同じグループポリシーが一部の端末だけに適用されない場合の完全な切り分け手順

GPO の適用に差がある場合は、OU、ポリシーバージョン、セキュリティ／WMI フィルター、DNS、SYSVOL、クライアント結果、イベントを比較します。

1. 結論と対象範囲

確認前に、クライアント／サーバーのバージョン、ドメインとサイト、クライアント DNS、対象ドメインコントローラー、完全なエラー文、関連イベントログ、直近の AD・DNS・グループポリシー変更を準備します。corp.example は予約済みの例示ドメインであり、実在する顧客環境ではありません。

本件は「Active Directory とグループポリシー」に関連します。ログと設定はリモートで収集できる場合がありますが、権限の一括変更、スイッチ経路、本番切替、復元テストは計画した作業枠で実施します。

2. 現象と影響範囲

• 口頭説明だけで判断せず、完全なエラー文、イベントログの時刻、失敗した操作を保存します。
• 影響範囲、初回発生時刻、再現性、別セグメントでも同じ結果になるかを記録します。
• GPO の適用に差がある場合は、OU、ポリシーバージョン、セキュリティ／WMI フィルター、DNS、SYSVOL、クライアント結果、イベントを比較します。

3. 原因の切り分けと確認手順

1. gpupdate を繰り返すのではなく、gpresult または RSoP で適用・拒否・フィルター除外された GPO を確認します。
2. ユーザーとコンピューターの OU、GPO リンク、継承ブロック、強制、ループバック処理を確認します。
3. セキュリティフィルター、WMI フィルター、読み取り権限、対象への「グループポリシーの適用」権限を確認します。
4. ドメイン参加端末は社内 DNS を使用します。パブリック DNS では AD の検出に必要な SRV レコードを返せません。
5. ドメインコントローラー間の AD と SYSVOL の複製、および接続先 DC のポリシーバージョンを確認します。
6. 口頭説明だけで判断せず、完全なエラー文、イベントログの時刻、失敗した操作を保存します。

gpupdate /force
gpresult /h "%TEMP%\gpo-result.html"
whoami /groups

4. 対応方法と段階的な適用

読み取り専用の確認、設定エクスポート、単一システムでの検証を優先します。原因を確認してから対象範囲、作業時間、切り戻し方法を決めます。複数端末ではテスト OU と少数のパイロット端末を用意し、ポリシー結果を保存してから段階的に展開します。

• ドメイン参加端末は社内 DNS を使用します。パブリック DNS では AD の検出に必要な SRV レコードを返せません。
• ドメインコントローラー間の AD と SYSVOL の複製、および接続先 DC のポリシーバージョンを確認します。
• 口頭説明だけで判断せず、完全なエラー文、イベントログの時刻、失敗した操作を保存します。

5. 検証・切り戻し・注意点

一度動作しただけで完了としません。利用者操作、ログ、再起動／再ログイン、必要に応じて別ネットワーク場所、次回のポリシー／バックアップ周期で再確認します。

確認と切り戻し

• 一度に変更する条件は1つにし、変更前に設定をエクスポートするか現状を記録します。
• クライアント、ドメインコントローラー、ハイパーバイザーのタイムゾーンと時刻同期元を確認し、Kerberos の失敗を防ぎます。
• ドメインコントローラー間の AD と SYSVOL の複製、および接続先 DC のポリシーバージョンを確認します。

避けるべき一般的な誤り

• パブリック DNS や hosts への恒久的な DC 登録で回避すること。
• ローカル管理者を確認せずにドメイン離脱すること。
• パイロット検証なしで新しい GPO をドメイン全体へリンクすること。