ウェブサイト検索

GPOに対する権限を委任する方法

これは特定のユーザーまたはグループにグループポリシーオブジェクトへの権限を委任する方法に関する詳細なガイドです。

目次

  • GPO編集権限の委譲方法
  • 特定のOU内でユーザーまたはグループがGPOを作成できるようにする
  • 特定のOUにGPOをリンクするための権限を委譲する
  • GPO委任のベストプラクティス

このガイドでは、グループ ポリシー管理コンソール (GPMC) を使用して、特定のユーザーに GPO を編集、作成、リンクする権限を付与します。これらの手順を使用して、グループにアクセス権を委任することもできます。

GPO編集権限の委譲方法

デフォルトでは、認証されたユーザーグループはGPOに対して読み取り権限を持っており、これによりすべてのドメインユーザーがGPOを読み取り適用する権限を持つことになります。

ユーザーがグループポリシー管理コンソールを開いてGPOを編集しようとすると、編集オプションは無効になります。

ユーザーまたはグループにGPOを編集する権限を与えるには、次の手順に従います。

ステップ #1: グループポリシー管理コンソールを開く

ステップ#2: 代理タブをクリックします

編集権限を委譲したいGPOに移動し、「委任」タブをクリックします。

ステップ3：追加をクリックします

委任タブで追加ボタンをクリックします。

ステップ4：ユーザーまたはグループを追加

この例では、特定のユーザーにGPOを編集する権利を与えます。

ユーザーまたはグループ名を入力し、「OK」をクリックします。また、詳細ボタンをクリックしてActive Directoryを検索することもできます。

ステップ#5: 編集権限を設定する

ポップアップボックスで権限を「設定を編集」に変更し、「OK」をクリックしてください。

ユーザーまたはグループは、GPOを編集する権限を持っているはずです。

注意: ユーザーはグループポリス管理コンソールをインストールする必要があります。

特定のOU内でユーザーまたはグループがGPOを作成できるようにする

注意：OU内にGPOを作成することはできません。GPOはドメイン内で作成され、そこからOUにリンクされます。

ユーザーが新しいGPOを作成し、それを特定のOUにリンクできるようにするには、次の手順に従ってください。

ステップ 1。グループポリシー管理コンソールを開きます

ステップ2。「グループポリシーオブジェクト」を選択します。

ドメインを展開し、次に「グループ ポリシー オブジェクト」を選択します。

ステップ3。「追加」をクリックします。

ステップ4。ユーザーまたはグループを入力し、「OK」をクリックします。

この時点で、ユーザーまたはグループは新しいGPOを作成できますが、それをOUまたはドメインにリンクすることはできません。

ステップ5. OUを選択します

新しいGPOを作成する権限を委任したいOUを選択してください（リンク）。

「デリゲート」タブをクリックし、「追加」をクリックしてください。

この例では、私は「会計」OUを選択しています。

ユーザーまたはグループを入力し、「OK」をクリックしてください。

ポップアップで権限を選択し、「OK」をクリックします。

現在、ユーザーは「会計」OUにGPOを作成してリンクすることができます。

しかし、ユーザーが別のOUにGPOを作成してリンクしようとすると、それは有効ではありません。以下のスクリーンショットでは、ユーザーがマーケティングOUにGPOを作成しようとしましたが、オプションは有効になっていません。これは予想通りであり、あなたが望んでいることです。すべてのOUにGPOを作成してリンクするためのアクセス権を委譲したくないのです。

特定のOUにGPOをリンクするための権限を委譲する

ユーザーにOUにGPOをリンクさせる必要があるだけなら、以下の手順に従ってください。これにより、ユーザーは新しいGPOを作成することはできませんが、既存のGPOをリンクできます。

  1. グループポリシー管理コンソールを開く
  2. 「委任」タブをクリックしてください
  3. 「追加」をクリックしてください
  4. ユーザーまたはグループを入力し、「OK」をクリックしてください。
  5. 付与したい権限を選択し、「OK」をクリックしてください。

完了すると、選択したユーザーまたはグループのために以下のスクリーンショットのように見えるはずです。

GPO委任のベストプラクティス

  1. delegationsのためにグループを使用する

    • 個別のアカウントよりもセキュリティグループに権限を委任してください。これにより、従業員が役職を変更したり会社を退職したときの管理が容易になります。この記事では、グループではなく個別のアカウントを使用しました。私のドメインはラボ環境のみです。

  2. ドメインレベルへのリンク委任を許可しない

    • GPOをドメインレベルにリンクする権限を委譲することはせず、この作業はドメイン管理者に任せてください。非管理者には特定のOUにGPOを作成およびリンクすることのみを許可します。

  3. 変更管理

    • GPOの責任を委任しても、変更管理プロセスを持っているべきです。GPOに対する新規または変更は、承認プロセスを経る必要があります。

  4. ドキュメント

    • どのユーザーがGPOを作成、編集、リンクする権限を持っているかの詳細な文書を保持してください。グループを使用すると、詳細のためのノートセクションを利用できるため、作業が容易になります。

  5. GPOの監査とモニタリング

    • GPOの変更を定期的に監査し、監視することが推奨されます。GPOの変更はWindowsのイベントログに保存されます。PowerShellやサードパーティのツールを使ってGPOの権限を監査できます。

結論

GPOの権限を委譲することは、特に大規模な組織において、Windows Active Directory環境を管理するための重要な部分です。これにより、GPOの責任を他のスタッフメンバーに委譲し、IT資産の管理を効率化することができます。ベストプラクティスに従うことで、誤ったユーザーがGPOを変更するリスクを減らしつつ、ポリシーの管理を維持することができます。