを見極める方法は、知っておくとよいだろう。ここでは、その見極め方法をいくつか紹介する。

「gpresult」コマンド

　グループポリシーが適用されないコンピューターで、コマンドプロンプトから「gpresult /r」コマンドを実行することで、そのコンピューターまたはユーザーに割り当てられたGPOの一覧を確認できる。もし、特定のコンピューターまたはユーザーにグループポリシーが割り当てられていないというケースがあったら、もう一度リンクが正しく設定されているかどうかを確認しよう。

「gpupdate」コマンド

　グループポリシーはコンピューターの起動時やユーザーのログオン時の他、およそ90分間隔でドメインコントローラーが保持している最新の設定が割り当てられるようになっている。もし、グループポリシーを設定したばかりであれば、ある程度時間が経過するまでクライアントには最新の設定が割り当てられない。もちろん、適用されるまで待っていてもよいのだが、すぐに適用したい場合もあるだろう。

　そんなときに使えるのが「gpupdate」コマンドだ。クライアントのコマンドプロンプトから、「gpupdate /force」コマンドを実行するだけで、すぐに最新のグループポリシーが適用される。もし、コマンド実行時にエラーが発生する場合には、クライアントとドメインコントローラーでうまく通信ができていないことも考えられるので、ネットワーク接続もチェックしてみよう。

イベントビューアー

　グループポリシーがドメインコントローラーから配信、適用されたことは「イベントビューアー」でも確認できる。「イベントビューアー」の右ペインで「Windowsログ」→「Application」（または「アプリケーション」）を展開すると、中央ペインでグループポリシーが適用されたことと、適用された日時が確認できる（画面5）。

画面5　「イベントビューアー」でもグループポリシーの適用を確認できる

　また、イベントビューアーの「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「GroupPolicy」ログを参照すると、グループポリシーに関する詳細な内容を確認できる。トラブルが発生しているような場合には「GroupPolicy」ログも同時に参照して、原因の追跡に活用したい。

ポリシーの結果セット

　ある特定のグループポリシーだけが適用されない、または適用されているかどうかは、前述の「gpresult」コマンドで確認できる。しかし、もう少し踏み込んで、個々のグループポリシーが適用されているかどうかを確認したい場合には「ポリシーの結果セット」を活用しよう。

　「ポリシーの結果セット」は、コマンドプロンプトから「mmc」と入力して「Microsoft管理コンソール（Microsoft Management Console：MMC）」を起動し、「ファイル」メニューの「スナップインの追加と削除」から追加する。

　MMCに追加した「ポリシーの結果セット」の右クリックメニューから「RSoPデータの生成」を選択すると「ポリシーの結果セットウィザード」が起動するので、あとはウィザードの指示に従って操作を進める（画面6）。

画面6　MMCで「スナップインの追加と削除」から「ポリシーの結果セット」を追加する

　すると、現在利用しているユーザーとコンピューターの組み合わせで適用されているグループポリシーを項目レベルで確認できる（画面7）。「ポリシーの結果セット」は思い通りのグループポリシーが割り当てられているかどうかの確認に最も適したツールであることがお分かりいただけただろう。

画面7　「ポリシーの結果セット」で適用された設定を確認している様子

---

　本連載の第1回と第2回で、グループポリシーの基本的な利用方法と運用上のトピックを紹介した。次回からは、いよいよ会社で役立つ具体的なグループポリシーの設定方法を紹介していく。

「基礎から分かるグループポリシー再入門」バックナンバー

• 「アカウントポリシー」でユーザーのパスワード設定を定義する
• 「管理用テンプレート」を拡張してアプリケーションの設定をカスタマイズする
• 「ポリシー」と「基本設定」の違いを理解する
• グループポリシーで「ストアアプリ」をインストールする
• コントロールパネルの設定項目をカスタマイズする
• Windows 10でグループポリシー設定を利用するには
• グループポリシーでファイルやフォルダー、レジストリを操作する
• ログオンスクリプトをグループポリシーに置き換えるには？
• フォルダーリダイレクトでユーザープロファイルを管理する
• グループポリシーで利用させる／利用させない「サービス」を柔軟に制御する
• これだけはやっておきたい！ 基本的なサーバー管理に役立つグループポリシー設定
• イベントビューアーでセキュリティ監査を行うためのグループポリシー設定
• “必要ないもの／使わないもの”は無効化し、クライアントのセキュリティを向上させる
• クライアントのセキュリティを強化するグループポリシー設定
• グループポリシーでアプリケーションの実行を制御する
• セキュリティの強化に役立つグループポリシー設定
• まだあるぞ！ グループポリシーの“鉄板”設定パート2
• すぐに使えるグループポリシーの“鉄板”設定
• グループポリシーを確実に運用するには
• グループポリシーの仕組み、理解できていますか？

筆者紹介

国井 傑（くにい すぐる）

株式会社ソフィアネットワーク取締役。1997年よりマイクロソフト認定トレーナーとして、Active DirectoryやActive Directoryフェデレーションサービス（ADFS）など、ID管理を中心としたトレーニングを提供している。2007年よりMicrosoft MVP for Directory Servicesを連続して受賞。なお、テストで作成するユーザーアカウントには必ずサッカー選手の名前が登場するほどのサッカー好き。