GPOの一元管理は、対象OUとセキュリティフィルターを絞り、変更前の設定・戻し方を記録して小規模検証することが前提です。以下のリンク集は残しつつ、IE時代の設定や証明書・強制終了など影響の大きい項目には現行運用上の注意を補っています。
長年GPO（グループポリシー）の運用してきた中で最終的に行き着いた情報システム部門の運用が楽になる最強のGPO設定を公開したいと思います。取捨選択して参考にしていただければと思います。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
運用が楽になるGPOの考え方
私が考える最強のGPO設定ですが、パソコンをセットアップした時にOSを入れてドメイン参加をすれば直ぐにパソコンが利用可能な状態になるGPO設定が理想だと考えています。また、ユーザープロファイルが破損した場合も同様で初期化すれば直ぐに使える状態がベストです。パソコンのクローンで展開れば良いといった考えもありますが、環境がクローンを作成した初期セットアップから乖離していくので個人的には無しだなと思っています。特にWindows 10の場合は大型アップデートで初期設定時の状態からスタートでは大変ですよね。
ショートカットの一元管理
ユーザーが利用するショートカットはGPOで一元管理したほうが楽です。例えば新たにクラウドのWebシステムを使う場合、メール等でリンクを送るよりショートカットをGPOで配布してあげた方が親切です。また、ショートカットが不要になった場合もGPOで削除設定をすれば対応できるので、無駄な問い合わせを回避することが可能です。
共有フォルダのドライブマップ配布
組織でWindowsを利用していれば間違いなくファイルサーバーを利用することになります。セクションによって共有フォルダの権限が異なるので情報システム部門でコントロールする必要があります。この場合便利なのが、共有フォルダをドライブマップにしてGPOで一元制御する方法です。ショートカットでもいいんですが、ドライブマップの方がスマートです。
GPOでネットワークドライブを設定する方法（共有フォルダのショートカットはダサい）
信頼済サイトの設定
Windowsのセキュリティゾーンを必要とする業務システムでは、対象URLと理由を確認したうえでGPO管理できます。ただしEdgeのサイト権限全般に同じ設定が効くわけではありません。ゾーンが関係する統合認証・ダウンロード・IEモードなどと、Edge専用のサイト権限ポリシーを区別し、全サイトを信頼済みに登録しないでください。
ポップアップブロック除外
必要な業務サイトだけポップアップを許可します。Edgeでは PopupsAllowedForUrls など専用ポリシーを使い、下のIE用設定をそのままEdgeの一般閲覧に適用できるとは考えないでください。
共有プリンターの配布
パソコンが壊れる度にプリンターの設定をしていませんか？
私はプリントサーバーの共有プリンターをGPOで端末に割り振っています。複合機の追加時も割り当てを一元管理できますが、クライアント側の新規ドライバー導入・更新には管理者権限が必要になる場合があります。Point and Printの管理者制限を無効化して回避せず、承認済みドライバーの事前導入と代表端末での印刷テストを含めて展開します。
GPOで共有プリンターをユーザー毎に割り当てる方法（ドライバのインストール祭りから卒業）
タスクスケジューラの一元管理
タスクスケジューラもGPOで一元管理できます。例えば夜間の終了処理を配布する場合でも、強制シャットダウンは未保存データを失わせるおそれがあります。事前通知、作業猶予、夜間稼働端末の除外、実行アカウント、失敗時の確認を決めてから少数端末で検証します。時刻だけを決めて全端末へ強制終了を配布しないでください。
GPO（グループポリシー）でタスクスケジューラを一斉配布する方法｜てかマジ簡単だから
レジストリは触らせないように
業務要件に応じてRegeditの起動を制限できます。ただしレジストリエディターの禁止は、アプリやスクリプトを含む全てのレジストリ書き込みを禁止する機能ではありません。標準ユーザー運用や対象キーのアクセス権と分けて考えます。
GPOでレジストリの変更を禁止にする方法（厄介だからレジストリを弄らせるな！）
証明書の配布
証明書もGPOで配布できますが、発行元・用途・有効期限・配布先ストアと対象端末を確認します。特に信頼されたルートCAの追加は端末の信頼範囲を変えるため、必要な範囲へ限定し、少数端末で検証してから展開します。1台で必要だから全端末にも必要とは限りません。秘密鍵付き証明書を共有フォルダーへ置いて一律配布する運用は避けてください。
ブラウザの初期表示を指定
ブラウザの初期表示をグループウェア等に固定したい場合があると思います。GPOで一斉適用しましょう。
＜IE用の過去の設定例。現行Edgeの起動ページ設定とは別です＞
GPOでIEのホームページURLを指定する方法（変更させない）
＜Chromeの場合＞
GPOでGoogle ChromeのホームページURLを指定する方法（ホームボタンも）
まとめ
GPOを制する者は情シスを制するといっても過言ではないと思っています。この記事は2021年当時の運用経験を基にした設定候補です。全項目を一律に導入するのではなく、現在のOS・ブラウザー・業務要件に合わせて必要なものだけ選びます。最初の設定はメンドクサイですが検証をしながらやってみてください。急がば回れで後々利いてきます。ちなみに私は楽をしています。
コメント