初めてのWindows Server 2008R2（Active Directory編）：グループポリシーの設定

グループポリシーは、サイト=>ドメイン=>OUにリンク（適用）させることができ、上位から下位に継承される。
以前にいた会社で、グループポリシーの設定がぐちゃぐちゃになってしまい、お客さんにひどく怒られたことがある。

グループはアクセス権限、OUは役割と考えるとシンプルだと思う。
いずれにしても、シンプルにきちんと設計するにこしたことはない。クライアントにも100%適用させきれない可能性がある（とくに、複数の１つのクライアントを複数のユーザーで利用する場合など）。

「管理ツール」−「グループ　ポリシーの管理」を開き、ドメイン（eranger.local）をクリックすると、Default Domainというグループポリシーが適用されていることがわかる。

ここでは、OU=DemoUsers,CN=demoを作成し、demoユーザーには「コントロールパネルが表示されない」ようにしてみる。

DemoUsersを選択して右クリック。「このドメインにGPOを作成しこのコンテナ（OUのこと）にリンクする」を選ぶ。GPOの名前はnocontrolとした。

グループポリシーの管理画面でDemoUsersをクリックすると、nocontrolがリンクされていることがわかる。

ここで、nocontrolを選択し、右クリックで「編集」を選ぶ。

左ペインは、登録されたコンピュータへのポリシーなのか、ユーザーに対するポリシーなのかで２つに分かれている。
基本設定は、クライアントがXP(SP3で検証）、Vistaの場合、パッチ（『Windows XP 用グループポリシーの基本設定クライアント側拡張機能(KB943729)』）を当てなければ有効にならないので注意。

ここでは、「ユーザーの構成」-「ポリシー」-「管理用テンプレート」を選ぶ。
管理用テンプレートには、ポリシーの内容と適用できるクライアントの種類（Vista以降など）が説明されている。