グループポリシー（GPO）の強制とブロック方法｜GPOの適用対象制御

GPOの「強制」はリンクに設定し、「継承のブロック」はドメインまたはOUに設定します。継承をブロックしても、そのOUに直接リンクしたGPOや上位で強制されたリンクまで無効にはなりません。本記事では、この違いとGPMCでの操作、適用結果の確認方法を図解で解説します。

操作対象はActive Directoryのグループポリシーです。管理権限と変更の承認がある環境で、まずテスト用OU・端末を使って確認してください。図は旧バージョンのGPMCのため、アイコンだけでなくリンクの設定値で判断します。

Active Directory（AD）とは？

そもそもADとは何か？といった方は下記の記事を是非ご覧ください。ADについて重要なポイントを網羅しておりADについて説明ができるようになります。

Active Directory の全て（初心者でもADを完全に理解できる）

グループポリシーの優先順位の復習

グループポリシーはローカル、サイト、ドメイン、OUの順に処理されるポリシーといった種類があり、適用対象となる設定がユーザーやコンピューターに累積します。通常は後で処理される設定が競合時に優先され、親OUより子OU、同じコンテナーではリンク順序1が高い優先順位になります。競合も当然発生するので優先順位が決まっています。GPOの優先順位の詳細は下記の記事をご参照ください。

グループポリシーの適用順序（複数のGPOで競合が発生した場合どうなるのか）

グループポリシーの強制方法

GPMCで対象のサイト・ドメイン・OUを展開し、その場所にあるGPOのリンクを右クリックして「強制」を選択します。「グループ ポリシー オブジェクト」配下のGPO本体に一括で設定するものではありません。同じGPOを複数箇所へリンクしている場合、リンクごとに確認します。

強制した上位リンクの設定は、下位OUの競合するGPOで上書きされず、下位の継承ブロックでも除外されません。ただしセキュリティフィルターやWMIフィルターを無視して全員へ適用する機能ではありません。リンクの有効・無効、GPOのユーザー／コンピューター設定の状態も確認します。

「強制」設定が正常にいくとポリシーのアイコンに鍵マークがつきます。

グループポリシーのブロック

継承のブロックはドメインまたはOUに設定します。止めるのは、上位サイト・ドメイン・親OUから通常の継承で届くGPOです。そのOUに直接リンクしたGPOを無視する設定ではありません。また、上位のリンクが「強制」なら継承のブロックより優先されます。

特定の1つのGPOだけを止める機能でもありません。必要なセキュリティ設定まで届かなくなる可能性があるので、上位から継承するGPOを確認してから変更してください。

ブロックしたいOUを右クリックして「継承のブロック」を選択します。

「継承のブロック」を設定した後は、OUの表示に加えて、右クリックメニューのチェック状態と［グループ ポリシーの継承］タブを確認します。見た目の変化だけでは端末への適用確認にはなりません。

アクセス許可によるフィルター

その他の方法として、「ユーザー・グループ」または「コンピューター単位」でGPOを適用可否の制御を行う事が可能です。権限による制御です。詳細は下記の記事をご参考にしてください。

特定のユーザーやPCに限定してグループポリシー（GPO）を適用させる方法

例：親OUのGPOと子OUのGPOはどうなる？

親OUにGPO-A、子OUにGPO-Bをリンクした場合を考えます。以下はリンクが有効で、フィルター条件も満たす場合の概念例です。

この例は全GPOの競合パターンを網羅するものではありません。強制されたリンクが複数ある場合やループバック処理を使う場合は、継承タブと実際の結果で確認してください。

似た操作との違い

• リンクの無効化：そのリンク先でGPOを使わない。他のリンク先の扱いとは別です。
• GPOの設定の無効化：ユーザー設定／コンピューター設定の処理を制御します。
• セキュリティフィルター：特定のユーザー・コンピューターなどに対象を絞ります。「読み取り」と「グループ ポリシーの適用」の権限を確認します。
• 継承のブロック：上位から継承する通常のGPOを止めます。

変更後はgpresultで適用結果を確認する

GPMCの表示は設定の確認です。対象端末でどのGPOが適用されたかは、対象ユーザーでサインインした状態で結果を確認します。コンピューター側の情報には管理者権限が必要になる場合があります。

gpresult /scope user /r
gpresult /scope computer /r

詳細をHTMLで確認する場合は、保存先が存在し、同名ファイルがないことを確認して次を実行します。

gpresult /h "%TEMP%\gpo-result.html"

レポートは対象端末に保存されます。ドメイン名・ユーザー名などの内部情報を含むため、公開サイトへそのまま載せないでください。管理者として別アカウントで実行したときは、ユーザー側の結果が調べたい本人のものかも確認します。

期待した結果でなければ、対象オブジェクトのOU、ユーザー設定とコンピューター設定の取り違え、リンクの有効状態、フィルター、レプリケーション・ポリシー更新の状況を順に確認します。設定によってはサインアウトや再起動後に反映されます。原因を確認せず「強制」を増やして解決しようとしないでください。

元に戻すときの注意

強制を解除するなら該当リンク、継承ブロックを解除するなら該当OU／ドメインのチェックを外します。変更前の設定を記録しておき、同じ対象へ戻してください。設定項目によってはGPOが対象外になっても値が残るため、チェックを戻すだけで端末の全設定が元通りになるとは限りません。

公式資料

Microsoft Learn：Group Policy processing ／ Group Policy scope ／ Set-GPInheritance ／ gpresult