グループ ポリシーの継承と優先順位：Windows がどのルールを優先するか

By Mirko Peters · 2026-10-29

グループ ポリシーの継承と優先順位を解説します。LSDOU の処理順序、リンク一覧、ブロックのルールによって、どの Windows 構成が適用されるかを理解しましょう。

Automatically translated with AI from the original post. Read the English original

LSDOU の処理順序、コンテナーの階層、リンクの順序によって、Windows がどのようにルールの優先順位を決定するかを解説します。この詳細ガイドでは、グループ ポリシー オブジェクトの相互作用、継承のブロックと適用の強制が実際のエンタープライズ環境でどのように機能するか、そして重複する管理ルールのトラブルシューティング方法を説明します。

重要なポイント

• グループ ポリシーは、ローカル、サイト、ドメイン、組織単位という厳密な LSDOU の順序でルールを処理します。
• 対象オブジェクトに最も近い組織単位が最後に処理され、通常は競合時に優先されます。
• 1 つのコンテナーまたは OU 内では、ポリシーはリンクの一覧順に下から上へ適用されます。つまり、コンソールで最初に表示される項目が優先されます。
• 継承のブロックと適用の強制は、標準の階層の流れを上書きするための管理上の例外手段として機能します。
• バージョン番号と 16 時間ごとのセキュリティ更新を理解しておくと、適用されないポリシーの問題を誤って診断することを防げます。

LSDOU の処理順序の仕組み

管理者がエンタープライズ ネットワーク全体に設定を適用するとき、Windows はすべてのルールを同時に評価するわけではありません。代わりに、OS は LSDOU という略語で広く知られる、決まった予測可能な順序でルールを処理します。この処理順序を理解することは、特定の構成が対象のエンドポイントに適用される一方で、なぜ他の構成が見当たらないのかを解明するうえで不可欠です。

LSDOU は Local、Site、Domain、Organizational Unit の略です。まず Windows は、マシン自体に直接構成されたローカル グループ ポリシーの設定を評価します。次に、デバイスの物理的な場所やサブネットに基づくパラメーターを定義するサイト ポリシーを確認します。その後、Active Directory ドメイン全体に及ぶドメイン ポリシーを処理します。最後に、Windows は OU にリンクされたポリシーを処理します。親コンテナーから順に下位へ掘り下げ、ユーザーまたはコンピューター アカウントが実際に存在する最も深い子 OU まで処理します。

Windows はこれらのルールを LSDOU の順序で順番に読み取るため、チェーンの前段で検出された競合する設定は、後の評価によって上書きされます。この設計は階層型管理の基礎であり、広範な管理標準は上位で定義され、部門ごとの細かな調整はツリーの下位で適用されます。

最も近い設定が優先される理由

グループ ポリシーの優先順位に関する基本原則は、一見単純です。最後に処理されたルールが優先されます。組織単位は LSDOU チェーンの最後に評価され、子 OU は親 OU の後に処理されるため、ユーザーまたはコンピューターに最も近いコンテナーで構成された設定が最終的に優先されます。

実際のエンタープライズのシナリオを考えてみましょう。ある IT 組織では、広範なコンプライアンスとデータ損失防止のために、ドメイン レベルで USB ストレージ デバイスをブロックしています。しかし、IT Technicians OU には、ハードウェアの診断や保守を行うために USB へのアクセスが必要です。ディレクトリ ツリーの下位にある Technicians OU レベルで許可ポリシーをリンクすると、そのポリシーは特定の管理アカウントに対して、より広範なドメインの制限を上書きします。近いルールが優先されるため、組織全体のセキュリティを損なうことなく、的確な例外を設けることができます。

1 つのコンテナー内のリンク順序の扱い

階層ツリーは組織の異なるレベル間での優先順位を決めますが、管理者は1つの OU に複数の グループ ポリシー オブジェクト（GPO）をリンクすることがよくあります。2つ以上の GPO が全く同じコンテナーに適用される場合は、別の優先順位のルールが適用されます。1つのフォルダー内では、Windows はグループ ポリシー管理コンソールでリンクされた GPO を、リストの下から上へ順に処理します。

最も下にあるポリシーが最初に評価されるため、上位に並んだ GPO は後から適用されます。つまり、リンクされた一覧の最上部にあるポリシーが最後に処理されます。いつものとおり、最後に処理されたルールが競合に勝ちます。新しくリンクした GPO の設定が反映されない場合は、管理コンソールのリンク順序の矢印を確認するのが、最も早く解決にたどり着く方法であることが多いです。GPO を優先順位リストの上位にドラッグすると、Windows はそのポリシーを後のサイクルで処理するため、競合する指示を上書きできるようになります。

ブロック継承と適用の理解

複雑なディレクトリ構造では、標準の階層的な流れに対する例外が必要になることがよくあります。Windows には、環境内でルールがどのように伝播するかを変更する強力な2つの制御機能、「ブロックの継承」と「適用」が用意されています。

ブロックの継承は任意の OU で有効にでき、そのコンテナーとその子オブジェクトが、ドメイン ツリー上位の親コンテナーからポリシーを継承しないようにします。これは、まったく異なる規制や運用上の制約の下で動作する専門的な事業部門にとって、まっさらな状態を提供します。ただし、コンプライアンス チームが義務付けた重要な基本セキュリティ ポリシーを、管理者が誤って遮断してしまうリスクもあります。

不正なブロックに対抗するには、上位レベルの GPO リンクを「適用」（Enforced）に設定します。適用された設定は、下位にあるブロックの継承設定を突き抜けて有効になり、重要なセキュリティ構成や基本要件が、下位の OU 管理者によって回避または削除されないようにします。

ネイティブ ツールによる優先順位のトラブルシューティング

本番環境でポリシーの競合が発生したとき、優先順位を推測に頼ると、管理者の時間が無駄になります。Windows には、どの GPO が正常に適用され、どのルールが優先順位の競争に負けたのかを正確に示す組み込みの診断ユーティリティが用意されています。

コマンドライン ユーティリティの gpresult は、適用された構成をすぐに確認できます。一方、グラフィカル管理コンソール内の「グループ ポリシーの結果」レポートは、ユーザーとコンピューターの設定を、クリック操作で詳細に確認できる包括的な内訳を提供します。これらのレポートには優先順位の連鎖が明示され、勝ったポリシーと負けたポリシーが並べて強調表示されるため、管理者は階層が意図どおりに動作しているかを検証できます。

最新のクラウド アーキテクチャーとハイブリッド システムが管理境界をどのように扱うかについて、さらに深く知りたい場合は、M365 FM Podcast でエピソード全編を聴くことができます。最新のワークプレース展開戦略について、専門家による議論を聞くことができます。

よくある質問

グループ ポリシーにおける LSDOU とは何の略ですか？

LSDOU は、Local（ローカル）、Site（サイト）、Domain（ドメイン）、Organizational Unit（組織単位）の略です。更新サイクル中に Windows がグループ ポリシー オブジェクトを処理する、正確な時系列の順序を表します。

同じ OU 内の競合は Windows でどのように処理されますか？

1つの OU に複数の GPO がリンクされている場合、Windows はリンクされた一覧の下から上へ順に処理します。一覧の最上部にあるポリシーが最後に処理されるため、競合する設定では最終的にそのポリシーが勝ちます。

ブロックの継承と適用されたポリシーが競合するとどうなりますか？

適用されたポリシーは、ブロックの継承を完全に上書きします。子 OU でブロックの継承が有効になっていても、適用属性が設定された親 GPO は、そのコンテナー内のすべてのオブジェクトに引き続き適用されます。

セキュリティ設定が 16 時間ごとに再適用されるのはなぜですか？

セキュリティ設定は、一般的な見た目に関するポリシーとは異なる扱いを受けます。基になる GPO のバージョン番号が変わったかどうかに関係なく、16 時間ごとに自動的に再適用されます。これにより、ローカルでの管理者による改変を速やかに修正できます。