グループポリシー（グループポリシー）
Windows Active Directoryで集中管理されるセキュリティ/運用設定。gpedit.msc（ローカル）・GPMC（ドメイン）で編集し、BitLocker強制・USB禁止・パスワード複雑度を強制。
概要
グループポリシー（Group Policy）は、Windows Active Directory（AD）環境で組織全体のセキュリティや運用設定を一元管理する仕組みです。ドメインコントローラーに保管されるGPO（Group Policy Object）を通じて、ユーザーやコンピュータに対して設定を配布・適用します。ローカル環境では gpedit.msc で編集でき、ドメイン環境では GPMC（Group Policy Management Console）を使用して管理します。主な用途は、BitLocker の強制、USB メモリの禁止、パスワード複雑度の設定など、組織のポリシーを統一することです。
主な特徴・仕組み
- 集中管理：AD に格納された GPO をドメイン内の全コンピュータに自動的に配布。
- 階層構造：サイト → ドメイン → 組織単位（OU）で設定を細分化。
- 優先順位：ローカル → ドメイン → OU の順で上書きされる。
- 設定種類：レジストリ設定、ファイル設定、スクリプト、ソフトウェア配布、セキュリティ設定など多岐にわたる。
- 更新頻度：クライアントは定期的に（デフォルト 90 分）ポリシーを取得し、変更があれば即座に適用。
- 監査とログ：ポリシー適用結果はイベントログに記録され、監査が可能。
スペック/製品比較表
| 製品名 | OS バージョン | CPU (コア) | メモリ (GB) | ストレージ (GB) | ネットワーク | GPO 機能 | 2025年対応 | 2026年見込み |
|---|---|---|---|---|---|---|---|---|
| Windows Server 2019 | 2019 | 8 | 16 | 512 | 1 Gbps | 標準 | あり | 予定 |
| Windows Server 2022 | 2022 | 16 | 32 | 1,024 | 10 Gbps | 拡張 | あり | 予定 |
| Windows Server 2026 Preview | 2026 | 32 | 64 | 2,048 | 25 Gbps | 次世代 | 予定 | 予定 |
| Windows 10 Enterprise | 10 | 4 | 8 | 256 | 1 Gbps | 基本 | あり | 2025年更新 |
| Windows 11 Pro | 11 | 6 | 16 | 512 | 5 Gbps | 追加 | あり | 2025年更新 |
| Microsoft 365 E3 | 365 | 4 | 8 | 128 | 1 Gbps | クラウドポリシー | あり | 2025年更新 |
| Azure AD Connect | 2024 | 4 | 8 | 256 | 1 Gbps | ハイブリッド | あり | 2026年更新 |
- CPU (コア)：GPO の処理負荷は CPU コア数に比例。
- メモリ (GB)：大規模ドメインでは 32GB 以上が推奨。
- ストレージ (GB)：GPO データは数十 MB で済むが、バックアップ用に余裕を持たせる。
- ネットワーク：GPO 配布はネットワーク帯域を消費するため、10 Gbps 以上を推奨。
具体例・対応製品
- BitLocker 強制：ドメインレベルで BitLocker を必須化し、データ保護を徹底。
- USB メモリ禁止：USB ストレージデバイスの使用を制限し、情報漏洩リスクを低減。
- パスワード複雑度：最低 12 文字、英大文字・小文字・数字・記号を必須に設定。
- Windows Update 管理：更新プログラムの配布タイミングを統制。
- アプリケーション配布：Office 365、Adobe Acrobat、VMware Horizon を一括インストール。
- セキュリティセンター設定：ファイアウォール、アンチウイルス、EAP 認証を統一。
- ローカルユーザー管理：管理者権限を持つアカウントを制限。
- ネットワークアクセス制御：VPN 接続時の認証要件を強化。
自作PCでの選び方・注意点
- OS バージョンを確認：Windows 10 Enterprise 以降であれば GPO を利用可能。
- ドメイン参加：自作PC を AD に参加させるために、正しいドメイン名・DNS 設定を行う。
- 管理者権限：gpedit.msc の使用にはローカル管理者権限が必要。
- ポリシー適用頻度：クライアント側でポリシー取得間隔を 60 分に設定すると即時反映。
- バックアップ：GPO は SYSVOL フォルダーに保存されるため、定期的にバックアップを取得。
- テスト環境：新しい GPO を本番に適用する前に、テスト用 OU で検証。
- 監査ログ確認：イベントビューアで「Group Policy」ログを監査し、適用失敗を早期発見。
- パフォーマンス監視：GPO のサイズが 100 MB を超えると、ドメインコントローラーの負荷が増大。
- セキュリティ更新：Windows Update を自動で適用し、GPO の互換性を維持。
- ドキュメント化：設定内容を Wiki などに記録し、運用担当者間で共有。
関連用語との違い
- ローカルポリシー（Local Security Policy）：gpedit.msc で設定できるが、ドメイン全体には影響しない。
- レジストリ設定：GPO はレジストリを直接操作するが、レジストリ編集は個別に行うため管理が煩雑。
- Active Directory：GPO は AD の一部であり、AD が存在しない環境では GPO は使用不可。
- Intune ポリシー：クラウドベースでモバイルデバイス管理を行うが、オンプレミスの Windows PC には GPO が優先。
- ロールベースアクセス制御（RBAC）：GPO はポリシー適用を行うが、RBAC はユーザー権限の割り当てを管理。
よくある質問（FAQ）
Q1. GPO の適用に時間がかかる場合、どう対処すればよいですか？
A1. GPO のサイズを小さく保ち、不要な設定を削除します。また、クライアント側の DNS 設定を確認し、ドメインコントローラーへの接続が安定しているかを確認します。
Q2. Windows 11 Pro でも GPO を利用できますか？
A2. はい、Windows 11 Pro は Windows 10 Enterprise と同様に GPO をサポートします。ただし、最新の Windows 11 バージョン（2025年以降）では、より細かなポリシーオプションが追加されています。
Q3. Azure AD とオンプレミスの AD を併用する場合、GPO はどう管理すればよいですか？
A3. Azure AD Connect を使用してハイブリッド環境を構築し、オンプレミスの AD で GPO を管理します。Azure AD には「Intune ポリシー」と併用することで、クラウド側の設定も統合できます。
Q4. GPO の変更が即座に反映されないケースはありますか？
A4. クライアントがオフライン、またはネットワーク接続が不安定な場合は、次回のポリシー取得時に反映されます。強制的に更新したい場合は、gpupdate /force コマンドを実行します。
Q5. GPO のバックアップはどのように行うのがベストですか？
A5. GPMC から「GPO のエクスポート」を利用し、SYSVOL フォルダーのバックアップと合わせて定期的に保存します。
まとめ
グループポリシーは、Windows AD 環境で組織全体のセキュリティと運用を統一する不可欠なツールです。ドメインコントローラーに格納された GPO は、ローカル設定と重複・競合しないように階層構造で管理され、BitLocker 強制や USB 禁止などの重要なセキュリティ対策を一括で実施できます。自作PC でもドメイン参加を行えば、同じポリシーを適用でき、管理負担を大幅に軽減します。
2025年以降、Windows 11 Enterprise では GPO の機能がさらに拡張され、2026年の「次世代」サーバーリリースではクラウドとオンプレミスの統合が進む予定です。最新の GPO 機能を活用し、組織のセキュリティレベルを高めることが、今後のIT運用においてますます重要になります。