Windows 10/11のレイヤードグループポリシー完全ガイド｜設定方法と活用メリット

近年、多くの組織がさまざまな課題に直面しています。特にIT管理者にとって頭の痛い問題となるのが、外付けハードディスクやプリンターなどの周辺機器といった「不正なデバイス」へのアクセス制限です。

幸いなことに、Microsoftもこの課題を認識しており、ネットワーク管理者が組織内のデバイスに何をインストールできるかを細かく制御できるよう、「レイヤードグループポリシー」という機能を提供しています。

グループポリシーエディターは、Windows環境においてIT管理者が利用できる最も強力なツールの一つです。バージョンが更新されるたびに、Microsoftはグループポリシーオブジェクト（GPO）を作成・管理するための新しい機能を追加してきました。

ただし、企業環境でグループポリシーを成功裏に導入するには、その仕組みを正しく理解することが不可欠です。本ガイドでは、グループポリシー管理の基礎知識と、Windows 11におけるレイヤードグループポリシーの使い方をわかりやすく解説します。

Windowsデバイスにおけるグループポリシーとは？基本概要

まず最初に確認しておきましょう。グループポリシーとは何でしょうか？

グループポリシーとは、ネットワーク管理者が幅広い設定を一元的に管理・制御できるWindowsの機能です。システム管理者がアプリケーションの構成やユーザー設定などを集中管理するためのハブとして機能します。

適切に活用すれば、同じネットワーク上にあるコンピューターや各種デバイスのセキュリティレベルを大幅に向上させることができます。マルウェアやサイバー攻撃など、ネットワークに対する脅威からの防御にも役立ちます。

GPO（グループポリシーオブジェクト）とは？

GPOとは、Microsoft管理コンソール（MMC）のグループポリシーエディターを使用して作成される設定の集合体です。これらのオブジェクトは、ドメインやサイトなど、Active Directoryのさまざまなコンテナーに関連付けることができます。

グループポリシーオブジェクトは、セキュリティ対策のために多様な用途で活用できます。以下に具体例をいくつか挙げます。

• ブラウザー起動時や新しいタブを開いた際に表示されるホームページ（ランディングページ）をGPOで指定できます。
• システム管理者はGPOを使って、ネットワーク上の利用可能なプリンター一覧に表示されるネットワーク接続プリンターを定義できます。
• インターネット接続の制限やスクリーンタイムの設定など、セキュリティに関する運用ルールやプロトコルの変更にもGPOを利用できます。

GPOはどのように処理されるのか？

どのGPOがどの順序で処理されるかという階層構造は、ユーザーのデバイスに適用される最終的な設定に影響を与えます。この階層は「LSDOU」と呼ばれ、Local（ローカル）、Site（サイト）、Domain（ドメイン）、Organizational Unit（組織単位）の頭文字を取ったものです。

LSDOUの仕組みでは、まずローカルコンピューターポリシーが処理され、次にサイトレベル、続いてドメインポリシーが適用されます。最後に組織単位（OU）のポリシーが処理されます。ポリシー同士が競合した場合は、最後に適用されたポリシーが優先されます。

なぜグループポリシーを使うべきなのか？

では、実際にグループポリシーを導入すべきなのでしょうか？ 組織にとってメリットはあるのでしょうか？

答えは「はい」です。グループポリシーを活用すれば、機密データをハッカーから守り、ITインフラストラクチャーを正しく構築・維持できます。

意外に思われるかもしれませんが、実はWindowsは想像以上にセキュリティ面で脆弱な部分があります。ありがたいことに、GPOはOS内部のセキュリティギャップを埋めるために設計されています。たとえば、ユーザーが業務に必要なツール以外へアクセスできないようにするポリシーを実装することも可能です。

しかし、グループポリシーエディターの利点はセキュリティだけにとどまりません。その他の主なメリットは以下の通りです。

• システム管理の効率化 – 時間のかかる反復作業を簡素化できます。新入社員の環境構築などに適用すれば、何時間もの設定作業を短縮できます。
• パスワードポリシー – パスワードを一切要求しない運用をしている組織や、有効期限のない認証情報を許可している組織も少なくありません。定期的に変更されないパスワードはハッキングのリスクが高まることは周知の通りです。グループポリシーを導入すれば、パスワードの長さや複雑さなどの要件を含む作成ルールを組織全体で強制できます。
• ヘルスチェック – グループポリシーを使えばアプリケーションやソフトウェアの更新プログラムを展開できます。これにより、環境を常に健全な状態に保ち、セキュリティ脅威から保護できます。

Windows 11のレイヤードグループポリシー機能とは？

レイヤードグループポリシー機能は、MicrosoftがWindows 10/11向けに導入した比較的新しい機能です。Microsoft自身はこの機能について以下のように説明しています。

「デバイスインストールポリシーは、組織内のすべてのマシンに対して内部・外部を問わずあらゆるデバイスのインストールを制限しつつ、事前に承認された少数のデバイスのみ使用・インストールを許可するために用いられます。すべてのデバイスには、システムが認識できる一連の『デバイス識別子』（クラス、デバイスID、インスタンスID）が割り当てられています。システム管理者が記述する許可リストには、さまざまなデバイスを表す識別子のセットが含まれており、この仕組みによってシステムはどのデバイスを許可し、どのデバイスをブロックすべきかを判断します。」

この機能の目的は、マシンを破損から保護すること、組織内のサポート案件を削減すること、そして何よりもデータ窃取を防ぐことにあります。このポリシーは、組織内外を問わずデバイスのインストールや使用を制限するために適用でき、IT管理者はどのデバイスのインストールや使用を許可するかを完全にコントロールできます。

レイヤードグループポリシーはWindows 10/11で使えるのか？

WinAeroユーザーにとって、レイヤードグループポリシーは目新しいものではないかもしれません。この機能はWindows 10 バージョン21H2で初めて搭載されました。それ以外のWindows 10バージョンについては、2021年7月にMicrosoftによって展開されました。

制限ポリシーは、Windows 10/11がすでに認識している特定のデバイス識別子を使用して設定できます。具体的には、クラス、インスタンスID、デバイスIDなどが該当します。

この機能の許可リストはシステム管理者が記述する必要があり、それぞれが特定のデバイスを表す識別子のセットを含みます。このリストを通じて、システムはどのデバイスにアクセスを許可し、どのデバイスをブロックすべきかを判断できます。

このレイヤードグループポリシーが追加されたことで、システム管理者は以下のようなメリットを享受できます。

• 直感的な操作性 – このポリシーにより、他のUSBクラスのインストールを防止するためにデバイスクラスを詳しく知る必要がなくなります。管理者はスクリプトの作成に集中できます。
• 柔軟性 – 直感的な操作性に加えて、このポリシーは「インスタンスID → ハードウェアID／互換ID → クラス → リムーバブルデバイスプロパティ」という階層的なレイヤリング構造を導入しています。

Windows 11でレイヤードグループポリシーを適用する方法

レイヤードグループポリシーには、以下のパスから簡単にアクセスして適用できます。

コンピューターの構成 → 管理用テンプレート → システム → デバイスのインストール → デバイスのインストールの制限

「デバイスのインストールの制限」フォルダーに入ったら、まず有効化すべきポリシーは「すべてのデバイス一致条件に対して、デバイスのインストールを許可および禁止するポリシーの評価にレイヤード順序を適用する」です。その後、以下の階層順序に従って、さらに一連のポリシーを有効化していきます。デバイスインスタンスID → デバイスID → デバイスセットアップクラス → リムーバブルデバイス。

それぞれの項目について、より詳しく説明します。

• デバイスインスタンスID – システムによって供給される一意のデバイス識別文字列で、システム内の新しいデバイスを識別できます。デバイスインスタンスIDは、一致するドライバーを使用する他のデバイスのインストールを防止すると同時に、一致するドライバーを使用するデバイスのインストールを許可することもできます。
• デバイスID – Windowsがデバイスとドライバーパッケージを照合するために使用する文字列です。非常に具体的なものから汎用的なものまで幅があり、ハードウェアIDまたは互換IDのいずれかになります。デバイスIDは、一致するドライバーを使用するデバイスのインストールを防止したり、逆に許可したりできます。
• デバイスセットアップクラス – 「クラス」とも呼ばれる、もう一つの種類の識別文字列です。クラスはデバイスの製造元がドライバーパッケージ内でデバイスに割り当てます。デバイスセットアップクラスも、一致するドライバーを使用するデバイスのインストールを防止または許可できます。
• リムーバブルデバイス – このパラメーターは、リムーバブルデバイスのインストールを防止するために使用します。クラスIDまたはデバイスIDを追加してリムーバブルデバイスを構成し、変更を適用します。

このポリシーはレイヤー構造になっているため、「他のポリシー設定で記述されていないデバイスのインストールを禁止する」機能の上に重ねて使用できます。

互換IDとハードウェアIDを確認する方法

互換IDとハードウェアIDを確認するには、以下の手順に従います。

1. Windows + Xキーを押してクイックリンクメニューを開き、一覧から「デバイスマネージャー」を選択します。
2. 対象のデバイスを右クリックします。
3. 「プロパティ」を選択します。
4. 「詳細」タブを開きます。
5. 「プロパティ」のドロップダウンから、ハードウェアIDやクラスIDなど必要な情報を選択して確認します。

許可リストにデバイスIDを追加する方法

許可リストにデバイスIDを追加するには、以下の手順を参照してください。

1. 「これらのデバイスIDのいずれかに一致するデバイスのインストールを許可する」ポリシーを開きます。
2. 「有効」を選択します。
3. 「オプション」セクションに移動し、「表示」ボタンをクリックします。
4. リストに「ハードウェアID」または「互換ID」を追加します。
5. 「適用」ボタンを押して変更を保存します。

システム管理者によるデバイスインストール制限の上書きを許可する方法

デバイスインストール制限の上書きを許可するには、特定のポリシーを有効にする必要があります。有効化すると、システム管理者は「ハードウェアの追加」ウィザードや「ドライバーの更新」ウィザードを使用して、デバイスのインストールや更新を行えるようになります。

まとめ

本記事では、Windows 10/11環境にレイヤードグループポリシーを実装する方法をご紹介しました。また、グループポリシーとは何か、そしてそれが組織にもたらすメリットについても解説しました。この情報が皆様のお役に立てば幸いです。さらに詳しい情報が必要な場合は、ぜひ他の関連記事もご覧いただくか、公式サイトをご確認ください。