グループポリシー
グループポリシーは、対象オブジェクトのレジストリ、NTFSセキュリティ、監査およびセキュリティポリシー、インストール、ログイン/ログオフ時のスクリプト、フォルダリダイレクト、Internet Explorer設定を制御できる。ポリシー設定は Group Policy Object (GPO) に格納される。GPO は内部ではGUID (Globally Unique Identifier) で参照される。それぞれが複数のサイト、ドメイン、組織内単位にリンクすることもある。これにより、1つのGPOを更新するだけで複数のマシンやユーザーに対する更新ができ、管理コストを低減することができる。
グループポリシーは管理テンプレート (ADM/ADMX) ファイルを使ってポリシー設定をレジストリのどこに格納するかを記述する。管理テンプレートには基本的に、グループポリシー・オブジェクトエディタ・スナップインで管理者に表示されるユーザインタフェースを記述する。単一のワークステーションでは、管理テンプレートは %WinDir%\Inf フォルダに格納され、ドメインコントローラでは各ドメインGPO毎に Sysvol フォルダ内のグループポリシーテンプレート (GPT) という1つのフォルダに格納される。ADMX はXMLベースの新しいファイルフォーマットで、Windows Vista で導入された。ADMX には個々のGPOの設定が含まれる。
個々のユーザやコンピュータオブジェクトは Active Directory には1つだけ存在するが、複数のGPOに対応することが多い。ユーザやコンピュータオブジェクトは対応するGPOごとに適用する。
ユーザ単位のポリシーは、対象アプリケーションが自発的に受け入れるときだけ効果を発揮するという問題がある。悪意あるユーザはアプリケーションがグループポリシー設定を読み込むのを妨害したり(それによってセキュリティレベルが低いデフォルト状態になる)、任意の値を返す可能性もある。また、ユーザが書き込み可能な位置にアプリケーションをコピーし、ポリシー設定が無効化されるような変更を加えることもできる。