2サイト構成のActive Directoryで、Site1で編集したGPOがSite2のDC上のGPMCでも同じ内容に見えるのに、Site2側のクライアントには適用されない——この挙動は珍しくありません。原因は「GPMCの表示」と「クライアントへの適用」が見ている場所が一致していないことです。
現象を整理すると何が起きているのか
まず押さえたいのは、今回の違和感が「表示が一致している＝複製（レプリケーション）が完了している＝適用されるはず」という思い込みから生まれている点です。マルチサイトのドメインでは、“どこで編集したか”と“どこに複製されたか”、そして“クライアントがどこを参照して適用したか”が一致しない場面が普通にあります。
この状態を一言で言うと、「GPMCが参照しているDC」と「クライアントが参照しているDCが違う」、もしくは「AD側は複製されたがSYSVOL側がまだ」といった“片側だけ進んだ”状況です。どちらも現場でよく起きます。
| あなたが見ているもの | 実体 | なぜズレる？ |
|---|---|---|
| GPMCの「設定」表示（GPOの内容） | GPO定義（AD＋SYSVOLの情報をもとにしたレポート） | GPMCが接続しているDCがSite1側（例：PDC側や別DC）だと、Site2に未複製でも“最新が見える” |
| クライアントの適用結果（gpresult / rsop.msc） | その端末がログオン時/更新時に参照したDC・SYSVOLでの処理結果 | 端末は通常「自サイトのDC」を優先するため、Site2のDCに未複製なら新GPOは適用できない |
GPMCの表示は「適用結果」ではない
GPMC（Group Policy Management Console）は、基本的に“GPOを管理するためのコンソール”です。ここで表示されるのは、OUやサイトにリンクされているGPOの構造、GPOの設定内容（定義）、セキュリティフィルタやWMIフィルタなどの管理情報です。
一方、「その端末に実際どう適用されたか」は、クライアント側のGroup Policy Client（CSE）が処理して初めて確定します。つまり、GPMCの画面だけでは「Site2に適用された」ことは保証できません。
| 確認したいこと | 適した機能/コマンド | ポイント |
|---|---|---|
| GPOの“定義”がどうなっているか | GPMCのGPO「設定」タブ / レポート | 表示は「接続先DC」の状態。別DCの未複製状況は反映されないことがある |
| そのPCに“何が適用されたか” | gpresult /r、gpresult /h、rsop.msc | クライアントが参照したDCや、適用/除外理由の追跡ができる |
| GPMCから“適用結果”を集めたい | GPMCの「グループ ポリシーの結果」 | 対象PCへ接続して収集する。GPO定義の閲覧とは別機能 |
GPMCはどのDCを見ているのか：PDCエミュレーターと接続先の落とし穴
ポイントは、「GPMCをどのサーバーで起動したか」と「GPMCがどのDCに接続しているか」は別だということです。たとえばSite2のDC上でGPMCを起動しても、内部的にはSite1側のPDCエミュレーター（あるいは別のDC）へ接続して情報を取得している可能性があります。
特にGPO編集やレポート生成では、運用上の整合性（競合回避）の観点からPDCエミュレーターを優先する構成・挙動になるケースがあり、これが「Site2でも同じ内容に見える」原因になりがちです（環境によっては“任意の利用可能なDC”が選ばれることもあります）。
GPMCで“今どのDCを使っているか”を確認・変更する
Site2への複製状況を確認したいなら、GPMCの接続先を明示的にSite2のDCへ切り替えて表示を見ます。操作イメージは次の通りです。
- GPMCで対象ドメインを右クリックする
- 「ドメイン コントローラーの変更（Change Domain Controller）」相当のメニューを開く
- 「このドメイン コントローラーを使用する」を選び、Site2のDCを指定する
- 改めてGPOの設定レポートや詳細を表示し、内容やバージョンを比較する
さらに、GPOを“編集”している場合は、GPMC本体の接続先だけでなく、Group Policy Management Editor（エディタ）側の「Editing Domain Controller」も確認してください。同じコンソール内でも、管理対象や操作により参照先が変わることがあります。
| 見たい状態 | GPMC/エディタの接続先 | 目的 |
|---|---|---|
| “編集直後の最新”を確実に見る | PDCエミュレーター（または編集したDC） | 編集内容の確認、設定の書き漏れ防止 |
| “Site2へ複製されたか”を確認する | Site2のDCを明示指定 | 複製遅延/不整合の有無を見抜く |
| “クライアントが実際に参照している”のはどこか | クライアント側でDCを特定（gpresult等） | 適用されない原因を現物ベースで切り分ける |
GPOはADとSYSVOLの両方が揃って初めて“適用できる”
GPOは一枚岩ではなく、ざっくり言うと「ADにある情報（GPCなど）」と「SYSVOLにあるファイル（GPT）」の2要素で成り立っています。どちらか片方だけが新しくても、クライアント側の処理は失敗したり、古い設定のままになったりします。
| 要素 | 置き場所 | 主な内容 | 複製の仕組み | 遅延/不整合があると… |
|---|---|---|---|---|
| GPC（Group Policy Container） | Active Directory（CN=Policies など） | GPOのメタ情報、状態、バージョン、リンク情報（gPLinkはOU属性） | ADレプリケーション | GPOが“存在しない/古い”ように見える、リンク情報が反映されない |
| GPT（Group Policy Template） | SYSVOL（\\domain\SYSVOL\...\Policies\{GUID}） | 実体ファイル（GPT.ini、Administrative Templates、Scripts、Registry.polなど） | SYSVOLレプリケーション（DFSR/旧FRS） | GPOは見えるが内容が古い、CSEがファイルを読めず適用失敗 |
「GPMCで同じに見えるのに適用されない」は、まさにこの二重構造が効いてきます。GPMCが参照するDCのSYSVOLは最新でも、クライアントが参照するSite2 DCのSYSVOLが古ければ、その端末では新しいポリシーを取り込めません。
バージョン不整合で気づく：GPC版とGPT版
GPOには“バージョン”があり、GPMCの詳細でユーザー構成/コンピューター構成のバージョンが表示されます。さらにSYSVOL側のGPT.iniにもバージョン情報があります。理想は、AD側のバージョンとSYSVOL側のバージョンが一致していることです。
もしSite2 DCで見たときに、GPMCの表示（AD側）とSYSVOL側の実体が一致していないなら、DFSRの遅延や停滞、あるいはSYSVOL参照先のブレを疑うのが定石です。
「表示は更新されたのに適用されない」代表パターン
同じ“適用されない”でも、原因は複数あります。まずは再現性の高いパターンを押さえると、調査が速くなります。
| パターン | 起きること | よくある原因 | 最短の確認方法 |
|---|---|---|---|
| GPMCがPDC（Site1）や別DCを参照している | Site2のDCでGPMCを開いても最新設定が見える | GPMCの接続先がPDC/別DCのまま | GPMCで接続先DCをSite2に固定して再表示 |
| ADは複製されたがSYSVOL（DFSR）が遅れている | GPOは存在するが、設定ファイルが追いつかず適用が欠ける | DFSRバックログ、停止、競合、イベントエラー | Site2 DCのSYSVOL配下のGUIDフォルダと更新時刻を確認 |
| クライアントが想定と違うサイト/DCを参照している | Site2クライアントでもSite1のDCで処理してしまう/逆もある | サイト/サブネット未定義、誤定義、DNS/経路の問題 | echo %LOGONSERVER%、gpresult /rで参照DCを確認 |
| 複製は正常だがGPOが“適用対象外” | GPMCでは見えるが、端末に反映されない | セキュリティフィルタ、WMIフィルタ、継承ブロック、リンク無効 | gpresult /hで除外理由（Denied/Filtered）を確認 |
クライアントが参照したDCを確認する（ここが最重要）
“適用されない”を詰めるとき、管理者が最初にやりがちなのは「サーバー側（GPO側）の見え方」だけを追い続けることです。しかし、グループポリシーの適用はクライアントが握っている事実が中心です。まずは「その端末がどのDCを参照したか」を特定してください。
すぐに分かる確認
- ログオンDCの目安：
echo %LOGONSERVER% - ドメインDC検出の確認：
nltest /dsgetdc:<ドメイン名> - 適用結果（テキスト）：
gpresult /r - 適用結果（HTMLレポート）：
gpresult /h C:\Temp\gpresult.html
特にgpresultのレポートには、適用されたGPOの一覧に加えて「なぜ適用されなかったか（アクセス拒否、フィルタ、リンク無効など）」のヒントが出ます。複製遅延が原因なら、参照DCがSite2のDCになっているのに設定が反映されていない、といった形で辻褄が合ってきます。
イベントログでの追跡（より確実）
Windowsクライアント/サーバーの「GroupPolicy」運用ログ（Operational）では、ポリシー処理の成否、読み込みエラー、処理時間などが追えます。ファイルが見つからない/読み取れない系のエラーが出ているなら、SYSVOL複製や参照先が疑わしい、と判断できます。
レプリケーション確認の実務コマンド集
“Site2へ複製されていない”を客観的に示すには、AD複製とSYSVOL複製を分けて確認します。ここを混ぜると、いつまでも原因が絞れません。
| 確認対象 | コマンド例 | 見どころ |
|---|---|---|
| ADレプリケーション全体の健康状態 | repadmin /replsummary | 失敗率、遅延、エラーの有無。まずは全体像を掴む |
| DC間の複製状況（詳細） | repadmin /showrepl | どのネーミングコンテキストで失敗しているか、最終成功時刻 |
| 強制同期（AD） | repadmin /syncall /AdeP | スケジュール待ちを短縮。運用ルールの範囲で実施 |
| SYSVOL（DFSR）の遅延/停滞の気配 | DFSRイベントログ（DC側）、dfsrdiag系 | バックログ、初期同期待ち、競合、停止の兆候を拾う |
| SYSVOLの実体確認 | Site2 DCで\\<Site2DC>\SYSVOL配下のGPO GUIDフォルダを確認 | 対象GPOの更新ファイル（GPT.ini、Registry.pol等）の更新時刻が追いついているか |
ポイントは、ADレプリケーションが正常でもSYSVOL（DFSR）が詰まることがある点です。逆に、SYSVOLファイルが見えるのにAD側リンクが未反映ということもあり得ます（頻度は低いですが、片系統だけ止まると起きます）。
GPMCで「Site2に複製済みか」を確認する手順（再現性重視）
「GPMC上で同じに見える」現象に対して、確実に“同じなのか/同じように見えているだけなのか”を判定するための手順です。
- GPMCの接続先DCをSite2 DCへ固定する（ドメインの右クリックから変更）
- 対象GPOの詳細（Details）でバージョンや更新者/更新時刻を確認する
- 対象GPOの設定（Settings）でレポートを生成し、編集内容が反映されているか確認する
- Site2 DCでSYSVOLのGUIDフォルダを開き、
GPT.iniや関連ファイルの更新時刻を確認する - 最後にSite2側クライアントでgpresult /hを採取し、適用GPOと参照DC、除外理由を突き合わせる
この流れで「GPMCの表示は最新だけど、Site2 DCへ固定すると古い」「SYSVOLの更新時刻が古い」「gpresultでは参照DCがSite2で新GPOが適用されていない」と揃えば、原因はほぼレプリケーション（特にSYSVOL側）に絞れます。
GPMCの“操作ごと”に参照先が違うことを理解する
「GPMCはどのDCの内容を見ているのか？」という疑問に答えるには、GPMCが単一の参照先で動くとは限らない点を知っておく必要があります。GPMCには大きく“管理（定義を見る/編集する）”と“結果（端末の適用状況を見る）”の機能があり、後者はクライアントへ問い合わせて収集します。
| GPMCの機能 | 何を表示するか | 主な参照先 | 勘違いしやすい点 |
|---|---|---|---|
| GPOの閲覧（設定/詳細/スコープ） | GPOの定義 | GPMCで選択しているDC（LDAP）＋そのDCが参照するSYSVOL | “この画面が最新＝全DCに複製済み”ではない |
| GPOの編集（GPME） | 編集対象GPOの定義 | エディタで指定されたEditing Domain Controller | GPMC本体の接続先とエディタの接続先がズレることがある |
| グループ ポリシーの結果 | 実際の適用結果（RSoP） | 対象クライアント（WMI等）＋必要に応じてAD参照 | “GPMCのどのDCを見ているか”ではなく“端末がどう処理したか”が主役 |
| グループ ポリシーのモデリング | シミュレーション結果 | ドメイン情報（AD）＋入力条件 | モデルはあくまで予測で、実機の結果とは異なることがある |
今回の現象は、上の表で言うと「GPOの閲覧」をしているときに参照先がPDCなどへ向いており、その結果として“最新が見えてしまう”状態です。一方で、クライアントの適用はクライアントが選んだDC/SYSVOLに依存するため、ズレが発生します。
PowerShellで「DCを指定してGPOを比較」すると一気に切り分けできる
GUI（GPMC）は便利ですが、参照先の切り替えや画面の見落としが起きやすいのも事実です。マルチサイトでの検証では、PowerShellのGroupPolicyモジュールを使って“どのDCから取得した情報か”を明示すると、状況が一気にクリアになります。
| やりたいこと | コマンド例 | 使いどころ |
|---|---|---|
| 特定DCからGPO情報を取得 | Get-GPO -Guid {GUID} -Domain contoso.com -Server DC2 | Site2のDCがAD側（GPC）をどう認識しているか確認 |
| 特定DCからGPOレポートを出力 | Get-GPOReport -Guid {GUID} -ReportType Html -Path C:\Temp\gpo.html -Server DC2 | “そのDC基準の定義”をファイルとして保存し比較しやすい |
| GPOの一覧を特定DC視点で確認 | Get-GPO -All -Domain contoso.com -Server DC2 | select DisplayName,Id | GPOが欠けていないか、名前/IDの整合性チェック |
同じGUIDのGPOを、DC1（Site1）とDC2（Site2）それぞれに対してレポート出力し、差分があるなら「まだ複製されていない/片系統だけ遅れている」と即判断できます。GUIの“見た目”に引きずられず、検証を定量化できるのが強みです。
SYSVOL参照先のブレにも注意する
もう一つ、現場で混乱を招きやすいのがSYSVOLの参照です。\\domain\SYSVOLは内部的にはDFS名前空間として扱われ、アクセスするマシンのサイトや状況により参照先が変わることがあります。
- 確実にSite2 DCのSYSVOLを見たい：
\\DC2\SYSVOLのようにDC名を明示する - GPMCのレポートとファイル確認を突き合わせる：どちらも同じDC基準になっているかを揃える
「\\domain\\SYSVOLで見えるから複製済み」と判断すると、実はSite1のSYSVOLを見ていた…という事故が起きます。複製確認では、必ずDC名を付けて確認する癖を付けると安全です。
トラブルシュートのチェックリスト
レプリケーション起因を疑う場合でも、最後に“適用条件”を軽く確認しておくと手戻りを減らせます。現場でよく混ざるポイントを短くまとめます。
| チェック項目 | 確認方法 | 補足 |
|---|---|---|
| GPOリンクが正しいOUに付いている | GPMCでリンク先OU/サイトを確認 | テストOUと本番OUの取り違えが意外と多い |
| リンクが無効になっていない | GPMCでリンク状態（Link Enabled）確認 | 一時無効化したまま戻し忘れ |
| セキュリティフィルタ/WMIフィルタ | GPMCのScope、gpresult /h | 「Authenticated Users」除外後の指定漏れに注意 |
| 継承ブロック/強制（Enforced） | GPMCで継承と優先順位を確認 | “効いてほしい”GPOが下位で負けていることもある |
| クライアントが正しいサイトに属している | Active Directory Sites and Servicesのサブネット定義、nltest | サイト判定がずれると参照DCもずれ、現象がブレる |
再発防止の運用ヒント
マルチサイト環境で「見え方」と「適用」がズレて混乱するのは、珍しい障害というより設計上起こり得る自然な現象です。運用での“見誤り”を減らすために、次の方針が効きます。
- GPO編集は原則としてPDCエミュレーター（または決めた編集DC）に集約し、編集後は複製時間を考慮して展開する
- GPMCの接続先DCを意識する運用（「普段はPDC」「複製確認はSite別DC」のように使い分け）
- AD複製とSYSVOL複製を別監視する（どちらかだけ止まると現象が分かりにくい）
- サイト/サブネットの定義を最新化し、クライアントが正しく自サイトDCを引ける状態を維持する
- トラブル時は「GPMCの画面」より先にgpresult（現物）を採取して事実ベースで進める
まとめ：GPMCの“同じ表示”は複製完了や適用成功を意味しない
今回の現象は、GPMCが“適用結果”ではなく“GPO定義”を表示しており、その表示がGPMCの接続先DC（場合によってはPDCエミュレーター）に依存することが根本原因です。Site2で適用されるかどうかは、Site2 DCにADとSYSVOLの両方が整合した状態で複製されているか、そしてクライアントがどのDCを参照して処理したかで決まります。
GPMCの接続先を切り替えて“複製済みか”を確認し、クライアント側はgpresult等で“どこから適用されたか”を確認する。この2本立てで見れば、「同じに見えるのに効かない」は短時間で説明でき、再発時も落ち着いて切り分けできます。
コメント