GPO（グループポリシーオブジェクト）

GPO（グループポリシーオブジェクト）とは、Active Directoryで管理されたWindowsの端末や利用者に対し、設定をまとめて配るための入れ物のことです。壁紙から安全に関わる制限まで、数千種類の項目を管理者側から一括して決められます。

現実世界に例えると、GPOは部署ごとに配られる就業規則のようなものです。全社共通の規則があり、その下に部署ごとの決まりが重なります。所属が変われば、適用される規則も自動的に入れ替わります。

設定が適用される順序

中身の作りを押さえておきます。GPOは「コンピューターの構成」と「ユーザーの構成」に分かれており、前者は端末に、後者は利用者に紐づいて働きます。同じ端末でも、誰がログオンしたかで適用される設定が変わるのはこのためです。片方しか使わない場合、もう片方は無効にしておくと処理が速くなります。

配り方の基本がここにあります。作ったGPOは、それ自体では何も起こらず、ドメインや組織単位に結び付けて初めて効き始めます。一つのGPOを複数の場所に結び付けることもでき、共通の設定を一か所で管理して、あちこちへ適用するという使い方ができます。

影響の及ぶ範囲を理解しておきます。上位に設定した内容は、その下にあるすべての組織単位へ自動的に引き継がれます。特定の部署だけ除外したい場合は継承を遮断する指定を、逆にどうしても上書きさせたくない場合は強制の指定を使う、という調整の手段が用意されています。

運用でよく相談される点です。変更した内容が端末へ届くのは次回の更新時で、既定では90分ごとに、ずれを含めて確認しに行く仕組みになっています。すぐ反映させたい場合は、端末側で更新を指示するコマンドを実行します。一部の設定は再起動やログオンし直しが必要です。

切り分けの手段があります。複数のGPOが重なって適用されるため、最終的にどの設定がどこから来たのかは、結果を一覧にして表示する道具で確認できます。設定したはずなのに効かない場合は、上位で強制されている、適用の対象から外れている、といった原因をここでたどります。

陥りやすい失敗です。必要になるたびに新しいGPOを作り続けると、数百個に膨れ上がり、どれが何のためのものか誰にも分からなくなります。命名の規則を決め、目的ごとにまとめ、使わなくなったものは結び付けを外して整理する、という手入れを続けることが欠かせません。

近年の流れにも触れておきます。社外で働く端末には社内のサーバーへの接続が前提となるGPOが届きにくいため、クラウド経由で設定を配るIntuneのような仕組みへ移す動きが強まっています。両方を併用する過渡期の構成も多く、どちらが優先されるかの確認が必要になります。