組織単位（OU）を作成し、ZentyalでGPOを有効にする

前回の Zentyal PDC のインストール、基本設定、Windows ベースのノードからのリモートアクセスに関するチュートリアルの後、ドメインに参加しているユーザーとコンピュータに対して、一部のセキュリティと設定を適用する時が来ました。これには、組織単位 (OU) の作成とグループ ポリシー (GPO) の有効化が含まれます。

要件

• ZentyalをPDC（プライマリドメインコントローラー）としてインストールし、Windowsシステムを統合する - パート1
• WindowsシステムからZentyal PDC（プライマリドメインコントローラー）を管理する方法 – パート2

ご存知の方もいらっしゃるかもしれませんが、GPO は、すべての Windows デスクトップおよびサーバーオペレーティングシステムの中央でユーザーアカウント、コンピュータ、作業環境、設定、アプリケーション、その他のセキュリティ関連の問題を管理するソフトウェアです。

このトピックは非常に複雑であり、多くの文書がこのテーマについて公開されていますが、このチュートリアルではZentyal PDCサーバーに参加しているユーザーとコンピューターでGPOを有効にするための基本的な実装をカバーします。

ステップ1: 組織単位 (OU) を作成する

1. ドメインまたはIPアドレスを通じてZentyal Web管理ツールにアクセスし、ユーザーとコンピュータモジュール -> 管理に移動します。

https://your_domain_name:8443
OR
https://your_zentyal_ip_addess:8443

2. ドメインをハイライトし、緑色の「+」ボタンをクリックし、組織単位を選択します。プロンプトに「組織単位名」を入力します（説明的な名前を選択してください）そして追加を押します（OUはリモート管理ツール（例：Active Directoryユーザーとコンピュータ、グループポリシー管理）からも作成できます）。

3. それでは、あなたのWindowsリモートシステムに移動し、グループポリシー管理のショートカットを開いてください（あなたの新しく作成された組織単位がドメインに表示されるのがわかります）。

4. 先程作成した組織名を右クリックし、このドメインにGPOを作成し、ここにリンクする…を選択します。

5. 新しいGPOのプロンプトで、この新しいGPOの説明的な名前を入力し、次にOKを押します。

6. これはこの組織単位のためのGPO基本ファイルを作成しますが、まだ設定は構成されていません。このファイルの編集を開始するには、このファイル名を右クリックして編集を選択してください。

7. これにより、このファイルのための グループ ポリシー管理エディター が開きます（これらの設定は、このOUに移動されたユーザーとコンピューターにのみ適用されます）。

8. さて、このグループポリシーファイルのためにいくつかの簡単な設定を構成しましょう。

ここにいくつかの基本設定があります

A. コンピュータの構成 –> Windowsの設定 –> セキュリティの設定 –> ローカルポリシー –> セキュリティオプション –> インタラクティブログオン –> ログオンを試みるユーザーへのメッセージのテキスト/タイトルに移動し、このポリシー設定を定義するの両方の設定にテキストを入力して、OKをクリックします。

WARN: この設定をドメイン全体のユーザーとコンピュータに適用するには、まずドメインフォレストリストでデフォルトドメインポリシーファイルを選択して編集する必要があります。

B. ユーザー設定 –> ポリシー –> 管理用テンプレート –> コントロールパネル –> コントロールパネルとPC設定へのアクセスを禁止する をダブルクリックし、有効を選択します。

この組織単位に対して、ユーザーやコンピュータに関連するさまざまなセキュリティ設定を行うことができます（必要と想像力があれば無限の可能性があります）。以下のスクリーンショットのような設定が可能ですが、これはこのチュートリアルの目的ではありません（デモ用にのみ設定しました）。

9. すべてのセキュリティ設定と構成を完了したら、すべてのウィンドウを閉じて Zentyal Web Admin Interface ( https://mydomain.com ) に戻り、ドメインモジュール –> グループポリシーリンク に進み、ドメイン フォレスト から GPO ファイルをハイライトし、リンクを有効化 及び 強制化 の両方を選択し、編集 ボタンをクリックしてこの OU の設定を適用します。

Windowsグループポリシー管理リモートツールから見ると、このポリシーはOUで有効になっています。

設定 タブをクリックすると、すべての OU GPO 設定のリストも表示できます。

10. 新しい設定が適用されるのを実際に見るには、このドメインに参加しているWindowsマシンを2回再起動してください。

ステップ2: ユーザーを組織単位 (OU) に追加する

では、これらの設定を効果的に適用するために、新しい OUにユーザーを追加しましょう。あなたがドメイン上のuser2についていくつかの疑問を持っていて、Allowed_User OU GPOによって制限を課せられるようにしたいとしましょう。

11. WindowsリモートマシンでActive Directory Users and Computersを開き、Usersに移動し、user2を選択して、右クリックしてメニューを表示します。

12. 移動ウィンドウのプロンプトで Allowed_Users OU を選択し、OKを押します。

これで、このGPOのすべての設定が、彼が次回ログインする際にこのユーザーに適用されます。このユーザーはタスクマネージャー、コントロールパネル、またはこのドメインに参加している他の関連コンピューター設定にアクセスできないことが証明されています。

これらの設定は、LinuxベースのディストリビューションZentyal 7.0、フリーのオープンソースソフトウェア、Samba4、およびLDAPを実行しているサーバーの下で可能になりました。これらはほぼWindowsの正規サーバーとして機能し、任意のWindowsデスクトップマシンで利用可能なリモート管理ツールがいくつかあります。