Win.tech.q

1. おさらい
グループポリシー
‘12/03/20
@ Win.tech.q
アイティデザイン株式会社
知北直宏
Copyright 2012 ITdesign Corporation , All Rights Reserved 1

2. 知北直宏（ちきたなおひろ）の自己紹介
• 福岡でアイティデザイン株式会社という会社の代表取締役をやってます。
• 2010年1月には次の書籍を執筆、発売しました。
標準テキスト Windows Server 2008 R2 構築・運用・管理パーフェクトガイド
著者：知北直宏、出版社：ソフトバンク クリエイティブ
（2012年3月末に第七版を発行。総発行部数は13000部！！！）
• 2011年1月に、マイクロソフトさんより
「Microsoft MVP (Directory Services Jan2011 - Dec2011) 」を受賞させていただき
ました。
• 2012年3月にマイクロソフト系ITProコミュニティ「Win.tech.q」を立ち上げました。
Copyright 2012 ITdesign Corporation , All Rights Reserved 2

3. アジェンダ
• グループポリシーの概要
• グループポリシーの簡単な例
• グループポリシーのポイントいろいろ
• グループポリシーのサンプルいろいろ
• Windows Server “8” Beta のグループポリシー
Copyright 2012 ITdesign Corporation , All Rights Reserved 3

4. グループポリシーの概要
Copyright 2012 ITdesign Corporation , All Rights Reserved 4

5. グループポリシーってナニ？
• Active Directory 環境のコンピューターアカウントや
ユーザーアカウントを集中管理、集中制御する仕組みです。
ドメインコントローラー
Active Directory ドメイン
グループポリシーで集中管理、集中制御
コンピューターアカウントや
ユーザーアカウント
• 次のようなことができます。
• セキュリティ関連の設定を一括して行う
• コントロールパネルなどOS環境を一括して制御する
• IEやOfficeなどの環境を一括して制御する
• レジストリーやiniファイルを一括して制御する
• ソフトウェアの展開、配布を行う
• その他いろいろ
Copyright 2012 ITdesign Corporation , All Rights Reserved 5

6. グループポリシーを構成するもの
• グループポリシーの実体は「GPO（グループポリシーオブ
ジェクト）」と呼ばれるものです。
• GPOは多数の「ポリシー設定」によって構成されています。
• Windows Server 2008 R2/Windows 7 では、約3000個
のポリシー設定が定義されています。
• ポリシー設定には、コンピューターに適用されるものと、
ユーザーに適用されるものの、2種類があります。
• グループポリシーの設定、つまり、GPOの編集などは、
「GPMC（グループポリシー管理エディター）」を用いま
す。
Copyright 2012 ITdesign Corporation , All Rights Reserved 6

7. おことわり
• 本セッションでは、Windows Server 2008 R2 と
Windows 7を対象として説明しています。
• Active Directory に参加していないコンピューターにも
「ローカルグループポリシー」という仕組みがありますが、
本セッションでは Active Directory 環境におけるものを
「グループポリシー」として説明しています。
ローカルグループポリシーは、MMC
（マイクロソフトマネージメントコン
ソール）に「グループポリシーオブ
ジェクトエディター」プラグインを追
加して利用します。
Copyright 2012 ITdesign Corporation , All Rights Reserved 7

8. グループポリシーの簡単な例
Copyright 2012 ITdesign Corporation , All Rights Reserved 8

9. よくある話 管理者がユーザーにPCを配布したときには
こんなにキレイなデスクトップだったのに。。。
数週間経つとこのありさま！
なんとかしたい！
☛ グループポリシーで解決！
Copyright 2012 ITdesign Corporation , All Rights Reserved 9

10. やること
GPMC（グループポリシー管理エディター）を使って、
ユーザーがコントロールパネルを開くことができないような
グループポリシー設定にしてみます。
Copyright 2012 ITdesign Corporation , All Rights Reserved 10

11. グループポリシーの設定１・GPOの作成
GPMCを使って、GPO（グループポリシーオブジェクト）を作成、編集します。
①GPOを作成 ②編集、ポリシー設定を探す ③開く ④有効化
Copyright 2012 ITdesign Corporation , All Rights Reserved 11

12. グループポリシーの設定２・GPOを割当てる
GPMCを使って、GPOをOU（組織単位）に割り当てます。
ドラッグ＆ドロップでも割り当てることができます。
Copyright 2012 ITdesign Corporation , All Rights Reserved 12

13. グループポリシーの設定３・GPOを利用する
クライアントコンピューターにGPOが
適用されるのを待ちます。
Copyright 2012 ITdesign Corporation , All Rights Reserved 13

14. 結果の確認
デフォルト状態ではコントロー
ルパネルを開くことができたの
に。。。
開くことができなくなった！！
Copyright 2012 ITdesign Corporation , All Rights Reserved 14

15. グループポリシーの
ポイントいろいろ
Copyright 2012 ITdesign Corporation , All Rights Reserved 15

16. ポイント、注意点いろいろ（1/4）
• GPOはActive Directoryのサイト、ドメイン、OUに適用、
リンクすることができます。
• 一般的にはOUに適用する機会が多いはずです。
（グループポリシーを意識したOUの設計が重要です。）
• コンピューターアカウントがデフォルトで登録される
「Computers」、ユーザーアカウントがデフォルトで登録
される「Users」は「OU」ではないため、GPOを適用、リ
ンクすることができません。
Copyright 2012 ITdesign Corporation , All Rights Reserved 16

17. ポイント、注意点いろいろ（2/4）
• デフォルトでは、「Default Domain Policy」と、
「Default Domain Controllers Policy」という
2つのGPOが登録されています。
• 「Default Domain Policy」はデフォルト状態でドメイン
にリンクしています。
• 「Default Domain Controllers Policy」はデフォルト状態
で「Domain Controllers」OUにリンクしています。
• これらデフォルトのGPOを編集する際には特に注意が必要。
• 「Dcgpofix.exe」コマンドで、これらGPOをデフォルトの
状態に戻すことが可能。
Dcgpofix.exe /Target:domain
Dcgpofix.exe /Target:dc
Copyright 2012 ITdesign Corporation , All Rights Reserved 17

18. ポイント、注意点いろいろ（3/4）
• ポリシー設定によって、
対応しているOSや、IEのバージョンが異なります。
Copyright 2012 ITdesign Corporation , All Rights Reserved 18

19. ポイント、注意点いろいろ（4/4）
• クライアントコンピューターにGPOが適用されるまでにタ
イムラグがあります。
• デフォルト状態では、90分～120分要します。
• このタイムラグの値も、グループポリシーによって定義さ
れているため変更することは可能です。
「コンピューターの構成」
→「ポリシー」
→「管理用テンプレート」
→「システム」
→「グループポリシー」
→「コンピューターのグループポリシーの更新間隔」 など
• クライアントコンピューター側で「gpupdate /force」コ
マンドを実行することにより、すぐに更新させることがで
きます。
Copyright 2012 ITdesign Corporation , All Rights Reserved 19

20. グループポリシーの
サンプルいろいろ
～ 定番編 ～
Copyright 2012 ITdesign Corporation , All Rights Reserved 20

21. パスワードのポリシー
• パスワードの長さなどのポリシーを強制することができます。
• デフォルト状態で「Default Domain Policy」で定義されており、
ドメインにリンクしています。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「アカウントポリシー」
→「パスワードのポリシー」
Copyright 2012 ITdesign Corporation , All Rights Reserved 21

22. アカウントのロックアウト
• パスワード入力ミス時の、ロックアウト（ログオン禁止）期間などの
ポリシーを強制することができます。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「アカウントポリシー」
→「パスワードのポリシー」
Copyright 2012 ITdesign Corporation , All Rights Reserved 22

23. リムーバブルディスクへの書き込みを禁止する
• USBメモリーなどのリムーバブルディスクへの書き込みを禁止して、
読み取り専用にすることができます。
「ユーザーの構成」
→「ポリシー」
→「管理用テンプレート」
→「システム」
→「リムーバブル記憶域へのアクセス」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 23

24. スクリプトを自動実行させる
• コンピューターの起動時やシャットダウン時、
ユーザーのログオン時やログオフ時にスクリプトを実行させることが
できます。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「スクリプト（スタートアップ/シャットダウン）」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 24

25. ソフトウェアを自動インストールする
• 「Windowsインストーラーパッケージ形式（msi）」のソフトウェア
をクライアントコンピューターや、ユーザーへ展開、公開することが
できます。
「コンピューターの構成」
→「ポリシー」
→「ソフトウェアの設定」
→「ソフトウェアインストール」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 25

26. ソフトウェアの実行を制限する（その１）
• グループポリシーの「ソフトウェアの制限のポリシー」を使うことに
よって、コンピューターやユーザーが実行できるソフトウェアを制限
することができます。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「ソフトウェアの制限のポリシー」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 26

27. ソフトウェアの実行を制限する（その２）
• グループポリシーの「AppLocker」を使うことによって、「ソフト
ウェアの制限のポリシー」よりも細かなソフトウェア制限が可能です。
• 特定のユーザーやグ
ループを対象にする
ことができます。
• サポートしている
OS、エディション
が限定されています。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「アプリケーション制御ポリシー」
→「AppLocker」
Copyright 2012 ITdesign Corporation , All Rights Reserved 27

28. 自動更新の構成、WSUSサーバーの指定
• 自動更新（Windows Updateなど）の構成を強制することや、
WSUSサーバーの指定をすることができます。
「イントラネットのMicrosoft更新サービスの
「自動更新を構成する」 場所を指定する」
「コンピューターの構成」
→「ポリシー」
→「管理用テンプレート」
→「Windowsコンポーネント」
→「Windows Update」
Copyright 2012 ITdesign Corporation , All Rights Reserved 28

29. グループポリシーの
サンプルいろいろ
～ 知ってると便利編 ～
Copyright 2012 ITdesign Corporation , All Rights Reserved 29

30. サービスの制御
• クライアントコンピューターのサービス（システムサービス・
Windowsサービス）のスタートアップを制御することができます。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「システムサービス」
Copyright 2012 ITdesign Corporation , All Rights Reserved 30

31. ログオン時のメッセージ表示
• クライアントコンピューターのログオン前に、
メッセージを表示させることができます。
☛
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「ローカルポリシー」
→「セキュリティオプション」
→「対話型ログオン：ログオン時のユーザーへのメッセージのテキスト」
Copyright 2012 ITdesign Corporation , All Rights Reserved 31

32. Windows ファイアウォール の制御
• クライアントコンピューターのWindows ファイアウォールを
制御することができます。
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「セキュリティが強化されたWindowsファイアウォール」
Copyright 2012 ITdesign Corporation , All Rights Reserved 32

33. リモートデスクトップの接続数の変更
• ローカルログオンしながら、
リモートデスクトップセッションを開くことができるようになります。
「コンピューターの構成」
→「ポリシー」
→「管理用テンプレート」
→「Windowsコンポーネント」
→「リモートデスクトップサービス」
→「リモートデスクトップセッションホスト」
→「接続」
→「リモートデスクトップサービスユーザーに対してリモートデスクトップサービスセッションを1つに制限する」
Copyright 2012 ITdesign Corporation , All Rights Reserved 33

34. リモートデスクトップのシャドウイング
• 複数のリモートデスクトップセッションで、画面の共有が可能です。
☛
使うときは、一度リモートデスクトッ
プ接続してから、タスクマネージャー
の「ユーザー」で接続したいセッショ
ンを右クリックして「リモート制御」
「コンピューターの構成」 を実行。
→「ポリシー」
→「管理用テンプレート」
→「Windowsコンポーネント」
→「リモートデスクトップサービス」
→「リモートデスクトップセッションホスト」
→「接続」
→「リモートデスクトップサービスユーザーセッションのリモート制御のルールを設定する」
Copyright 2012 ITdesign Corporation , All Rights Reserved 34

35. グループポリシーの
サンプルいろいろ
～ 場合によっては便利編 ～
Copyright 2012 ITdesign Corporation , All Rights Reserved 35

36. セキュアチャネルの有効期間を変更する
• 検証環境などで、長期停止していたメンバーサーバーなどコンピュー
ターアカウントのパスワード（セキュアチャネル）の有効期間を伸ば
したり、無効化したり。。。
「ドメイン メンバ: 最大コンピュータ アカウントのパ 「ドメイン メンバ: コンピュータ アカウント パスワー
スワードの有効期間」 ド: 定期的な変更を無効にする」
「コンピューターの構成」
→「ポリシー」
→「Windowsの設定」
→「セキュリティの設定」
→「ローカルポリシー」
→「セキュリティオプション」
Copyright 2012 ITdesign Corporation , All Rights Reserved 36

37. Microsoft Office を制御する
• 「管理用テンプレートファイル」を登録することにより、
Microsoft Office 2007 や 2010 の制御を行うことができます。
Office 2007 管理用テンプレートファイル
http://www.microsoft.com/downloads/ja-jp/details.aspx?familyid=92d8519a-e143-4aee-8f7a-
e4bbaeba13e7&displaylang=ja-nec
Office 2010 管理用テンプレートファイル
http://www.microsoft.com/download/en/details.aspx?displaylang=en&id=18968
Copyright 2012 ITdesign Corporation , All Rights Reserved 37

38. Google Chrome を制御する
• 「管理用テンプレートファイル」を登録することにより、
Google Chrome の制御を行うことができるようです。
Google Chrome 管理用テンプレートファイル
http://www.chromium.org/administrators/policy-templates
Copyright 2012 ITdesign Corporation , All Rights Reserved 38

39. グループポリシーの
サンプルいろいろ
～ 「基本設定」 ～
Copyright 2012 ITdesign Corporation , All Rights Reserved 39

40. グループポリシーの基本設定ってナニ？
• Windows Server 2008以降で利用可能になった、
新しいタイプのグループポリシー。
• 以前はコマンドや
バッチファイル、
スクリプトを使っ
て実現していた設
定を、直感的な
GUIで設定可能に。
• 古いOSで利用する
場合は、「グルー
プポリシーの基本
設定クライアント
側拡張機能」更新
プログラムを適用
する必要アリ。
Copyright 2012 ITdesign Corporation , All Rights Reserved 40

41. 電源オプションの制御
• 電源プランなどの制御を行うことができます。
• 「Windows XP」と「Windows Vista 以降」で異なる設定ができます。
「コンピューターの構成」
→「基本設定」
→「コントロールパネルの設定」
→「電源オプション」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 41

42. iniファイルの制御
• 「iniファイル」の作成や更新を行うことができます。
「コンピューターの構成」
→「基本設定」
→「コントロールパネルの設定」
→「iniファイル」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 42

43. レジストリーの制御
• レジストリーのキーや値の作成や更新を行うことができます。
「コンピューターの構成」
→「基本設定」
→「コントロールパネルの設定」
→「レジストリー」 など
Copyright 2012 ITdesign Corporation , All Rights Reserved 43

44. Windows Server “8” Beta の
グループポリシー
Copyright 2012 ITdesign Corporation , All Rights Reserved 44

45. Windows Server “8” Beta のグループポリシー関連の変更
• Remote Group Policy Update 【New!!】
• Group Policy Infrastructure Status 【New!!】
• Group Policy Results report improvements
（グループポリシーの結果レポートの改善）
ソース
http://technet.microsoft.com/library/hh831791.aspx
おそらくは、Windows 8 （サーバー、クライアント）用に、
数百のポリシー設定が追加されると予測されます。
Copyright 2012 ITdesign Corporation , All Rights Reserved 45

46. Remote Group Policy Update 【New!!】
• Gpupdate.exe をリモートから実行できるようです。
Invoke-GPUpdate コマンドレットで
スケジューリング実行もできるみたい。
Copyright 2012 ITdesign Corporation , All Rights Reserved 46

47. Group Policy Results report improvements 【New!!】
• Active Directory と SYSVOL のレプリケーションの監視
がGPMCから実行可能になるようです。
Copyright 2012 ITdesign Corporation , All Rights Reserved 47

48. おしまい
Copyright 2011 ITdesign Corporation ,
48
All Rights Reserved