Windows Server 2025 / グループポリシーを作成してOUへリンクする
グループポリシーオブジェクト（GPO）はユーザーやコンピューターの設定をまとめるものです。サイト、ドメイン、OUへのリンクが適用候補を決め、コンピューター設定はPCオブジェクトの場所などの条件に従います。
実習対象をCLIENT1へ限定する
CLIENT1はドメイン参加済みでLab\Workstationsに置きます。Default Domain PolicyやDomain Controllers OUでは練習しません。labuser1はLabUsersのままで、この例はコンピューター設定を使います。
Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName権限のあるDC1またはRSAT PCでgpmc.mscを開きます。作成、編集、リンクの権利は確認が必要です。グループポリシーの概要も参照します。
GPOを作って正しい場所へリンクする
- GPMCでフォレストとドメインを開き、Lab → Workstationsへ進みます。
- 「このドメインにGPOを作成し、このコンテナーにリンクする」を選びます。
- Lab-Computer-Messageと名付けます。
- スコープでリンク先と有効状態を確認し、強制、WMIフィルター、既定のセキュリティフィルターは変えません。
「グループポリシーオブジェクト」にあるだけでは、OUへリンク済みとは限りません。一つを複数の場所へリンクできるため、編集前は全リンクを確認します。GPOリンクの説明を参照してください。
確認しやすいメッセージを設定する
GPOの編集で「コンピューターの構成 → ポリシー → Windowsの設定 → セキュリティの設定 → ローカルポリシー → セキュリティオプション」を開きます。対話型ログオンのメッセージタイトルを「実習用コンピューター」、テキストを「Windows Server講座の実習環境です」にします。法的な警告を装う必要はありません。
両方の値をGPMCの設定タブで確認します。対応する項目はセキュリティオプションの設定情報でも確認できます。ここではMDMではなくGPOを使います。
クライアントで更新と実表示を確認する
CLIENT1の管理者シェルでコンピューター設定を更新し、実行ごとに別の結果レポートを作ります。
gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport適用GPOと値の出所を確認し、作業を保存してサインアウトした後の画面も確認します。更新成功、適用一覧、実際のタイトルは別の確認です。設定によっては再サインインや再起動が必要です。
戻す操作の範囲を理解する
削除する場合は、この設定の削除時の動作を確認して両方の値を適切に空へ戻し、CLIENT1を更新します。未構成やリンク解除が、すべての種類の設定を元通りにするとは限りません。
リンクの削除とGPO自体の削除は別です。他のリンクへの影響を確認します。このGPOは次の優先順位実習で使うため残します。失敗時はOU、設定区分、リンク、フィルター、権限、DCへの到達を調べ、ドメイン全体の強制リンクで回避しません。
