概要

グループポリシーの管理において下記のようにアクセス不可能な GPO ができてしまった際の対処について記します。

状況

グループポリシーの管理を開くと概要に記載した画像のようにアクセス不可能とされる GPO が存在した状態です。

アクセス不可能をクリックすると下記が表字となります。
ここで一意の ID が {CB4583B5-DD46-4705-8587-659895128DC2} であることが確認できます。

グループポリシーオブジェクトを確認すると

･ Default Domain Controllers Policy
･ Default Domain Policy

のみが存在する状態となっています。

また Default Domain Controllers Policy と Default Domain Policy のGUID は

ポリシー名	GUID
Default Domain Controllers Policy	6AC1786C-016F-11D2-945F-00C04fB984F9
Default Domain Policy	31B2F340-016D-11D2-945F-00C04FB984F9

であることからアクセス不可能となっている GPO はそれらではないと推測ができます。

<参考情報>

念のため Windows PowerShell の Get-GPO -all で表示されないか確認をしてみます。

Windows PowerShell でも残念ながら既定の GPO のみの情報が取得されアクセス不可能な GPO は特定ができません。

グループポリシーの管理や Windows PowerShell での対処が難しいと思われるため別のツールを使って対処をしていきます。

今回は ADSI エディターで対処できないか確認をしていきます。

まず ADSI エディターを起動します。

起動をした際に下記の状態となっている場合には[操作] - [接続]の順にクリックします。

次に下記順に展開して GPO のアクセス権などの確認をしてみたいと思います。

[既定の名前付けコンテキスト [ドメイン名] ] - [識別名] - [CN=System] - [CN=Policies]

表記がおかしいものがあります。
また見切れてますがアクセス不可能な GPO のGUIDとなっていることも確認できます。

該当の項目のプロパティを見てみます。

[属性エディタ]タブの項目が全く表示されていません。

ちなみに Default Domain Policy の GUID である項目のプロパティを開くと下記です。

次に[セキュリティ]タブを確認します。

こちらは項目は表示されていますね。
怪しい項目がないか確認するために[詳細設定]を見てみます。

Autenticated Users に拒否のアクセス権が付与されています。

こちらの設定がおかしいのではと推測し、Autenticated Users に付与されている拒否のアクセス権を削除します。

削除できましたら開いているADSI エディターを閉じ、グループポリシーの管理を開く直してみます。

ということで今回は Autenticated Users に拒否のアクセス権限が付与されていたことが要因でグループポリシーの管理ではアクセス不可能となっていた状況でした。

なおこの状態でGPOの操作をしようとすると下記のダイアログが表示されることがあるかと思います。
この場合は [OK] をクリックして、ACLの修正を行います。

<参考情報>
Title： GPMC を実行するときのエラー - Windows Server | Microsoft Learn
URL:https://learn.microsoft.com/ja-jp/troubleshoot/windows-server/group-policy/fail-to-run-gpmc

海外のサイトにはちらほらと本事象についての情報がありましたが日本語での情報は見当たらなかったためまとめてました。
ただし本手順でも治らない場合がある模様なのであくまで一例とお考えいただければ思います。

なお本トラブル以外でもグループポリシーの管理関連のトラブルには本手順で使用した ADSI エディターは活用の余地があると思うので何かあった際には確認いただくとよいかと思います。