非管理者またはMLGPOを使用する単一ユーザーにローカルグループポリシーを適用する

ローカルグループポリシーを使用して、小規模なワークグループネットワーク（ADドメインなし）のコンピューターでWindowsまたはユーザー設定を構成できます。以前は、ローカルGPOの主な欠点は、特定のローカルユーザーまたはグループにポリシー設定を適用できないことでした。たとえば、ローカルGPOでUSBデバイスを無効にしている場合、このポリシーはユーザーとローカル管理者アカウントの両方に適用されます。

複数のローカルグループポリシーオブジェクト （MLGPO ）ローカルGPO設定をさまざまなローカルユーザーまたはグループに適用できるようにします。この記事では、ローカルGPOを単一のローカルユーザーまたはMLGPOを使用するローカル管理者のメンバーではないユーザーに適用する方法を示します。

MLGPOを以下に割り当てることができます：

• 任意のローカルユーザー（名前による）;
• ローカルAdministratorsグループのメンバー;
• そうでないすべてのユーザー ローカルのAdministratorsグループのメンバー。

ローカルグループポリシーエディターは、Pro、Enterprise、およびEducationWindows10エディションでのみ使用できます。 Windows 10 Homeでは、gpedit.mscをインストールできます 次のガイドを使用してください。

ユーザーまたはグループの新しいローカルグループポリシーを作成するには：

1. Win+Rを押す->mmc;
2. [ファイル]->[スナップインの追加と削除]をクリックします
   
3. グループポリシーオブジェクトエディターを選択します 利用可能なスナップインのリストで、[追加]をクリックします;
   
4. [参照]をクリックします ユーザーに移動します タブ。ポリシーを適用するローカルグループまたはユーザーを選択できます。ローカルGPOが既にユーザーまたはグループに割り当てられている場合は、はいが表示されます。 グループポリシーオブジェクトが存在します 桁。管理者を除くすべてのローカルユーザーにポリシーを適用するには、非管理者を選択します;
   
5. ローカルコンピュータ\非管理者が選択されていることを確認し、完了をクリックします;
   
6. ユーザー設定を含むGPOエディターコンソールが表示されます。ここで、管理者以外のユーザーに適用されるローカルポリシー設定を構成できます。
   
7. ローカルユーザーに必要なグループポリシー設定を構成します。

MLGPOを使用して、コンピューターをADドメインに参加させる前に適用するユーザー制限を設定できます。たとえば、ローカルアカウントでネットワークアクセスを制限できます。

グループのローカルポリシーを削除する場合は、ユーザーでグループを選択します タブをクリックし、グループポリシーオブジェクトの削除をクリックします 。

ローカルGPOの主な欠点は、他のコンピューターに移動するのが難しいことです（ADドメインコントローラーに格納され、一元的に編集されるドメインGPOとは異なります）。 MLGPO設定を転送するには、公式のMicrosoftツールである lgpo.exeを使用できます。 （これは、SecurityComplianceManagerおよびMicrosoftSecurityBaselineの一部です。）

構成されているすべてのローカルポリシーをファイルにエクスポートするには、次のコマンドを使用します。

lgpo /b c:\GPObackup\

ローカルのグループポリシー設定を別のコンピューターにインポートするには、そのGUIDを指定します（ポリシーフォルダーは、非管理者グループの既知のSIDによって取得されたファイルにあります— S-1-5-32-545 ）。ターゲットコンピューターに設定を適用するには、次のコマンドを使用します。

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

次に、GPO設定を更新します：

gpupdate /force

また、LocalGPO.wsfを使用することもできます MLGPOをエクスポート/インポートするスクリプト。

エクスポートするには：

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

インポートするには：

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}