複数のGPOが同じ設定へ異なる値を指定した場合は、原則としてLocal、Site、Domain、上位OUから下位OUへ処理され、後から処理された設定が勝ちます。ただし、同一コンテナーのリンク順、Enforced、Block Inheritance、セキュリティフィルター、WMIフィルター、ユーザー／コンピューターの別、ループバック処理、ポリシーと基本設定の処理特性が結果を変えます。そのため「一番下のOUが必ず勝つ」とだけ覚えるのは危険です。実際の端末ではGroup Policy ResultsまたはgpresultでRSoPを取得し、Winning GPOと拒否理由を確認します。変更前はGroup Policy Modelingで移動やグループ変更を予測し、検証OUで再現してからリンク順や強制を変更してください。
GPOの適用候補が決まる仕組み
コンピューター起動時はコンピューターオブジェクト、ユーザーサインイン時はユーザーオブジェクトの所属を基に、Active Directoryサイト、ドメイン、OU階層へリンクされたGPOが候補になります。GPOに設定があっても、リンクが無効、該当側の設定が無効、セキュリティフィルターでReadまたはApply Group Policyがない、WMIフィルターがfalse、GPO自体へ到達できない場合は適用されません。まずGPMCで「どのGPOが存在するか」ではなく、対象ユーザーと対象PCに対してどのリンクが候補になるかを図にします。ユーザー設定とコンピューター設定を同じ表に混ぜず、二つの経路を分けてください。
基本のLSDOU順序
- Local Group Policy：各端末にあるローカルポリシーを処理する。
- Site：端末のADサイトへリンクされたGPOを処理する。
- Domain：所属ドメインへリンクされたGPOを処理する。
- OU：ドメイン直下に近い親OUから、対象オブジェクトを直接含む子OUへ順番に処理する。
同じレジストリベースのポリシー設定が競合すれば、通常は後で処理された値が有効になるため、対象を直接含む下位OUのGPOがドメインGPOを上書きできます。しかし、別の設定項目は累積されるため、一つのGPO全体が丸ごと別GPOに置き換わるわけではありません。セキュリティ設定、フォルダーリダイレクト、ソフトウェアインストール、基本設定などクライアント側拡張ごとに処理や結合が異なる場合があります。「Winning GPO」は設定単位で確認します。
同じOUに複数リンクがある場合
GPMCのLinked Group Policy ObjectsにはLink Orderがあり、同じサイト・ドメイン・OUへ複数GPOがリンクされている場合の優先度を決めます。表示の順番を目視するだけでなく、対象設定のPrecedenceをResultsで確認してください。リンク順を変更すると、そのOU配下の多数のユーザー・端末で複数設定が同時に変わる可能性があります。目的の一項目だけを直すために全体リンク順を入れ替えるより、競合する設定を片方でNot Configuredにする、GPOの責任範囲を分ける、対象グループを整理するほうが安全な場合があります。
EnforcedとBlock Inheritance
EnforcedはGPOではなくリンクの属性です。上位コンテナーのリンクをEnforcedにすると、下位コンテナーのGPOが同じ設定を上書きするのを防ぎ、Block Inheritanceも通過します。Block InheritanceはドメインやOUの属性で、通常の上位リンクの継承を止めますが、Enforcedリンクは止めません。セキュリティ基準を守る用途でもEnforcedを乱用すると、例外OUで必要な互換設定を実装できず、原因調査が難しくなります。強制する設定を小さな専用GPOへ分け、所有者、根拠、例外手順、解除条件を台帳化してください。
- Enforcedは上位GPOを「必ず適用候補に残し、下位の競合より優先」させるリンク属性である。
- Block Inheritanceは通常の上位リンクを遮断するが、Enforcedリンクは遮断しない。
- GPOリンクをEnforcedにしても、セキュリティフィルターやWMIフィルターの対象外が自動で対象になるわけではない。
- ドメイン全体の強制や継承ブロックは広範囲に影響するため、Modelingと変更承認を必須にする。
セキュリティフィルターとWMIフィルター
リンク順が正しくても、Apply Group Policy権限がない対象には適用されません。Authenticated Usersを外して専用グループへ絞る場合は、GPOを読み取る権限と適用権限を確認します。ユーザーを新しいグループへ追加した直後は、サインアウト・サインインしてアクセストークンを更新しないと評価へ反映されないことがあります。WMIフィルターはOS版などで絞れますが、クエリ負荷、タイムアウト、ビルド文字列の誤判定が起きます。まずOUとセキュリティグループで単純に対象化し、WMIが本当に必要な条件だけに使います。
ループバック処理でユーザー設定の経路が変わる
共有PC、教室、RDS、キオスクなど、サインインする利用者ではなく端末の場所に応じてユーザー設定を変えるときはUser Group Policy loopback processingを使う場合があります。Mergeでは通常のユーザーGPOを処理した後にコンピューター側の経路から得たユーザー設定を追加し、競合時は後者が優先します。Replaceでは通常のユーザーOU経路を置き換えます。ループバックを有効にしたGPOと、実際のユーザー設定を含むGPOのリンク場所を取り違えると適用されません。一般PCへ広がらない専用OUで、端末と複数ユーザーの組み合わせを検証します。
RSoPは予測と実績を分ける
Group Policy Modelingは、ユーザーやPCを別OUへ移した場合、グループ、サイト、WMI、ループバックなどを指定して結果をシミュレーションします。変更前の影響調査に使えますが、ローカルGPOを評価しないなど実機との差があり得ます。Group Policy Resultsは対象端末から実際に適用されたRSoPを取得し、Winning GPO、拒否されたGPO、コンポーネント状態を確認できます。予測だけで適用成功と判断せず、変更前Modeling、検証端末Results、本番少数Resultsの順に証跡を残します。
gpresultでHTMLレポートを作る
対象PCで管理者としてgpresultを実行し、HTMLへ保存するとユーザーとコンピューターの適用結果を見やすく確認できます。保存先は管理者だけが読める作業フォルダーを使い、既存ファイルを上書きする場合は内容を確認します。レポートにはドメイン、ユーザー、端末、グループ、GPO名など内部情報が含まれるため、外部の質問サイトや公開チャットへそのまま貼りません。リモート取得でパスワードをコマンドライン引数へ書く方法は、履歴やプロセス表示に残るため避けます。
gpresult /r
gpresult /scope computer /v
gpresult /scope user /v
gpresult /h C:\Temp\gpresult.htmlまず/rで概要、必要な側だけ/scopeで詳細を確認します。/hはHTML出力です。ARM64では/h対応の実行ファイルに注意があるため公式コマンド資料を確認します。rsop.mscも利用できますが、MicrosoftはWindows Vista SP1以降、すべてのGroup Policy設定を表示しないため、完全な確認にはgpresultを使うよう案内しています。GPMCのResults Wizardも併用し、端末へ到達できない場合はファイアウォールを全面無効化せず、必要なリモートRSoP権限と通信だけを整えます。
競合を調査する順序
- 問題の設定がユーザー側かコンピューター側か、正確なポリシー名と期待値を決める。
- gpresultまたはGPMC Resultsで対象GPO、Winning GPO、拒否理由、最終更新時刻を確認する。
- GPMCでサイト、ドメイン、OU階層、リンク順、Enforced、Block Inheritanceを図と照合する。
- セキュリティフィルター、WMI、グループのトークン、ループバック、低速リンクを確認する。
- 設定を持つ全GPOのレポートを比較し、同じ設定を一つの所有GPOへ整理する。
- 検証OUで片方をNot Configuredにするか対象を外し、実機RSoPと業務動作を確認する。
GPO変更を安全に戻せる形にする
リンク順、Enforced、Block Inheritanceを変更する前に、対象OU、影響ユーザー・PC、現行Results、GPOバックアップ、変更前画面を保存します。変更は一度に一要素とし、IT部門の少数端末で適用後に問い合わせ、サインイン時間、イベント、業務アプリを確認します。問題時は元のリンク順・属性へ戻すだけでなく、ポリシー更新と再起動・再サインイン要件も考えます。GPOを削除すると監査と復元が難しくなるため、まずリンク無効化や設定のNot Configuredを検証します。基本設定で作成した項目はGPO対象外になっても残る場合があるため、設定ごとの残存を確認します。
GPO競合の正しい結論は「後勝ち」だけではありません。どのユーザー／PCに、どのリンク、フィルター、継承、強制、ループバックを通って、どの設定単位で勝者が決まったかをRSoPで説明できることが重要です。Modelingで予測し、Resultsまたはgpresultで実績を確認し、競合する設定を減らす設計へ直してください。
コメント