Windows Server 2025 / グループポリシーの優先順位・継承・フィルターを理解する

グループポリシーは通常、ローカル、サイト、ドメイン、親から子のOUの順に処理されます。ただし強制、継承、フィルターなどで結果が変わるため、最終値と適用元をレポートで確認します。

通常の順序と例外を分ける

後のGPOが前の無関係な設定をすべて消すわけではなく、設定は累積します。グループポリシーの処理の条件も確認します。

セキュリティとWMIのフィルターも候補を外します。ユーザーとPCは別のOUをたどるため、例外を何にでも適用しないでください。

既存の値を控えて親GPOを作る

CLIENT1はLab\Workstationsで、子のLab-Computer-Messageはタイトル「実習用コンピューター」を設定しています。リンク順序、有効・強制、フィルター、本文を控えます。本番ドメインの継承や強制は変更しません。

1. 親のLab OUへLab-Parent-Messageを作成してリンクします。
2. 同じコンピューターのサインインタイトルを「親OUの実習設定」にします。
3. 本文は子と同じ「Windows Server講座の実習環境です」にします。
4. 子の値、フィルター、強制は変えず、CLIENT1で更新します。

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

単純化した条件では子のタイトルが優先することを確認します。違う場合は実際のOUと最終適用元を調べ、他の強制設定も確認します。

子のリンクだけを一時停止する

1. WorkstationsのLab-Computer-Messageの「リンクの有効」を外します。GPO全体のコンピューター設定は無効にしません。
2. CLIENT1で更新し、新しいレポートとサインイン画面を確認します。
3. 親のタイトルと適用元になったか確認します。
4. 子のリンクを再び有効にし、更新して元のタイトルへ戻るか確認します。

同じ項目に異なる値を持つ二つの設定を比較しています。リンク解除ですべてが初期化されることを示す実習ではありません。フィルターなどを同時変更しないことで、結果の理由を追えます。

試験で加えた設定だけを整理する

Lab-Parent-Messageの他の利用を調べ、新しいリンクと、この実習専用ならGPO自体を削除します。子のリンクと値が元通り使えることを確認してください。

ユーザーポリシーを試す場合はユーザーのOUを使います。PCのOUへユーザー設定をリンクしただけでは通常同じ適用にはなりません。ループバックは別設計が必要です。適用範囲の説明を確認し、単純な優先順位だけで判断しないようにします。