Active Directoryでのユーザ制限について

質問

Active Directoryでのネットワーク毎のユーザ制限について教えてください。

ネットワーク環境は以下の２つ有り、
Ａ：172.1.0.0/16、Ｂ：172.2.0.0/16
ＡネットワークではユーザＡがログインでき、
ＢのネットワークではユーザＡがログインできない環境を作りたいのですがグループポリシーでの制限は可能でしょうか？

・Active Directoryは2000と2003の混合モードです。
・各ネットワークにＡＤサーバが１台有ります。
・ＦＳＭＯ用に別サーバが１台有ります。
・各ネットワークにはＰＣが約１０００台ぐらいあります。
　　※そのためＰＣの設定変更が難しいです。

以上

回答No.1

monda

[前提として]
・ユーザAはドメインアカウント
・ログイン対象のクライアントはドメイン参加済み
・「Active Directory サイトとサービス」でIPサブネット毎に
　サイトを設定済。

[設定方法]
上記の条件が満たさせているならば、比較的容易に設定可能です。
●ポリシーオブジェクトを作る
・ドメイン管理者権限で[グループポリシーの管理]を起動。
　グループポリシー管理コンソールSP1がインストールされて
　いないならばインストールしてから実行。
・新規グループポリシーオブジェクトを作る。
・[コンピュータの構成][Windowsの設定][セキュリティの設定]
　[ローカルポリシー][ユーザー権利の割り当て]の
　[ローカルログオン]もしくは[ローカルでログオンを拒否する]
　を利用して、許可内容もしくは拒否内容を設定する。
●ポリシーをサイトにリンクする。
・[グループポリシーの管理]で、フォレストを展開、サイトも
　展開(表示されていなかったら表示させてから)、対象サイトに
　先のポリシーオブジェクトをリンクする。

サイトが [Default-First-Site] しか無かったら…
・事業所単位など、WAN回線を経由しない範囲毎にサイトを作る。
・存在する全サブネットを[Subnets]以下に作って、サイトと
　関連付ける。
・各サイトを結ぶWAN回線を [Inter-Site Transports][IP]以下
　に作って、サイトに関連付ける。
・各DCを現存するサイトに配置する。
といった作業が必要です。

設定作業はいくつかの積み重ねですので、ひとつやるごとに
期待どおりであるか検証しながら進めましょう。