Microsoft Entra Domain Services のマネージドドメインでグループポリシーを管理する

[アーティクル]
10/25/2023

Microsoft Entra Domain Services のユーザーオブジェクトとコンピューターオブジェクトの設定は、多くの場合、グループポリシーオブジェクト (GPO) を使用して管理されます。 Domain Services には、AADDC Users と AADDC Computers のコンテナー用の組み込みの GPO が用意されています。これらの組み込みの GPO をカスタマイズして、環境のニーズに合わせてグループポリシーを構成できます。 "Microsoft Entra DC 管理者" グループのメンバーは、Domain Services ドメイン内でグループポリシー管理特権を持っています。また、カスタムの GPO と組織単位 (OU) を作成することもできます。グループポリシーとそのしくみの詳細については、「グループポリシーの概要」を参照してください。

ハイブリッド環境では、オンプレミスの AD DS 環境内で構成されているグループポリシーは、Domain Services に同期されません。 Domain Services のユーザーまたはコンピューターの構成設定を定義するには、既定のいずれかの GPO を編集するか、カスタム GPO を作成します。

この記事では、グループポリシーの管理ツールをインストールし、組み込みの GPO を編集して、カスタム GPO を作成する方法について説明します。

Azure やハイブリッド接続のマシンを含む、サーバー管理戦略に関心がある場合は、Azure Policy のゲスト構成機能を確認することを検討してください。

開始する前に

この記事を完了するには、以下のリソースと特権が必要です。

有効な Azure サブスクリプション
- Azure サブスクリプションをお持ちでない場合は、アカウントを作成してください。
ご利用のサブスクリプションに関連付けられた Microsoft Entra テナント (オンプレミスディレクトリまたはクラウド専用ディレクトリと同期されていること)。
- 必要に応じて、Microsoft Entra テナントを作成するか、ご利用のアカウントに Azure サブスクリプションを関連付けます。
Microsoft Entra テナントで有効にされていて、構成されている Microsoft Entra Domain Services マネージドドメイン。
- 必要に応じて、Microsoft Entra Domain Services マネージドドメインを作成して構成するチュートリアルを完了します。
Domain Services マネージドドメインに参加している Windows Server 管理 VM。
- 必要に応じて、Windows Server VM を作成してマネージドドメインに参加させるチュートリアルを完了します。
Microsoft Entra テナントの Microsoft Entra DC 管理者グループのメンバーであるユーザーアカウント。

Note

グループポリシー管理用テンプレートを使用するには、新しいテンプレートを管理ワークステーションにコピーします。 .admx ファイルを %SYSTEMROOT%\PolicyDefinitions にコピーし、ロケール固有の .adml ファイルを %SYSTEMROOT%\PolicyDefinitions\[Language-CountryRegion] にコピーします。この Language-CountryRegion は .adml の言語とリージョンに一致します。

たとえば、英国、米国バージョンの .adml ファイルを \en-us フォルダーにコピーします。

グループポリシーの管理ツールをインストールする

グループポリシーオブジェクト (GPO) を作成して構成するには、グループポリシーの管理ツールをインストールする必要があります。これらのツールは、Windows Server の機能としてインストールできます。 Windows クライアントに管理ツールをインストールする方法の詳細については、リモートサーバー管理ツール (RSAT) のインストールに関するページを参照してください。

管理 VM にサインインします。 Microsoft Entra 管理センターを使用して接続する方法については、「Windows Server VM に接続する」を参照してください。
VM にサインインすると、既定でサーバーマネージャーが表示されるはずです。そうならない場合は、[スタート] メニューの [サーバーマネージャー] を選択します。
[サーバーマネージャー] ウィンドウの [ダッシュボード] ウィンドウで [役割と機能の追加] を選択します。
[役割と機能の追加] ウィザードの [開始する前に] ページで [次へ] を選択します。
[インストールの種類] で、[役割ベースまたは機能ベースのインストール] オプションが選択された状態にして [次へ] を選択します。
[サーバーの選択] ページで、サーバープールから現在の VM (例: myvm.aaddscontoso.com) を選択し、[次へ] を選択します。
[サーバーの役割] ページで、[次へ] をクリックします。
[機能] ページで、[グループポリシー管理] 機能を選択します。
[確認] ページで [インストール] を選択します。グループポリシーの管理ツールのインストールには、1、2 分かかることがあります。
機能のインストールが完了したら、[閉じる] を選択して [役割と機能の追加] ウィザードを終了します。

グループポリシー管理コンソールを開いてオブジェクトを編集する

既定のグループポリシーオブジェクト (GPO) は、マネージドドメイン内のユーザーおよびコンピューター用に存在します。前のセクションでインストールしたグループポリシーの管理機能を使用して、既存の GPO を表示および編集します。次のセクションでは、カスタム GPO を作成します。

Note

マネージドドメインでグループポリシーを管理するには、AAD DC 管理者グループのメンバーであるユーザーアカウントにサインインする必要があります。

スタート画面で [管理ツール] を選択します。使用できる管理ツールの一覧が表示されます。これには、前のセクションでインストールしたグループポリシーの管理が含まれます。
グループポリシー管理コンソール (GPMC) を開くには、[グループポリシーの管理] を選択します。

マネージドドメインには、AADDC Computers コンテナー用と AADDC Users コンテナー用の 2 つの組み込みのグループポリシーオブジェクト (GPO) があります。これらの GPO をカスタマイズして、マネージドドメイン内で必要に応じてグループポリシーを構成することができます。

グループポリシー管理コンソールで、[フォレスト: aaddscontoso.com] ノードを展開します。次に、[ドメイン] ノードを展開します。

AADDC Computers と AADDC Users には、2 つの組み込みのコンテナーがあります。これらの各コンテナーには、既定の GPO が適用されています。
これらの組み込みの GPO は、マネージドドメイン上で特定のグループポリシーを構成するようにカスタマイズできます。 AADDC Computers GPO など、いずれかの GPO を右クリックし、[編集] を選択します。
グループポリシー管理エディターツールが開き、[アカウントポリシー] などの GPO をカスタマイズできるようになります。

完了したら、[ファイル] > [保存] を選択してポリシーを保存します。コンピューターの既定では、90 分ごとにグループポリシーが更新され、加えた変更が適用されます。

カスタムグループポリシーオブジェクトを作成する

同様のポリシー設定をグループ化するには、多くの場合、必要なすべての設定を 1 つの既定の GPO で適用するのではなく、追加の GPO を作成します。 Domain Services を使用すると、カスタムグループポリシーオブジェクトを作成またはインポートしてカスタム OU にリンクすることができます。まずカスタム OU を作成する必要がある場合は、マネージドドメインでのカスタム OU の作成に関する記事を参照してください。

グループポリシー管理コンソールで、MyCustomOU などのカスタム組織単位 (OU) を選択します。 OU を右クリックし、[このドメインに GPO を作成し、このコンテナーにリンクする] を選択します。
新しい GPO の名前 (「My custom GPO」など) を指定し、[OK] を選択します。必要に応じて、既存の GPO と一連のポリシーオプションに基づいてこのカスタム GPO を作成することもできます。
カスタム GPO が作成され、カスタム OU にリンクされます。ポリシー設定を構成するには、カスタム GPO を右クリックし、[編集] を選択します。
グループポリシー管理エディターが開き、GPO をカスタマイズできるようになります。

完了したら、[ファイル] > [保存] を選択してポリシーを保存します。コンピューターの既定では、90 分ごとにグループポリシーが更新され、加えた変更が適用されます。