Windows7のアカウント管理

質問

Windows7のアカウントの管理方法について質問があります。

環境
OS：Windows7 Professional　32bit
ドメインサーバに参加
アカウントの種類
1：ローカルのAdministrator（通常は無効）
2：ローカルの標準ユーザー（管理者権限なし）
3：ローカルの管理者ユーザー（管理者権限あり）
4：ドメインサーバ上のアカウント
※私はドメインサーバの設定を変更する権限はありません。

1～4のアカウントそれぞれに詳細な設定をするため、グループポリシーの設定をしようと思っています。

「2」と「1、3」は必要な設定項目が違い、同じローカルグループポリシーでは設定ができないため、
複数のグループポリシーで設定を使用と思っております。
また、「4」は複数のユーザーが使用する可能性があるため、Administratorのプロファイルを
Defaultユーザーのプロファイルにコピーしようと思います。

Windows7では複数のローカルグループポリシーの設定ができるようです。
「1、3」の管理者用（Administrators）のグループポリシー
「2」用の非管理者用のグループポリシー
と設定して管理したいと思います。

複数のグループポリシーの設定方法（呼び出し方）は下記サイトで理解できました。
http://technet.microsoft.com/ja-jp/library/cc731758.aspx

グループポリシーを各ユーザーに適用させるためには、どうすればいいのでしょうか？
アカウントのユーザー権限の種類と、ローカルグループポリシーの種類とリンクしているのでしょうか？
例
管理者権限のユーザーにはAdministratorsのグループポリシーが適用、
制限ユーザーには非管理者のグループポリシーが適用されるとか。

グループポリシーの管理や、ドメイン環境の管理が初めてなので、
教えていただきたいと思います。

ここは見ておけ！のサイトとか、
これは読んでおけ！の書籍なんかも教えて頂けると助かります。

回答No.1

maesen · ベストアンサー

＞グループポリシーを各ユーザーに適用させるためには、どうすればいいのでしょうか？
記載されているサイトに書かれている内容そのままですよ。

1,3はAdministrators グループのメンバーですから「Administrators ローカル グループ ポリシー」（MMC上の名前はAdministrators）の情報が適用され、
2はAdministrators グループに含まれないユーザーなので「非管理者ローカル グループ ポリシー」（MMC上の名前は非管理者）の情報が適用されます。

＞「2」と「1、3」は必要な設定項目が違い、同じローカルグループポリシーでは設定ができないため、
＞複数のグループポリシーで設定を使用と思っております。

具体的な設定内容が示されていませんが、ここでの設定で適用されるのは「ユーザーの構成」ですので注意して下さい。

＞また、「4」は複数のユーザーが使用する可能性があるため、Administratorのプロファイルを
＞Defaultユーザーのプロファイルにコピーしようと思います。

この内容はグループポリシーどのように関連されると考えていらっしゃるかわかりませんが、プロファイルのコピーはさまざまな問題が出ることが報告されています。

http://blogs.technet.com/b/askcorejp/archive/2010/03/12/windows-7.aspx

http://answers.microsoft.com/ja-jp/windows/forum/windows_7-security/windows%EF%BC%97%E3%81%A7%E3%81%AE%E3%83%97%E3%83%AD%E3%83%95%E3%82%A1%E3%82%A4%E3%83%AB%E3%82%B3%E3%83%94%E3%83%BC%E3%81%AE%E6%96%B9%E6%B3%95/9d42613a-75ad-420e-9abf-25514544a1c2

＞※私はドメインサーバの設定を変更する権限はありません。

グループポリシーは、ドメインにて設定されているポリシーの方が優先順位が上ですので同じ項目で異なる設定がある場合ドメイン側のグループポリシーで上書きされます。
従って、質問者さんがドメイン管理者で無いのならば必ずしも意図した設定が出来るとは限りません。

＞グループポリシーの管理や、ドメイン環境の管理が初めてなので、

質問者さんはドメイン管理者権限を持っていないように読み取れますが、どのように権限が委譲されているのか気になります。
急にドメイン管理者に任命されたというようなありがちのパターンではなさそうなので。
余計なお世話かもしれませんね。

＞ここは見ておけ！のサイトとか、

グループポリシーについてはちょっと古い情報ですが、
http://www.atmarkit.co.jp/fwin2k/tutor/gpolicy01/gpolicy01_01.html

AD全般に関しては赤本ですが、ドメイン管理者でないのならばあまり必要がないかもしれません。

お礼

早速の回答ありがとうございます。

>記載されているサイトに書かれている内容そのままですよ。
しっかりと文章を読み切っていなかったようです。
ご指摘ありがとうございます。

過去に、プロファイルのコピーで運用している人を見たことがあったので、
今回も同様の手順でできると思っていたのですが、
現在はSysprepが推奨された方法なんですね。
勉強してみます。
http://technet.microsoft.com/ja-jp/windows/ee676465