グループポリシーとは？Active Directoryでの作成から適用、優先順位まで解説

従業員のPCを一台ずつ設定すると、端末数に比例して管理者の負担が増え、設定漏れやばらつきも生じやすくなります。こうした課題を解決する仕組みが、Active Directory環境で利用できるグループポリシーです。

本記事では、グループポリシーの基本からGPOの作成・適用手順、優先順位、反映されない場合の確認方法までを解説します。

グループポリシー（GPO）とは？Active Directory環境でPC設定を一元管理する仕組み

グループポリシーとは、Active Directory（AD）環境において、ドメインに参加しているコンピューターやユーザーアカウントに対して、OSやアプリケーションの設定を一元的に管理・強制するための機能です。

設定内容はグループポリシーオブジェクト（GPO）という単位で管理されます。これにより、管理者は個別のPCを操作することなく、多数のコンピューターやユーザーに対して統一されたセキュリティポリシーや利用環境を効率よく提供できます。

例えば、パスワードの複雑性の強制やUSBデバイスの利用制限といったセキュリティ設定を一括で適用可能です。グループポリシーが具体的にどのような設定を可能にし、組織にどのようなメリットをもたらすのかをみていきましょう。

グループポリシーで実現できることの具体例

グループポリシーで管理できる設定は、主に次の4つに分類できます。

このほか、Microsoft社が提供するWindowsのサービスやネットワーク設定を組織内で統一したり、共有フォルダーなどの参照先を指定したりすることも可能です。代表的な設定項目と設定場所は、後半の「セキュリティ強化と業務効率化につながるグループポリシー設定5選」で紹介します。

組織でグループポリシーを導入する3つのメリット

グループポリシーの導入は、組織のIT管理において以下のような大きなメリットをもたらします。

端末ごとの個別作業を減らしながら、組織で定めた設定を共通のルールとして適用できる点が大きな特長です。担当者が変わっても一定の管理水準を保ちやすくなり、設定漏れや運用の属人化を防ぐことにもつながります。

GPOとOUの関係性とは？階層構造を理解しよう

グループポリシーの適用範囲を理解するうえで、GPOとOUの関係性を把握することは不可欠です。

OUとは、Active Directory内でユーザーやコンピューターなどのオブジェクトを管理しやすいように格納するための「容器」のようなものです。実際の組織構造にあわせてOUを作成することで、管理がしやすくなります。

作成したGPOは、このOUに対して「リンク」させることで、そのOUに所属するユーザーやコンピューターにポリシーが適用される仕組みです。例えば、「営業部OU」に「USBメモリ使用禁止GPO」をリンクすれば、営業部の全従業員のPCでUSBメモリが使えなくなります。この階層構造を活かすことで、部署ごとに異なるポリシーを効率的に適用できます。

グループポリシーを作成してOUへ適用する4つの基本ステップ

グループポリシーを実際に利用するには、どのような手順を踏めばよいのでしょうか。ここでは、具体的なポリシー内容を定義したグループポリシーオブジェクト（GPO）を新規に作成し、それを特定のOU（組織単位）に適用するまでの一連の流れを、4つの基本的なステップにわけて解説します。

この手順を理解すれば、要件にあわせたポリシーをスムーズに展開できるようになります。

ステップ1：グループポリシーオブジェクト（GPO）を新規作成する

まずはじめに、ポリシー設定の入れ物となるグループポリシーオブジェクト（GPO）を新規に作成します。

このとき、どのような目的のGPOなのかが分かりやすい名前を付けることが、後の管理を容易にするうえで重要です。例えば「営業部_USBデバイス禁止」のように、適用対象と内容を明記するとよいでしょう。これで、中身が空のGPOオブジェクトが作成されます。

ステップ2：GPOを編集してポリシー内容を設定する

空のGPOを作成したら、次に具体的なポリシー内容を設定します。先ほど作成したGPOを右クリックし、「編集」を選択してください。

GPOの設定内容は、グループポリシーオブジェクトエディターで管理します。現在のWindows Serverでは、「グループポリシー管理エディター」という名称で表示されるのが一般的です。

エディターを起動すると、画面の左側に設定可能な項目がツリー形式で表示されます。目的の項目をダブルクリックし、「未構成」「有効」「無効」などの状態や必要な値を指定しましょう。

例えば、画面ロックの時間を設定したり、特定のプログラムの実行を禁止したりできます。多数の項目から、自社の運用ルールやセキュリティ要件に合う設定を選ぶことが重要です。

ステップ3：作成したGPOを対象のOUにリンクさせる

ポリシー内容の設定が完了したGPOは、それだけでは何の効果もありません。対象となるコンピューターやユーザーが所属するOU（組織単位）に「リンク」することで、はじめてポリシーが適用されます。1つのGPOを複数のOUにリンクすることも、1つのOUに複数のGPOをリンクすることも可能です。

ステップ4：クライアントPCでポリシーが適用されたか確認する

GPOをOUにリンクしたあと、最終ステップとして、対象のクライアントPCで実際にポリシーが適用されたかを確認しましょう。

グループポリシーは、デフォルトでは一定時間ごとに自動で更新・適用されますが、すぐに確認したい場合はクライアントPCを再起動するか、後述するコマンドで強制的に適用させます。適用後、設定した内容が反映されているかを直接操作して確認します。

例えば、壁紙が変更されているか、USBメモリを挿しても認識されないか、といった具体的な動作をチェックしてください。また、後述する「gpresult」コマンドを使用して、意図したGPOが適用されていることを確認するのも確実な方法です。

今すぐ実践！セキュリティ強化と業務効率化につながるグループポリシー設定5選

グループポリシーで何ができるのか、具体的なイメージをもってもらうために、多くの組織で採用されている基本の設定例を5つ紹介します。これらの設定を適用するだけでも、組織のセキュリティレベルを大きく向上させ、IT管理の効率化を図ることが可能です。組織のセキュリティポリシーや運用ルールにあわせて、導入を検討してみてください。

これらの設定は、セキュリティと利便性のバランスをとるうえでのよい出発点となるでしょう。

1. USBメモリなど外部デバイスの使用を制限する

情報漏洩のリスク対策として最も基本的なのが、USBメモリや外付けHDDといったリムーバブル記憶域へのアクセスを制限するポリシーです。マルウェアの感染経路となることや、内部情報の不正な持ち出しに使われることを防ぎます。

グループポリシーでは、すべてのリムーバブル記憶域デバイスの読み取りや書き込みを完全に禁止したり、特定の種類のデバイスのみを許可したりと、柔軟な制御が可能です。

なお、グループポリシーはデバイスの利用可否を統一するのに役立ちますが、機密情報の内容に応じて持ち出しを制御したい場合は、DLPなど別の仕組みも検討する必要があります。

2. パスワードの複雑性や有効期限を強制する

推測されやすい単純なパスワードや、長期間変更されていないパスワードは、不正アクセスの大きな原因となります。グループポリシーを使えば、組織全体で強力なパスワードポリシーを強制できます。具体的には、「パスワードの長さ」「複雑性の要件を満たす」「有効期間」「履歴を記録する」といった設定が可能です。

「複雑性の要件」を有効にすると、ユーザー名や氏名の一部を含まないことに加え、大文字・小文字・数字・記号など複数種類の文字を組み合わせたパスワードが要求されます。

3. コントロールパネルへのアクセスを禁止する

ユーザーが自由にPCの設定を変更できる状態は、予期せぬトラブルやセキュリティリスクの原因となる可能性があります。特に、システム設定への安易なアクセスは避けるべきです。

グループポリシーでは、ユーザーが意図しない設定変更をおこなうことを防ぐための機能が提供されています。例えば、Windows 11環境においては、特定の「設定アプリ」のページを非表示にすることで、ユーザーがアクセスできる範囲を制限し、システムの安定性を維持することが可能です。

4. 組織共通の壁紙を強制的に適用する

PCのデスクトップ壁紙を組織で指定したものに統一することで、組織としてのアイデンティティを醸成したり、重要なメッセージ（セキュリティ標語など）を周知したりするのに役立ちます。また、私的な画像が壁紙に設定されることを防ぎ、コンプライアンスを維持する効果もあります。

グループポリシーを使えば、すべてのユーザーのデスクトップ背景を特定の画像ファイルに強制的に設定し、ユーザーによる変更を禁止できます。

5. Windows Updateの更新タイミングを制御する

セキュリティを維持するうえでWindows Updateの適用は不可欠ですが、業務時間中に突然更新がはじまってPCが再起動してしまうと、業務に支障をきたします。グループポリシーを利用すると、組織内のPCがWindows Updateサーバーから更新プログラムの取得元や適用タイミングを制御できます。

例えば、業務時間外の深夜に自動でインストールと再起動をおこなうようにスケジュールしたり、更新の通知方法を管理したりすることが可能です。これにより、セキュリティパッチの適用を徹底しつつ、業務への影響を最小限におさえられます。

グループポリシーが反映されない主な原因｜適用順序「LSDOU」と継承ルール

グループポリシーを設定したにもかかわらず、意図した通りにクライアントPCへ設定が反映されない場合、その多くはポリシーの適用順位や継承のルールが関係しています。複数のGPOが競合した場合にどの設定が最終的に有効になるかを決定する仕組みを理解することが、トラブルシューティングの鍵です。

この章では、グループポリシーの適用における優先順位の原則「LSDOU」や、上位の設定を引き継ぐ「継承」の仕組みについて解説します。

グループポリシーが適用される順番「LSDOU」を理解する

グループポリシーは、複数の階層で設定が適用される可能性があり、その適用順位は「LSDOU」という原則に従います。これは、ローカル、サイト、ドメイン、OUの頭文字をとったものです。

（LSDOSの図解）

まず、個々のコンピューターに設定されているローカルグループポリシーが適用されます。次に、Active Directoryのサイト、ドメイン、そして最後にユーザーやコンピューターが所属するOUにリンクされたGPOが順に適用されていきます。OUが入れ子になっている場合の処理順は、ドメインに近い親OUから子OUへ向かう形です。

あとから適用された設定が前の設定を上書きするため、最もユーザーやコンピューターに近いOUの設定が、最も高い優先順位をもちます。なお、同じOUに複数のGPOがリンクされている場合は、リンク順（Link Order）によって優先順位が決まります。

意図しない設定を防ぐ「継承のブロック」と「強制」の役割

グループポリシーには、上位のコンテナ（ドメインや親OU）から下位のOUへ設定を引き継ぐ「継承」の仕組みがあります。一方で、特定のOUに限って上位のポリシーを適用したくないケースもあるでしょう。その際に利用するのが「継承のブロック」です。

この機能を有効にすると、通常の上位GPOはそのOUに引き継がれません。これにより、独立したポリシー運用が可能です。

逆に、組織全体で絶対に遵守させたい重要なセキュリティ設定などがある場合は、GPOに「強制」オプションを使用します。これを設定すると、下位のOUで「継承のブロック」が設定されていても、そのポリシーが強制的に適用されます。この2つの機能を理解することで、より緻密なポリシー制御が実現します。

適用状況をその場でチェックするコマンド「gpresult」

グループポリシーの適用状況を確認するときに役立つのが、「gpresult」コマンドです。

このコマンドをクライアントPCのコマンドプロンプトやPowerShellで実行することで、どのGPOが適用されているかを確認でき、状況によっては適用されなかったGPOや除外理由も調査できます。基本的な使用法はgpresult/rで、これを実行すると現在ログオンしているユーザーとコンピューターに適用されているGPOの一覧が表示されます。

さらに詳しく調べる場合は、「gpresult /h report.html」を実行してください。適用結果がHTMLファイルに出力され、ブラウザー上で各設定の詳細を確認可能です。設定が反映されない原因を調査する際の第一歩として、このコマンドによる適用状況の確認は欠かせません。

大規模障害を防ぐ！グループポリシー運用で失敗しないための注意点

グループポリシーは非常に強力な管理機能ですが、影響範囲が広く、一つの設定ミスが組織全体の業務に支障を及ぼすリスクがあります。不用意な設定変更によるトラブルを防ぎ、安定した運用を続けるために、いくつかの注意点をおさえておきましょう。

ここでは、安全なGPO運用に必要なテスト検証、バックアップ、変更管理の考え方を取り上げます。

本番適用前にテスト用OUで影響範囲を検証する

新しいグループポリシーを作成したり、既存のポリシーを大幅に変更したりする場合、いきなり本番環境のOUに適用するのは非常に危険です。意図しない設定が適用され、多数のPCやユーザーに影響がでる可能性があります。このような事態を避けるため、本番環境とは別に、検証用のユーザーやコンピューターだけを所属させた「テスト用OU」を必ず用意しましょう。

新しいポリシーはまずこのテスト用OUにリンクして、一部の環境で動作確認をおこないます。想定通りの設定が適用されるか、他のアプリケーションの動作に影響がないかなどを十分に検証し、安全性が確認できたものだけを本番のOUへ展開する、という手順を徹底することが重要です。

GPOのバックアップ取得と復元の手順を確立しておく

万が一、グループポリシーの設定ミスによって問題が発生した場合に備え、GPOの定期的なバックアップは不可欠です。正常に動作している状態のGPOを保存しておけば、問題発生時に速やかに元の状態へ復元できます。「グループポリシーの管理」コンソールには、GPOのバックアップと復元の機能が標準で備わっています。

特定のGPOを個別にバックアップしたり、すべてのGPOを一括でバックアップしたりすることが可能です。バックアップしたGPOは、インポート機能を使って別のドメイン環境にコピーすることもできます。障害発生時の迅速な復旧計画の一環として、定期的なバックアップ取得と、いざという時のための復元手順を確立しておきましょう。

いつ誰が何を更新したか変更管理簿で記録する

グループポリシーの運用が長くなると、「いつの間にか設定が変わっていた」「誰が変更したか分からない」といった問題がおこりがちです。特に複数人で管理している環境では、変更の意図が共有されず、トラブルの原因となることがあります。このような事態を防ぐために、GPOに対する変更はすべて記録に残す「変更管理」のプロセスを導入することが重要です。

GPOの新規作成、編集、削除、リンクの変更などをおこなった際は、「いつ」「誰が」「どのGPOを」「なぜ」「どのように」変更したのかを管理簿に記録します。これにより、変更の追跡が容易になり、問題発生時の原因究明や管理の透明性確保につながります。

また、GPOのプロパティからレポートを作成し、設定内容をドキュメントとして保存しておくことも有効です。

グループポリシーに関するよくある質問

グループポリシーについて、情報システム担当者からよく寄せられる質問とその回答を紹介します。

Q. 設定したグループポリシーがPCに反映されない場合、何を確認すればよいですか？

次の順序で確認すると、原因を切り分けやすくなります。

適用結果は、前述の「gpresult /r」または「gpresult /h report.html」で確認できます。設定によっては、反映にサインアウトや再起動が必要です。

Q. Active Directoryがない環境でもグループポリシーは使えますか？

はい、使えます。Active Directoryドメインに参加していないスタンドアロンのPCでも、「ローカルグループポリシー」という機能を利用して、そのPC単体の設定を管理できます。ただし、ローカルグループポリシーはあくまでその1台にしか適用されず、複数台を一元管理することはできません。

組織的な集中管理のためにはActive Directory環境が前提となります。

Q. 組織変更でOU構造が変わった場合、グループポリシーのメンテナンスはどうすればよいですか？

組織変更にともないOU構造を変更した場合、GPOのリンクも見直しが必要です。ユーザーやコンピューターを新しいOUに移動させると、古いOUにリンクされていたGPOは適用されなくなり、移動先のOUのGPOが新たに適用されます。

実態にあわせてGPOのリンク先を変更したり、新しいOU用にGPOを新規作成したりするメンテナンス作業が発生します。

まとめ

本記事では、Active Directory環境におけるグループポリシーの基本的な仕組みから、具体的な設定方法、適用時の優先順位、安全に運用するためのポイントまでを解説しました。グループポリシーを活用すれば、組織内のコンピューターやユーザーに共通の設定を一括で適用でき、IT管理者の負担軽減とセキュリティ水準の統一につながります。

まずはテスト用OUで設定内容と影響範囲を確認し、問題がないことを確かめたうえで本番環境へ段階的に展開しましょう。組織の環境や運用ルールに合わせ、無理のない範囲からポリシーの設計・適用を進めてみてください。

AD×IT資産管理ツール「SS1」で管理効率化を実現した事例をご紹介！

グループポリシーは設定の統一に役立ちますが、端末のインベントリ情報やソフトの導入状況、USBデバイスの利用履歴までを網羅的に把握する機能ではありません。こうした情報を可視化し、端末の状態を継続的に管理するには、IT資産管理ツールとの組み合わせが効果的です。

IT資産管理ツール「SS1」は、PCのハードウェアやソフトウェア情報を収集し、機器情報やログ、デバイスの利用状況を一元管理できます。また、オプション機能の「Active Directory連携」を利用すれば、AD上の情報をSS1へ取り込み、IT資産台帳に自動反映させることが可能です。

西部電気工業株式会社様では、SS1の導入により機器台帳・ログ・AD上のユーザー情報の一元化と台帳更新の効率化を実現されています。詳細は下記の導入事例をご参照ください。

参考

【西部電気工業株式会社様】IT資産管理ツール「SS1」導入事例インタビュー
Active Directory連携｜IT資産管理ツールSS1

著者プロフィール
SS1LAB編集部
IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！