【Active Directory 】GPOの優先順位をAWS EC2上で検証してみた

#目次
[1.はじめに](#はじめに)
[2.検証結果_gpoの優先順位](#検証結果_gpoの優先順位)
[3.検証準備_ec2の作成および日本語化](#検証準備_ec2の作成および日本語化)
[4.検証準備_adインストールおよびdc昇格](#検証準備_adインストールおよびdc昇格)
[5.検証_gpoの優先順位](#検証_gpoの優先順位)
[6.まとめ](#まとめ)

#はじめに
Windows Serverの機能で、ユーザや機器の集中管理に利用できるActive Directoryですが、GPO(グループポリシーオブジェクト)の優先順位で時々混乱してしまうため、記事として整理しました。

GPOの優先順位で混乱することを減らすためには実際に手を動かすことが有効であると考え、実機を通した検証を行いました。尚、Active Directoryを使用するためにはWindows Serverが必要になってきますが、今回はAWSのEC2にてWindows Server2019を用意し、検証を実施しています。

#検証結果_gpoの優先順位

今回2つの検証を実施しますが先に結果をまとめておきます。
###検証内容
①「競合するGPO」
→競合するGPOが存在するときの優先順位はどうなるか？
②「強制」 VS 「継承のブロック」
→GPOの「強制」設定と「継承のブロック」設定はどちらが優先されるか？
###検証における構成
![スクリーンショット (85).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5028c320-be01-0dda-ab7a-54b4720dcabf.png)
・「test」OUを作成する。また、「test」OUの配下に「test-admin」OUを作成する。
・「test-admin」OUにドメインユーザ「Administrator」を所属させる。
・コントロールパネルへのアクセスを拒否するGPO「Deny-Control」を作成し、「test」OUにリンクさせる。
・コントロールパネルへのアクセスを許可するGPO「Allow-Control」を作成し、「test-admin」OUにリンクさせる。
###検証の結果
①「競合するGPO」
→上記のような構成の場合、ユーザ「Administrator」はコントロールパネルへのアクセスが許可される。
→より近い階層のGPO(Allow-Control)が優先される！

②「強制」 VS 「継承のブロック」
→「Deny-Control」に「強制」の設定をし、「test-admin」OUに「継承のブロック」設定をした場合。
→ユーザ「Administrator」はコントロールパネルへのアクセスが拒否される。
「強制」の設定が優先される。

結果としては上記のようになりますが、実際に実機にて確認されたい場合は次章以降を参考として頂ければと思います。

#検証準備_ec2の作成および日本語化
まずはAWSにてEC2を作成していきます。また、今回利用するAMIが英語版のWindowsServerのため、利用言語設定にて日本語が使用できるようにします。

・AWSマネジメントコンソールにログイン後、EC2の画面より、「インスタンスを起動」を押下する。
![スクリーンショット (5).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/c024b45c-bd80-6a34-eb2b-ce7d1a187a64.png)

・AMIの選択画面で「Microsoft Windows Server 2019 Base」の「選択」を押下する。
![スクリーンショット (8).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/e6572c86-30cb-6940-6b20-b66b8f83d52e.png)

・インスタンスタイプの選択画面で、デフォルトの「t2.micro」のまま「次のステップ：インスタンスの詳細の設定」を押下する。
![スクリーンショット (9).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/fedd7c1d-4276-5b0e-c7c9-b012989431fe.png)

・インスタンスの詳細の設定画面で、「ネットワーク」、「サブネット」を今回はデフォルトのものを選択、「自動割り当てパブリックIP」を「有効」にして、「次のステップ：ストレージの追加」を押下する。
![スクリーンショット (10).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7fc372e0-eaaf-45e4-6542-e27e2f99914f.png)

・デフォルトのストレージのまま、「次のステップ：タグの追加」を押下する。
![スクリーンショット (11).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/8a56f4d0-d041-0f2e-5392-5be159b88ff2.png)

・今回は「キー」に「Name」、「値」に「AD」と入力し、「次のステップ：セキュリティグループの設定」を押下する。
![スクリーンショット (12).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/876ce7eb-ef8a-5b10-df03-a232aa837dd1.png)

・「新しいセキュリティグループを作成する」を選択し、今回は「セキュリティグループ名」、「説明」を「Windows-SG」とする。「RDP」が許可されていることを確認し、「確認と作成」を押下する。
※一時的な検証用のため、ソースは「0.0.0.0/0」としておく。
※今回の検証自体には支障が起きないが、ADサーバとして本格運用する際はDNS等、いくつかのプロトコルを許可する必要がある。
![スクリーンショット (13).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/75ac244b-957c-2dcd-2a84-5f437ad9346c.png)

・インスタンス作成の確認画面にて「起動」を押下する。
![スクリーンショット (14).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/71af2b55-46ff-342f-1dae-07468020bc0c.png)

・新しいキーペアを作成しダウンロードするか、既存のキーペアがあれば選択し、「インスタンスの作成」を押下する。
![スクリーンショット (15).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/de43c331-aec6-de8e-61d9-e6cf9df51c59.png)

・インスタンスが作成されたことを確認し、チェックを入れた上で、「接続」を押下する。
![スクリーンショット (16).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/133394bc-c288-beda-5e35-fd997f2e505e.png)

・「RDPクライアント」にて、「パスワードを取得」を押下する。
![スクリーンショット (17).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/be00ce1c-230f-b2a2-0761-4724bb115bf6.png)

・「Browse」にてキーペアを選択し、内容がテキストボックスに表示されることを確認してから、「パスワードを復号化」を押下する。
![スクリーンショット (18).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/e35f5242-dd96-61d4-0cf8-0d9f80e42011.png)

・Administratorのパスワードが表示されたらコピーをしておく。
![スクリーンショット (19).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5b1b5fbe-e2c6-7f5f-fdcb-cd6d823f9308.png)

・リモートデスクトップ接続にて、今回作成したEC2インスタンスのパブリックIPアドレスを入力し、「接続」を押下する。
![スクリーンショット (20).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/84f1e3e3-f2d0-e2f6-822f-de87caacdb7b.png)

・ユーザ名：Administrator、パスワード：先ほどコピーしたパスワードを貼り付け、「OK」を押下する。
![スクリーンショット (21).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/ae4014f1-424d-a68a-f487-cac2818abfcc.png)

・EC2インスタンスにログイン後、スタートメニューから「Settings」を押下する。
![スクリーンショット (22).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/b23dd735-1a1d-abb6-abb1-82365d6c56fb.png)

・「Time & Language」を押下する。
![スクリーンショット (23).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/67aa5235-d42f-eaa9-5661-a8ae1527b1b2.png)

・「Language」を押下する。
![スクリーンショット (24).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/6972e4ff-cd52-7a2d-0a83-8abfd938deaa.png)

・「Add a language」を押下する。
![スクリーンショット (25).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/d0d9bd66-880e-bdfd-734e-1fa28519d05a.png)

・「日本語」を選択し、「Next」を押下する。
![スクリーンショット (26).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/316d9b77-6041-4fa9-9dbe-b77e33b00161.png)

・「Install」を押下する。
![スクリーンショット (27).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/beeccec4-311b-b959-b86e-6f79d10b74f8.png)

・インストールが開始されるので、完了まで数分待つ。
![スクリーンショット (28).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5d193144-d910-2946-5f0e-f3e71bc31192.png)

・「Will be display language after next sign-in」と表示されてから、「Sign out」をする。
![スクリーンショット (29).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a018b633-5fc7-72b2-be6c-30c813a9004d.png)

・再度EC2インスタンスにAdministratorでリモート接続し、スタートメニューの表示が日本語となっていることを確認。「コンピュータの管理」を押下する。
![スクリーンショット (30).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/b629b2dd-e24a-ecf7-c006-e2bb36174b15.png)

・「ローカルユーザーとグループ」→「ユーザー」内、現在サインインしているローカルアカウント「Administrator」が存在することを確認する。
![スクリーンショット (31).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7105c685-0e5a-f5d8-3592-39abda474afd.png)


#検証準備_adインストールおよびdc昇格
次に、作成および日本語化したEC2インスタンスに対し、Active Directoryのインストール、ドメインコントローラーへの昇格を実施します。

・スタートメニューから「サーバーマネージャー」を押下する。
![スクリーンショット (32).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/98a3765c-8fed-ac3c-81e6-9ed33c01b0ed.png)

・「役割と機能の追加」を押下する。
![スクリーンショット (33).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a5005362-a12e-f12e-ccfc-b31049296074.png)

・「次へ」を押下する。
![スクリーンショット (34).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/c2d852c7-2e99-5a7e-18ef-bc9e52e93414.png)

・「役割ベースまたは機能ベースのインストール」が選択されていることを確認し、「次へ」を押下する。
![スクリーンショット (35).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/2b128ddd-1e1d-1a62-818f-e8e8f13a02fa.png)

・今回作成したサーバーが表示されるので、「次へ」を押下する。
![スクリーンショット (36).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7be688ff-6f69-89db-2dcf-532f82a8b904.png)

・「Active Directory Domain Service」にチェックを入れる。
![スクリーンショット (37).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/3fa820a9-423a-8260-2720-52eed0f07176.png)

・ポップアップが表示されるので、「機能の追加」を押下する。
![スクリーンショット (38).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/ceff8f06-c996-98c6-cb15-3035f88f949b.png)

・「Active Directory Domain Service」にチェックが入ったことを確認し、「次へ」を押下する。
![スクリーンショット (39).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/28fa8579-22b7-2811-8e51-93366f1bae20.png)

・機能の選択でデフォルトのまま、「次へ」を押下する。
![スクリーンショット (40).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7ee6a914-e5f9-4365-ef36-01187050dea5.png)

・「次へ」を押下する。
![スクリーンショット (41).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/203db94a-83c9-d71e-4c3e-4480bcfe7006.png)

・「インストール」を押下する。
![スクリーンショット (42).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/1bb45d61-57ee-f281-81f6-3ace52092ad6.png)

・インストールが開始されるので数分待つ。
![スクリーンショット (43).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/b3c12549-3cf0-44f1-a3e7-391c9559e935.png)

・サーバーマネージャーのフラグより、機能のインストール完了が確認できたら、「このサーバーをドメインコントローラーに昇格する」を押下する。
![スクリーンショット (44).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/d4babd1c-f5bf-c545-d18e-47071a539674.png)

・「新しいフォレストを追加する」を選択し、ドメイン名を入力後(今回はtest.localとした)、「次へ」を押下する。
![スクリーンショット (45).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/08ca8d8e-5a6b-5b69-9594-ea79db8117ad.png)

・ディレクトリサービス復元モードのパスワードを設定し、「次へ」を押下する。
![スクリーンショット (46).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/fcc929e0-3c13-eb18-bc8c-c0d5f9f7fdcc.png)

・デフォルトのまま、「次へ」を押下する。
![スクリーンショット (47).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/db741e15-f69c-9efd-317a-3595602da2bd.png)

・「NetBIOSドメイン名」が自動入力されることを確認し、「次へ」を押下する。
![スクリーンショット (48).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a12359c3-508c-df5d-0daa-20b5cb0ae9ad.png)

・デフォルトのパス指定のまま、「次へ」を押下する。
![スクリーンショット (49).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/fd30bedd-8af1-d4e3-e70b-33d749673445.png)

・「次へ」を押下する。
![スクリーンショット (50).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/57b0604f-d3f0-8826-808e-8e6a19289b8d.png)

・「インストール」を押下する。
![スクリーンショット (51).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/70eba327-5ff5-03bb-730d-55fc69b91f02.png)

・インストールが開始され、しばらくすると自動的にOS再起動が実施され、リモートデスクトップ接続のセッションが切断される。
![スクリーンショット (52).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/1049efd5-0333-b9d7-a7d8-71aab9d0c0f5.png)

・「ドメイン名￥Administrator」にて再度、リモートデスクトップ接続を実施する。
パスワードはローカルのAdministratorで使用していたものと同一
![スクリーンショット (53).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5f21a8b3-aa00-ef46-cd61-19e0e127d5d6.png)

・ドメインのAdministratorでログイン後、「コンピュータの管理」を開き、「ローカルユーザーとグループ」の項目が存在しなくなったことを確認する。
※ドメインコントローラーに昇格後、ローカルユーザーはドメインユーザーに移行される。
![スクリーンショット (54).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/53d1c1ee-151c-ab8f-dad7-91a2eac47b4c.png)

・「サーバーマネージャー」から「Active Directory ユーザーとコンピューター」を押下する。
![スクリーンショット (55).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/ae0a8365-9b4e-239c-2609-9cc35ba73df0.png)

・「Users」コンテナー内、現在ログインしているドメインのAdministratorが存在することを確認する。
![スクリーンショット (56).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/410ee126-e3a1-8602-e294-e4650450181e.png)

・「ドメイン名を右クリック」→「新規作成」→「組織単位(OU)」を押下する。
![スクリーンショット (57).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/54f6b7f4-e908-d143-dead-e04680c4f206.png)

・OU名を入力し(今回はtest)、「OK」を押下する。
![スクリーンショット (58).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/d7d68e1e-41a7-72db-acf0-eb99d9b9a8dc.png)

・「作成されたOUを右クリック」→「新規作成」→「組織単位(OU)」を押下する。
※「test」OU配下に別のOUを作成する。
![スクリーンショット (59).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/365ca3f2-c7aa-eb87-314a-57b92f760ee6.png)

・OU名を入力し(今回はtest-admin)、「OK」を押下する。
![スクリーンショット (60).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/4e7ebdb3-fb77-6e62-8da5-9b888e148d85.png)

・「test」OU、「test-admin」OUが作成されたことを確認し、「Users」コンテナー内、「Administratorを右クリック」→「移動」を押下する。
![スクリーンショット (61).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7ffb2dfe-8cb8-0dc5-d5b1-460390def34b.png)

・移動先として、「test-admin」OUを選択し、「OK」を押下する。
![スクリーンショット (62).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/4b09137f-9a03-43f4-968d-dd2fb15bff85.png)

・「test-admin」OU内にAdministratorが移動されたことを確認する。
![スクリーンショット (63).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/f5e02c90-2631-1e25-abc7-7fca53f4798c.png)

#検証_gpoの優先順位

ここから先はGPOを作成し、2つの検証を実施していきます。まずはGPOの作成からです。

・「サーバーマネージャー」から「グループポリシーの管理」を押下する。
![スクリーンショット (64).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/8e66ab36-7e22-80c9-9fd1-13652235664f.png)

・「グループポリシーオブジェクト」を右クリックし、「新規」を押下する。
![スクリーンショット (65).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5c6449e9-6cea-2e97-9f9b-e5fb39b52b01.png)

・GPOの名前(今回はDeny-Control)を入力し、「OK」」を押下する。
![スクリーンショット (66).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/8b965eff-d446-66c7-f6ae-3c82cd4bde60.png)

・「Deny-Control」GPOが作成されることを確認する。
![スクリーンショット (67).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/de0c501e-e99c-0c91-4a23-93cb2da24e5b.png)

・「test」OUを右クリック→「既存のGPOのリンク」を押下する。
![スクリーンショット (68).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/682262f0-52cd-1e92-1fca-c75b19fab4f9.png)

・「Deny-Control」を選択し、「OK」を押下する。
![スクリーンショット (69).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/7b2d48dd-ba14-7793-7040-b25543e27e3d.png)

・「test」OUに「Deny-Control」がリンクされること、また「test-admin」OUにもグループポリシーの継承より、「Deny-Control」が適用されることを確認する。
![スクリーンショット (70).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/8ae24746-92f2-7f9c-f72a-b70743da89a1.png)

・「Deny-Control」→「編集」を押下する。
![スクリーンショット (71).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/4909f83a-d8cb-db86-306c-45b9db7dca26.png)

・「ユーザーの構成」→「ポリシー」→「管理用テンプレート」→コントロールパネル」→「コントロールパネルとPC設定へのアクセスを禁止する」を右クリック→「編集」を押下する。
![スクリーンショット (72).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a362962e-3f39-5ba2-f534-67cd4edbcb9c.png)

・「有効」を選択し、「OK」を押下する。
![スクリーンショット (73).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a1cba130-c99b-dec6-1d9e-09242e94dfd3.png)

・「Deny-Control」の設定を適用させるため、一度、サインアウトした後、再度ドメインのAdministratorでサインインする。

・「Windows＋R」キー→「control」と入力→「OK」を押下する。
![スクリーンショット (74).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/e1fd4d26-442d-ee26-73f7-cb27726deea1.png)

・「Deny-Control」の設定により、コントロールパネルが開けないことを確認する。
![スクリーンショット (75).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/c64cfa74-ec96-fbbc-8b37-05e3c0e4619a.png)

ここで1つ目の検証を実施します。
##①競合するGPOの優先度
「test-admin」OUに対し、「Allow-Control」GPO(コントロールパネルへのアクセスを許可する)をリンクさせた場合、Administratorによるコントロールパネルへのアクセスがどうなるか。

・「Allow-Control」のGPOを作成する。
![スクリーンショット (76).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/900419ee-13dc-c5c2-4ccb-f294e756f06f.png)

・「Allow-Control」を右クリック→「編集」を押下する。
![スクリーンショット (77).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/aa58beb1-a83f-66a6-f865-3fbb454f2558.png)

・「ユーザーの構成」→「ポリシー」→「管理用テンプレート」→コントロールパネル」→「コントロールパネルとPC設定へのアクセスを禁止する」を「無効」に設定する。
![スクリーンショット (78).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/61b703fc-70ab-e341-e0af-7c55200afbfd.png)

・「test-admin」OUに「Allow-Control」をリンクさせ、「グループポリシーの継承」にて、優先順位が最も高くなっていることを確認する。
![スクリーンショット (79).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/5a598306-23ab-4c15-9da9-0172f921d190.png)

・GPOの設定を適用させるため、一度、サインアウトした後、再度ドメインのAdministratorでサインインする。

・「Windows＋R」キー→「control」と入力→「OK」を押下し、コントロールパネルが開けることを確認する。
![スクリーンショット (80).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/9d8b2723-374c-27cf-c879-1a08ca45d4a5.png)

###検証「競合するGPO」の結果

→オブジェクト(今回の場合、ユーザ「Administrator」)に近い階層のGPOが優先される！

##②「強制」 VS　「継承のブロック」
検証①ではAdministratorが「Deny-Control」よりも、「Allow-Control」に近い階層であるため、コントロールパネルを開けることを確認しました。

そこで、「Deny-Control」に対し、「強制」の設定を適用してみます。

・「Deny-Control」を右クリック→「強制」を押下
![スクリーンショット (81).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/4ac4bb85-7fd9-ef78-7376-033fcfeaeb09.png)

・Administratorが所属する「test-admin」OUの「グループポリシーの継承」から、「Deny-Control」が強制となり、最も優先度が高くなっていることを確認します。
![スクリーンショット (82).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/a6fa5d23-ae9f-8886-e070-8cde0937824e.png)

・この状態で、サインアウトし、再度Administratorでログインした際、コントロールパネルは開けなくなっています。そこで、次に「継承のブロック」を設定してみます。

・「test-admin」OUを右クリック→「継承のブロック」を押下する。
![スクリーンショット (83).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/acc94559-6afd-8160-d89c-daa30ef19b7d.png)

・「Default Domain Policy」は継承のブロックにより、適用されなくなったが、「Deny-Control」は依然として強制となり、優先順位が最も高いことを確認する。
![スクリーンショット (84).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/c9a03532-9bfb-0b0b-5c7b-85b2ed40ea27.png)

・この状態で、サインアウトし、再度Administratorでログインしても、コントロールパネルは開けなくなっていることを確認する。
![スクリーンショット (75).png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/1067765/92f4bc50-7c43-04a1-f9ab-e451f2c56946.png)

###検証「「強制」 VS　「継承のブロック」」の結果

→「強制」が優先して適用される。

#まとめ
今回、Active DirectoryにおけるGPOの優先順位を検証してみました。実際に手を動かすことで理解度も上がり、より知識の定着ができたと感じます。また、このようにチョコっと検証を行う上で、クラウドサービス(今回はAWS)は非常に便利だと実感しました。

以上、最後まで読んで頂きありがとうございました！