GPO、WSUSの連携

質問

現在、クライアントPCのWSUS参照先を、本社にあるWSUSサーバを見に行くようにグループポリシで設定しております。
支店などから本社WSUSサーバへのWAN超え通信が多くなってきた為、支店にWSUSのレプリカを置いて、支店のユーザーだけLAN内で配信させようと考えております。

そこで、GPOのWMIフィルターで以下条件を考えてみました。

1．IPアドレスが、10.2.% の場合、http://wsustest2（支店） のGPOが適用される。
2．IPアドレスがマッチングしない場合、http://wsustest1（本社） のGPO適用される。

2のマッチング無しについては、現在のGPOを1のGPOの下に配置することで実現できるのではないかと考えております。

１のGPOに、次のWQLを書いて、IPアドレスから判断するようにしてみたのですが、どうにもうまくいきません。

select * from win32_networkadapterConfiguration where IPAddress Like '10.2.%'

質問の内容は
・WMIフィルタの書き方は、これであっておりますか？
・この環境で他に方法はありますか？
です。

事情によりOUを分けるわけにはいかないため、なんとかグループポリシーのフィルターで乗り越えたいところなのですが・・・

どうぞ、宜しくお願いいたします。

回答No.1

maesen · ベストアンサー

WMIの記述は間違っていないように見えますが、うまくいかない原因及び状態が書かれていないため判断が難しいです。
WMIが正しいかは、実際にクライアントで確かめて見るのが良いと思います。

ただ、やりたいことから判断すると選択した手法はベストでは無いと思います。
Active Directoryでは、今回のようなロケーションの違いにより異なるグループポリシーを適用する機能が元々ありますのでそちらを使用するほうが良いと思います。
Active Directoryの「サイト」について調べて見て下さい。
サイトはIPアドレス（サブネット）で分割することになります。

具体的な例ですが
ADではデフォルトでDefault-First-Site-Nameというサイトが1つ存在します。
全てはこのサイトに所属しています。
ここでxxxShitenという支店用のサイトを作成し、10.2.0.0/16のサブネットに関連付けます。
するとこの範囲のIPアドレスのクライアントはxxxShitenの所属になります。
Default-First-Site-Name及びxxxShitenにそれぞれのWSUSに対応する異なるGPOをリンクします。

こんな感じです。
もちろん本社のサイトをきちんと作成してもいいです。
サイトにはDCの優先にも影響するので本来はサイト毎にDCを置くのが理想です。

サイトについて不明点があればまた質問して頂ければと思います。

お礼

サイト連携について、調べて実施してみたところ
要求どおりの動作をしてくれました。
ありがとうございます。