グループポリシーでFirewall ポリシー管理

質問

いつも勉強させて頂いております。
Windows Server 2008 R2でドメインを構成しております。
グループポリシーを利用して、各メンバーサーバでのWindowsファイアウォール設定を一元管理したいのですが、すべてのメンバーサーバに同一の設定内容を割り当てるのではなく、
複数のサーバ単位で、Windowsファイアウォール設定を管理したいと考えております。

(例)
サーバA,B,Cは、同一のWindowsファイアウォール設定ポリシー#1を割り当てる。
サーバD,Eは、Windowsファイアウォール設定ポリシー#1ではなく、Windowsファイアウォール設定ポリシー#2を割り当てる。

グループポリシーで、Windowsファイアウォール設定ポリシーを複数作成して、
そのポリシーが該当するそれぞれのサーバに割り当てることは可能でしょうか。

デフォルトですと、メンバーサーバは、"Servers"(?)とかのビルトインOUに組み込まれてしまうため、
グループポリシーを作成しても、Windowsファイアウォール設定ポリシーは、全メンバーサーバに
適用されてしまいそうな気がします。

それとも、メンバーサーバについて、デフォルトで所属する"Servers(?)"以外のOU(運用形態に応じて手動作成したもの)に移動して、OU単位で、メンバーサーバにWindowsファイアウォール設定ポリシーを割り当てることが出来るのでしょうか。

ご教示のほど、宜しくお願い申し上げます。

回答No.1

maesen · ベストアンサー

＞グループポリシーで、Windowsファイアウォール設定ポリシーを複数作成して、
＞そのポリシーが該当するそれぞれのサーバに割り当てることは可能でしょうか。

もちろん可能です。
たとえば、こんな方法があります。
1.OUを分ける
2.セキュリティグループを利用する
3.WMIフィルタを使用する

2,3については説明しませんが今後時間があれば調査してみて下さい。
（多少難しいかもしれませんし、OUだけでは対応できない場合の回避策のような使い方をする場合が多いように思います）

＞デフォルトですと、メンバーサーバは、"Servers"(?)とかのビルトインOUに組み込まれてしまうため、
＞グループポリシーを作成しても、Windowsファイアウォール設定ポリシーは、全メンバーサーバに適用されてしまいそうな気がします。

Active Directoryのデフォルトでは意図的に変えない限りComputersコンテナ（OUではありません）にコンピュータアカウントが作成されます。
もしServersというOUがあるのならばこれは後から作成したものです。

コンテナとOUの大きな違いはグループポリシーをリンク出来るかですが、詳しいことは調査してみて下さい。

また、グループポリシーはリンクする位置で適用範囲が変わりますのでどのように適用されるかは階層構造から判断します。

読んでいなければ以下を参考にして下さい。
http://www.atmarkit.co.jp/fwin2k/tutor/gpolicy05/gpolicy05_02.html

ServersというOUがあるのならばこれにリンクすればOU内のコンピュータにポリシーが適用されます。
ドメインにグループポリシーをリンクすれば全てに適用されます。
かぶった場合は優先順位も影響しますので注意して下さい。

＞それとも、メンバーサーバについて、デフォルトで所属する"Servers(?)"以外のOU(運用形態に応じて手動作成したもの)に移動して、OU単位で、メンバーサーバにWindowsファイアウォール設定ポリシーを割り当てることが出来るのでしょうか。

手動で移動するか、初めからそれぞれOUにコンピュータアカウントを作成するかという話はありますが、
通常、ポリシーが異なる毎のコンピュータやユーザーの群に対してOUを作成するようにActive Directoryを設計するので、このようなOU単位でポリシーを設定するやり方が一般的であります。

お礼

早速のご教示有難うございました。
手短で大変恐縮ですが、心よりご教示頂き、誠に感謝致します。
本当に有難うございました。