Active Directory

【Active Directory】Group Policyが適用されない場合の対処方法

2019年2月3日

こんにちは!そーまんです。

今回は、Group Policy が適用されない場合の対処方法について書きました。

GPO の数が多くなると適用されない場合がある

企業で多くの GPO が適用されている環境では、最初は特に問題はなかったが、そのうちに GPO が適用されなかったりすることがあるかと思います。一部の GPO が適用されない場合もあれば、GPO の一部の設定が適用されていない場合もあるかと思います。

その中でも、コンピューターの構成またはユーザーの構成のどちらかで、GPO が適用されない問題が発生する場合があります。

そういう場合は個々の GPO の問題というよりも、むしろ適用先の PC 側に問題がある可能性があります。

PC 側の原因で GPO が適用されない場合もあります。


ちなみに PC に適用されている GPO を確認する方法は以下の記事に書いてありますので参考にしていただければと思います。

PC 側に問題がある場合、対処方法として Group Policy の設定ファイルである、registry.pol というファイルを手動で削除する事によって問題が解消される可能性が高いです。

registry.pol ファイルが原因で適用されない場合があるので、このファイルを削除すれば解決する場合があります

では、そもそもこの registry.pol というのは何でしょうか?

registry.pol とは

registry.pol とは、ローカル GPO にあるコンピューターの構成やユーザーの構成で設定した内容が保管されるファイルになります。
具体的に言いますと、ローカル GPO を適用する為に構成された設定、レジストリ情報が含まれています。また、ソフトウェアの制限ポリシーで構成した内容も含まれています。

そこで registry.pol ファイルをモ帳でファイルを開いてみましたが、ちょっとぐちゃぐちゃでよく分かりませんでした。(汗)ので

バイナリエディタというものをインストールして見てみました。GPO の設定内容とレジストリ情報が書いてあります。ここでは、Internet Explorer のおすすめサイトを有効にする設定を [有効] に設定してみましたが、英語でそのまま書いてありますね。うん、この程度の内容なら私でも分かりました。(笑)

ローカル GPO で設定した内容になります。試しにおすすめサイトを有効にする設定を [有効] にしてみます。

registry.pol ファイルの保管先は、C:\Windows\System32\GroupPolicy\ に Machine と Users としてフォルダが分かれており、各々にファイルが保管されています。隠しフォルダになっているので、必ず隠しフォルダを表示するように設定を変更しましょう。

コンピューターの構成C:\Windows\System32\GroupPolicy\Machine\registry.pol
ユーザーの構成C:\Windows\System32\GroupPolicy\Users\registry.pol
registry.pol ファイルの場所

Machine フォルダにある、registry.pol ファイルになります。

registry.pol ファイルの場所


発生する問題

registry.pol に問題がある場合、作成または変更した GPO が適用されませんので、他の PC とは構成管理的に不整合が発生します。そうなってしまいますと、GPO が正しく適用されている PC とは設定が異なってしまいます。

例えば、本来であれば Internet Explorer のプロキシ設定が制限されて設定できないはずが、設定できてしまったりなどしてしまいます。こういった問題が発生すると場合によってはセキュリティに問題が発生してしまう可能性もあり、気をつけなければならないかと思います。

そこで、実際に発生している PC のイベントログで見てみると、ID: 1096 が出力されている場合が多いようです。以下、エラーの内容になります。

The processing of Group Policy failed. Windows could not apply the registry-based policy settings for the Group Policy object LocalGPO. Group Policy settings will not be resolved until this event is resolved. View the event details for more information on the file name and path that caused the failure.

(和訳:グループポリシーの処理に失敗しました。Windows は、グループポリシーオブジェクト Local GPO にレジストリベースのポリシー設定を適用できませんでした。このイベントが解決されるまで、グループポリシー設定は解決されません。失敗の原因となったファイル名とパスについて詳しくは、イベントの詳細を表示してください。 )

↑ 試しに Google 翻訳にかけてみたところ、文法的にも非常にシンプルなのか、精度がますます高くなっているのか、恐ろしく精度の高かったのでびっくりしました。

イベントログ ID:1096


対処方法

C:¥Windows¥System32¥GroupPolicy フォルダ内にある、Machine または Users にある registry.pol ファイルを手動で名前を変更するか、または削除します。

コンピューターの構成C:\Windows\System32\GroupPolicy\Machine\registry.pol
ユーザーの構成C:\Windows\System32\GroupPolicy\Users\registry.pol
registry.pol ファイルの場所

削除した後は手動でポリシー適用するか、PC を再起動します。


対処する事による影響

registry.pol は、GPO を適用する為に構成された設定、レジストリ情報が含まれていますが、削除して再度生成されるので特に影響は無い筈だと思います。むしろ、GPO が適用されていない状態のほうが影響があるかと思います。


まとめ

いかがでしょうか。

Group Policy が適用されていない PC を特定する事は方法としてはありますが、PC の台数が何千台や何万台規模になってきますと、ストレージや人的コストがかかりなかなかそこまで手が回らない場合があるかと思います。

そういう場合は、ユーザーから問い合わせがあった場合に手動やバッチファイルで  registry.pol ファイルを削除すれば解消される場合があるので試してみましょう。

それでは最後までお読みいただきありがとうございました!

  • この記事を書いた人

そーまん

セキュリティエンジニアやってます。
ブログ歴3年。PVは月15万PV程度。
趣味はボクシング、筋トレ、登山です。
穏やかで人見知りな性格です。

人気記事

1

こんにちは!そーまんです。 今回は、PC に適用されている GPO を確認する方法について書きました。 本題に入る前に、一応参考までにGPOの適用タイミングについての記事をここに貼りましたので、必要に ...

2

こんにちは!そーまんです。 今回は sysprep について、全体的に PC をセットアップする観点から書いてみました。長々と書いてあります。まずは前置きからです。 まずはじめに 組織では PC のラ ...

3

こんにちは!そーまんです。 今回は、グループポリシー (GPO) を使って、特定のコンピューターに対して、ドメインユーザーに ローカル管理者権限 (以下は特権と記載) を付与する方法について書きました ...

4

こんにちは!そーまんです。 今回は、Windows サインイン後に一時ユーザープロファイルが読み込まれてしまった場合の解決方法について書きました。 Windows 10 の検証環境をいじってたらサイン ...

5

こんにちは!そーまんです。 今回は、ユーザープロファイルを削除する方法について書いてみました。 企業の場合よくあることですが、1 台の PC を共有 PC として複数人で使ったり、また余り無いかもしれ ...

6

こんにちは!SE ブログの相馬です。       今回は、繰り返し文について書いてみました。PowerShell では他のプログラミング言語同様、繰り返し処理を行うことが ...

7

コマンドを使って CPU とメモリの使用率をデータで取得してみましたので、例えば PC のトラブルシューティングで問題を再現させる際にデータを取得しておくと、原因の特定に役立つ場合があるかと思います。

8

既存の PC と同じ構成で別のメーカーの PC でマスターイメージを作る際、インストールされているアプリを同一にする為に必要になるかと思います。

9

企業で多くの GPO が適用されている環境では、PC に GPO が適用されなかったりする問題が発生する場合があるかと思います。その中でも、コンピューターの構成またはユーザーの構成のどちらかで、...

10

こんにちは!そーまんです。 今回は、Windows Server 2019 で NTP サーバーと同期する方法について書きました。 NTP サーバーの必要性や時刻同期の重要性を理解することは社内のシス ...

-Active Directory
-, ,