R2のグループ・ポリシー機能の強化点を解説。PowerShellがサポートされ、GPOの操作/管理がコマンドレットから可能に。R2の注目機能について解説するコーナーです。Directoryの進化について解説した。Directoryがもはや単なる認証サービスではなく、「IDとアクセス管理の基盤」としてその機能を強化してきたように、グループ・ポリシーも単なるクライアント環境の管理サービスから、エンタープライズ・レベルの「セキュリティ管理基盤」として進化してきた。R2による機能強化について解説する。Directoryに大きな革命がもたらされた。Directoryの女房役としてともに歩んできたグループ・ポリシーはどうだろうか。2008では、グループ・ポリシーにとっても大きな思想的な変革がなされ、新機能として実装されている。2008におけるグループ・ポリシーの新機能および変更点を表1に示す。「基本設定」の実装ログオン・スクリプトやスタートアップ・スクリプトで行わざるを得なかった設定をグループ・ポリシー・オブジェクト(GPO)で吸収することができるため、設定の可視化がしやすくなっただけでなく、複数スクリプトの管理や処理の分岐といった煩雑な作業から解放されるスターター・グループ・ポリシー・オブジェクト(GPO)の実装グループ・ポリシー・オブジェクト(GPO)のひな型を作成する機能。セキュリティ・レベルの違いによって使用するGPOを使い分けるなど、より柔軟な運用を可能とするだけでなく、設定抜けなどのミスをなくすことができる管理用テンプレート・ファイルの形式変更(ADMX)とSYSVOL内での集中管理ファイル形式がXMLとなり、カスタマイズがしやすくなったほか、テンプレート・ファイルをSYSVOL内で集中管理できるようになったため、どのドメイン・コントローラまたはクライアントからでも最新のテンプレートを使用したGPOの管理が可能になった。多言語対応により、複数のロケーションに対応したポリシー・テンプレートを簡単に作成することができるようになったネットワークの認識機能の実装ネットワークの状況を素早く判断できるようになったため、起動時にポリシー適用に要する時間が短縮された。電源オプション、デバイスのインストールをブロックするなどの新たな設定カテゴリが追加され、より細かな企業レベルの運用ポリシーを、グループ・ポリシーを通して伝達することができるようになったGPOおよびポリシー設定のコメント付加ポリシー設定にコメントを追記することで、GPOの目的や特定のポリシー設定の構成を文書化することができるようになったグループ・ポリシーのWinlogonからの分離とサービス化グループ・ポリシーの適用プロセスがWinlogonと完全に分離されたことにより、ポリシーの適用のために再ログオンや再起動が要求されるシチュエーションが大幅に減少した。これにより、重要なセキュリティ・ポリシーがいつまでも適用されないといった問題を解消できると同時に、ポリシー適用時のパフォーマンス向上と消費リソースの減少が図られた複数のローカル・グループ・ポリシー・オブジェクト(GPO)の保持これまで1種類しか保持することができなかったローカルGPOを、ローカル・コンピュータを使用するユーザーごとに保持できるようになった。一般ユーザーとローカルPCの管理者とでポリシー設定を分割できるため、ドメイン管理者ではないローカルPCの管理者が、クライアントの管理を容易に行えるようになった管理用テンプレート・ポリシー設定の検索[管理用テンプレート]配下のポリシーを検索し、目的のポリシー設定を迅速に見つけられるようになったイベント・ロググループ・ポリシーに関するイベント・ログがアプリケーション・ログからシステム・ログに変更された。2008におけるグループ・ポリシーの新機能および変更点ここでは、最も大きな変革点である「基本設定」について詳しく解説する。2008における最も象徴的な変革が「基本設定」だ。残念ながら「基本設定」という名称からは伝わりづらいが、本機能がもたらす恩恵は非常に大きい。グループ・ポリシーの基本的な思想は「企業内のコンピュータ管理ポリシーの見える化」と「集中管理機構による管理の自動化とコストの削減」である。これまでに多くのWindows管理者がその恩恵を享受してきたが、中途半端感があったことも否定できない。それは、ログオンスクリプトやスタートアップスクリプトの存在が大きく影響しているといえる。スクリプトには、グループ・ポリシー単独では表現し切れないネットワーク・ドライブへの接続、レジストリの変更、ローカルユーザーの作成などをコマンドで記述し、決められたGUIによってのみ変更が可能なグループ・ポリシーに柔軟性を与えていた。柔軟なスクリプトは徐々に肥大化し、管理にとって重要な「可視化」がしづらくなった。それによってかえって管理コストを増加させる結果となっていたことは否定できない。2008で新たに実装された「基本設定」と呼ばれる機能は、そうした問題を解消すると同時に、これからますます拡大し複雑化するであろうITシステムをより効率的に管理できるようにした。これは単に機能が強化されたというだけにとどまらない、マイクロソフトとしての運用管理に対する思想の転換であるともいえる。コンピュータの利用形態は、今後ますます拡大する方向にあることは間違いない。数年前まで物理的な移動の少ないデスクトップPCが中心であった市場は、確実に小型のノートPCに取って代わり、現在はさらに小型のネットブックと呼ばれるPCがシェアを拡大しつつある。Directoryがサポートしてきた「企業内のOU(組織単位)」による管理ポリシーの使い分けといった枠組みでは、すべてのPCを吸収することが難しくなりつつあることを示唆している。Accessをソリューションの1つにラインアップしている。遠隔地のPCが社内リソースにアクセスする際に問題となるのは、いかにして社内の管理ポリシーを遠隔地のPCに適用するかということだ。従来は社外からアクセス可能なリソースを制限することで安全性を維持してきたが、ビジネスにスピードが求められるいま、そうした対策は減速の要因になる可能性が高いといえる。減速させないためには、管理ポリシーをインターネット上のPCにまで波及させる必要があり、そのためには早い段階で将来問題となるであろう要素を取り除いておく必要がある。した多彩な用途やデバイスが登場する中、インターネット上にまで波及させるべきエンタープライズレベルの管理ポリシー構築に足かせとなる可能性が高いのが、OSや管理者のスキルレベルに依存しがちな「スクリプト」の存在だ。長い時間をかけ、ログオンスクリプトは管理者にとって「運用管理の最後のとりで」としての地位を築き上げてきた。PowerShellに見られるように、マイクロソフトのスクリプティング技術への注力はこれまで以上であるといえるが、少なくともその大部分は、今後仮想化によって増大するであろうサーバ管理の分野に注がれているといえる。今後、ログオン・スクリプトに取って代わるべく用意されたのが、グループ・ポリシーの「基本設定」だ。表2に、「基本設定」に実装されている機能を、表3に「基本設定」のサポートOSを示す。この設定項目は、ISVのアプリケーションをグループ・ポリシーの管理配下に置くために用意されている拡張可能な項目となっている。setコマンドやsetxコマンドによって行ってきたユーザー環境変数およびシステム環境変数の作成、削除、変更をグループ・ポリシーによって制御することができる。shareコマンドなどで行ってきた共有フォルダの作成、削除、編集が行える。インストールされているデバイスのデバイス・クラスを指定し、有効と無効を切り替えることができる。7」で分けて設定することが可能。一部の設定はポリシー設定と重複しており、ポリシー側で設定されている場合には基本設定は無視される。コマンドで行ってきたローカル・ユーザーとローカル・グループの作成、削除、変更をグループ・ポリシーから制御することができる。VPN接続とダイヤルアップ・ネットワーク(DUN)接続の設定が行える。OSによってコントロールパネル内の設定場所が若干異なっている。電源オプションに関する設定。2008以降のOSの設定画面が提供された。共有プリンタへの接続や、ローカル・コンピュータの作成をグループ・ポリシーから制御することができる。コマンドからの操作が非常に面倒だった、タスク・スケジューラへのタスク登録をグループ・ポリシーから制御できる。タスクを実行する際のアカウントや細かいスケジュールの設定、既存のタスク設定の変更および削除をすることも可能。2003とVista以降の設定画面は分かれており、Vista以降の設定画面ではトリガーの設定など、新しい機能に関する設定も可能となっている。これまでコマンドでは困難だった、「管理ツール」や「ネットワーク」の表示など、スタート・メニューのプロパティを詳細に設定することができる。)をグループ・ポリシーから制御できるようになった。※KB943729の最新版は2009年11月10日にリリースされている※KB941314の最新版は2009年2月24日にリリースされている※KB958830の最新版は2009年8月11日にリリースされている「基本設定」の特徴は、従来ログオン・スクリプトやスタートアップ・スクリプト内にコマンドを記述することによって実装してきた機能を、グループ・ポリシーを使用して表現できるようにしたものだ。表2をご覧いただくと、ネットワーク・ドライブの接続やプリンタへの接続など、運用管理者にとってなじみの多い機能が数多く実装されていることが分かるだろう。これらの設定がグループ・ポリシーに組み込まれたことで、管理者は以下のメリットを享受することができる。スクリプトをメンテナンスする負荷からの解放コマンドやスクリプトが管理者のたしなみとはいえ、適切なコマンドやサンプル・スクリプトを探し出すことは管理者にとって面倒な作業であることに違いなかった。「基本設定」により、環境設定に使用される機能をグループ・ポリシーに組み込むことで、スクリプトを使わずともGUIを使用して簡単に設定項目を作り上げることができるようになった。設定された項目はグループ・ポリシー・オブジェクト(GPO)として保存されるため、一度作成したGPOを流用したり、グループ・ポリシーのレポート機能を使用すればほかの設定とともに「基本設定」もドキュメント化できる。電源管理機構や、フォルダ・オプションなど、これまでスクリプトでは実装することが難しかった環境設定項目の多くが「基本設定」として用意されている。そのため、デフォルト・プロファイルに設定を埋め込んで配布するといった面倒な作業の多くは「基本設定」で吸収できる。「基本設定」がグループ・ポリシーの一部として提供されているということは、GPOが関連付けられたOUごとに設定内容を変えることができるということだ。スクリプトで同様の機能を実装するには、分岐処理が必要になるためスクリプトが複雑化してしまうことはいうまでもない。この点だけを取ってもスクリプトから「基本設定」に切り替えるメリットは大きいといえる。「基本設定」には「項目レベルの対象化」と呼ばれる特殊で強力なフィルタ機能が提供されている。以下のようなフィルタを設定することが可能だ。以下のような条件を設定した場合の例。Edition・メモリを512Mbytes以上実装している・OSAKAサイトに所属しているPC以外に適用する条件式には、AND以外にもORを使用することが可能で、その組み合わせは自由にアレンジすることができる。これらをスクリプトで表現しようとすれば膨大な量の判定文が必要になり、中には実装が難しいものも出てくるだろう。「基本設定」が持つ「項目レベルの対象化」機能により、OU(組織単位)にとらわれない柔軟な適用条件を設定することができる。使用するに当たっては、表3に示すように「クライアント側拡張機能(CSE)」をインストールしなければならない場合がある。VistaにCSEが必要であることは意外と知られていないので、注意が必要だ(CSEについては関連記事参照)。「ポリシー設定」と「基本設定」には、その適用方法について2つの違いがあることを理解しておかなければならない。両者の最も大きな違いは設定の永続性だ。「ポリシー設定」の場合には、適用されるGPOが変われば値はリセットされる。「基本設定」では、一度適用された値は別の値で上書きしたり削除をしない限り、永遠に埋め込まれたままになることに注意しよう。これは従来のスクリプトによる設定を踏襲したものであると考えることができる。「基本設定」はバックグラウンドの更新機能によって、値を強制的に書き換えることはできない。これは、gpupdateコマンドを使用した場合も同様だ。値を強制適用するには、コンピュータ設定の場合には再起動、ユーザー設定の場合には再ログオンが必要であることに注意しなければならない。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。