トップ回答者
DCのwindows10 管理用テンプレートの更新について

質問
-
いつも大変参考にさせて頂いております。
検証が出来ない都合で以下の質問をさせて頂きます。
この度、windows10 2004 の管理用テンプレートをDCへ更新する作業を予定しています。
運用の関係上、セントラルストアは使用していない環境のため、DCの「C:\Windows\PolicyDefinitions」へ追加します。
【質問】
そこで質問ですが、セントラルストアを使用していない環境の場合、いずれか1台のDCのみ管理用テンプレートを更新し、更新したDCにて2004で新たに追加されたポリシーをOUにリンクした場合、全てのクライアントに2004用のポリシーは適用されるのでしょうか。
<構成>セントラルストア未使用
・DC01(FSMO)・・・2004 管理用テンプレート更新無し ⇒ グループ ポリシーの管理で「DC02」で作成した2004のGPOは表示されない
・DC02 ・・・2004 管理用テンプレート更新 ⇒ グループ ポリシーの管理で2004 のGPOを作成し該当OUにリンクする
上記の場合、クライアントがログインして「set logonserver」コマンドを実行し、認証DCが「DC01」であった場合、2004 のポリシーは適用されるのか?それともDC01は2004 の管理用テンプレートを更新していないので適用されないのでしょうか?その挙動が知りたいです。
勿論、2004 のポリシーを管理する場合はDC02でのみでしか出来ないことは認識済みです。
恐れ入りますが、ご回答頂けますと幸いです。
- 編集済み blankey3104 2023年1月30日 10:29
回答
-
管理用テンプレートは GOP の実態とは別に、それを解釈してヒューマン リーダブルにして表示/編集する際の文字通り「テンプレート」として使われるものです。
どのようなテンプレートを使って編集しても、GPO に対する変更が正しく行われていれば(かつドメイン コントローラー間で同期が正しく行われていれば)、クライアントがどの DC にアクセスしても同じポリシーが適用されます。
ちなみにポリシーの編集を行われるのであれば、ドメインコントローラーで直接作業するのではなく、クライアント(ドメインに参加しているクライアント)に RAST をインストールして作業されることをお勧めします。この場合、利用される管理用テンプレートは DC にあるものではなく、編集を実行するクライアントの C:\Windows\PolicyDefinitions にあるものが利用されます。
Hebikuzure aka Murachi Akira
- 回答としてマーク blankey3104 2020年11月18日 9:33
すべての返信
-
管理用テンプレートは GOP の実態とは別に、それを解釈してヒューマン リーダブルにして表示/編集する際の文字通り「テンプレート」として使われるものです。
どのようなテンプレートを使って編集しても、GPO に対する変更が正しく行われていれば(かつドメイン コントローラー間で同期が正しく行われていれば)、クライアントがどの DC にアクセスしても同じポリシーが適用されます。
ちなみにポリシーの編集を行われるのであれば、ドメインコントローラーで直接作業するのではなく、クライアント(ドメインに参加しているクライアント)に RAST をインストールして作業されることをお勧めします。この場合、利用される管理用テンプレートは DC にあるものではなく、編集を実行するクライアントの C:\Windows\PolicyDefinitions にあるものが利用されます。
Hebikuzure aka Murachi Akira
- 回答としてマーク blankey3104 2020年11月18日 9:33
-
Hebikuzure aka Murachi Akira 様
早速のご回答ありがとうございます。管理用テンプレートは GOP の実態とは別に、それを解釈してヒューマン リーダブルにして表示/編集する際の文字通り「テンプレート」として使われるものです。
どのようなテンプレートを使って編集しても、GPO に対する変更が正しく行われていれば(かつドメイン コントローラー間で同期が正しく行われていれば)、クライアントがどの DC にアクセスしても同じポリシーが適用されます。
上記理解致しました。
またRSATについてアドバイスも頂き大変感謝致します。
ありがとうございました。