Windows 7 で使用する GPO（グループポリシー）をスターター GPO として Windows Server 2008 で作成し、一定時間の未使用でスクリーンロックがかかるように設定する

Windows 7 で快適な生活を送っているけれども、これから企業やヘビーユーザーなどがどんどん Windows 7 を使い始めてくると思う。この際にだいたいにして問題となるのは、ユーザーが勝手な行動をとってしまったばっかりに、IT 管理者の手間が増えてしまう、というもの。

これに対抗するために、いろいろな企業ではグループポリシーをあらかじめ設定しておいて、一元的に「できる、できない」を管理している会社も多いと思う。今回は、このグループポリシーのひな形ともいえる、スターター GPO を作成、使用してそのポリシーを Windows 7 に適応するまでの流れを解説したい。

強化された Windows Server 2008 の Active Directory サービス

こちらのサイトでも書かれているように、Windows Server 2008 になって大きく変わったものの 1 つに、ポリシーの項目数がある。Windows Server 2003 と Windows XP のころには 1600 超だったものが、Windows Server 2008 と Windows Vista では約 2700 項目に増えた。

このため、各機能ごとに設定できる数は増えているけれども、管理が煩雑になりがちになってしまった。これを防ぐために導入されたのがスターター GPO だ。いくつかの定義済み項目をスターター GPO として登録しておけば、新しくグループ・ポリシーを作成する際にテンプレートとして選択可能になり、同様の作業を繰り返さずに済むようになる。

スターター GPO の作成

グループポリシーの管理を立ち上げて、自分のドメインをクリックして掘り下げていくと、スターター GPO の項目が顔を出す。

スターター GPO を選択して、右クリックで作成を選択。

名前を入れる項目が出てくるので、好きな名前を入れる（ここでは screen lock ）。

するとスターター GPO が作成された。

作成したスターター GPO を編集する

先ほど作成したスターター GPO は、ただ存在するだけで、それ自体は何の意味も持たない。そこで、内容を一定時間の未使用でスクリーンロックがかかるように設定する。

ユーザーの構成を右クリックして、編集。

そうするとグループポリシースターターエディタが立ち上がる。

ここからは見やすいようにシャドウをかけています（笑）。ユーザーの構成から、管理用テンプレート、コントロールパネル、画面の順にクリックして降りていく。

そうすると、画面に関する項目が現れるので、ここで以下の項目を設定する。

• スクリーンセーバーを使用する。
• スクリーンセ－バーの実行ファイル名
• スクリーンセーバーをパスワードで保護する
• スクリーンセーバーのタイムアウト

多くの設定のほとんどは有効か無効化しかチェックするところがないけれども、スクリーンセーバーのファイル名を指定するところは、ファイル名の入力が筆意宇になる。

スクリーンセーバーが起動する起動時間を設定したところ。ここでは 15 分（900 秒）にしている。

以上でスターター GPO の設定が完了した。次はこれを適応するところに進む。

スターター GPO をドメインに適応する

Active Directory オブジェクト（例えば組織単位 OU）などに対して適応できるスターター GPO だけれども、ここではドメイン全体に対して適応してみたい。

適応させたいドメインを右クリックし、このドメインに GPO を作成し、このコンテナにリンクするをクリック。

するとどのスターター GPO を適応したいか聴いてくるので、先ほど作成した screen lock を選択する。

これで差規制したスターター GPO が適応されているのがわかる。

Windows 7 でポリシーの強制アップデートを行う

サーバーでの設定はこれで完了したのだけれども、クライアントの設定が終わっていない。一般的にはぎにログインしたユーザーからこのポリシーが適応になるのだが、ここでは強制的にアップデートを行うことにした。

gpupdate /force

これで先ほどのポリシーが適応された。

会社だけではなく、複数台の PC を所有しているなど、自宅に Active Directory があるユーザーは非常に使えるテクニックだと思うので、ぜひとも試してみて欲しい。

関連書籍

Windows Server 2008で Active DirectoryとDNSを構築、設定する

幸か不幸か、自宅の ADが一連の騒ぎによって吹っ飛んでしまった ので、せっかくだし再セットアップを行うことにした。ADは結構何度も設定しているので、それほど今となっては難しいこともないんだけど、おさらいというか、おそらくこのブログを見ている方もいると網ので、少し丁寧にステップを踏んで解説したいと思う。

初期構成タスクから役割の追加をクリック

この画面は Windows Server2008を入れた直後だったら必ず立ち上がる画面なのでそれほど違和感は無いと思う。この画面から、役割の追加をクリックして、Windows Server 2008に役割を追加する。

役割の選択で Active Directory ドメイン サービスを選択

Active Directory ドメイン サービスのみにチェックを入れて次へ。DNSサーバーも一緒に押しそうになるけど、これは後ほど一緒に入れるかどうかを聞かれるときに入れてしまうので、ここでは無視する。

ドメインの概要やインストールオプション

何もドメインが存在していない場所に Active Directoryをたてるわけだから、ここでは何も指定する必要はない。そのまま次へをクリック。

インストール完了

実はお恥ずかしながら、Windows Updateが有効になっていないのでインストールの完了時に1つ警告が出てしまった。後でこれは有効にするので、ここでは無視。

dcpromo.exeを実行する

お待たせしました。毎度おなじみの dcpromo.exeです（笑）。これはスタートメニューに入っていないので、スクリーンショットのようにファイル名を指定して実行することになる。

Active Directory ドメイン サービス インストール ウイザードの開始

今回は標準的なインストールを行うので、詳細モードはチェックを入れずに次ぎへをクリック。

オペレーティングシステムの互換性を確認する

使用している環境に古いマシンが混在している場合などは、Active Directoryのフォレストの機能レベルを、以前のバージョンにあわせる必要がある。この画面は、古い機種が入っていませんか～って確認を促すための物。

展開の構成の選択（フォレストの確認）

今回は新しくドメインを作るので、上から2番目の新しいフォレストに新しいドメインを作成するを選択して次へ。

フォレストの機能レベルの設定

先ほど聞かれた機能レベル。古いマシンや古い Active Directoryが混在していなければ、迷わず Windows Server 2008を選択して次へ。

追加のドメイン コントローラー オプション （DNSサーバーの追加）

ここで DNSサーバーを入れますか、と聞かれるのでチェックボックスをオンにして次へ。

データベース、ログ ファイル、および SYSVOL の場所

ここは各種データを格納するフォルダのこと。特に変更する必要はないので、デフォルトのまま次へ。

ディレクトリ サービス復元モード Administrator パスワードの設定

ディレクトリ サービス復元モードっていうのは、Windows Server 2008を起動するときに ESCを押して、それから F8を押下すると出てくるメニューのことで、その名の通り、ディレクトリサービスの復元などが行えるモードのこと。このモードを選択した時に、ログインで求められるパスワードをここで設定する。

フォレスト ルート ドメイン名 (FQDN) の設定

お好きなお名前をどうぞ。ドメインを持っている人は、それにあわせた方が概念がつかみやすくてイイと思う。

Active Directory ドメイン サービス インストールウイザードの完了

ここまででインストールは終わり。
後はお好きにユーザーを追加してやってください。

その他スクリーンショット

[View with PicLens]

 

VMware ESXi3.5から ESXi4へのアップデートでWindows Server 2008 (x64)が動作しない件

どーすんだよう、Active Directoryが動かないっすよ

と非常に困ってます。ネット上の記事を見てもあまり情報が載ってないです。具体的に同じ症状の方がいてこのブログを見てくださっているのであれば、一緒に解決策を見つけましょう、って事で以下やったこと。

ESXi3.5 Update4上で元気に動いてた Windows Server 2008 (x64)
↓
ESXi4へアップグレード
↓
Windows XPとかの仮想マシンも元気に動いてて、これが無料ってウマー
↓
よっしゃ、Windows Server 2008の動作テストするか！
↓
起動時にブルースクリーン
↓
修復インストールとかしてもダメだった
↓
無意味に仮想マシンをアップグレード(右クリックからあげるやつです)
↓
同じ症状
↓
途方に暮れる　←今ここ

ちなみにエラーになったスクリーンショットはこんな感じ。

困るんですよねぇ。なんせ AD動いてましたから！(苦笑)

しょうがないので ESXi3.5に戻すかどうか悩んでます。でもそれって何かに負けた気がしてくやしくない？