読む前にこの記事のポイントを音声で確認できます。この音声は本記事をもとにAIツール（NotebookLM）で自動生成したもので、発音や言い回しが不自然な箇所や、内容の誤りが含まれる可能性があります。理解の補助としてご利用ください。
グループポリシー（GPO）は、ローカル → サイト → ドメイン → OU の順に適用され、設定が競合したときは、最後に適用された GPO の設定が採用されます。そのため、通常はドメインにリンクした GPO より、OU にリンクした GPO が優先されます。この記事では、この既定の順番を変える「継承のブロック」と「強制」を、グループポリシー管理コンソール（GPMC）で実際に設定して確認します。
適用の順番については、次の記事を参考にしてください。
グループポリシーの概要については、次の記事を参考にしてください。
- ドメインにリンクした GPO が OU に継承される仕組みと、GPMC での確認方法
- 継承のブロック：上位の GPO を OU に適用させない設定
- 強制：上位の GPO を下位より優先し、継承のブロックでも止められなくする設定
この記事では、ドメインと OU を次の構成にします。
継承のブロック
継承のブロックは、ドメインや OU に設定するもので、上位（サイト、ドメイン、親の OU）にリンクされた GPO を継承しないようにします。まず、既定の継承の動きを確認してから、継承のブロックを設定します。
グループポリシーの継承を確認する
グループポリシー管理コンソール（GPMC）を起動すると、ドメイン（hirotanoblog.local）の下に OU1 と OU2 が配置されています。既定では、ドメインに Default Domain Policy がリンクされています。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン 1hirotanoblog.local Default Domain Policy Domain Controllers OU1 OU2 グループ ポリシー オブジェクト | hirotanoblog.local リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | hirotanoblog.local | ドメインを選び、［リンクされたグループ ポリシー オブジェクト］タブを開く |
| 2 | Default Domain Policy | ドメインにリンクされている GPO。リンクの順序 1、強制「いいえ」、リンクは有効 |
Default Domain Policy は、ドメイン配下のユーザーやコンピューターに適用されます。つまり、OU1 や OU2 にも Default Domain Policy が適用されます。これを継承といいます。
OU1 を選び、［グループ ポリシーの継承］タブを開くと、OU1 に適用される GPO を優先順位の順に確認できます。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy Domain Controllers 1OU1 OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1 | OU1 を選び、［グループ ポリシーの継承］タブを開く |
| 2 | 1／Default Domain Policy／hirotanoblog.local | ドメイン（場所が hirotanoblog.local）から継承した Default Domain Policy が適用される。優先順位は数字が小さいほど優先される |
Default Domain Policy については、次の記事を参考にしてください。
GPO1 を作成してドメインにリンクする
新しくグループポリシーオブジェクト（GPO1）を作成し、ドメインにリンクします。グループ ポリシー オブジェクト（右クリック） ›› 新規 を選び、名前を GPO1 にして［OK］をクリックします。
| 1名前 | GPO1 |
| ソース スターター GPO | (なし) |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | GPO1 |
| 2 | OK | GPO1 が作成され、［グループ ポリシー オブジェクト］の下に表示される |
次に、ドメインに GPO1 をリンクします。hirotanoblog.local（右クリック） ›› 既存の GPO のリンク を選び、GPO1 を選択して［OK］をクリックします。
| GPO を検索するドメイン | hirotanoblog.local |
| 1グループ ポリシー オブジェクト | 名前Default Domain Controllers Policy Default Domain Policy GPO1 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | グループ ポリシー オブジェクト | GPO1 を選ぶ |
| 2 | OK | ドメインに GPO1 がリンクされる |
ドメインに GPO1 がリンクされました。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers OU1 OU2 グループ ポリシー オブジェクト | hirotanoblog.local リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 2／GPO1 | リンクの順序 2 で GPO1 がリンクされた。同じ場所にリンクした GPO の間では、リンクの順序の数字が小さいほど優先される |
ドメインにリンクした GPO1 は、OU1 や OU2 にも継承されます。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers OU1 OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 2／GPO1／hirotanoblog.local | ドメインから継承した GPO1。OU2 の［グループ ポリシーの継承］も同じ内容になる |
GPO2 を作成して OU にリンクする
新しく GPO2 を作成し、OU1 と OU2 にリンクします。手順は GPO1 と同じで、リンク先をドメインではなく OU1 と OU2 にします。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers OU1 OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 1／GPO2／OU1 | OU1 にリンクした GPO2 が、優先順位 1 になる。OU2 でも GPO2（場所が OU2）が優先順位 1 になる |
GPO2 は OU へのリンク（場所が OU1 や OU2）なので、設定が競合している場合は、ドメインへのリンク（場所が hirotanoblog.local）より優先されます。
継承をブロックする
OU1 に、ドメインの GPO1 を一切適用させたくない場合は、上位からの継承をブロックします。OU1（右クリック） ›› 継承のブロック を選びます。
OU1 のアイコンに青い「!」マークが表示されます。［グループ ポリシーの継承］を確認すると、ドメインから継承していた GPO が消えています。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers 1OU1! OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1 のアイコンの「!」 | OU1 で継承がブロックされていることを示す |
| 2 | 1／GPO2／OU1 | OU1 にリンクした GPO2 だけが残り、ドメインの Default Domain Policy と GPO1 は適用されなくなった |
OU2 は継承をブロックしていないので、これまでどおり GPO2、Default Domain Policy、GPO1 の順に適用されます。
- 継承のブロックは、特定の GPO だけでなく、上位にリンクされたすべての GPO を止めます。図12のとおり、GPO1 だけでなく Default Domain Policy も OU1 には適用されなくなります（強制された GPO は除く）。
- ドメインユーザーのパスワードポリシーやアカウントロックアウトポリシーは、ドメインにリンクした GPO の設定がドメインコントローラーに適用されて決まります。OU 側の継承のブロックでは変わりません。
強制
OU ではなく、ドメインにリンクした GPO の設定を優先して適用したい場合は、上位の GPO のリンクを「強制」にします。強制したリンクの GPO は、下位の GPO で設定を上書きされず、継承のブロックでも止められません。
確認のため、OU1 の継承のブロックをいったん解除し、通常の適用順に戻しておきます。通常の適用順では、図10のとおり、ドメインにリンクした GPO1 より、OU にリンクした GPO2 が優先されています。
GPO1 のリンクを強制する
ドメインにリンクされている GPO1 を右クリックし、［強制］を選びます。メニューの道筋は hirotanoblog.local の下の GPO1（右クリック） ›› 強制 です。
GPO1 のアイコンに鍵マークが付きます。OU1 の［グループ ポリシーの継承］を確認すると、GPO1 が最も優先されていることがわかります。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers 1OU1 OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1（ツリーの GPO1 に鍵マーク） | GPO1 のリンクが強制になった |
| 2 | 1 (強制)／GPO1 | 強制した GPO1 が、OU1 にリンクした GPO2 より優先される。OU2 でも同じく GPO1 が優先順位 1 になる |
強制と継承のブロックを組み合わせる
この状態で、もう一度 OU1 の継承をブロックしてみます（OU1（右クリック） ›› 継承のブロック）。継承をブロックしても、強制した GPO1 は適用されていることを確認できます。
グループ ポリシーの管理 フォレスト: hirotanoblog.local ドメイン hirotanoblog.local Default Domain Policy GPO1 Domain Controllers OU1! OU2 グループ ポリシー オブジェクト | OU1 リンクされたグループ ポリシー オブジェクトグループ ポリシーの継承 この一覧にはサイトにリンクされた GPO は含まれていません。
|
| No. | 表示 | 意味 |
|---|---|---|
| 1 | 1 (強制)／GPO1／hirotanoblog.local | OU1 で継承をブロックしていても、強制した GPO1 は適用される。強制していない Default Domain Policy は止まる |
- 強制は GPO のリンクに付ける設定で、継承のブロックはドメインや OU に付ける設定です。強制は継承のブロックより優先されます。
- 強制したリンクが複数ある場合は、上位（たとえば OU よりドメイン）に強制したリンクが優先されます。
継承のブロックや強制は、通常の適用順に対する例外の設定です。多用すると、どの設定が効いているのか分かりにくくなり、トラブルの切り分けも難しくなります。通常のルールでは実現できない要件があるときにだけ、必要最低限で設定するのがよいと思います。
まとめ
| 設定 | 付ける場所 | 効果 |
|---|---|---|
| 通常（継承） | ― | 上位の GPO が下位に継承され、競合時は下位（OU）の GPO が優先 |
| 継承のブロック | ドメイン、OU | 上位にリンクされた GPO を継承しない（強制されたものは除く） |
| 強制 | GPO のリンク | 下位の GPO に上書きされず、継承のブロックでも止まらない |
| この記事の結果（OU1） | ― | ブロックのみ：GPO2 だけ／強制＋ブロック：GPO1（強制）→ GPO2 |
コメント