前回、Windowsにおけるグループポリシーとは何か、GPO（グループポリシーオブジェクト）の作成方法とリンク設定、解除方法をご紹介しました。
当記事ではその内容に引き続き、グループポリシーの設定、適用のタイミング、継承と上書きについてご紹介します。
グループポリシーの設定
GPOを作成してドメインやOUにリンクしたら、GPOに対してグループポリシーを設定していきます。
グループポリシーのカテゴリー
グループポリシーの設定項目は非常に多くありますが、「コンピューターの構成」と「ユーザーの構成」の2つのカテゴリーに分類されます。
サインインしているユーザーに関係なく、コンピューターに対してポリシーを適用する場合は、「コンピューターの構成」の項目を設定します。
サインインするコンピューターに関係なく、ユーザーに対してポリシーを適用する場合は、「ユーザーの構成」の項目を設定します。
グループポリシーの編集
グルーポリシーの編集は、「グループポリシー管理エディター」で行います。
グループポリシーの適用タイミング
グループポリシーを作成してリンクさせ、ポリシーの設定をしたとしても、すぐにそのルールが有効になるわけではありません。
コンピューターの起動時とユーザーのサインイン時を除くと、60分～120分に一度しか更新されません。
また、「コンピューターの構成」と「ユーザーの構成」のどちらを設定したかによっても、適用されるタイミングが異なります。
グループポリシーの適用タイミングは、次のとおりです。
- コンピューターの起動時（コンピューターの構成）
- ユーザーのサインイン時（ユーザーの構成）
- アプリケーションによってポリシーの更新が要求されたとき
- グループポリシーによって設定された更新時間が経過したとき
- ユーザーが「gpupdate」コマンドを実行することで、更新要求が行われたとき
gpupdateコマンドによる更新
グループポリシーによる自動更新のタイミングを待たずに即時適用する場合は、ユーザー側でコマンドプロンプトから「gpupdate /force」コマンドを実行します。
グループポリシーの継承と上書き
組織内でグループポリシーを運用する場合、ドメイン全体、OU個別、サイト別など、さまざまなGPOを組み合わせて設定していくことが考えられます。
このようなグループポリシーの階層的な設定では、「グループポリシーの継承」を考慮しておくことが重要です。
グループポリシーの適用順序
GPOが適用される順序は、次の通りです。
- ローカルセキュリティポリシー
- サイトポリシー
- ドメインポリシー
- OUポリシー（OUが階層化されている場合は、上位階層から順に適用）
先に適用されたGPOと、後から適用されたGPOの内容が異なる場合は、後に適用されたGPOによってグループポリシーの内容が上書きされていきます。
複数のグループポリシーの適用ルール
同一レベルに複数のGPOがリンクしている場合、対象ノードの「グループポリシーの継承」タブで優先順位を確認することができます。
表示された「優先順位」の順番にGPOが適用されていき、下位の内容によって上書きされていきます。
通常、GPOがリンクした順に優先順位が設定されるため、新しく作成したGPOが最下層に表示されています。
この優先順位は、「リンクされたグループポリシーオブジェクト」タブで変更することができます。
リンクされたGPOの一覧から、順序を変更したいGPOを選択し、左側にある［▲］または［▼］ボタンをクリックして順序を入れ替えます。
継承のブロック
複数のグループポリシーがリンクされている場合では、設定の競合を解決するために、継承や上書きを使用しますが、必要に応じて継承をさせないこともできます。
GPOの継承をさせないようにするには、対象のドメインまたはOUを右クリックし、「継承のブロック」を選択します。 これにより、上書きのルールも機能しなくなります。
いかがでしたでしょうか。
ぜひお勉強の際にお役立て下さい。
