今回は新しいプロファイルの保持の仕組みである FSLogix について解説を行います．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

• Active Directory ファイルサーバーに関するお話
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する 「SMBの解説」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「ファイルサーバーリソースマネージャーの導入」
  • Windows ファイルサーバー – DFS (Distributed File System/分散ファイルシステム) と DFSR (DFS Replication/DFS レプリケーション)
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「共有の作成とアクセス権の設定」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「クォータの設定」
  • Windows ファイルサーバー – DFS 名前空間とDFS レプリケーションの構成

FSLogix とは

FSLogix とはプロファイル情報をファイルサーバーに持ち，複数台の端末を利用した際に設定情報を維持したまま利用ができるものです．これだけだと移動ユーザープロファイルと同じように聞こえますが，プロファイル情報の持ち方，アクセスの仕方が異なります．

FSLogix のプロファイル情報はファイルサーバーの中に仮想ハードディスクイメージが作成され，その仮想ハードディスクを端末でマウントを行いあたかもローカルディスクに対してアクセスする形式となります．

そのため，ログオン・ログオフ時のプロファイルのコピーや書き戻しは発生しません．必要なデータをそのまま読み書きするだけとなりますので移動ユーザープロファイルと比べて IO 負荷が軽減されます．

また，端末のローカルディスクへプロファイル情報のコピーを行わないことから，各端末に余分なプロファイルデータが蓄積されていくということもなくなります．

最もシンプルな FSLogix の構成はこのように，プロファイルデータおよびデスクトップやダウンロードなどもすべて仮想ハードディスクに保存する方式となります．

移動ユーザープロファイルとの違いはプロファイル情報の維持する範囲になります．移動ユーザープロファイルの場合，Local および LocalLow は対象に入りません．FSLogix はここも対象に入ります．
移動ユーザープロファイル+フォルダーリダイレクト と FSLogix のプロファイルの保持範囲の違いは以下イメージのとおりです．

Local および LocalLow には，Office アプリケーションの情報や IME 辞書のデータなどが保持されているため，移動ユーザープロファイル以上の利便性向上が図られます．

また，昨今の Office365 (Microsoft 365) のライセンス情報も Local の中に保持されるためライセンス認証状況を維持したい場合は FSLogix の利用が必須と考えられます．

デスクトップやダウンロードなどのデータは今まで通りフォルダーリダイレクトを利用することも可能です．
これは要件や運用に合わせて決定していけば大丈夫です．例えば，ファイルサーバー側で定期的にスナップショットをとるようにしており，ユーザーが誤ってデータを消去した．もしくは書き換えてしまった．などの際に過去のデータにアクセスできる手段を提供する．という場合は FSLogix とフォルダーリダイレクトを併用して提供する．という運用が考えられます．

FSLogix の構成

ファイルサーバー領域の作成

FSLogix はファイルサーバーにデータを保管しますので，共有を作成する必要があります．

作成の方法については以下の記事を参考にしてください．今回の共有名は「FSLogix」として以降解説していきます

• Windows ファイルサーバー – ファイルサーバーサービスを構成する「共有の作成とアクセス権の設定」
  • この記事を参考に「FSLogix」の共有を作成します
  • アクセス権はこの記事と同様で大丈夫です

• Windows ファイルサーバー – DFS 名前空間とDFS レプリケーションの構成
  • この記事を参考に「FSLogix」用の DFS 名前空間を作成してください
  • 名前空間は「Profiles」をそのまま利用頂く形式で大丈夫です．
    • \\<ドメイン名>\Profiles\FSLogix というパス名になるように設定してください
  • 冗長構成をとる為，DFS レプリケーションも合わせて構成をしてください

移動ユーザープロファイル，フォルダーリダイレクトの場合，ファイルサーバーリソースマネージャー (FSRM) でクォータの設定を行いましたが，FSLogix ではグループポリシー (GPO) で仮想ハードディスクサイズを指定するため，クォータの設定は不要です．

FSLogix アプリケーションのダウンロード

FSLogix は個別のアプリケーションソフトウェアとなっています．
「https://learn.microsoft.com/ja-jp/fslogix/how-to-install-fslogix」にアクセスして「直接ダウンロード」のセクションにある「こちら」をクリックしてアプリケーションをダウンロードしてください．

「FSLogix_Apps_xxx.zip」というファイルがダウンロードされますので zip ファイルを展開してください．

ドメインコントローラーへのグループポリシーテンプレートの配置

展開したフォルダー直下に「fslogix.admx」と「fslogix.adml」というファイルがあります．
この2つのファイルをどれかのドメインコントローラーのセントラルストアにコピーします．

「fslogix.admx」ファイルは「C:\Windows\SYSVOL\domain\Policies\PolicyDefinitions」にコピーします．

「fslogix.adml」ファイルは「C:\Windows\SYSVOL\domain\Policies\PolicyDefinitions\en-US」にコピーします．

クライアントへの FSLogix エージェントのインストール

zip ファイルを展開した中に「Win32」および「x64」フォルダーがあります．クライアントの OS 種別に合わせてそのフォルダーの中の「FSLogixAppsSetup.exe」をクライアントにコピーしてください．

クライアントに管理者アカウントでログインし「FSLogixAppsSetup.exe」を実行してインストーラーを起動します．

インストーラーが起動したら「I agree to the license terms and conditions」にチェックを入れ「Install」をクリックします．

「ユーザーアカウント制御」の警告が表示されますので「はい」をクリックします．

インストールが進み「Setup Successful」と表示されたら「Close」をクリックしてインストーラーを終了します．

クライアントを再起動させます．

グループポリシーの構成

サーバーマネージャーの「ツール」をクリックし「グループポリシーの管理」をクリックします．

ツリーを展開し「グループポリシーオブジェクト」を表示，右クリックで「新規」をクリックします．

グループポリシーの名前を入力して「OK」をクリックします．今回は「FSLogix」という名前にしました．

作成したポリシーを選択，右クリックし「編集」をクリックします．

「コンピューターの構成」-「ポリシー」-「管理用テンプレート」-「FSLogix」-「Profile Containers」とツリーを辿っていきます．

VHD Locations

FSLogix 仮想ハードディスクを保存するファイルサーバーパスを定義するポリシーです．
VHD Locations をダブルクリックし「有効」を選択のうえファイルサーバーパスを入力します．
今回は先ほど作成している DFS パスの「\\lab.seichan.org\Profiles\FSLogix」を入力しています．

入力が終わったら「適用」をクリックし「OK」をクリックしてウィンドウを閉じます．

Size In MBs

FSLogix 仮想ハードディスクの最大サイズを設定するポリシーです．最小値は 500MB です．
10GB 以上を推奨します．今回は 10GB を設定しています．
「有効」をクリックし，サイズを入力後「適用」をクリックのうえ「OK」をクリックしてウィンドウを閉じます．

Delete Local Profile When VHD Should Apply

ローカルプロファイルがすでに存在する場合，削除するポリシーです．
利用中の端末の場合，この設定が有効でない場合 FSLogix に切替されません．

なお，この設定を有効にして FSLogix に切り替わった場合，新規のポリシーとして作成されますので，利用中での切り替えの場合は必要設定は別途移行を行う必要があります．

「有効」をクリックし「適用」をクリック，「OK」をクリックしてウィンドウを閉じます．

Enabled

FSLogix を有効にするかどうかを設定するポリシーです．
「有効」をクリックし，「適用」をクリック，「OK」をクリックしてウィンドウを閉じます．

続いて一段したのツリーのポリシー設定になります．
「コンピューターの構成」-「ポリシー」-「管理用テンプレート」-「FSLogix」-「Profile Containers」-「Container and Directory Naming」とツリーを辿っていきます．

Volume Type (VHD or VHDX)

仮想ハードディスクのタイプを設定します．VHDX が新しい仮想ディスクタイプですのでこちらを推奨します．大きな違いは最大容量とセクターサイズになります．

「有効」をクリックし，「VHDX」を選択のうえ「適用」をクリック，「OK」をクリックしてウィンドウを閉じます．

Flip Flop Profile Directory Name

FSLogix 仮想ハードディスクを作成，保存するフォルダー名の規則を変えるポリシーです．
このポリシーが未構成の場合は「SID_ユーザー名」となります．有効にすることで「ユーザー名_SID」という形式になり，管理が容易になります．

「有効」をクリックし，「適用」をクリックし「OK」をクリックしてウィンドウを閉じます．

その他にも設定項目は多岐にわたりますが，最低限は以上となります．
設定項目と説明はどこかで纏められればいいなぁ… と考えています．
(期待はしないでください)

グループポリシーのリンク

作成したポリシーをリンクします．FSLogix の設定はコンピューターですので，コンピューターが格納されている OU に対してリンクする必要があります．
今回は「Computer」OU に適用を行います．

適用したい OU を選択，右クリックし「既存の GPO のリンク」をクリックします．

作成したポリシーを選択して「OK」をクリックします．

なお，移動ユーザープロファイルとバッティングしますので，移動ユーザープロファイルはリンクの無効もしくは削除を実施します．今回は削除を実施しています．
OU からリンクを削除したいポリシーを選択，右クリックで「削除」をクリックします．

確認が促されますので「OK」をクリックして削除を完了します．

以上で FSLogix を利用するための設定は完了です．

FSLogix の動作確認

では実際に動作の確認を行ってみましょう．
クライアント OS にログオンを行います．

既にローカルプロファイルが存在していた場合でも，今回の設定では新しくプロファイルが作成されます．

フォルダーリダイレクトでリダイレクトを行っている箇所は継続してフォルダーリダイレクトが利用されます．デスクトップに表示されているフォルダーがリダイレクトが継続利用できていることを示しています．

FSLogix のマウントを確認する

クライアントがどのように FSLogix 領域を利用しているのかを確認してみましょう．
VHD/VHDX をマウントしていることを「コンピューターの管理」より確認することができます．
なお「ディスクの管理」は管理者権限が必要です．

「コンピューターの管理」を右クリックし「管理者として実行」をクリックします．

「記憶域」-「ディスクの管理」を表示すると，Profile_<ユーザー名>としてディスクがマウントされていることが確認できます．

C:\Users 以下を確認してみます．seichan でログオンしています．
「local_seichan」がこの端末にのみ保持される情報 (FSLogix の範囲外になっているもの)，「seichan」が FSLogix の領域 (実体は VHD/VHDX ファイルの中) になります．

サーバー側で確認する

ファイルサーバーをみるとこのようにデータが作成されます．
FSLogix で指定したフォルダーにユーザー毎にフォルダーが作成されます．

フォルダーの中をみると VHDX ファイルとメタデータファイル (拡張子 metadata) が確認できます．
メタデータファイルが存在している場合，この VHDX ファイルは利用中 (ユーザーがログオン中) になります．

サーバーでマウントしてデータを確認する

VHD/VHDX ファイルは Windows Server でマウントすることができます．
実際にマウントを行って中を確認してみます．

マウントしたい VHD/VHDX ファイルを選択，右クリックし「マウント」をクリックします．

ファイルを開くか確認される場合があります．その場合は「開く」をクリックします．

マウントができなかった旨が表示される場合があります．これは正常です．次の「コンピューターの管理」で対処することで中身を確認できるようになります．

サーバーマネージャーの「ツール」-「コンピューターの管理」をクリックします．

「記憶域」-「ディスクの管理」を開き，マウントした VHD/VHDX ディスクを右クリックして「ドライブ文字とパスの変更」をクリックします．

「追加」をクリックします．

ドライブ文字を割り当てるもしくは，マウントするパスを指定します．今回は「F:」ドライブを割り当てます．
割り当てたいドライブレターもしくはパスを選択して「OK」をクリックします．

マウントした場所へアクセスすると中身の確認ができます．

この確認を行った後はディスクの切断を行わないと利用者がログオンできない (できても初期プロファイルになってしまう) 為，リストアを行いたいなどのトラブル時のみにしまよう．

以上，FSLogix の説明を終わります．
新しいユーザープロファイルの持ち方としてぜひ FSLogix を活用しましょう．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

• Active Directory ファイルサーバーに関するお話
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する 「SMBの解説」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「ファイルサーバーリソースマネージャーの導入」
  • Windows ファイルサーバー – DFS (Distributed File System/分散ファイルシステム) と DFSR (DFS Replication/DFS レプリケーション)
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「共有の作成とアクセス権の設定」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「クォータの設定」
  • Windows ファイルサーバー – DFS 名前空間とDFS レプリケーションの構成

フォルダーリダイレクトとは

フォルダーリダイレクトとは移動プロファイルと違い「デスクトップ」や「ドキュメント」のデータをローカルに保持せずに，直接ファイルサーバーを参照し，データをローカルに置かないで運用が可能になる技術です．

これによってログオン・ログオフ時のファイルサーバーからの読み出し，書き戻しが無くなります．
また，クライアント端末ローカルにデータを保持しないためクライアント側のディスク領域の節約にもつながります．

以下の例ですと「デスクトップ」などフォルダーリダイレクト対象にできるものは全部対象とした場合ですが，一部だけ対象にする，もしくは一部だけ除外する．ということも可能です．
(積極的にそのようにする理由はありませんが)

また，壁紙などのユーザーの設定情報はフォルダーリダイレクトの対象にはなりません．これは引き続き移動ユーザープロファイルを用いる必要があります．
従って，一般的に構成する方式は次のようなイメージになります．

ユーザーの設定情報は引き続き移動ユーザープロファイルを利用します．ログオン・ログオフ時はファイルサーバーからの読み出し，書き戻しが必要ではありますが，対象となるデータは大幅に減ります．

「デスクトップ」や「ダウンロード」は透過的にファイルサーバーアクセスするように構成されるため，ユーザーは意識する必要がありません．また，該当フォルダーのデータの編集の際にファイルサーバーアクセスが発生するため，ログオン・ログオフ時の負荷が大きく削減できます．

フォルダーリダイレクトの構成

ファイルサーバー領域の作成

フォルダーリダイレクトとしてファイルサーバーにデータを保管しますので，共有を作成する必要があります．
管理上，移動ユーザープロファイルとは別の場所に作成を行う事をお勧めします．

作成の方法については以下の記事を参考にしてください．今回の共有名は「FolderRedirect」として以降解説していきます

• Windows ファイルサーバー – ファイルサーバーサービスを構成する「共有の作成とアクセス権の設定」
  • この記事を参考に「FolderRedirect」の共有を作成します
  • アクセス権はこの記事と同様で大丈夫です

• Windows ファイルサーバー – ファイルサーバーサービスを構成する「クォータの設定」
  • この記事を参考に「FolderRedirect」に対してクォータを適用します
  • ユーザーデータが置かれる領域になりますので「10GB」など多少容量が大きい設定をお薦めします

• Windows ファイルサーバー – DFS 名前空間とDFS レプリケーションの構成
  • この記事を参考に「FolderRedirect」用の DFS 名前空間を作成してください
  • 名前空間は「Profiles」をそのまま利用頂く形式で大丈夫です．
    • \\<ドメイン名>\Profiles\FolderRedirect というパス名になるように設定してください
  • 冗長構成をとる為，DFS レプリケーションも合わせて構成をしてください

フォルダーリダイレクトの構成

サーバーマネージャーの「ツール」をクリックし「グループポリシーの管理」をクリックします．

ツリーを展開し「グループポリシーオブジェクト」を表示，右クリックで「新規」をクリックします．

グループポリシーの名前を入力して「OK」をクリックします．今回は「フォルダーリダイレクト」という名前にしました．

作成したポリシーを選択，右クリックし「編集」をクリックします．

「ユーザーの構成」-「ポリシー」-「Windowsの設定」-「フォルダーリダイレクト」とツリーを辿っていきます．
フォルダーリダイレクトのツリーを展開すると「AppData(Roaming)」や「デスクトップ」などの項目が確認できます．

AppData(Roaming) の構成

AppData(Roaming) を選択，右クリックして「プロパティ」をクリックします．

「ターゲット」タブの設定にて「基本 – 全員のフォルダーを同じ場所へリダイレクトする」を選択します．
対象フォルダーの場所は「ルートパスの下に各ユーザーのフォルダーを作成する」を選択し，ルートパスにファイルサーバーパスを入力します．
今回は「\\lab.seichan.org\Profiles\FolderRedirect」を入力します．この場合，次のようにリダイレクトフォルダーが作成されます．
「\\lab.seichan.org\Profiles\FolderRedirect\<ユーザー名>\Roaming」

「設定」タブをクリックし「ユーザーに AppData(Roaming) に対して排他的な権限を与える」のチェックを外します．
これにチェックがついたままですと，Administrator のアクセスができない状態となります．

設定が完了したら「適用」をクリックし「OK」で完了します．

「デスクトップ」およびその他の構成

AppData(Roaming) と同様の設定を行います．
フォルダーリダイレクトとして指定可能な項目は「デスクトップ」，「スタートメニュー」，「ドキュメント」，「Puctures」，「ミュージック」，「Videos」，「お気に入り」，「連絡先」，「ダウンロード」，「リンク」，「検索」，「保存されたゲーム」です．

移動ユーザープロファイルを構成している場合，ここでフォルダーリダイレクトを行わない場合は全て移動ユーザープロファイルの中に収められることになります．
ですので，全体的にフォルダーリダイレクトの対象として設定することが望ましいです．

グループポリシーのリンク

作成したポリシーをリンクします．フォルダーリダイレクトはユーザーポリシーですので，ユーザーが格納されている OU に対してリンクする必要があります．
今回は「User」OU に適用を行います．

適用したい OU を選択，右クリックし「既存の GPO のリンク」をクリックします．

作成したポリシーを選択して「OK」をクリックします．

リンクしたポリシーを選択し「設定」タブをクリックして設定状況を確認しておきます．

以上でフォルダーリダイレクトの設定が完了です．

フォルダーリダイレクト動作の確認

では実際に動作の確認を行ってみましょう．

ログイン後，すでにデスクトップに作成済みだったフォルダーのパスを確認してみます．
次のように，ローカルデスクトップではなく，ファイルサーバーに存在していることが確認できます．

ファイルサーバー上でもどのように見えているのか確認します．
このように，ファイルサーバー上にフォルダーがいることが確認できます．

この，元々ローカルにファイルがあったものがフォルダーリダイレクト先に移動されるのはグループポリシーでそのように設定を行ったからです．
フォルダーリダイレクトの「設定」タブ内の「○○の内容を新しい場所に移動する」のチェックがついていればこの動作になります．

フォルダーリダイレクト可能なものを全て対象にした場合，ファイルサーバーからみると次のように見えます．

以上で，移動ユーザープロファイル＋フォルダーリダイレクトの構成の説明を終わります．
最後になりますが，この方法は今までのやり方になっており，新しい方法として FSLogix を利用したプロファイルのモビリティが利用されます．次はその説明を行いたいと思います．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

• Active Directory ファイルサーバーに関するお話
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する 「SMBの解説」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「ファイルサーバーリソースマネージャーの導入」
  • Windows ファイルサーバー – DFS (Distributed File System/分散ファイルシステム) と DFSR (DFS Replication/DFS レプリケーション)
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「共有の作成とアクセス権の設定」
  • Windows ファイルサーバー – ファイルサーバーサービスを構成する「クォータの設定」
  • Windows ファイルサーバー – DFS 名前空間とDFS レプリケーションの構成

ユーザープロファイルとは

ユーザープロファイルとは，Windows クライアントの中に保持されている各ユーザーの設定情報になります．
壁紙の設定であったり，タスクバーのカスタマイズ情報などの設定情報になります．
また，この中には「デスクトップ」や「ドキュメント」のフォルダーおよびデータも含まれます．

移動ユーザープロファイルとは

移動ユーザープロファイルは，ユーザーの設定情報をファイルサーバーに保存することで，設定情報のモビリティを確保する技術になります．
複数の端末を利用する際に同じ設定，同じデータ（ドキュメントやデスクトップの中のデータ）が利用できるようになります．

これによって会社や学校などで不特定の席・端末を利用しなければならない場合でも，常に自分の設定が維持され，保存しているデータが利用可能な状態で Windows を操作することが可能になります．

移動ユーザープロファイルはメリットだけではありません．以下にメリットとデメリットを記載します．

メリット

• 設定状態を維持できる
• ダウンロードやデスクトップなどのデータを他の端末で利用できる
• ファイルサーバーにデータが置かれるので，ファイルサーバーのバックアップを考えるだけで良くなる

デメリット

• ログオン/ログオフ時にファイルサーバーからダウンロード/アップロードを行うため待ちが発生する
  • 特にドキュメントやデスクトップに大量のデータがある場合に顕著になる
• 各 Windows クライアントにデータが残ったままとなる為，多数のユーザーが利用する場合ディスク領域を圧迫してトラブルになる場合がある

デメリット部分を解消する仕組みとして「フォルダーリダイレクト」という技術があります．これは次回説明を行います．
今回は全てを移動ユーザープロファイルにする場合の設定および動作を確認します．

移動ユーザープロファイルの設定

サーバーマネージャーの「ツール」をクリックし「グループポリシーの管理」をクリックします．

ツリーを展開し「グループポリシーオブジェクト」を表示，右クリックで「新規」をクリックします．

グループポリシーの名前を入力して「OK」をクリックします．今回は「移動ユーザープロファイル」という名前にしました．

作成したポリシーを選択，右クリックし「編集」をクリックします．

「コンピューターの構成」-「ポリシー」-「管理用テンプレート」-「システム」-「ユーザープロファイル」とツリーを辿っていきます．
「このコンピューターにログオンしているすべてのユーザーの移動プロファイルパスを設定する」を選択しダブルクリックします．

設定を「未構成」から「有効」に変更し，移動ユーザープロファイルを保存するファイルサーバーパスを入力します．
今回は前回作成した DFS の領域である「\\lab.seichan.org\Profiles\RoamingProfiles」を入力します．
ここで一つポイントがあり「%USERNAME%」を追加します．これは変数でログオンしたアカウントIDに置き換わります．例えば「seichan」がログオンしたら「%USERNAME%」は「seichan」になります．
正式なパスとしては「\\lab.seichan.org\Profiles\RoamingProfiles\%USERNAME%」のようにユーザー名の変数を含めて入力します．

パスの入力が終わったら「適用」をクリックしてその後「OK」をクリックします．

続いて「Administrators セキュリティグループを移動ユーザープロファイルに追加する」を選択，ダブルクリックして設定を開きます．
この設定を入れない場合，移動ユーザープロファイルは Administrators 権限を持つ管理者でもアクセスができなくなってしまいます．

設定を「未構成」から「有効」に変更して「適用」，「OK」をクリックします．

グループポリシー編集エディターを終了し，作成したポリシーをリンクさせます．今回は「Computers」OU にリンクを行います．
適用したい OU を選択，右クリックし「既存の GPO のリンク」をクリックします．

作成したポリシーを選択して「OK」をクリックします．

リンクしたポリシーを選択し「設定」タブをクリックして設定状況を確認しておきます．

以上で移動ユーザープロファイルの設定が完了です．

移動ユーザープロファイル動作の確認

では実際に動作の確認を行ってみましょう．

1台目でログオンしてファイルを作成する

まずは1台目のクライアントにログオンします．

今回はテストとしてデスクトップにフォルダーを作成して動作を確認します．

このまま1台目の OS からログオフ(サインアウト)を行います．
ログオフの際に，プロファイルデータやユーザーデータをファイルサーバーに書き戻しが行われます．「ドキュメント」や「ダウンロード」，「デスクトップ」に大量のデータがある場合ログオフに時間がかかります．

2台目でログオンして確認する．また，設定変更を行ってみる

2台目の OS にログオンします．ログオンが完了すると，1台目で作成していたフォルダーが表示されることが確認できます．
ログオンの際にファイルサーバーからデータの読み取りが行われます．ログオンの際も同様に「ドキュメント」などに大量のデータが多い場合，そのコピーに時間を要してログオンに時間がかかります．

2台目の OS にて Windows の設定変更を試してみます．背景を画像から単色に変えてみます．

2台目の OS からログオフ (サインアウト) します．

再度1台目で確認する

1台目の OS に再度ログオンしてみます．2台目で行った設定が引き継がれていることが確認できます．

ファイルサーバーでの見え方

ファイルサーバーから見ると，プロファイルデータはこのようにフォルダーとして存在します．

「seichan.v6」の中をみると「デスクトップ」や「ダウンロード」などのフォルダーがあることが確認できます．

以上，移動ユーザープロファイルの解説です．
実際は全てを移動ユーザープロファイルで行うことは少なく，フォルダーリダイレクトと共に利用される場合が多いです．

次回はフォルダーリダイレクトについては触れていきます．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

パスワードポリシー

パスワードポリシーですが，Active Directory ドメイン構成時に自動的に設定される「Default Domain Policy」で次のように定義されています．

• パスワードの長さ 7文字以上
• パスワードの変更禁止期間 1日
• パスワードの有効期間 42日
• パスワードの履歴を記録する 24個のパスワード
• パスワードは要求する複雑さを満たす 有効
• 暗号化を元に戻せる状態でパスワードを保存する 無効
• アカウントのロックアウトのしきい値 0 回の無効なログオン試行

新しいパスワードポリシーですが，NIST (National Institute of Standards and Technology/米国国立標準技術研究所) が提唱しており，これに準じる形で総務省や内閣セキュリティセンターもこのポリシーにしましょうと啓蒙している所です．
どのようなポリシーなのかというと次のとおりです．

実施すべきではない

• 大文字，小文字や特殊文字，桁を一定数必要とするパスワードの複雑さの要件を設定すること
• パスワードに有効期限を設定すること
• パスワードを思い出させるためのヒントを使用すること
• ユーザーの個人的な情報をセキュリティ質問で使用すること

実施すべき

• パスワードの長さ 8文字～64文字
• 文字のタイプ ASCII 以外も利用可能であれば使うこと
• Password1! とか qazwsx のような類推されるパスワードはブラックリストに設定すること
• 強固なパスワードチェッカーを用いること
• 連続で認証失敗した場合にアカウントをロックすること
• パスワードの入力でコピー & ペーストを認めること
• 二要素認証を利用すること

参考となるサイト，文章は次のサイトとなります．

• NIST Special Publication 800-63B
  • https://pages.nist.gov/800-63-3/sp800-63b.html
• NIST SP 800-63-3の概要と今回の改訂がもたらす影響
  • https://www.jipdec.or.jp/sp/library/report/20171127.html
• NISC インターネットの安全・安心ハンドブック
  • https://security-portal.nisc.go.jp/guidance/handbook.html

Active Directory ドメインサービスのグループポリシーだけでは記載全てのことをできる訳ではありませんが，これに少しでも近づけて行くことを考えてみます．
以下が近づけた結果となります．

• パスワードの長さ 8文字以上
• パスワードの変更禁止期間 0日
• パスワードの有効期間 0日
• パスワードの履歴を記録する 0個のパスワード
• パスワードは要求する複雑さを満たす 有効
• アカウントのロックアウトのしきい値 5 回の無効なログオン試行
• ロックアウト期間は 10 分

これをグループポリシーとして作成，適用を行っていきます．「Default Domain Policy」を編集してもよいのですが，個人的にはデフォルトポリシーは弄るのが好きでは無いため，別のポリシーを作成，リンクさせ，優先順位で有効になるように実施をします．

グループポリシーの作成とリンク

サーバーマネージャーの「ツール」をクリックし「グループポリシーの管理」をクリックします．

ツリーを展開し「グループポリシーオブジェクト」を選択，右クリックして「新規」をクリックします．

ポリシー名を入力するウィンドウが開きますので名前を入力します．スターター GPO は無しを選択して「OK」をクリックします．
今回の環境での名前は「lab.seichan.org Default Policy」とします．

ポリシーが作成されているので選択，右クリックし「編集」をクリックします．

選択したポリシーの編集画面が表示されます．今回はパスワード，アカウントに関する箇所なので「コンピューターの構成」-「ポリシー」-「Windowsの設定」-「セキュリティの設定」-「アカウントポリシー」以下の項目になりますので，ツリーを開いていきます．

パスワードポリシーの変更

パスワードポリシーとして長さや期間などを設定します．「パスワードのポリシー」をクリックします．右側に項目の一覧が表示されます．

「パスワードの長さ」をダブルクリックして開きます．開くと次のような画面になるので，チェックを入れて「8文字以上」として「適用」をクリック，その後「OK」をクリックします．

続いて「パスワードの変更禁止期間」を設定します．開くと次のような画面になるので，チェックを入れて「0日」として「適用」をクリックします．

提案された値の変更という画面が表示されますので「OK」をクリックし，改めて「適用」をクリック，その後「OK」をクリックします．

続いて「パスワードの有効期間」を設定します．開くと次のような画面になるので，チェックを入れて「0日」として「適用」をクリックします，その後「OK」をクリックします．

続いて「パスワードの履歴を保存する」を設定します．開くと次のような画面になるので，チェックを入れて「0回」として「適用」をクリックします，その後「OK」をクリックします．

最後に「複雑さの要件を満たす必要があるパスワード」についてですが，これは「Default Domain Policy」を引き継ぎますので設定は行いません．

ロックアウトの変更

アカウントロックアウトの設定を行います．「アカウントロックアウトのポリシー」をクリックします．右側に項目の一覧が表示されます．

「アカウントロックアウトのしきい値」をダブルクリックして開きます．開くと次のような画面になるので，チェックを入れて「5回」として「適用」をクリックします．

提案された値の変更という画面が表示されますので「OK」をクリックし，改めて「適用」をクリック，その後「OK」をクリックします．

ロックアウトカウンターのリセット，ロックアウト期間が提案で自動設定された値を採用できそうなので追加の修正は行いません．
管理者アカウントについてもロックアウト対象にされていますが，これについても修正は行いません．
(このあたりは実際の要件に応じて修正ください)

ポリシーのリンク

では，作成したポリシーをリンクさせていきます．まずは，編集したグループポリシーのウィンドウを閉じます．
続いて「グループポリシーの管理」画面でドメイン名を右クリックし「既存の GPO のリンク」をクリックします．

ポリシーの一覧が表示されますので，先ほど作成したポリシーを選択して「OK」をクリックします．

右側ウィンドウの「グループポリシーの継承」タブをクリックします．この場合，優先順位が「Default Domain Policy」が高い状態になっていますので，優先順位をする必要があります．

右側ウィンドウの「リンクされたグループポリシーオブジェクト」タブをクリックします．リンクの順序として「Default Domain Policy」と「作成したポリシー」が並んでいます．

「Default Domain Policy」のリンクの順序を下げるため「Default Domain Policy」をクリックして選択，その後「下矢印」アイコンをクリックします．

リンクする順番が変わって次のようになります．

改めて「グループポリシーの継承」タブをクリックして適用の順番を確認します．

以上でパスワードポリシーの修正，適用は完了です．実際に正しい動作になるのかを確認してみます．

ポリシーの動作確認

作成，リンクしたポリシーが正しく反映されているのかクライアントを操作して確認を行ってみます．

パスワードポリシーの変更確認

クライアントにログオンしている状態で「Ctrl+Alt+Delete」を押します．リモートデスクトップの場合は「Ctrl+Alt+End」に変えてください．次のような画面に変わりますので「パスワードの変更」をクリックします．

パスワード文字列が8文字未満の場合

パスワードは8文字以上と設定されている為，7文字のパスワードに変えてみます．
現在のパスワードおよび新しいパスワードを入力して「右矢印」をクリックします．

次のとおり，要件を満たさないというエラーが出て変更ができないことが確認できます．

アカウントロックアウトの確認

一度ログオフして，5回パスワードを間違ってみます．6回目にログオンしようとするとこのような画面が表示されます．

ドメインコントローラーにてアカウントの状態を確認します．
「サーバーマネージャー」の「ツール」をクリックし，「Active Directory ユーザーとコンピューター」をクリックします．

該当ユーザーアカウントを選択，右クリックで「プロパティ」をクリックします．

プロパティの「アカウント」タブをクリックすると，真ん中の所に「このアカウントは現在、この Active Directory ドメインコントローラーでロックアウトされています。」の表示があります．これが出ているとロックアウトされている状態となります．

今の設定だと，10分で自動解除されますが，ここにチェックを入れて「適用」をクリックすることで手動でのロック解除ができます．

以上でアカウントロックアウトになることの確認，ドメインコントローラー上での確認及び手動解除の説明を終わります．

文章量はそんなになかったのですが，画像込みで長くなってしまったので，一般ユーザーでのドメイン参加の制御については次回に回します．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

クライアントの Active Directory ドメイン参加

クライアントを Active Directory ドメインへ参加させるにあたってまずはネットワークの設定，状態確認を行います．

クライアントのネットワーク設定

ドメイン参加するにあたり，Active Directory ドメインコントローラーと通信ができないといけません．
通信ができる．は DNS でドメインコントローラーの名前解決ができること，ネットワーク的に疎通が取れることです．

まず，クライアント PC のネットワーク設定を確認します．
今回はまだ DHCP サーバーがありませんので，静的に設定を行います．

「ネットワーク」アイコンをクリックします．

「ネットワークとインターネットの設定」をクリックします．

「アダプターのオプションを変更する」をクリックします．

利用するネットワークアダプターを選択，右クリックで「プロパティ」をクリックします．

「インターネットプロトコルバージョン 4」を選択し「プロパティ」をクリックします．

IPアドレスを入力します．DNS サーバーは Active Directory ドメインコントローラーの2台を指定しています．
設定内容を確認して「OK」をクリックします．

以上で，クライアントのネットワーク設定，確認は完了です．

ドメインコントローラーとの通信確認

ドメイン参加前にドメインコントローラーと通信の確認を行います．

タスクバーの入力ボックスで「cmd」と入力し「コマンドプロンプト」をクリックします．

「nslookup -querytype=ns <AD ドメイン名>」を入力してドメインコントローラーの名前，IP アドレスが返ることを確認します．
また，「nslookup <AD ドメイン名>」を入力して IP アドレスが返ることを確認します．

以上で，AD との疎通確認 (DNS による名前解決) は完了です．

クライアントのドメインの参加

では，実際にドメインに参加を行います．
タスクバーの「Windows」アイコンを右クリックし「システム」をクリックします．

詳細情報の下部の「このPCの名前を変更 (詳細設定)」をクリックします．

「コンピューター名」タブの「変更」をクリックします．

「コンピューター名/ドメイン名の変更」で「ドメイン」を選択してドメイン名を入力し「OK」をクリックします．

ドメインアカウントのユーザー名，パスワードを入力します．ユーザー名は <ドメイン名>\<ユーザー名> の形式で入力します．
ここ，最後に説明しますが，本来は「ドメイン管理者アカウント」が期待される状態だと思いますが，あえて「一般ユーザーアカウント」を入力しています．

「<ドメイン名> へようこそ。」画面が表示されたら「OK」をクリックします．

再起動が必要というウィンドウが表示されますので「OK」をクリックします．

「このPCの名前を変更 (詳細設定)」に戻るので「閉じる」をクリックします．

再起動を促すウィンドウが表示されますので「今すぐ再起動する」をクリックします．

再起動したらドメインアカウントでログオンを行います．

ログオンが完了したことをもって，ドメインの参加，ドメインアカウントでのログオンが完了となります．

最後になりますが，あえて「一般ユーザーアカウント」で Active Directory ドメインへ参加しました．
デフォルトの状態ではユーザーあたり10台のコンピューターをドメイン参加させる事が可能です．
この状態を良しとするのであればこのまま運用してもいいのですが，多くの環境ではこれを許したくないと思います．(もしくは1台だけに制限させるなどはあり得るかと思います．)

次回，グループポリシーの設定を行っていくにあたり，まずこの点を制限をかけることを例に実施したいと思います．
合わせて，パスワードポリシーも今の世の中のガイドラインに従った設定にしたいと思います．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

グループポリシー設定の前準備

先に記載したセントラルストアの作成と管理用テンプレートの導入を行わなくてもグループポリシーの設定はできますが，不都合があります．
管理用テンプレートを導入しない場合は「新しいバージョンの OS に対応した設定が無い」や「Chrome などのポリシーを設定できない」ということが発生します．
また，セントラルストア化しない場合は管理用テンプレートを各ドメインコントローラーに配置する必要が生じます．
これら不都合を先に潰しておくことが前準備で大事な所となります．

管理用テンプレートとは

管理用テンプレートとは，グループポリシーを設定する際に人が見て分かりやすい項目名，設定値を定義したテンプレートファイルのことです．

グループポリシー管理エディター内の「管理用テンプレート」以下に表示される項目は，管理用テンプレートファイルを参照した結果が表示されます．
次の画像にて「管理用テンプレート：ローカルコンピューターから取得したポリシー定義 (ADMX) ファイルです。」以下に表示されている項目が管理テンプレートを用いた設定項目です．

管理用テンプレートには，Windows OS のグループポリシーを管理するためのテンプレートや，その他に Office 製品を管理するためのテンプレートがあります．
また，サードパーティ製品 (例えば Firefox や Chrome) も管理テンプレートを提供しており，アプリケーションやコンポーネントごとに提供されています．

管理用テンプレートは以下の二つのファイルで構成されており，これをドメインコントローラーに追加することで上画像の「管理用テンプレート」の項目が追加され，グループポリシーとして設定が出来るようになります．

• admx ファイル
  グループ ポリシーの設定が含まれるファイル
• adml ファイル
  各言語ごとのグループ ポリシーの項目名や説明が含まれるファイル

adml ファイルは各製品すべての言語が提供されている訳ではなく，英語だけしか提供されていない．という場合もあります．その場合はグループポリシー管理エディター上その項目は英語表記となります．

セントラルストアとは

セントラルストアは，管理用テンプレートをドメインコントローラー間で共有する仕組みです．セントラルストアを利用していない場合のデフォルトの管理用テンプレートの保存場所は各ドメインコントローラーの「C:\Windows\PolicyDefinitions」になります．

「C:\Windows\PolicyDefinitions」は各ドメインコントローラーのローカルディスク内にある為，管理用テンプレートを更新する場合全てのドメインコントローラーに配置する必要があります．

これでは手間が大きいため，ネットワークで共有できる場所に用意しましょう．としたのがセントラルストアになります．

セントラルストア化された際の管理用テンプレートの参照先は「\\<ドメイン名>\SYSVOL\<ドメイン名>\Policies\PolicyDefinitions」になります．

<あとでココに画面を挿入>

SYSVOL 共有の中に保持されるため，ドメインコントローラー間でお互いにレプリケーションしますので1台のドメインコントローラーに配置する事で他のドメインコントローラーにも反映されます．

SYSVOL とは

SYSVOL は SYSVOL 共有とも呼ばれます．
実体は各ドメインコントローラーのローカルハードディスクに存在しており，ネットワーク共有されています．「\\<ドメイン名>\SYSVOL」でドメイン所属のユーザーやコンピューターがアクセスできます．

データはドメインコントローラー間でレプリケーションされている為，各ドメインコントローラーは同じデータを保持しています．

SYSVOL の中にグループポリシーの設定内容だったり，ログオンスクリプトが置かれ，ユーザーやコンピューターが SYSVOL を参照してポリシーを適用する．という流れになります．

セントラルストアの作成

デフォルトの管理用テンプレートは「C:\Windows\PolicyDefinitions」にあると説明しました．これをセントラルストア化していきます．

ローカルの管理用テンプレートを SYSVOL 共有場所へコピーする

セントラルストア化するにはとても簡単で，「C:\Windows\PolicyDefinitions」を「C:\Windows\SYSVOL\domain\Policies」にコピーするだけとなります．

コピーが完了すると「C:\Windows\SYSVOL\domain\Policies\PolicyDefinitions」フォルダーが作成されています．

セントラルストア化されていることを確認する (SYSVOL 共有での確認)

SMB アクセスを行い，SYSVOL 共有内に PolicyDefinitions が見えることを確認します．
アクセスする先は「\\<ドメイン名>\SYSVOL\<ドメイン名>\Policies\」です．

セントラルストア化されていることを確認する (グループポリシー管理エディターからの確認)

SYSVOL 共有で確認ができたら，グループポリシー管理エディターからも確認しましょう．

サーバーマネージャーからツールをクリックし「グループポリシーの管理」をクリックします．

グループポリシー管理エディターが表示されますのでツリーを開いていき「グループポリシーオブジェクト」を選択します．
「Default Domain Policy」を選択，右クリックして「編集」をクリックして編集画面を開きます．

コンピューターおよびユーザーの「ポリシー」を開いて「管理用テンプレート：セントラルストアから取得したポリシー (ADMX) ファイルです」になっていることを確認します．

以上で，セントラルストア化及び確認は完了です．

管理用テンプレートの更新

管理用テンプレートは常に更新されていますので，ドメインコントローラーに最新のものを入れましょう．
ここでは Windows OS の最新のテンプレートを導入していきます．

Windows OS 用管理用テンプレートの入手

「セントラル ストアの作成と管理 – Windows Client | Microsoft Learn」にアクセスすると今までリリースされている管理用テンプレートの一覧が表示されます．

この時点で一番最新のものは「Windows 11 2022 Update (22H2) – v3.0 の管理用テンプレート (.admx)」なのでこれをダウンロード，適用していきます．

リンクをクリックするとダウンロードセンターに飛びますので「Download」をクリックします．

管理用テンプレートの展開

ダウンロードが完了すると msi ファイルが入手できますので，ダブルクリックしてインストーラーを起動します．

インストーラーが起動したら「Next」をクリックします．

「ライセンス条項」が表示されますので，「I accept the terms in the License Agreement」にチェックを付け「Next」をクリックします．

Custom Setup 画面では何を展開するか聞かれますが，ここは何も弄らずに「Next」をクリックします．

Ready to Install … の画面が表示されますので「Install」をクリックします．

展開が完了すると次の画面になりますので「Finish」をクリックして完了します．

展開先は「C:\Program Files (x86)\Microsoft Group Policy」になっていますので，このフォルダー内に展開されていることを確認します．

管理用テンプレートのインストール

展開した管理用テンプレートを SYSVOL 共有内のセントラルストアの領域にコピーします．

今回ですと「C:\Program Files (x86)\Microsoft Group Policy\Windows 11 July 2023 Update V3 (22H2)」以下に「PolicyDefinitions」フォルダーが展開されていますのでこれをまるっと「C:\Windows\SYSVOL\domain\Policies」にコピーを行います．

コピー中，同じ名前のファイルが存在する旨の確認が表示されますが「ファイルを置き換える」を選択して上書きを行います．

以上で，新しい管理用テンプレートのインストール (適用) は完了です．

これでグループポリシーの設定の前準備は完了となります．次はグループポリシーを作成，適用していく所を… の前に，クライアント OS のドメイン参加について説明したいと思います．

• Active Directory ドメインサービスに関するお話
  • Active Directory ドメインサービス – 概要
  • Active Directory ドメインサービス – Active Directory ドメインの構成 1台目
  • Active Directory ドメインサービス – Active Directory ドメインの構成 2台目
  • Active Directory ドメインサービス – 組織単位 (OU)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントの作成)
  • Active Directory ドメインサービス – アカウントの管理 (ユーザーアカウントプロパティ)
  • Active Directory ドメインサービス – アカウントの管理 (グループアカウントの作成・管理)
  • Active Directory ドメインサービス – グループポリシー (グループポリシー設定の前準備)
  • Active Directory ドメインサービス – クライアントのドメイン参加
  • Active Directory ドメインサービス – 一般ユーザーアカウントでのドメイン参加の制限
  • Active Directory ドメインサービス – グループポリシーの設定，適用 (パスワードポリシー)
  • Active Directory ドメインサービス – 移動ユーザープロファイルの構成と確認
  • Active Directory ドメインサービス – フォルダーリダイレクトの構成と確認
  • Active Directory ドメインサービス – FSLogix の構成と確認

グループポリシーとは

グループポリシーは Active Directory ドメインサービスの重要な機能の一つで，ドメインに所属しているユーザーやコンピューターに対して共通の設定を適用，管理を行うための仕組みです．
グループポリシーを利用することで，例えばユーザーに「コントロールパネルを開くことを許可しない」であったり，「ネットワークの設定を変更させない」などの制限を適用することができます．
また，コンピューターに対してはパスワードの長さや複雑性の設定を行うなどが可能です．

グループポリシーオブジェクト

グループポリシーという名称は AD DS の機能名で，グループポリシーという機能を実現するためにグループポリシーオブジェクトが存在します．グループポリシーオブジェクトは GPO と略されて呼ばれています．
GPO は，グループポリシーで利用するユーザーやコンピューターの設定を定義したオブジェクトです．一種の設定ファイルと思って頂いて大丈夫です．
グループポリシーは大きく分けて2種類あります．「ローカルポリシー」と「ドメインポリシー」です．

ローカルポリシー

ローカルポリシーは各々のコンピューター上に存在するグループポリシー，グループポリシーオブジェクトです．非ドメイン環境 (ワークグループ環境) でも利用が可能で，先に記載したような「コントロールパネルを開くことを許可しない」などの設定，制限を行うことが可能です．
ただし，ローカルポリシーはコンピューターごとに設定する必要があります．100台あれば100台に対して実施する必要があります．
ドメイン環境においても，ローカルポリシーは利用可能ですが，後で説明しますが，ポリシー提供の優先度によってドメインポリシーの設定で上書きされる可能性があります．

ドメインポリシー

ドメインポリシーは Active Directory ドメイン上に作成されるグループポリシー，グループポリシーオブジェクトです．ドメイン環境において，ユーザーやコンピューターのポリシー，設定を一元管理することができます．
ドメインポリシーは AD DS のサイトやドメイン，個々の組織単位 (OU) にリンクさせて利用しますので，全体に適用だったり，一部のユーザーやコンピューターにのみ適用だったりと柔軟な対応が可能となります．
ドメインポリシーの場合，100台のコンピューターを 組織単位 (OU) に纏め，その OU にポリシーをリンクさせることで，100台のコンピューターに同一の設定を適用させることができます．

Active Directory ドメインサービスを導入後，デフォルトで2種類の GPO が生成，適用されています．一つは「Default Domain Policy」というオブジェクトでドメインに対してリンクされています．もう一つは「Default Domain Controllers Policy」というオブジェクトで，ドメインコントローラーが所属する OU である「Domain Controllers」にリンクされています．

なお，度々「リンクさせる」と書いていますが，OU やドメインに対して GPO を有効にすることをリンクと呼びます．
その GPO をリンクした結果反映される設定をポリシーが適用された．と称します．

グループポリシーの適用順番・優先順位

グループポリシーには適用の順番や優先順位があり，これを考慮しないと意図しない設定が反映されてしまう．という事態が発生します．
ここでは，適用の順番や優先順位など，ポリシーがどのように設定されていくのかを説明します．

グループポリシーの継承

グループポリシーは継承の考えがあり，デフォルトの状態では下位の OU などに対して継承されていきます．

ですので，全体に適用させたい場合は「ドメイン」に対してもしくは「上位の OU」に対して共通設定としてのポリシーを作成，リンクすることで実現が可能となります．

グループポリシーの適用優先順位

また，グループポリシーは適用の優先順位があり，上位から下位にわたって複数のポリシーが適用されていく中で相反する設定が入る場合があります．その場合，基本的には一番下位の設定が有効になります．

ですので，全体的には「コントロールパネルは開かせない」けど，特定の部門のみ (IT部門など) は「コントロールパネルは開ける」という設定を行いたい場合は IT部門の OU に対して許可の設定を行うことで実現が可能になります．

適用の順番，優先順位は「グループポリシーの管理」でも確認が可能です．
「サーバーマネージャー」の 「ツール」をクリックし，「グループポリシーの管理」をクリックします．

確認したい OU を選択し，「グループポリシーの継承」タブをクリックします．
この場合だと OU は「IT部」を選択しています．
見て頂くとわかるとおり，下位にリンクしているポリシーが一番優先度が高い状態であることが確認できます．

同階層内の優先順位

ドメインや OU に対してポリシーをリンクすると説明をしていますが，ポリシーはドメインや OU に対して複数リンクさせることができます．ですので，複数リンクさせた場合に，同じ階層でも優先順位が付けられます．

以下の絵はドメインに対して2つのポリシーをリンクさせている状態で，優先順位が「Default Domain Policy」の方が上位という状態になっています．
この優先順位についてはリンクさせる順番を変更することで優先順位の変更が可能です．

グループポリシーの強制

グループポリシーは継承を行いつつ，下位のポリシーが優先されることを説明しましたが，この優先度を無視して上位のポリシーを強制させることも可能です．
下位側で色々と許可はしているが，この設定だけは強制させたい．というような場合に用いられます．

コンピューター と ユーザー のポリシーの適用順序

グループポリシーの適用順序ですが，まずはコンピューターが起動した際にコンピューターのポリシーが適用されます．その後，ユーザーがログオンし，ユーザーのポリシーが適用されます．従って，コンピューターポリシーより，ユーザーポリシーの方が優先度が高い状態となります．

ポリシーのループバック処理の適用

コンピューターポリシーとユーザーポリシーの適用順序により，ユーザーポリシーが優先されると説明しましたが，これでは困るケースが存在します．
例えば，IT管理者がクライアントPCにログオン，利用している場合とサーバー管理などでサーバーを管理するためにログオン，利用している場合に同じポリシーが適用されると困るケースがあります．

あるいは，デスクトップ端末とノートブック端末の両方を利用する場合などです．ノートブックは外出した場合でも利用できますので，それを前提としたポリシーになって欲しいはずです．

そのようなケースに対応するために「ポリシーのループバック適用」の機能があります．
コンピューターポリシーとして「ループバック適用する」ポリシーを作成，リンクさせることでそのコンピューターを利用している場合に追加の制御を行う．ということが可能です．

ループバック処理の「統合」と「置換」

ループバック処理には「統合」と「置換」があり，挙動が大きく異なります．

ループバック処理の「統合」

統合は，ユーザーポリシーとループバックポリシーをマージし，その結果を最終的なポリシーとして適用します．その為「統合」であてる場合は変えたい所だけをループバック処理用のポリシーとして作成，リンクさせます．
また，ユーザーポリシーとループバックポリシーのユーザーの構成でバッティングした場合はループバックポリシーが優先されます．

置換は，ユーザーポリシーを無視コンピューターポリシーないのユーザーの設定に置き換えられます．ですので，置換を利用する際は必要なユーザーポリシーの設定をループバック処理用のポリシーに設定しきる必要があります．

以上，グループポリシーの概要について説明を行いました．次回はグループポリシーを設定するための前準備について説明を行います．