ドメイン参加Client・ドメインユーザー管理

### 環境
WindowsServer2019
Windows10
ドメインの機能レベル Windows Server 2016

# ドメイン参加Client管理
ドメイン参加したClientマシンに対してポリシーを適用する
## GPO作成・適用
　WindowsServerのサーバマネージャダッシュボードの「ツール」→「グループポリシーの管理」を開く。
 「グループポリシーオブジェクト」を右クリック→「新規」クリックして名前入力フォームが表示されるので入力してOKをするとグループポリシーオブジェクト配下にGPOが出力される。
<img width="500" alt="ドメイン参加Client１.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/188ef512-8a71-a6e6-cae9-5cfa7b9de92b.png">


GPOを適用したいOUを右クリック→「既存のGPOのリンク」→OUに適用したいグループポリシーオブジェクトを選択してOKをクリック。
<img width="500" alt="ドメイン参加Client２.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/5f46e918-ee9b-4b5e-7795-49b176c2e086.png">

OU配下にGPOを適用
<img width="500" alt="ドメイン参加Client３.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/1a573e9f-08c0-8273-b757-2f2684f8a279.png">


## グループポリシー更新の強制
更新したいポリシーが適用されたOUを右クリック→「グループポリシーの更新」→「はい」を選択。
成功と出力されればOK。閉じるをクリック。
<img width="500" alt="ドメイン参加Client４.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/d8c2d07b-2cdf-bcdc-5ce7-3c2dad096d9b.png">

Client側からグループポリシー更新を強制させたい場合は以下のCMDをターミナルで叩く。
```
C:¥>gpupdate /force
```

### グループポリシーが更新されない
グループポリシーを更新した時「リモートプロシージャコールに失敗しました」と失敗判定なるのは、リモート更新がFWによってブロックされていることが原因。
以下の3つを許可するFW定義をClient側で作成。（DC側のGPOにFW許可定義作成して更新することも可能だが、実行しても時間を要する。Client側で実行する方が確実）
* Windows Management Instrumentation(WMI受信)
* スケジュールされたリモートタスク管理(RPC)
* スケジュールされたリモートタスク管理(RPC-EPMAP)

https://www.haruru29.net/blog/how-to-force-the-use-of-firewall-with-gpo/#GPOWindows

ポリシーの優先順位も考慮しないといけない。
以下のキャプチャの場合、GPO:RPC関連許可の定義したポリシーが優先される。
<img width="600" alt="ドメイン参加Client13.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/c378cda6-aef4-8bb1-cf2b-8ee9ec4c480d.png">

https://ittrip.xyz/soft/windows/gpo-order


## Client側でGPO更新確認
C:\Windows\System32にある「rsop」を`管理者権限`で開く。
以下のフォームで確認する
<img width="500" alt="ドメイン参加Client５.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/a416c51d-6ab7-ab7b-ddcb-9cc7dd30ed50.png">


## 挙動確認
左側がDCでGPOのロックアウトポリシーを設定して更新したキャプチャで右がClient側でrsopを確認しているキャプチャ。Client側にGPOが適用されていることが分かる。
<img width="600" alt="ドメイン参加Client8.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/24ec635c-2c09-9207-d03a-015668f38d91.png">


## Active Directory管理センターで設定
グループポリシーの管理で設定がClient側に更新されても期待した動作にならない場合、Active Directory管理センターで設定されたポリシーが優先されている場合がある。
以下のURLを参考にロックアウトポリシーをActiveDirectory管理センターで設定。

https://www.edifist.co.jp/lecture/network/password_policy/02.aspx

ロックアウトされた挙動を確認。
<img width="600" alt="ドメイン参加Client12.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/b337536e-3776-e722-16eb-85f4be2ca38a.png">


# ドメインユーザー管理
ドメイン参加しているユーザーを対象にドメインユーザーがClientマシンへのログオンを制限する仕組み

https://milestone-of-se.nesuke.com/sv-advanced/activedirectory/domain-and-local-users/

## ユーザー設定
サーバーマネージャーダッシュボードから「ツール」→「Active Directory ユーザーとコンピュータ」を開ける。
ドメインをプルダウンしてユーザーオブジェクトが入ったOUをクリック→ユーザーを右クリックして
→「プロパティ」→「アカウント」をクリックするとログイン制限のフォームになるので、ログオン時間を制限してみた。設定完了すると適用クリック。更新する動作は必要無い。
<img width="500" alt="ドメインユーザー管理.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/da114f26-c9c6-114e-2da5-8454360faaf3.png">

## 挙動確認
土曜日に東西南北(ユーザー)がClientマシンにログオンしようとしたので、拒否されている。
<img width="500" alt="ドメインユーザー管理２.PNG" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2929519/e54e979e-db5d-7d71-fb32-dd4905c783ff.png">