トップ回答者
グループポリシーでIEの設定を管理している場合の中央ストアの使用について

質問
-
グループポリシーの中央ストアについてお伺いしたいのですが、
弊社では現在サイトAとサイトBという二つのサイトがあり、それぞれにドメインコントローラが存在しています。双方ともOSは2008R2です。ドメインは全体で一つのドメインに属しています。
サイトAのドメインコントローラはPDCエミュレータで、インストールされているIEは10です。サイトAのクライアントコンピュータもIE10がインストールされています。
サイトBのドメインコントローラにはIE8がインストールされていて、サイトBのクライアントコンピュータもIE8を使用しています。グループポリシーを使ってIE8の設定を管理しています。
グループポリシーのIE管理用の項目は、IE10がインストールされたコンピュータ上でグループポリシー管理ツールを開いた場合は表示されません。
このような状況の中で、この度グループポリシーテンプレートの管理に中央ストアを使うことになり、後から追加されたOffice などのADMXだけでなく既存のADMXファイル(C:\Windows\PolicyDefinitions以下にあったもの)も中央ストアに移行しようと考えております。この際、IE10がインストールされているドメインコントローラ上でもIE8がインストールされているドメインコントローラ上でも、運用に支障がない状態にするには、
- IE10がインストールされているドメインコントローラ内のADMXを中央ストアにコピーしたほうがよいのか、
- IE8がインストールされているドメインコントローラ内のADMXを使用したほうがいいのか、
- もしくはこの要件では中央ストアを使用しないほうがよいのか。
判断がつかずにおります。
どなたかご存知の方がいらっしゃいましたら、ご教授いただけないでしょうか。
回答
-
ちょっと気になったので私の見解を書いてみます。
基本的にADMXファイルは下位互換と認識しています。よって、最新のADMXファイルを使用すればIE10~IE8はそれで管理できる。これが大前提とします。
今回問題となっているのは、IE10を入れることによってADMXファイルが書き変わる。そして、古いADMXファイルを使用して該当部分を編集すると新しいADMXファイルでの編集ができなくなると理解しました。
ということは、セントラスストアを配置すればすべてのポリシー変更はセントラスストアを参照するのでその問題はなくなると思います。チャブーンさんが紹介しているサイトにも復旧方法としてセントラスストアのファイルを更新すればよいと書いてあるのでこれでいいと思います。
以上、参考になれば幸いです。
MVP:Virtual Machine Blog:MCTの憂鬱
- 回答の候補に設定 チャブーンMVP, Moderator 2014年1月31日 12:09
- 回答としてマーク 佐伯玲 2014年2月10日 2:50
すべての返信
-
チャブーンです。
この件ですが、結論としてこの状況下では「中央ストアを使うべきではない」ということになるでしょう。したの資料を見てもらうとわかりますが、IE10をインストールしたドメインコントローラ上では、IE用admxファイルが以前のものから更新され、旧バージョンでポリシーを編集した場合、問題が発生するということです(治す方法はありますが、結局中央ストアを使うことをやめることになるでしょう)。
http://technet.microsoft.com/ja-jp/library/jj822355.aspx
これを防ぐ意味では、中央ストアは使わない方がいい、とは言えると思います。当座の解決方法として、各ドメインコントローラのPolicyDefinitionsフォルダーにOffice用のadmxファイルを配置すればいいでしょう。
- 編集済み チャブーンMVP, Moderator 2014年1月27日 7:48
- 回答の候補に設定 佐伯玲 2014年1月28日 1:33
- 回答としてマーク PSta 2014年1月29日 1:51
- 回答としてマークされていない チャブーンMVP, Moderator 2014年1月31日 12:09
-
ちょっと気になったので私の見解を書いてみます。
基本的にADMXファイルは下位互換と認識しています。よって、最新のADMXファイルを使用すればIE10~IE8はそれで管理できる。これが大前提とします。
今回問題となっているのは、IE10を入れることによってADMXファイルが書き変わる。そして、古いADMXファイルを使用して該当部分を編集すると新しいADMXファイルでの編集ができなくなると理解しました。
ということは、セントラスストアを配置すればすべてのポリシー変更はセントラスストアを参照するのでその問題はなくなると思います。チャブーンさんが紹介しているサイトにも復旧方法としてセントラスストアのファイルを更新すればよいと書いてあるのでこれでいいと思います。
以上、参考になれば幸いです。
MVP:Virtual Machine Blog:MCTの憂鬱
- 回答の候補に設定 チャブーンMVP, Moderator 2014年1月31日 12:09
- 回答としてマーク 佐伯玲 2014年2月10日 2:50
-
チャブーンです。
ABEさんからのご意見があり、簡単に検証してみました。
- Firstサイト/SecondサイトそれぞれにDCを配置し、FirstサイトのDCをIE10にアップグレードする(inetres.admx日付が更新されたことも確認済み)
- FirstサイトのDCのpolicydefinitionsフォルダを中央ストアにコピーし、複製させる
- Firstサイト/SecondサイトそれぞれにDC上で[IEのメンテナンスポリシー]を表示させたところ、以下のようになった
・FirstサイトのDC→表示されない(IE10の既定動作)
・SecondサイトのDC→表示・編集が可能(IE8の既定動作)
ということで、ABEさんの見解が正しいと結論します。inetres.admxの整合性を疑いコメントしましたが、下位互換には問題ないようですね。結果的に質問者の方には申し訳ないことをしました。お詫びして訂正します。