GPO Editorに追加した従来のADMテンプレートは、カテゴリを右クリックして削除するのではなく、Administrative Templatesの「Add/Remove Templates」から対象ADMを選んでRemoveします。ただしこれは編集画面のテンプレート定義を外す操作で、ADMを使って設定済みのレジストリベースポリシーが自動で消えるとは限りません。先に設定項目を未構成へ戻し、端末側の結果を確認してからテンプレートを削除します。
安全な順序は「GPOバックアップ → ADMが定義する設定を棚卸し → 未構成化と端末確認 → Add/Remove Templatesで削除 → Extra Registry Settings確認」です。
削除前に確認すること
- 対象GPO名、GUID、リンク先、セキュリティフィルター、WMIフィルター
- ADMファイル名、版、ハッシュ、Computer/Userの追加場所
- ADM配下で有効・無効にした全ポリシーとレジストリ値
- 同じ値を定義するADMX/別GPO/MDM/スクリプトの有無
- 対象端末での現在値と結果セット、アプリの期待動作
- GPO・SYSVOL・Central Storeのバックアップと復元試験
GPOを右クリックしてバックアップし、Group Policy Results/ModelingやレポートをHTML等で保存します。ADMファイル自体も構成管理へ保管しますが、改ざん防止とアクセス権を設定します。削除後に画面から項目が消えると元の定義が分からなくなるため、KEYNAME、VALUENAME、値の意味を先に記録します。
設定値を先に戻す
対象ADMの各設定をGPO Editorで確認し、有効または無効になっているものを一覧化します。製品の現行ADMXへ移行するなら、旧設定と新設定のレジストリ値が同じか、未構成時に値を削除するかを比較します。いきなりADMを外すと編集画面から見えなくなり、設定がExtra Registry Settingsとして残ることがあります。
- 検証用にGPOを複製し、少数端末へ適用します。
- 旧ADMの対象設定を未構成へ戻し、GPOレポートの差分を確認します。
- 対象端末でポリシー更新後、レジストリ、結果セット、アプリ動作を確認します。
- 値が残る仕様なら、製品公式の削除方法またはGPP/管理ツールで安全に削除する計画を作ります。
- 本番GPOへ同じ変更を適用し、観察期間を置いてからADMを削除します。
Add/Remove Templatesから削除する
GPMCで対象GPOを編集し、ADMを追加したComputer ConfigurationまたはUser Configuration側のAdministrative Templatesを右クリックしてAdd/Remove Templatesを開きます。一覧でファイル名と説明を照合し、対象一件だけをRemoveします。標準テンプレートや別製品のADMを巻き込まないようにします。
削除後にEditorを閉じて開き直し、カテゴリが消え、他テンプレートが正常に表示されることを確認します。DC複製とSYSVOLエラーを確認します。複数GPOへ同じADMが埋め込まれている場合、一つを削除しても他GPOには残るため、GPOごとに棚卸しします。
Extra Registry Settingsとは
GPOにレジストリ設定は残っているが、現在読み込んだADMX/ADMに表示定義がないと、Extra Registry Settingsとして見えることがあります。Microsoft公式は、Central StoreのADMX/ADML版差でも同様の表示が起きると説明しています。表示が消えたことを設定削除と同一視しません。
残った値を削除する際は、MicrosoftのRemove-GPRegistryValue等でGPO内の正確なキーと値を対象にできますが、先にバックアップとWhatIf相当の確認、GPOレポート差分、検証端末を使います。広いキーを丸ごと削除せず、一値ずつ処理します。
ADMXへ移行する場合
同じ製品の現行ADMX/ADMLをCentral Storeへ配置し、GPMCで設定が正しく読めることを確認します。旧ADMと新ADMXが同じレジストリ値を定義するなら、移行中に重複表示する場合があります。検証GPOで新テンプレートから設定を保存し、端末側の最終値が変わらないことを確認します。
テスト項目
- GPO Editorを別の管理端末から開いても解析エラーがない
- 対象カテゴリだけが削除され、他のAdministrative Templatesが残る
- 対象端末のレジストリ値が期待どおり削除または新ADMXで維持される
- アプリが起動し、旧制御が意図せず残っていない
- GPO結果レポートに不要なExtra Registry Settingsがない
- SYSVOL複製とDCイベントが正常
失敗した場合
必要な設定画面が消えた、別ポリシーが表示されない、端末動作が変わった場合は、保存したGPOバックアップを新しい検証GPOへ復元して比較します。必要なら元のADMを同じ版・ハッシュでAdd/Remove Templatesから再追加し、設定を元へ戻します。異なる版を急に追加するとカテゴリと値が変わる可能性があります。
運用上の再発防止
カスタムテンプレート台帳に、形式、製品、版、追加GPO、所有者、設定値、導入日、廃止日を記録します。ADMは新規禁止を原則とし、例外に終了期限を付けます。Central Storeは変更者を限定し、更新前後のファイル一覧・ハッシュ・GPMC画面を保存します。
複数GPOから探す方法
どのGPOにADMが入っているか不明な場合、GPMCのレポート、GPOバックアップ、SYSVOLの各GPO GUID配下を読み取り中心で棚卸しします。SYSVOLを直接編集・削除せず、一覧とハッシュだけを取得します。GPO名とGUIDの対応をGet-GPO等の公式管理機能で確認します。
同名ADMでも版や内容が違う可能性があります。ファイルサイズだけで同一と判断せず、ハッシュ、更新日、内部のKEYNAMEを比較します。最も新しいものを無条件で全GPOへ入れ替えません。
削除がSYSVOLへ反映されない場合
Add/Remove Templatesで削除後も別DCで表示される場合、GPOのバージョン、DFSRバックログ、イベント、管理端末が接続したDCを確認します。繰り返し削除操作をせず、複製障害を先に解決します。SYSVOL内ファイルをエクスプローラーから手動削除しません。
GPMCキャッシュやEditorの開きっぱなしで古い表示が残ることもあります。閉じて別管理端末から確認します。複製収束前に本番設定を変更すると競合を増やします。
設定値が端末に残る場合
GPOレポートから消えても端末レジストリに値が残るなら、tattooing型設定、別GPO、GPP、MDM、アプリ自身の設定を疑います。結果セットと管理ログで最終設定元を特定します。ローカル値を一台だけ手削除して成功と判断しません。
クリーンアップは検証GPOで対象値を削除し、アプリ再起動、サインイン、端末再起動を試します。利用者設定を消す影響があるなら、バックアップと復元選択肢を用意します。
監査証跡
削除作業の前後で、GPOバックアップID、レポート、ADMハッシュ、設定一覧、端末テスト、DFSR状態、承認者、作業者を保管します。変更履歴に「テンプレート削除」と「設定撤回」を別項目で記録します。
問題が数週間後に見つかることがあるため、旧ADMとバックアップを期限付きで安全に保持します。保持終了後は構成管理の廃棄手順で削除し、管理端末の一時コピーも整理します。
コメント