グループ・ポリシーはOUにGPOを適用することで反映される
　グループ・ポリシーは，Active Directoryのドメイン環境で利用するものだ。ドメイン・コントローラには，当然Windows 2000 ServerかWindows Server 2003を使う。一方，クライアントにはWindows 2000 Professionalか，Windows XP Professionalが稼働していなければ，グループ・ポリシーの機能は，フルに利用できないようになっている。

　グループ・ポリシーでどのような管理を行うかは，「グループ・ポリシー・オブジェクト（GPO）」の中に定義される。GPOの実体は，GPC（グループ・ポリシー・コンテナ）というActive Directoryオブジェクトと，GPT（グループ・ポリシー・テンプレート）というSYSVOL共有に格納されたファイルが，セットになったものだ。実用上はほとんど気にならないが，GPCとGPTで，複製のタイミングが微妙に異なる場合があるので注意する必要がある。

△　図をクリックすると拡大されます 図1●GPOはサイト/ドメイン/OUなどに適用する。Sales OUとPR OUに同じGPOを適用できる

　グループ・ポリシーを機能させるには，管理内容を定義したGPOを，サイト/ドメイン/組織単位（OU）に対して適用するという形をとる（リンクと呼ぶこともある）。すると，その適用範囲にあるユーザーやコンピュータに，GPOの管理内容が反映されるという仕組みだ（図1）。

　もし，OUの中にあるユーザーを，別のOUに移動させると，適用されているGPOが異なれば管理内容に自動的に変わる。また，GPOの適用は，設定を済ませると即座に反映されるのではなく，決まった時間間隔で更新を行っており，そのタイミングで設定が反映される。

△　図をクリックすると拡大されます 図2●OUのプロパティ画面の［グループポリシー］タブからGPO設定を行う。編集作業をするには「グループ・ポリシー・オブジェクト・エディタ」を使う

GPOの作成・編集・削除のツールは
ドメインやOUのプロパティから呼び出す
　それでは実際に，GPOの作成と適用を行ってみよう（図2 ）。
（1）［管理ツール］から［Active Directoryユーザーとコンピュータ］を起動し，サイト/ドメイン/OUのいずれかのプロパティを表示する。
（2）プロパティ画面で［グループポリシー］タブに切り替え，［新規作成］ボタンをクリックすると，「新しいグループポリシーオブジェクト」という名前のGPOが作成されて，リストに現れる（図2-1 ）。そこで適当な名前を付ける。この段階のGPOは，名前を与えられただけの中身がまっさらなものである。
（3）このGPOが選択されていることを確認して，［編集］ボタンをクリックする（図2-2）。
（4）すると「グループ・ポリシー・オブジェクト・エディタ」という管理ツールが起動する（図2-3）。このツールは，MMC（マイクロソフト管理コンソール）のスナップインとして作成されていて，通常はこのように間接的に起動させる。

△　図をクリックすると拡大されます 図3●GPOに対して［削除］とボタンをクリックすると出てくる画面

　いったん作成したGPOを削除する場合は，［削除］ボタンをクリックする。ダイアログ画面が手前に現れるので，このとき［一覧からリンクを削除する］にチェックを入れて［OK］ボタンをクリックする（図3）。この操作では，リストからなくなるだけで，GPO自体は削除されないで保存される。保存されたGPOは，図2-1で［追加］ボタンを押せば，あとからGPOのリンク機能を使って適用できる。また，図3で［リンクを削除し，グループポリシーオブジェクトを恒久的に削除する］にチェックを入れて［OK］にすると，リンクだけでなくGPOの実体も削除される。

　GPOには，リンク機能のほか，継承機能があって自動的に複数のOUに適用できる。継承機能は，禁止したり強制したりと細かい制御ができる。

ポリシーの適用には時間間隔がある
即時適用にはコマンドを利用する
　グループ・ポリシーには適用が更新される時間間隔があると述べた。既定では，ドメイン・コントローラで5分ごと，その他のコンピュータで60分ごとになっている。これは設定によって変えることができるが，あまり更新間隔を短くすると，システムの性能を低下させるので好ましくない。

　グループ・ポリシーは，必要に応じてGPUPDATEコマンドを実行すれば，即時に更新できる。GPUPDATEコマンドを実行すると，ユーザーとコンピュータのポリシー情報の変更の有無を検査し，変更されていれば適用する。また，再起動やログオフが必要と判断すれば，その旨を通知する。ポリシーが変更されていなくても，強制的に設定したければ，/FORCEオプションを併用する。このような，コマンドを使ったグループ・ポリシーの手動更新は，Windows 2000では，SECEDIT/REFRESHPOLICYコマンドを使っていたが，Windows XPからGPUPDATEコマンドに変わっている。