MLGPOを使って非管理者ユーザーや特定のローカルユーザーにローカルグループポリシーを適用する方法

ローカルグループポリシー（Local Group Policy）を利用すると、ADドメインに参加していない小規模なワークグループ環境のコンピュータでも、Windowsのコンピュータ設定やユーザー設定を構成できます。しかし従来、ローカルGPOには「特定のローカルユーザーやグループにのみポリシーを適用できない」という大きな弱点がありました。たとえば、ローカルGPOでUSBデバイスを無効化すると、その設定は一般ユーザーだけでなくローカル管理者アカウントにも適用されてしまうのです。

MLGPO（Multiple Local Group Policy Objects）とは

MLGPO（Multiple Local Group Policy Objects：複数ローカルグループポリシーオブジェクト）を使用すると、ローカルGPOの設定を特定のローカルユーザーやグループごとに適用できます。本記事では、MLGPOを使って、単一のローカルユーザー、またはローカルAdministratorsグループに所属していないユーザー（非管理者）にローカルGPOを適用する手順を解説します。

MLGPOは以下の対象に割り当てることができます。

• 任意のローカルユーザー（ユーザー名で指定）
• ローカルAdministratorsグループのメンバー
• ローカルAdministratorsグループに所属していないすべてのユーザー

なお、ローカルグループポリシーエディターはWindows 10のPro、Enterprise、Educationエディションでのみ利用可能です。Windows 10 Homeの場合は、専用の手順に従ってgpedit.mscをインストールする必要があります。

ユーザーまたはグループ向けローカルグループポリシーの作成手順

1. Win + Rキーを押して「ファイル名を指定して実行」を開き、「mmc」と入力してEnterキーを押します。
2. メニューから「ファイル」→「スナップインの追加と削除」を選択します。
   
3. 利用可能なスナップインの一覧から「グループポリシーオブジェクトエディター」を選択し、「追加」をクリックします。
   
4. 「参照」をクリックし、「ユーザー」タブに移動します。ここでポリシーを適用するローカルグループまたはユーザーを選択できます。すでにそのユーザーやグループにローカルGPOが割り当てられている場合は、「グループポリシーオブジェクトが存在します」の列に「はい」と表示されます。管理者以外のすべてのローカルユーザーにポリシーを適用したい場合は、「Non-Administrators（管理者以外）」を選択してください。
   
5. 「ローカル コンピューター\Non-Administrators」が選択されていることを確認し、「完了」をクリックします。
   
6. ユーザー設定用のGPOエディターコンソールが表示されます。ここで、非管理者ユーザーに適用するローカルポリシー設定を構成できます。
   
7. ローカルユーザーに適用したいグループポリシー設定をお好みに応じて構成します。

MLGPOを活用すれば、コンピュータをADドメインに参加させる前の段階でユーザー制限を設定することも可能です。たとえば、ローカルアカウントでのネットワークアクセスを制限するといった運用ができます。

ローカルポリシーの削除方法

グループに対して設定したローカルポリシーを削除したい場合は、「ユーザー」タブで対象のグループを選択し、「グループポリシーオブジェクトの削除」をクリックします。

lgpo.exeを使ったMLGPOのエクスポートとインポート

ローカルGPOの最大の弱点は、ドメインGPO（ADドメインコントローラーに保存され一元的に編集できる）と異なり、他のコンピュータへ設定を移行するのが難しい点です。MLGPOの設定を移行するには、Microsoft公式ツールのlgpo.exe（Security Compliance ManagerおよびMicrosoft Security Baselineに同梱）を使用します。

構成済みのすべてのローカルポリシーをファイルにエクスポートするには、次のコマンドを実行します。

lgpo /b c:\GPObackup\

別のコンピュータにローカルグループポリシー設定をインポートするには、ポリシーのGUIDを指定します（エクスポートしたファイル群の中から、Non-Administratorsグループの既知のSID「S-1-5-32-545」でポリシーフォルダを特定できます）。ターゲットコンピュータで設定を適用するには、以下のコマンドを使用します。

lgpo /parse /u C:\GPObackup\{GUID}\DomainSysvol\GPO\User\registry.pol

その後、GPO設定を更新します。

gpupdate /force

LocalGPO.wsfスクリプトによるエクスポート／インポート

また、LocalGPO.wsfスクリプトを使用してMLGPOをエクスポート／インポートすることもできます。

エクスポートの場合：

cscript LocalGPO.wsf /Path:C:\GPObackup /Export /MLGPO:Non-Administrators

インポートの場合：

cscript LocalGPO.wsf /Path:C:\GPObackup\{GUID}