GPO を新しく作るたびに、同じ設定を一から入れ直すのは手間がかかります。グループポリシーには、共通の設定を入れておいたひな形（テンプレート）の GPO を用意しておき、それをもとに新しい GPO を作る「スターター GPO」というしくみがあります。この記事では、Chrome のパスワード保存を無効にしたスターター GPO を作り、それをもとに新しい GPO を作る手順を確認します。
- グループ ポリシーの管理（GPMC）でスターター GPO を作る
- スターター GPO の管理用テンプレートに共通の設定を入れる
- スターター GPO をもとに新しい GPO を作る（2つの方法）
スターターGPOとは
スターター GPO は、GPO を作るときのひな形です。スターター GPO をもとに GPO を作ると、スターター GPO の設定がコピーされた状態で新しい GPO ができあがります。あとは、その GPO に部署や端末ごとの設定を足して、OU にリンクします。
スターター GPO そのものは OU にリンクできず、ユーザーやコンピューターには適用されません。また、作成した GPO は作成した時点の設定のコピーなので、あとからスターター GPO を変更しても、作成済みの GPO には反映されません。
この記事では、Chrome の管理用テンプレートを使って「パスワード保存を無効にする」設定をスターター GPO に入れます。Chrome の管理用テンプレートは既定では入っていないので、先に追加しておく必要があります。追加の方法は、次の記事を参考にしてください。
>> 参考記事：【Active Directory】Chromeをグループポリシーで管理（管理用テンプレートの追加）
スターターGPOの新規作成
スターター GPO を作る
スターター GPO は、グループ ポリシーの管理（GPMC）で作ります。サーバー マネージャーを起動し、ツール ›› グループ ポリシーの管理 をクリックします。左のペインで、ドメイン名の下にある「スターター GPO」を使います。
この記事の画面は、実際の画面ではなく、検証時の画面から操作する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
▾ フォレスト: hirotanoblog.local ▾ ドメイン ▾ hirotanoblog.local Default Domain Policy GPO1 › Domain Controllers › OU1 › OU2 › グループ ポリシー オブジェクト › WMI フィルター1 ▾ スターター GPO2 Chrome設定済テンプレート › サイト グループ ポリシーのモデル作成 グループ ポリシーの結果
| No. | 表示 | 意味 |
|---|---|---|
| 1 | スターター GPO | スターター GPO を置く場所。右クリックして「新規」を選ぶ |
| 2 | Chrome設定済テンプレート | 作成したスターター GPO。作成後、この下に表示される |
「スターター GPO」を右クリックし、新規 をクリックします。名前は任意です。今回は Chrome 関連の設定を入れるので「Chrome設定済テンプレート」とし、OK をクリックします。作成すると、図2のように「スターター GPO」の下に表示されます。
| 1名前(N) | Chrome設定済テンプレート |
| コメント(C) |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | Chrome設定済テンプレート（任意の名前）。コメントは空のまま |
| 2 | OK | スターター GPO を作成する |
スターター GPO は、ドメインの SYSVOL にある Starter GPOs フォルダーに保存されます。初めて使うときに、「スターター GPO」を選ぶとフォルダーを作るボタンが表示されることがあります。その場合は、ボタンをクリックしてフォルダーを作ってから進めます。
スターターGPOの編集
スターター GPO に共通の設定を入れる
作成したスターター GPO を右クリックし、編集 をクリックします。スターター GPO を編集する「グループ ポリシー スターター GPO エディター」が開きます。
通常の GPO を編集するグループ ポリシー管理エディターと比べると、設定できる範囲が違います。グループ ポリシー管理エディターには「ポリシー」の下にソフトウェアの設定、Windows の設定、管理用テンプレートがあり、さらに「基本設定」もあります。スターター GPO エディターで設定できるのは、管理用テンプレートだけです。
GPO1 [AD-1.HIROTANOBLOG.LOCAL] ポリシー▾ コンピューターの構成1 ▾ ポリシー › ソフトウェアの設定 › Windows の設定 ▾ 管理用テンプレート: セントラル ストアから取得したポリシー定義 (…) › Google › Windows コンポーネント › コントロール パネル ⋮2 › 基本設定▾ ユーザーの構成 › ポリシー › 基本設定
Chrome設定済テンプレート [AD-1.hirotanoblog.local] スターター GPO▾ コンピューターの構成3 ▾ 管理用テンプレート › Google › Windows コンポーネント › コントロール パネル ⋮▾ ユーザーの構成 › 管理用テンプレート
| No. | 表示 | 意味 |
|---|---|---|
| 1 | ポリシー | 通常の GPO では、ソフトウェアの設定、Windows の設定、管理用テンプレートを設定できる |
| 2 | 基本設定 | 通常の GPO だけにある項目 |
| 3 | 管理用テンプレート | スターター GPO で設定できるのは、コンピューターの構成とユーザーの構成の管理用テンプレートだけ |
スターター GPO の管理用テンプレートで、Chrome のパスワード保存を無効にするポリシーを設定します。コンピューターの構成 ›› 管理用テンプレート ›› Google ›› Google Chrome ›› パスワード マネージャー を開き、「パスワード マネージャーへのパスワード保存を有効にする」を 無効 にします。設定方法の詳細は、【Active Directory】Chromeをグループポリシーで管理（管理用テンプレートの追加） を参考にしてください。
| 設定 | 状態 |
|---|---|
| 入力した認証情報に対して不正使用されたパスワードの… | 未構成 |
| 入力された認証情報に対して漏洩の検出を有効にする | 未構成 |
| 1パスワード マネージャーへのパスワード保存を有効にする | 無効 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | パスワード マネージャーへのパスワード保存を有効にする | 無効。Chrome で新しいパスワードを保存できなくなる（すでに保存されているパスワードは使える） |
これで、Chrome のパスワード保存を無効にしたスターター GPO ができました。次は、このスターター GPO をもとに新しい GPO を作ります。
スターターGPOをもとに新しいGPOを作成
スターター GPO をもとに GPO を作る方法は2つあります。どちらで作っても、できあがる GPO は同じです。
| 方法 | 右クリックする場所 | ソース スターター GPO |
|---|---|---|
| 方法 1 | 使いたいスターター GPO | 右クリックしたスターター GPO が選ばれた状態になる |
| 方法 2 | グループ ポリシー オブジェクト | 一覧から手動で選ぶ |
スターターGPOを選択してから作成
スターター GPO（Chrome設定済テンプレート）を右クリックし、スターター GPO から GPO を新規作成 をクリックします。名前は任意です（画面の例では「Win10端末用ポリシー」）。ソース スターター GPO には、右クリックしたスターター GPO が選ばれています。名前を入力して、OK をクリックします。
| 1名前(N) | Win10端末用ポリシー |
| 2ソース スターター GPO(S) | Chrome設定済テンプレート |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | Win10端末用ポリシー（任意の名前） |
| 2 | ソース スターター GPO | Chrome設定済テンプレート。右クリックしたスターター GPO が入り、グレー表示で変更できない |
| 3 | OK | GPO を作成する |
グループ ポリシー オブジェクトの一覧に、作成した GPO が表示されます。
▾ フォレスト: hirotanoblog.local ▾ ドメイン ▾ hirotanoblog.local Default Domain Policy GPO1 › Domain Controllers › OU1 › OU2 ▾ グループ ポリシー オブジェクト Default Domain Controllers Policy Default Domain Policy GPO1 GPO21 Win10端末用ポリシー › WMI フィルター ▾ スターター GPO Chrome設定済テンプレート
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Win10端末用ポリシー | スターター GPO をもとに作った GPO。この時点では、まだどこにもリンクされていない |
作成した GPO を右クリックして 編集 を開き、コンピューターの構成 ›› ポリシー ›› 管理用テンプレート ›› Google ›› Google Chrome ›› パスワード マネージャー を見ると、スターター GPO で設定した「パスワード保存を無効にする」ポリシーが入っています。
| 設定 | 状態 |
|---|---|
| 入力した認証情報に対して不正使用されたパスワードの… | 未構成 |
| 入力された認証情報に対して漏洩の検出を有効にする | 未構成 |
| 1パスワード マネージャーへのパスワード保存を有効にする | 無効 |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | パスワード マネージャーへのパスワード保存を有効にする：無効 | スターター GPO からコピーされた設定 |
この GPO は通常の GPO なので、管理用テンプレート以外（Windows の設定や基本設定など）も設定できます。必要な設定を足したら、OU を右クリックして 既存の GPO のリンク を選び、作成した GPO をリンクすると、その OU のユーザーやコンピューターに適用されます。
グループポリシーオブジェクトを選択してから作成
「グループ ポリシー オブジェクト」を右クリックし、新規 をクリックします。任意の名前を入力し、ソース スターター GPO の一覧から、作成したスターター GPO を選びます。選んだら OK をクリックします。
| 1名前(N) | Win10端末用ポリシー |
| 2ソース スターター GPO(S) | (なし) ▾(なし)Chrome設定済テンプレート |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | 任意の名前（画面の例では Win10端末用ポリシー） |
| 2 | ソース スターター GPO | 既定は「(なし)」。一覧から Chrome設定済テンプレート を選ぶ。(なし) のままだと、設定の入っていない GPO ができる |
| 3 | OK | GPO を作成する |
方法 1 と同じように、グループ ポリシー オブジェクトの一覧に作成した GPO が表示されます（表示は図8と同じです）。中の設定も、方法 1 と同じくスターター GPO の設定がコピーされています。
GroupPolicy モジュールでも同じ操作ができます。スターター GPO は New-GPStarterGPO -Name "Chrome設定済テンプレート"、スターター GPO をもとにした GPO は New-GPO -Name "Win10端末用ポリシー" -StarterGpoName "Chrome設定済テンプレート" で作れます。どちらも作成直後の GPO はどこにもリンクされていないので、リンクは New-GPLink などで行います。
まとめ
| 項目 | 内容 |
|---|---|
| スターター GPO | GPO を作るときのひな形。OU にはリンクできない |
| 作る場所 | グループ ポリシーの管理 ›› ドメイン ›› スターター GPO を右クリック ›› 新規 |
| 設定できる範囲 | コンピューターの構成とユーザーの構成の管理用テンプレートだけ |
| GPO の作り方 1 | スターター GPO を右クリック ›› スターター GPO から GPO を新規作成 |
| GPO の作り方 2 | グループ ポリシー オブジェクトを右クリック ›› 新規 ›› ソース スターター GPO を選ぶ |
| 作った GPO | スターター GPO の設定がコピーされた通常の GPO。設定を足して OU にリンクする |
コメント