【連載】

にわか管理者のためのWindows Server 2012入門

【第50回】スターターGPOとGPOのドメイン間移動

[2013/12/02 09:00]井上孝司 ブックマーク ブックマーク

  • サーバ/ストレージ
  • ● 関連キーワード
  • サーバ

サーバ/ストレージ

今回は、グループポリシーにまつわる付随的な話題として、スターターGPOの作成と、異なるドメインの間でグループポリシーオブジェクト(GPO)を行き来させる方法について解説しよう。

スターターGPOの作成

スターターGPOは、Windows Server 2008から加わった新機能だ。これは、GPOを新規作成したときの初期設定を任意の内容に変更できるというものだ。GPOを追加する度に特定の項目を既定値から変更するような場面では、それを反映させたスターターGPOを用意しておくと、設定の手間や設定漏れを回避できる利点がある。

これを正確にいうと、ユーザーが独自に設定変更を加えたGPOをスターターGPOとして登録しておき、GPOを新規作成する際に選択肢に加える、という動作になる。要するにGPOのテンプレートである。そのスターターGPOの作成手順は以下の通りだ。

  1. [グループポリシーの管理]管理ツールで、ドメイン名以下にある[スターターGPO]を選択して、[操作]-[新規]、あるいは右クリックして[新規]を選択する。

  2. 続いて表示するダイアログで、作成するスターターGPOの名前と説明を指定して[OK]をクリックする。

  3. 新しいスターターGPOがツリーの下に加わる。それを選択して、[操作]-[編集]、あるいは右クリックして[編集]を選択すると、ポリシーエディタが起動する。その状態で設定内容の変更を行える。

  4. 変更作業が完了したら、ポリシーエディタを終了する。これでスターターGPOができあがる。

こうして作成したスターターGPOは、GPOを新規作成する際に表示するダイアログで、既定のGPOとともに、選択肢としてリストボックスに提示される仕組みだ。

[スターターGPO]を選択してから、右クリックして[新規]を選択する。ポリシーエディタで、作成したスターターGPOを必要に応じた内容に編集する

スターターGPOを作成すると、GPOを追加する際に、選択肢としてスターターGPOを選べるようになる

ドメイン間移動はバックアップとインポートの組み合わせ

基本的には、ひとつの組織の中で複数のActive Directoryドメインを構成する方法は推奨されておらず、できるだけ単一のドメインにまとめる方がよいとされている。しかし、何かの事情で複数のドメインを構成している、あるいは子会社や関連会社の分まで管理している、といった事情から、複数のドメインを扱わなければならない場合も考えられる。

そして、その複数のドメインに対してある程度の共通性があるセキュリティ設定を適用しようとすると、グループポリシーを使用して、同じような内容を持つGPOをそれぞれのドメインに適用しなければならない。そこで設定の手間を省くために、GPOのドメイン間移動という話が出てくる。

といっても、実はそれほどややこしい話ではなく、基本的にはGPMC(Group Policy Management Console)が持つバックアップ機能とインポート機能の組み合わせによって実現できる。作業手順の概略は以下のようになるが、バックアップ、あるいはインポートの具体的な操作手順については、本連載の第48回を参照していただきたい。

  1. あるドメインで、GPOを作成・編集する
  2. そのGPOを、GPMCでバックアップする
  3. バックアップ先フォルダの内容を、移行先ドメインのドメインコントローラからアクセスできる場所に持って行く
  4. 移行先ドメインのドメインコントローラにログオンして、GPMCを使ってGPOのインポートを行う

つまり、バックアップやインポートの操作手順は同じで、操作対象が同一ドメイン内から異ドメイン間に変わるだけだ。

と、これで済めば話は簡単なのだが、そうは問屋が卸してくれない。というのは、ポリシー項目によってはドメイン名、ユーザー名、グループ名など、個々のドメインに依存する設定内容を持っている場合があるからだ。

たとえば、特定のユーザーアカウントやグループを対象にしたポリシー項目があった場合、ドメインが変わるとオブジェクトの名称やSIDも変わってしまう。そのため、そのままではポリシー項目の適用ができない。そのため、こうした項目を含むGPOはインポートを諦めるか、インポート後に設定を確認して修正する手間がかかる。

※ 本記事は掲載時点の情報であり、最新のものとは異なる場合がございます。予めご了承ください。

この記事に興味を持ったら"いいね!"を Click
Facebook で IT Search+ の人気記事をお届けします
1016
2
【連載】にわか管理者のためのWindows Server 2012入門 [50] スターターGPOとGPOのドメイン間移動
今回は、グループポリシーにまつわる付随的な話題として、スターターGPOの作成と、異なるドメインの間でグループポリシーオブジェクト(GPO)を行き来させる方法について解説しよう。
https://news.mynavi.jp/itsearch/2015/10/19/windows_server_2012/50_index.jpg
今回は、グループポリシーにまつわる付随的な話題として、スターターGPOの作成と、異なるドメインの間でグループポリシーオブジェクト(GPO)を行き来させる方法について解説しよう。

会員登録(無料)

セキュリティ・キャンプ2017 - 精彩を放つ若き人材の『今』に迫る
ぼくらのディープラーニング戦争
ドローンのポテンシャル、メーカーやキャリア、ユーザー企業はこう見る
マイナビニュース スペシャルセミナー 講演レポート/当日講演資料 まとめ
人事・経理・総務で役立つ! バックオフィス系ソリューション&解説/事例記事まとめ

一覧はこちら

今注目のIT用語の意味を事典でチェック!

一覧はこちら

ページの先頭に戻る