GPOでネットワークドライブを設定する方法（共有フォルダのショートカットはダサい）

さて情シス担当者さん、共有フォルダのショートカットをGPOで配布して満足していませんか？

（１台毎にショートカットを作成しているのは論外ですが、、、）

ネットワークドライブは共有フォルダへドライブ文字を割り当て、利用者が開きやすくする仕組みです。共有先のUNCパスを秘密にする機能ではなく、他の共有へのアクセスを制限するものでもありません。表示方法とアクセス制御は分けて考え、共有権限とNTFS権限で必要な利用者だけに許可してください。

そこでネットワークドライブをGPOで各端末に割り当てる方法を説明します。ネットワークドライブっていうのは、USBメモリを接続した時に勝手にドライブが割あたりますよね、あれを共有フォルダで行ってしまおうという事です。共有フォルダが、USBメモリみたいに利用できるわけです。ショートカットも不要です。

グループポリシーの作成方法

グループポリシーの作成をしたことがない初心者の方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！に作成手順をかみ砕いて解説いたしましたのでまずはご参照ください。実例を用いて説明をしていますので全くの初心者でもグループポリシーが扱えるようになります。

早速ですが、グループポリシー管理エディターから

ユーザーの構成⇨基本設定⇨Windowsの設定⇨ドライブマップ

を開きます。

ドライブマップの右側の白抜きの場所で、右クリックをして

新規作成⇨マップされたドライブ

を選択。

ドライブのプロパティで、下の図を参考に必要事項を入力してください。画像は旧画面の例です。

場所には \\server\share のような正式なUNCパスを、ドライブ文字には既存のローカルドライブや別の割り当てと競合しない文字を指定します。ログオン中の利用者がその共有へアクセスできることを先に確認し、配布用のパスワードを設定へ埋め込まない運用にします。

アクションの「更新」は指定した設定を更新し、マッピングがなければ作成します。「置換」は既存の割り当てを削除して作り直すため、開いているファイルやアプリへの影響を考慮します。同じ意味ではありません。「作成」は既にあるマッピングを変更しません。

対象ユーザーで適用とアクセスを確認する

まずテストユーザーを含むOUへ限定して適用します。ユーザーの構成なので、対象ユーザーにGPOが適用されるリンク先・セキュリティフィルター・必要な項目レベルのターゲットを確認します。利用中のファイルを閉じたうえで通常のポリシー更新またはサインイン後に確認してください。

実際に対象クライアントの端末で確認してみましょう。

うーんできていますね。クールです。

割り当てだけで完了にしない確認事項

読み取り用の利用者は閲覧、変更を許可する利用者は検証用ファイルの保存・再読込を確認します。権限のない利用者が開けないことも確認してください。接続先は PowerShell の Get-SmbMapping などでも確認できるため、ドライブ文字に置き換えてもUNCパスが隠れるわけではありません。

問題があれば対象の設定を以前の状態へ戻し、対象マッピングだけを確認します。GPOのリンクを外すだけで既存の割り当てが必ず消えるとは限りません。全ドライブの一括削除ではなく、設定したドライブ文字と適用解除時の動作を確認して復旧します。

参考：Microsoftのドライブマップ設定仕様、Get-SmbMapping。