开発者のための最新グループポリシー活用讲座
Download as pptx, pdf4 likes2,948 views
Windows Server 2008 R2 のグループポリシーは開発者のためにも有用なのです！
![PowerShell の 準備（Windows Server 2008 R2）グループポリシー管理コンソールをインストール[機能の追加] - [グループポリシーの管理]PowerShellをインストール[機能の追加] - [Windows PowerShell ISE]PowerShellの起動PowerShell.exe または powershell_ise.exeグループポリシーモジュールの読み込み読み込まれたコマンドレットの確認PS>Import-ModuleGroupPolicyPS>Get-Command *GP* |Where-Object {$_.CommandType–eq "Cmdlet"}Windows 7 や Vista の場合には RSAT をインストール](https://image.slidesharecdn.com/random-090724081321-phpapp02/85/-17-320.jpg)
![バックグラウンド更新間隔を変更するには[コンピュータの構成] - [ポリシー] - [管理用テンプレート] - [システム] - [グループポリシー] - [コンピューターのグループポリシーの更新間隔]更新間隔 0分 ～ 64800分オフセット 0分 ～ 1440分[ユーザーの構成] - [ポリシー] - [管理用テンプレート] - [システム] - [グループポリシー] - [ユーザーのグループポリシーの更新間隔]更新間隔 0分 ～ 64800分オフセット 0分 ～ 1440分](https://image.slidesharecdn.com/random-090724081321-phpapp02/85/-23-320.jpg)
![PowerShell セッション（PSSessions）コマンドの実行空間セッション内ではデータの共有が可能通常はテンポラリセッションが作成され、コマンド終了後に削除されるPS C:\> $A = 1PS C:\> $B = 2PS C:\> $C = $A + $Bこれをリモートコンピュータで実行する場合Enter-PSSessionを使用Invoke-Command を使用PS>Enter-PSSession........[CL1]: PS > $A = 1[CL1]: PS > $B = 2[CL1]: PS > $C = $A + $BPS>Exit-PSSessionPS>Invoke-Command .......-ScriptBlock {$A=1}PS>Invoke-Command .......-ScriptBlock {$B=2}PS>Invoke-Command .......-ScriptBlock {$C=...}1つのセッション](https://image.slidesharecdn.com/random-090724081321-phpapp02/85/-27-320.jpg)
开発者のための最新グループポリシー活用讲座
- 1. 開発者のための最新 Group Policy 活用講座マイクロソフト株式会社エバンジェリスト安納 順一Anno Junichihttp://blogs.technet.com/junichia/
- 2. 本日の内容業務アプリケーションの環境設定をグループポリシーに委託することで、信頼性の向上と開発/管理コスト削減を図ることができます。Windows Server 2008 R2では、PowerShell 2.0 によるリモーティンググループポリシー用コマンドレットにより、さらに「楽」ができます！そんなお話をお送りします。
- 3. 前提知识（おさらい）
- 4. Group Policy ってなに？環境を集中管理/制御する仕組みOSの管理項目は標準で提供されている独自の管理項目を拡張できるGroup PolicyActive Directoryドメインコントローラ
- 5. できること（例）セキュリティ関連 パスワードの複雑さ 通信の暗号化強度 ログの保存期間 などOSの環境 コントロールパネル内の各種設定 シェル（エクスプローラ）の動作設定 など インストールされているソフトウェアの環境構成Office の環境設定Internet Explorer の環境設定Windows関連コンポーネントの環境設定 レジストリ や ini ファイルの設定 など ユーザープロファイルの構成 デスクトップの設定 アプリケーション利用の許可と拒否 プリンターの接続 アプリケーションの動作設定
- 6. 6种类のグループポリシーローカルポリシーコンピュータポリシーポリシーユーザーポリシーポリシードメインポリシー今日の対象コンピュータポリシーポリシー基本设定今日の対象ユーザーポリシーポリシー基本设定
- 7. グループポリシーの構造GPOGPO LinkコンピュータポリシーDomainROOTユーザーポリシーOUGPO LinkGPOGPO LinkコンピュータポリシーOUユーザーポリシーOUGPOGPO LinkコンピュータポリシーSITEユーザーポリシーSITEGPO:グループポリシーオブジェクト
- 13. ADMX に書けることhttp://technet.microsoft.com/ja-jp/library/cc753471(WS.10).aspxサンプルは C:\Windows\PolicyDefinitions 配下になんと日本語！ポリシー有効/無効/未定義 時の動作設定に使用するコントロール規定値、最大（小）文字列長、数値、必須かどうかサポートされるOSのバージョン複数言語対応その他（リスト、コンボ、複数行文字列など）
- 15. ADMXを使わずにグループポリシーに組み込みWindows Server 2008 R2Windows PowerShellを使用 設定値を作成/変更/無効 Set-GPRegistryValue 設定値を削除Remove-GPRegistryValue2008R2従来PowerShellADMXGPMCGroup PolicyGPOGPO?????Active DirectoryOS
- 17. PowerShell の 準備（Windows Server 2008 R2）グループポリシー管理コンソールをインストール[機能の追加] - [グループポリシーの管理]PowerShellをインストール[機能の追加] - [Windows PowerShell ISE]PowerShellの起動PowerShell.exe または powershell_ise.exeグループポリシーモジュールの読み込み読み込まれたコマンドレットの確認PS>Import-ModuleGroupPolicyPS>Get-Command *GP* |Where-Object {$_.CommandType–eq "Cmdlet"}Windows 7 や Vista の場合には RSAT をインストール
- 18. powershell_ise（integrated Scripting Environment）PowerShell2.0 からサポートされた グラフィカルホスト
- 21. 環境をグループポリシーに組み込むGPOを作成する作成されたGPOを確認GPOをリンクするGPOにレジストリ設定を書き込むPS> New-GPO -Name “DemoPolicy”PS>get-gpo -all |Select-Object displaynamePS>new-gplink -Name DemoPolicy -target "dc=demodomain,dc=com"PS > Set-GPRegistryValue-Name DemoPolicy -Key "HKLM\Software\MyApplication"-ValueName "Installpath“ -Value “C:\Program Files\MyApplication” -Type StringGPOコンピュータポリシーGPO LinkDomainROOTユーザーポリシーOU
- 22. 設定値が有効になるタイミングPowerShellを実行した瞬間に変わるわけではない適用のタイミングHKLM 配下は 起動時（コンピュータポリシー）HLCU 配下はログオン時（ユーザーポリシー）バックグラウンド更新時（規定では90分に１回）強制更新の実行後ローカルコンピュータ ：GPUpdate.exe /forceリモートコンピュータ単一コンピュータとの対話モード：Enter-PSSessionコマンドレット複数コンピュータ：Invoke-CommandコマンドレットDCでは5分に1回単体ではリモートで実行できないこれが噂の PowerShell リモーティング
- 23. バックグラウンド更新間隔を変更するには[コンピュータの構成] - [ポリシー] - [管理用テンプレート] - [システム] - [グループポリシー] - [コンピューターのグループポリシーの更新間隔]更新間隔 0分 ～ 64800分オフセット 0分 ～ 1440分[ユーザーの構成] - [ポリシー] - [管理用テンプレート] - [システム] - [グループポリシー] - [ユーザーのグループポリシーの更新間隔]更新間隔 0分 ～ 64800分オフセット 0分 ～ 1440分
- 24. PowerShell リモーティングとは3種類のリモーティング-ComputerNameパラメタ30種類のコマンドレットが対応複数のコンピュータを指定可能対話モード（Enter-PSSession コマンドレット）SSHのような使い方Invokeモード（Invoke-Command コマンドレット）-颁辞尘辫耻迟别谤狈补尘别に対応していないコマンドで使用复数のコンピュータに対して一括実行コマンド単体（-蝉肠谤颈辫迟产濒辞肠办）、笔厂1スクリプト（-蹿颈濒别辫补迟丑）の指定が可能送受信双方でリモーティングの準备が必要
- 26. PowerShell リモーティングの準備要件Windows PowerShell 2.0 or laterThe Microsoft .NET Framework 2.0 or laterWindows Remote Management 2.0対応OSWindows Vista/ 2008 以降管理者権限でPowerShellを起動リモーティングを有効にするには（送受信双方で実行）enable-psremoting を実行WinRMサービスを起動WinRMサービスを「自動」に設定WinRM リスナを作成WS-Management（HTTP）のFirewall例外を有効にするPowerShell セッション構成を有効にする（Microsoft.PowerShell/ Microsoft.PowerShell32）有効化の確認方法Get-PSSessionConfiguration | Format-Listでセッション構成を確認new-pssession コマンドレットでセッションが作成できることSet-WSManQuickConfig
- 27. PowerShell セッション（PSSessions）コマンドの実行空間セッション内ではデータの共有が可能通常はテンポラリセッションが作成され、コマンド終了後に削除されるPS C:\> $A = 1PS C:\> $B = 2PS C:\> $C = $A + $Bこれをリモートコンピュータで実行する場合Enter-PSSessionを使用Invoke-Command を使用PS>Enter-PSSession........[CL1]: PS > $A = 1[CL1]: PS > $B = 2[CL1]: PS > $C = $A + $BPS>Exit-PSSessionPS>Invoke-Command .......-ScriptBlock {$A=1}PS>Invoke-Command .......-ScriptBlock {$B=2}PS>Invoke-Command .......-ScriptBlock {$C=...}1つのセッション
- 28. PSSessionを維持するにはセッションの作成：New-PSSessionセッションの削除：Remove-PSSessionセッション一覧：Get-PSSessionPS C:\> $A = 1PS C:\> $B = 2PS C:\> $C = $A + $BこれをInvoke-Commandで実行する場合CL01上にセッションを作成PS > $S = New-PSSession-ComputerName CL01PS >Invoke-Command -session $S -ScriptBlock {$A=1}PS > Invoke-Command-session $S -ScriptBlock{$B=2}PS > Invoke-Command-session $S -ScriptBlock{$C=$A+$B}PS > Remove-Session $S
- 29. PowerShell リモーティングを有効にするGPUpdate/force をリモーティングで実行Enter-PSSessionの場合Enter-PSSession–ComputerName<ComputerName>;gpupdate /force;Exit-PSSession;Invoke-Command の場合リモートからの強制更新を行うにはHogehoge.ps1PS> .\hogehoge.ps1PS > Invoke-Command -computername <ComputerName> -scriptblock {cmd /c gpupdate /force}※今回はコマンドが1つなのでセッションは気にしなくてもよい
- 30. 複数のコンピュータを強制更新方法1：コンピュータ名を並べるInvoke-Command -computernameCL01,CL02,CL03-scriptblock {cmd /c gpupdate /force}方法２：コンピュータ名一覧をテキストファイルで用意するInvoke-Command -computername(Get-Contentc:\tmp\hosts.txt) -scriptblock {cmd /c gpupdate /force}c:\tmp\hosts.txtCL01CL02CL03??
- 31. 適用されたグループポリシーの確認適用された結果が、「グループポリシー結果セット」に格納されているGPORSOPグループポリシー結果セット複数のコンピュータを指定することはできないコンピュータポリシーのみPS >Get-GPResultantSettoPolicy -Computer CL01-ReportType HTML-Path C:\tmp\CL01.html指定したユーザー＋コンピュータポリシーPS >Get-GPResultantSettoPolicy -Computer CL01-ReportType HTML-User user01 -Path C:\tmp\CL01.htmlXMLも可能
- 32. グループポリシーの信頼性①グループポリシーはドメインコントローラ間で複製される（マルチマスター）ドメインコントローラクライアント（ドメインメンバー）GPOこの中のどれか から適用複製GPOGPO
- 34. グループポリシーによるロール管理サイトや翱鲍単位に异なる设定を适用保存ボタン无効顿辞尘补颈苍搁翱翱罢骋笔翱翱鲍：业务部翱鲍：総务课ボタンは无効になる翱鲍：経理课保存ボタン有効翱鲍：システム部骋笔翱
- 35. 環境設定レポートGPORSOP グループポリシーのレポート機能を使用する HTML形式 かXML形式PS > Get-GPOReport-Name “DempPolicy”-ReportType HTML -Path C:\tmo\DemoPolicy.html
- 36. グループポリシーのバックアップと復元作成したGPOはバックアップが可能GPOは他のサーバーにリストアが可能配布パッケージGPO顧客AGPO顧客BGPOバックアップPS >Backup-GPO -Name “DemoPolicy” -Path C:\tmpフォルダのパスリストアPS >Restore-GPO -Name “DemoPolicy” -Path C:\tmp
- 37. まとめグループポリシーに任せることによって環境設定の信頼性を高められます環境設定の柔軟性を高められます開発コストを確実に低減できますWindows Server 20008 R2 によってグループポリシーの敷居が下がりますグループポリシーがprogrammable になります使わないと損です！