グループ・ポリシー - Windows XP PRO SP2

質問

グループ・ポリシー - Windows XP PRO SP2

現在 グループ・ポリシーを勉強しております。

GPEditでの設定／操作概念について以下をご教授して頂ければ幸いです。

(1) コンピューターの構成とユーザーの構成の違いは具体的にどのような物なのでしょうか？
　 コンピュターにアクセスする全てとユーザー毎もしくは管理者以外という認識でよろしいのでしょうか？

(2) (1)を踏まえて各スクリプトを実行するのに管理用テンプレートを用いた場合は シャットダウン／スタートアップ
　 ログオン／ログオフのファイルの表示に乗らないのはどうしてでしょうか？

(3) (2)を踏まえて管理用テンプレートでのスクリプト実行の有無の一覧などは閲覧（確認）可能なのでしょうか？
　 また設定の一元管理は可能なのでしょうか？

(4) (1)～(3)を踏まえて 素人の認識では管理用テンプレートで十分にポリシー設定は実用に耐える物だと理解しております。
　 管理用テンプレートのメリット／デメリットなどあればご教授願いたいです。

回答No.2

maesen · ベストアンサー

>例えばGP設定を複数項目 有効にします。（管理用テンプレート）この可変した項目を一覧確認可能なのか？です。
>何かしらの事態に即座にどれをGP設定にしたのか管理出来れば保守運営が容易だと感じました。

gpresultコマンドで現在適用されている設定を見ることが出来ます。
ただし、OSによって機能に差があります。
Vista SP1(Windows Server 2008)からは、/x及び/hでXMLやHTML形式のファイルに落とすことが出来て、視覚的に見ることが出来ます（私はHTML形式を良く使用します）。
これ以前のOSではグループポリシーに対応したレジストリ設定の内容がそのまま見えるだけなので、設定してあることは見えますが何を設定してあるかはレジストリを調べないと判りません。（gpresult /z）
なお、ローカルグループポリシーの場合このコマンドでは見えないものが一部にあります。（管理テンプレートの項目は大丈夫なはずです）

余談ですが、このgpresultコマンドはActiveDirectoryにて複数のGPOを適用した場合やGPO適用のトラブルシューティングで使用することが多いですが、ローカルグループポリシーの場合は設定と結果が同じになります。

>改めた認識で宜しいでしょうか？

全体の認識は正しいのではないかと感じます。

>比較ではなく レジストリの規定値をテンプレートとするならば、それがベストとは言えないのが常ですよね。
>管理用テンプレートを使うのがそれに似ているのなら、カスタムのテンプレートを柔軟に多様するのが吉と思いました。

Active Directoryにて集中管理をする場合には、標準の管理テンプレートには無い場合、カスタムテンプレートを作成するのが間違いなくベストだと思います。
ただ、ある程度の規模ではユーザーがローカルの管理者権限を持っていないのが一般的なので、PCのキッティング時から変更することがない設定についてはレジストリを直接設定することがほとんどです。

回答No.3

0909union

＞(4) (1)～(3)を踏まえて 素人の認識では管理用テンプレートで十分にポリシー設定は実用に耐える物

１～３は言っている内容が良く分かりません。１番はGPCなどの仕組みと言うか、優先順位というか、Windows流と言うか、設定の上書きと言う事が分かっていれば、この質問にはならないかと。

OSの設定で、デフォルトでレジストリーには設定されていないが、キーを設定して値をセットすると、効果がある設定が結構多いですね。

これはデフォルトは、OSのモジュールやINIファイルで設定されていて、ユーザーがあえて設定しなくてもOSが最初からデフォルト値として内部で持っています。しかし、レジストリーにキーがあると、デフォルトの設定を、その値で上書きする。と言う言い方をします。これは、実際に上書きするのではなく、動的（起動された時）にそのキーの値を取得して、それを使います。

ポリシーも同じです。ローカルシステムの設定があり、ユーザーごとの設定がある。ユーザーの設定はシステムの設定に影響されながら、許可されていれば、ユーザーの設定が有効となる。つまり上書きとなる。

なので必ずしもシステムにある設定が、ユーザー設定にあるとは限らない。よく細かく見るとタイトルは同じでも、設定項目は違いますね。

大筋はNo1の方が説明していますので、AD　→　メンバーPC→ローカルシステム→ユーザーシステムの順番に、判断されるわけです。

なので、「実用に耐えられる物」と言うのは誤解です。

セキュリティーの基本は強化状態から開放状態への移行です。しかし、ポリシーはセキュリティーだけではないので、基本は何もいじらない。制限をかけたい場合だけ掛ける。

セキュリティーはこの逆です。制限を状態から開放するです。なので最上位のADで管理していれば、まず使用できるようにするか、できないようにするかはADの仕事、できるようにした場合、ユーザーごとの制限にするか、グループごとにするか、サービスごとにするかをポリシーで設定します。

No1の方が最後に書かれていますが、「キッティングで行わない事」とはまさに上記の事で、制限が必要無い物は、むしろコントロールすると返ってつじつまが合わなくなり難しくなります。

ユーザーごと、グループごとの設定（ADでも）をした方が、意外と簡単、完結です。ローカルユーザーの設定は、ゲストでのログオンしか認めない。ゲストはネットログインを拒否する。ですね。

お礼

回答誠に有難うございます。

＞１～３は言っている内容が良く分かりません。１番はGPCなどの仕組みと言うか、優先順位というか
＞Windows流と言うか、設定の上書きと言う事が分かっていれば、この質問にはならないかと。

まず前提として GPC の仕組みに関しては認識／知識が貧しいという点です。
概念を把握しても思考的整理にまで至って居なく。当方が GPC を活用するにはまだ時間を要すという点です。
気になったのが「Windows流」というワードです。ここを具体的に教えて頂けたらと思いおます。
素人ながら理解出来そうな気がします。

＞OSの設定で、デフォルトでレジストリーには設定されていないが、キーを設定して値をセットすると
＞効果がある設定が結構多いですね。

ここで言うキーとはレジストリの事でしょうか？だとしたらこの一文は十分に理解出来ます。仰る通りです。
先述したように例えば Windows高速化というようなユーティリティソフトでレジストリ値を操作する場合は
GUI が基本的に概念です。ソフトを見れば設定した項目のラジオボタンのチェックで視覚的にどういう設定を
したかというのが明快に素人故 理解／把握出来ます。

しかしながら GPEdit は同じ操作系をもつものの、一覧で分からないのが厄介で多数ある項目より階層的に
一つ一つ確認する必要性があります。（あくまで予想ですが、グループポリシーはデフォルトで全て「無効」なのでしょうか？）
初期値が無効なら、有効のものが必然的に変更値と判断出来ますが、やはり使いづらい印象を受けました。

＞セキュリティーの基本は強化状態から開放状態への移行です。
＞しかし、ポリシーはセキュリティーだけではないので、基本は何もいじらない。制限をかけたい場合だけ掛ける。

物凄く勉強になる文です。有難うございます。

これを機会に管理用テンプレートだけでも使いこなせるように努めます。

回答No.1

maesen

>(1) コンピューターの構成とユーザーの構成の違いは具体的にどのような物なのでしょうか？

コンピュータアカウントに適用される設定なのか、ユーザーアカウントに適用される設定なのかの違いです。
従って、コンピュータの構成にはコンピュータ全体の設定に関するもの、ユーザーの構成にはユーザーがログオンした時点に設定されるべきものという内容になっています。

>コンピュターにアクセスする全てとユーザー毎もしくは管理者以外という認識でよろしいのでしょうか？

もしかして、ローカルグループポリシーに限定されて質問しているのでしょうか。
そうでしたら、コンピュータの構成はローカルコンピュータ、ユーザーの構成はそのローカルコンピュータに登録されている全ユーザーに適用されます。
つまり、1台のコンピュータの中での話なので、適用先の違いはわかりにくいでしょう。
グループポリシーの真価はActive Directoryによる管理で発揮されるものですので、Active Directoryを理解されるとコンピュータの構成とユーザーの構成の違いは理解できると思います。

(2)(3)については、申し訳ないですが質問内容が理解出来ません。
具体的な設定と問題点がわかると回答が出来ると思うのですが。

>(4) (1)～(3)を踏まえて 素人の認識では管理用テンプレートで十分にポリシー設定は実用に耐える物だと理解しております。

グループポリシー（管理テンプレートを含む）の設定は一般的なことです。特にある程度の数のPC及びユーザーを管理する場合は必要な場合がほとんどだと思います。
グループポリシーを設定する上で管理用テンプレートを使用するケースが多いのは確かですが、ソフトウェアの設定、Windowsの設定で設定する項目も必要となることは多いです。
また、OSが新しくなって管理テンプレートの項目も増えましたが、カスタムの管理テンプレートを自作して追加する場合もあります。

>管理用テンプレートのメリット／デメリットなどあればご教授願いたいです。

なにと比べてのメリット／デメリットでしょうか。
たとえばレジストり直接設定と比べれば、設定ミスによる影響が少ない（簡単に戻せる）などがありますが、こういったことでしょうか。

お礼

＞コンピュータアカウントに適用される設定なのか、ユーザーアカウントに適用される設定なのかの違いです。

上記を踏まえて下記を理解出来ました。

＞ローカルグループポリシーに限定されて質問しているのでしょうか。

ご指摘の通りです。言葉足らずだったと気づきました。
当方のGP用途はコンピューターネットワーク管理での利用ではなくローカルここではつまり一台のPCとしての利用です。

＞(2)(3)については、申し訳ないですが質問内容が理解出来ません。

例えばGP設定を複数項目 有効にします。（管理用テンプレート）この可変した項目を一覧確認可能なのか？です。
何かしらの事態に即座にどれをGP設定にしたのか管理出来れば保守運営が容易だと感じました。

＞カスタムの管理テンプレートを自作して追加する場合もあります。

理解出来ました。

＞なにと比べてのメリット／デメリットでしょうか。

比較ではなく レジストリの規定値をテンプレートとするならば、それがベストとは言えないのが常ですよね。
管理用テンプレートを使うのがそれに似ているのなら、カスタムのテンプレートを柔軟に多様するのが吉と思いました。

先述されてたように、「場合もある」との事を踏まえ「管理用テンプレートを使用するケースが多いのは確かです」を読む限り
私のITリテラシーの過度な懸念が質問を複雑化してしまったようです。

ご親切に回答有難うございます。改めた認識で宜しいでしょうか？差し支えなければ返信をお願い致します。

追伸：Active Directory は少し調べてみます。