Windowsのグループポリシーとは？基本の仕組みから具体的な活用方法まで徹底解説

Windowsの技術的な側面に触れたことがある方や、IT部門の担当者から話を聞いたことがある方なら、「グループポリシー」という言葉を目にしたことがあるかもしれません。しかし、IT業界で働いていない限り、実際に使った経験がある人は少ないのではないでしょうか。

この記事では、Windowsの重要な構成要素であるグループポリシーについて、その概要、重要性、そして実際に確認・活用する方法をわかりやすく解説します。

グループポリシーとは？

グループポリシーとは、ユーザーアカウント、アプリケーション、さらにはWindows自体の動作を制御できるWindowsの機能です。主に企業環境向けに設計されていますが、家庭用ユーザーにとっても役立つ場面があります（後述します）。

グループポリシーの設定は、単体では1台のコンピューターにしか適用されません。大規模な構成を作ることも可能ですが、単独ではあまり実用的ではありません。そのため、ビジネス環境ではActive Directoryと組み合わせて使用されるのが一般的です。

以前、Windowsドメインの解説でも触れたように、Active DirectoryはMicrosoftが提供するユーザー管理サービスで、大量のユーザー管理を効率化します。中央サーバー（ドメインコントローラー）を使って各マシンを管理し、IT管理者がサーバー上でグループポリシーの設定を変更すると、まもなくすべてのワークステーションに変更内容が反映されます。

なお、ドメインへの参加にはWindows Proエディションが必要なため、グループポリシーはProfessional以上のエディションでのみ利用可能です。Homeエディションのユーザーは、別の回避策を試す必要があります。

GPOとは？

GPOはGroup Policy Object（グループポリシーオブジェクト）の略で、特定のシステムに対して定義されたグループポリシー設定の集まりを指します。

ユーザーがドメイン参加済みのコンピューターにログインすると、そのマシンはドメインコントローラーに問い合わせ、最新のグループポリシーの変更内容を取得します。これはつまり、サーバーから最新のGPOをダウンロードしているということです。

企業では、ユーザーの種類に応じて複数のGPOを設定することもあります。たとえば一般社員のグループはアカウントがロックダウンされ、サーバー上の共有フォルダーへのアクセスが制限される一方、経営陣のグループにはまったく別のGPOが適用され、Windowsの動作も異なるといった具合です。

ローカルグループポリシーエディターへのアクセス方法

Windows Proに搭載されている「グループポリシーエディター」を使えば、ローカルのグループポリシーを確認・変更できます。起動するには、スタートメニューや「ファイル名を指定して実行」ダイアログにgpedit.mscと入力しましょう。

エディターを開くと、「コンピューターの構成」と「ユーザーの構成」という2つの項目が表示されます。名前のとおり、前者はマシン全体に適用される設定、後者は現在のユーザーにのみ適用される設定です。

ここではさまざまなオプションを調整できます。以下にいくつか具体例を紹介します。

グループポリシーの具体的な活用例

グループポリシーの設定変更の多くは、内部的にはレジストリ値の変更として処理されます。しかし、グループポリシーの方がはるかに扱いやすく安全なため、システム管理者がわざわざレジストリを直接編集する必要性はほとんどありません。

では、アクセス方法がわかったところで、企業はグループポリシーをどのような目的で使っているのでしょうか？

フォルダーリダイレクト

デフォルトでは、Windowsは「ドキュメント」や「画像」などの標準フォルダーをC:\Users\[ユーザー名]配下に配置します。これでも問題ありませんが、企業によっては、従業員の文書をサーバー上に保存させたいケースがあります。バックアップや復旧を容易にするため、あるいは部門内でリソースを共有しやすくするためです。

そんなとき、グループポリシーを使えば、全ユーザーのフォルダーを一括でリダイレクトできます。エクスプローラーで「ドキュメント」をクリックすると、ローカルフォルダーではなくネットワーク上の共有リソースへアクセスするようになります。

コンピューター設定の統制

Windowsでは、設定アプリやコントロールパネルから多種多様な設定を変更できます。しかし管理者からすれば、ユーザーがこれらを好き勝手に変更してほしくないのが本音でしょう。

グループポリシーを使えば、設定値をあらかじめ決めておき、ユーザーによる変更をブロックできます。たとえば、一定時間後にディスプレイをオフにする電源設定、既定のアプリの指定、インターネット接続オプションの変更禁止などが可能です。

セキュリティ設定

グループポリシーを使うと、アカウントセキュリティに関する多くの基準を設定できます。IT担当者は、パスワードの最低文字数、複雑性の要件、定期変更の義務付けなどを含むパスワードポリシーを設定可能です。さらに、ロックアウトポリシーを利用すれば、誤った認証情報を繰り返し入力した際にアカウントを凍結することもできます。

ネットワークドライブとプリンターの割り当て

「PC」画面に表示されるローカルのC:ドライブはよく知られていますが、ネットワーク上の場所を独立したドライブとして追加できるのはご存じでしょうか？　これを活用すれば、ユーザーはパスを正確に記憶していなくても、会社のサーバー上のフォルダーへ簡単にアクセスできます。

新しいユーザーごとに手動でネットワーク共有を追加する代わりに、グループポリシーで自動的にマッピングできます。共有先が変更になった場合も、個々の端末で何度も修正するのではなく、GPOを一度変更するだけで済むのです。

プリンターも同様です。会社が新しいプリンターを導入する際も、グループポリシーに追加すれば、全コンピューターへドライバーを一括インストールできます。

その他にも多彩な設定が可能

グループポリシーには、意外なほど細かいオプションが用意されています。一見些細な項目もありますが、あらゆる状況に応じてWindowsをきめ細かく制御できるのが魅力です。

より踏み込んだ設定例としては、次のようなものがあります。

• CDやその他のリムーバブルドライブへの読み取り／書き込みアクセスの拒否
• Windows Updateへのアクセスを完全に無効化
• エクスプローラーから各種オプションを非表示化
• プリンターの追加・削除の禁止
• タスクバーの時計などの要素を非表示にする

グループポリシー管理コンソール（GPMC）とは？

前述のローカルグループポリシーエディター（gpedit.msc）は、1台のコンピューターにしか適用できません。ドメイン全体を管理するには、ドメインコントローラーにインストールされたグループポリシー管理コンソール（GPMC）が必要です。

GPMCには、GPOのインポート／エクスポート、検索、レポート作成など、はるかに豊富な機能が備わっています。ネットワーク全体にGPOを展開するために設計された、いわばエンタープライズ向けツールです。

興味があれば、Windows Pro（以上）にGPMCを追加してみましょう。まず、Remote Server Administration Tools（Windows 10 | Windows 7）をインストールします。

その後、スタートメニューで「windows features」と検索し、「Windowsの機能の有効化または無効化」を開きます。「Remote Server Administration Tools」とその下の「Feature Administration Tools」を展開し、「Group Policy Management Tools」にチェックを入れれば準備完了です。

ツールを起動するには、スタートメニューや「ファイル名を指定して実行」にgpmc.mscと入力します。ただし、サーバーではないマシンで使っても大きな意味はない点に注意してください。

業務でグループポリシーを本格的に習得したい方には、Courseraの「System Administration and IT Infrastructure Services」コースがおすすめです。グループポリシーに関する内容も含まれています。

まとめ：Windowsグループポリシーへの理解を深めよう

この記事では、グループポリシーの概要、エディターへのアクセス方法、そして主な活用目的を解説しました。すべてを暗記する必要はありませんが、「グループポリシーを使えば、システム管理者はドメイン上の全コンピューターのあらゆる動作を、1つの中央拠点から制御できる」というポイントだけは押さえておきましょう。

一般的な家庭ユーザーにとって、グループポリシーは日常的に使うものではないかもしれません。しかし、Windowsの中核を担う重要機能であり、少し知識を持っておく価値は十分にあります。

グループポリシーによるシステム調整に興味がある方は、自分で安全に無効化できるWindows 10の機能をチェックしてみるのもおすすめです。