Windowsの高速ログオン最適化を無効にすると、起動・サインイン時のグループポリシーを同期処理できます。ただし、すべてのPCで一律に無効にすべき機能ではありません。フォルダーリダイレクトやソフトウェアのインストールなど、前景での同期処理が必要な設定を使う環境で検討します。GPOが適用されない問題を何でも解決する設定ではありません。
高速ログオン最適化とは
クライアントPCでは、通常、ネットワークの初期化やポリシー処理の完了を待たずにサインインを進め、ネットワークが利用可能になった後にグループポリシーをバックグラウンドで処理します。既存ユーザーはキャッシュされた資格情報でサインインできるため、デスクトップが利用可能になるまでの待ち時間を減らせます。
一方、すべての拡張機能をバックグラウンドで適用できるわけではありません。フォルダーリダイレクトやソフトウェアのインストールは、利用者が作業を始める前の処理が必要です。このため、変更が次の同期処理まで持ち越され、反映に2回のサインインが必要になることがあります。すべてのGPOが必ず2回必要という意味ではありません。
初めてそのPCにサインインするユーザーなど、既定でもネットワークを待つ条件があります。サーバーOSの処理もクライアントと同じではありません。対象OSと実際のポリシー処理を確認して判断してください。
無効化を検討するケースと注意点
フォルダーリダイレクトやGPOによるソフトウェア配布を、サインイン前に処理する必要がある場合は、同期処理の設定を検討します。まずテスト用OUや限定した端末で、反映結果とサインイン時間を確認しましょう。
逆に、外出先や接続が不安定な場所で使うノートPCでは、待機時間が増える可能性があります。この設定を有効にしても、DNS、ドメインコントローラーへの到達性、GPOのリンク先、セキュリティフィルター、WMIフィルター、権限などの問題は修復されません。「ネットワークを待つ」は、すべてのサーバーやアプリが必ず利用可能になる保証でもありません。
高速ログオン最適化だけを原因として、グループポリシー関連ファイルが破損すると一般化する根拠はありません。無効化で改善したかどうかは、イベントログと適用結果を比較して判断します。SSDを搭載していても、ネットワークやドメイン側の待ち時間がなくなるわけではありません。
「常にネットワークを待つ」を有効にする場所
ドメイン環境では、管理者が対象コンピューターに適用するGPOを編集します。作成・リンクの基本はグループポリシーの作成と適用手順も参照してください。既存の本番GPOを無計画に変更せず、現在の設定と対象範囲を記録してから進めます。
コンピューターの構成 → ポリシー → 管理用テンプレート → システム → ログオン →「コンピューターの起動およびログオンで常にネットワークを待つ」を開き、「有効」を選びます。ローカルのエディターでは「ポリシー」の階層が表示されないなど、管理画面により表記が異なります。
設定名と目的が逆に見える点に注意してください。「常にネットワークを待つ」を有効にすると、高速ログオン最適化を抑えて同期処理を行います。「無効」にする操作ではありません。
上の画像は従来の管理画面の例です。Windows Homeはローカルグループポリシーエディターを標準搭載しないため、この操作のために非公式の追加ツールを入れないでください。管理PCでは、ローカル設定だけでなくドメインからの適用結果を確認します。
変更後は適用結果と所要時間を確認する
管理者が決めたタイミングでポリシーを更新し、必要な再起動・サインアウト／サインインを行います。作業中のアプリや保存していないファイルを確認し、再起動を伴う操作を利用者の作業中に突然実行しないでください。
対象端末でコマンドプロンプトから次のコマンドを実行すると、ポリシーの結果を確認できます。コンピューター側の結果を見る場合は管理者権限が必要になることがあります。
gpresult /r
HTMLで詳しく確認する場合の例です。実行前に同名ファイルがないことを確認し、保存先は必要に応じて変更してください。
gpresult /h "%TEMP%\gpresult-review.html"
結果で対象GPOが適用されているか、拒否されていないかを確認します。「GPOが一覧に出た」だけで実際のフォルダー移行やアプリのインストールが完了したとは限りません。イベントビューアーの「アプリケーションとサービスログ → Microsoft → Windows → GroupPolicy → Operational」と、該当機能の結果も確認します。レポートにはユーザー名・ドメイン名・端末情報などが含まれるため、外部共有する前に必要な部分だけに絞ってください。
社内有線LAN、Wi-Fi、社外利用など、実際の利用条件ごとに変更前後のサインイン時間とエラーを比較します。問題が増えた場合は、記録した元の設定へ戻して再検証します。元が「未構成」だったなら、単に「無効」に置き換えるのではなく、元の状態と他GPOの優先順位を確認してください。
混同しやすい設定
高速スタートアップ：シャットダウン後の起動方法に関する機能で、高速ログオン最適化とは別です。このポリシーを変更しても高速スタートアップのオン／オフは変わりません。
ログオンスクリプトの同期実行：スクリプトの完了を待つ要件は別途確認します。「常にネットワークを待つ」だけで、すべてのログオンスクリプトやアプリの完了順序まで保証されるわけではありません。
キャッシュされたドメインログオン：このポリシーは、オフラインのサインインを禁止するための設定ではありません。ネットワークに接続できない端末を必ず締め出すセキュリティ対策として使わないでください。
まとめ
高速ログオン最適化を無効にする主な理由は、必要なグループポリシーを起動・サインイン時に同期処理することです。適用先の誤りや通信障害を直す万能策ではありません。必要な端末に絞って「常にネットワークを待つ」を有効にし、ポリシーの結果と利用者の待ち時間を確認して運用判断しましょう。
参考資料
Microsoft：SyncForegroundPolicyの仕様
Microsoft：Logon Optimization
Microsoft：gpresultコマンド
コメント