グループポリシーを使うと、ドメインに参加しているユーザーやコンピューターに、ソフトウェアを配布してインストールできます。グループポリシーの基本は 【Active Directory】グループポリシーの構成・適用・更新 で紹介しています。
この記事では、ソフトウェア配布の注意点を整理してから、Firefox の MSI パッケージをドメイン参加の Windows 10 端末に配布し、動作を確認します。
- MSI パッケージを、端末から読める共有フォルダーに置く
- GPO の「ソフトウェアのインストール」にパッケージを「割り当て」で追加する
- GPO を OU にリンクし、端末の再起動でインストールされることを確認する
ソフトウェア配布の注意点
Active Directory の標準機能だけでソフトウェアを配布できるので便利ですが、いくつか注意点があります。
ネットワーク帯域を制限できない
ソフトウェア配布で使うネットワーク帯域を制限する設定はありません。始業時に多くの端末が一斉に起動すると、配布のトラフィックが集中することがあります。特に拠点では、WAN 回線がひっ迫する場合があります。
なお、低速リンクと判定された接続では、既定ではソフトウェアのインストールは処理されません。拠点の端末で配布されないときは、この点も確認します。
配布のタイミングを指定できない
配布する日時をスケジュールすることはできません。コンピューターに割り当てたソフトウェアはコンピューターの起動時に、ユーザーに割り当てたソフトウェアはユーザーのログオン時にインストールされます。
ソフトウェアのインストールは、起動時とログオン時の処理（フォアグラウンド処理）でしか実行されません。gpupdate や、90 分ごとに行われるバックグラウンドの更新ではインストールされないので、GPO を変更したら端末を再起動して確認します。
Windows 10 などのクライアントは、既定ではネットワークの準備を待たずに起動し、グループポリシーを非同期で処理します。そのため、ソフトウェアのインストールが反映されるまでに、再起動が 2 回必要になることがあります。
1 回の再起動で確実に処理させたい場合は、コンピューターの構成 ›› ポリシー ›› 管理用テンプレート ›› システム ›› ログオン の「コンピューターの起動時およびログオン時に常にネットワークを待つ」を有効にします。
配布できるのは MSI パッケージ
自動でインストールさせる（割り当てる）ことができるのは、Windows インストーラー パッケージ（.msi）だけです。EXE 形式のセットアップは、そのままでは配布できません。
EXE 形式のソフトウェアは、.zap ファイルを作るとユーザーに「公開」することはできますが、自動インストールにはなりません。ベンダーが MSI 版を提供しているかを、先に確認しておくと確実です。
| 注意点 | 内容 | 対策の例 |
|---|---|---|
| 帯域 | 配布の帯域を制限できない | 拠点では台数を分けて展開する、拠点内にも配布用の共有を置く |
| タイミング | 起動時・ログオン時にしかインストールされない | 展開する日を決め、その前日に GPO をリンクしておく |
| 形式 | 自動インストールできるのは MSI だけ | MSI 版の有無を確認する |
MSI パッケージの配布
Firefox の MSI パッケージを用意し、ドメインに参加している Windows 10 端末に配布してみます。構成は次のとおりです。
共有フォルダーに MSI パッケージを置く
ドメインコントローラ（AD-1）に共有フォルダー \\ad-1\app を作り、Firefox の MSI パッケージを保存します。
この記事の画面は、実際の画面ではなく、検証時の画面から設定する項目（見るポイント）を抜き出して描いたイメージです。バージョンによって、項目の並びや表記は変わります。
| 名前 | 更新日時 | 種類 | サイズ |
|---|---|---|---|
| 1Firefox Setup 105.0 | 2022/09/23 16:19 | Windows インストーラー パッケージ | 55,737 KB |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | Firefox Setup 105.0 | 配布する MSI パッケージ（種類が「Windows インストーラー パッケージ」） |
| 2 | 状況：共有 | app フォルダーが共有されている |
Windows 10 端末から、共有フォルダーにアクセスできることを確認しておきます。エクスプローラーで \\ad-1\app を開き、MSI パッケージが見えれば大丈夫です。
1ネットワーク › ad-1 › app名前2Firefox Setup 105.0
| No. | 表示 | 意味 |
|---|---|---|
| 1 | ネットワーク › ad-1 › app | 端末から AD-1 の共有フォルダーを開いている |
| 2 | Firefox Setup 105.0 | 端末から MSI パッケージが見えている |
コンピューターに割り当てたソフトウェアは、ユーザーがログオンする前に、コンピューターのアカウントで共有フォルダーから読み込まれます。共有とフォルダーのアクセス権では、ユーザーだけでなくコンピューター（Domain Computers や Authenticated Users など）にも読み取りを許可しておきます。
配布用の GPO を作成する
MSI パッケージを配布するためのグループポリシーオブジェクト（GPO）を作ります。AD-1 で ツール ›› グループ ポリシーの管理 を開き、グループ ポリシー オブジェクト を右クリックして 新規 を選びます。
| 1名前(N) | MSIパッケージの配布 |
| ソース スターター GPO(S) | (なし) |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 名前 | 任意の名前（今回は「MSIパッケージの配布」） |
| 2 | OK | GPO を作成する |
ソフトウェアのインストールにパッケージを追加する
作成した「MSIパッケージの配布」を右クリックして 編集 を選ぶと、グループ ポリシー管理エディターが開きます。コンピューターの構成 ›› ポリシー ›› ソフトウェアの設定 ›› ソフトウェアのインストール を右クリックし、新規作成 ›› パッケージ を選びます。
MSIパッケージの配布▾ コンピューターの構成 ▾ ポリシー ▾ ソフトウェアの設定1 ソフトウェアのインストール → 右クリック ›› 新規作成 ›› パッケージ › Windows の設定 › 管理用テンプレート › 基本設定▾ ユーザーの構成 › ポリシー › 基本設定
| No. | 項目 | 操作 |
|---|---|---|
| 1 | ソフトウェアのインストール | 右クリックして「新規作成 ›› パッケージ」を選ぶ（右側の一覧は、最初は空） |
ファイルを選ぶ画面で、共有フォルダー上の MSI パッケージを選び、「開く」をクリックします。パスは、ネットワーク経由（\\ad-1\app\Firefox Setup 105.0.msi のような UNC パス）で指定します。
| 名前 | 更新日時 | 種類 | サイズ |
|---|---|---|---|
| Firefox Setup 105.0 | 2022/09/23 16:19 | Windows インストーラー パッケージ | 55,737 KB |
| 2ファイル名(N) | Firefox Setup 105.0 Windows インストーラー パッケージ |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 場所 | ネットワーク上の共有フォルダー（\\ad-1\app） |
| 2 | ファイル名 | 配布する MSI パッケージ |
| 3 | 開く | パッケージを選ぶ |
共有フォルダーではなく、ローカルフォルダー（C ドライブなど）のファイルを選ぶと、次のメッセージが表示されます。端末からはローカルフォルダーを読めないので、「はい」で進めてもクライアントにはインストールできません。「いいえ」を選び、共有フォルダーのパスで選び直します。
続いて、展開方法を選ぶ画面が表示されます。「割り当て」が選ばれていることを確認し、「OK」をクリックします。
| 1展開方法 | ○ 公開(P)◉ 割り当て(A)○ 詳細設定(V) |
| 説明 | アプリケーションを変更しないで割り当てるにはこのオプションを選択してください。 |
| No. | 項目 | 設定内容 |
|---|---|---|
| 1 | 展開方法 | 「割り当て」を選ぶ。コンピューターの構成では「公開」は選べない（グレー表示） |
| 2 | OK | パッケージを追加する |
「割り当て」を選ぶと、ソフトウェアは自動的にインストールされます。「詳細設定」を選ぶと、変換ファイル（.mst）の指定など、パッケージのプロパティを追加で設定できます。
ソフトウェアの展開は「ユーザーの構成」でも同じように設定でき、その場合は「公開」も選べます。展開方法の違いは次のとおりです。
| 展開方法 | 設定する場所 | 動き |
|---|---|---|
| 割り当て | コンピューターの構成 | コンピューターの起動時に自動でインストールされ、その PC を使うすべてのユーザーが使える |
| 割り当て | ユーザーの構成 | ユーザーのログオン時にインストールされる（初めて起動したときにインストールが完了する場合もある） |
| 公開 | ユーザーの構成 | 自動ではインストールされない。コントロール パネルの「プログラム」に、ネットワークからインストールできるソフトウェアとして表示され、ユーザーが自分でインストールする |
「OK」をクリックすると、ソフトウェアのインストールにパッケージが追加されます。インストール元が共有フォルダーになっていることを確認します。
| 名前 | バージョン | 展開状態 | インストール元 |
|---|---|---|---|
| Mozilla Firefox 105.0 x64 ja | 105.0 | 割り当て | 1\\ad-1\app\Firefox Setup 105.0.msi |
| No. | 表示 | 意味 |
|---|---|---|
| 1 | インストール元 | 共有フォルダーの UNC パスになっていれば、端末から MSI を読み込める |
GPO を OU にリンクする
グループ ポリシーの管理に戻り、テスト用のコンピューターが所属する OU1 に、作成した GPO をリンクします。OU1 を右クリックして 既存の GPO のリンク から「MSIパッケージの配布」を選びます。
▾ ドメイン ▾ hirotanoblog.local Default Domain Policy › Domain Controllers1 ▾ OU1 MSIパッケージの配布 › OU2
| No. | 表示 | 意味 |
|---|---|---|
| 1 | OU1 ›› MSIパッケージの配布 | OU1 に GPO がリンクされている |
OU1 にいるコンピューターに、この GPO が適用されます。
動作確認
OU1 にいる Windows 10 端末を再起動します。起動したあとにサインインすると、Firefox が自動的にインストールされ、デスクトップにショートカットが追加されていることを確認できます。
インストールされないときは、次の点を確認します。
| 状態 | よくある原因 | 確認すること |
|---|---|---|
| 1 回の再起動では入らない | 起動時のグループポリシーが非同期で処理された | もう一度再起動する。「コンピューターの起動時およびログオン時に常にネットワークを待つ」を有効にする |
| GPO が適用されていない | コンピューターが OU1 にいない、リンク先が違う | 端末で gpresult /r を実行し、コンピューターの設定に「MSIパッケージの配布」が表示されるか見る |
| MSI を読み込めない | インストール元がローカルのパス、共有のアクセス権が足りない | インストール元が UNC パスか、コンピューターのアカウントに読み取り権限があるか |
| 拠点の端末だけ入らない | 低速リンクと判定された | 回線の速度と、低速リンクの設定 |
まとめ
| 手順 | 作業 | ポイント |
|---|---|---|
| STEP 1 | 共有フォルダーに MSI を置く | コンピューターのアカウントでも読めるアクセス権にする |
| STEP 2 | 配布用の GPO を作る | グループ ポリシーの管理で作成する |
| STEP 3 | パッケージを追加する | コンピューターの構成 ›› ポリシー ›› ソフトウェアの設定 ›› ソフトウェアのインストール。UNC パスで指定し、「割り当て」を選ぶ |
| STEP 4 | OU にリンクする | 配布したいコンピューターがいる OU にリンクする |
| 確認 | 端末を再起動する | gpupdate ではインストールされない。2 回の再起動が必要なこともある |
コメント