Windows Server 2025 / gpresultとイベントログでGPOの問題を調べる

Windows Server 2025

作成日 2026-10-26 最終更新日 2026-10-29

GPOが効かないときは、設定内容、適用範囲、フィルターと権限、通信、クライアント結果を順に調べます。gpupdateを繰り返すより、gpresultの拒否理由と最終適用元を確認する方が原因を絞れます。

一つのPC・利用者・設定を特定する

CLIENT1のサインインメッセージなら、PC名、OU、GPO、期待するタイトルを記録します。ユーザー設定なら実際の利用者とそのOUを特定します。全設定か一項目か、他PCも同じかを調べます。

hostname
whoami
$env:LOGONSERVER
Get-CimInstance Win32_ComputerSystem | Select-Object Domain,PartOfDomain

DCごとに反映途中の差もあるため、問い合わせ先と時刻を記録します。GPO適用の障害対応ではレポートとイベントを証拠に使います。

GPMCで内容と範囲を確認する

設定タブに期待する値が保存され、コンピューターとユーザーの区分が正しいか確認します。
リンク先、有効状態、該当側の設定が無効でないか確認します。
読み取りと「グループポリシーの適用」の権限を区別します。
WMIフィルター、継承のブロック、強制を確認します。

Authenticated Usersを消しただけで限定適用が完成するわけではありません。ユーザー設定でもPCに適切な読み取りが必要な場合があります。適用範囲とフィルターを参照します。

クライアントの実結果を採取する

コンピューター設定はCLIENT1の管理者シェル、ユーザー設定は問題の利用者の実セッションで採取します。別管理者のユーザー結果へ置き換えません。

$reportDirectory = Join-Path $env:TEMP ('gp-check-' + (Get-Date -Format 'yyyyMMdd-HHmmss'))
New-Item -ItemType Directory -Path $reportDirectory | Out-Null
gpresult /r /scope computer
gpresult /scope computer /h (Join-Path $reportDirectory 'computer.html')
gpresult /r /scope user

結果	調べる方向
GPOがない	OU、リンク、フィルター、処理時刻
拒否・除外	報告された理由と読み取り・適用権限
適用済みで値が違う	優先順位と最終ソース
ユーザー情報なし	本人のサインインと採取セッション

適用一覧にあっても全項目の効果は保証されません。OS対応、テンプレート、構成区分、拡張機能の処理も確認します。

DNS・SYSVOL・複製とイベントを照合する

Resolve-DnsName '_ldap._tcp.dc._msdcs.ad.example.test' -Type SRV
Test-Path '\\ad.example.test\SYSVOL'
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 30 | Select-Object TimeCreated,Id,LevelDisplayName,Message

DNSやSYSVOLへ接続できなければ取得は失敗します。Test-PathのTrueはパスへアクセスできる確認だけで、全ファイルと権限の正しさは示しません。GroupPolicyイベントの時刻とActivityIDを追います。

GPOにはADとSYSVOLの両方があります。DC1とDC2の複製を調べ、古いDCから上書きしたりSYSVOLを一般的な修復として削除したりしません。