Windows Server 実務のすべて｜OS・AD・GPOからPowerShell自動化まで

この記事は、NEC時代のITインフラ知識の全ての詳細編、「Windows Server実務」です。範囲が広いので、まずは全体像として要点を並べます（各項目の細かいTipsは、順次追記していきます）。あくまで在籍当時の一例として読んでください。

クライアントOSとサーバOSの違い

ざっくり言うと、「1人で使うためのものか、みんなで使うためのものか」です。クライアントOS（Windows 11など）は、目の前の1人が使う前提。サーバOS（Windows Server 2022など）は、ネットワーク越しに多数へサービスを提供し、24時間365日動き続ける前提です。

主な違いを表にすると、こうなります。

項目	クライアントOS	サーバOS
主な用途	個人の業務・エンタメ・開発	サービス提供・データ共有・管理
操作する人	目の前のユーザー（1人）	ネットワーク越しの多数
同時接続数	厳しく制限（最大20台など）	実質無制限（ライセンス次第）
グラフィック/音	豪華（動画・ゲーム向け）	最低限（映ればいいレベル）
稼働時間	使い終わったらシャットダウン	24時間365日、常時起動

サーバOSは、接続する人数分の「CAL（クライアント・アクセス・ライセンス）」が必要で、価格も数十万〜数百万円になることも珍しくありません。代わりに、Active Directory・DNS・DHCP・IISなど、企業ネットワークを構築・管理する高度な機能が標準搭載されています。

設定は、できる限り「コマンド（PowerShell）」で

ホスト名・IPアドレス・ドメイン参加などは、PowerShellでできる。
IPアドレスだけ設定してしまえば、あとは Invoke-Command でリモート実行できる。徹底的に効率化すべし。
Windows Update、共通設定、役割と機能、エビデンス採取も、Invoke-Command でコマンド実行できる。
Windowsの動作の裏では、たいてい何かしらのコマンドが動いている。cmdとPowerShellを駆使すれば、大概のことはできる（目視で判断するUI操作は難しいが）。

セキュリティと制御の要点（FW・GPO・レジストリ）

Windows FWは、必ず有効化する。テスト項目にも「FWが有効であることの確認」を必ず含める。運用開始後、無効で指摘されるケースが多い。ドメイン・パブリック・プライベート、全ネットワークを有効化する。再起動でネットワークプロファイルが変わり（NIC起動順の影響）、障害につながることも念頭に置く。
各種設定は、基本的にレジストリに保存される。コマンドで変更できない設定でも、レジストリを駆使すれば変更できる可能性がある（適当にいじると壊れるので注意）。
レジストリではなくGPO（グループポリシー）に保存される設定もある。ローカルとドメインの2種、コンピュータポリシーとユーザーポリシーがあり、適用タイミングが異なる。AD環境なら、ドメインポリシーで一律設定できる。
時間起点の自動処理は、タスクスケジューラを使う（タスクを作っておいてコマンドで呼び出すのも可）。
ログオンスクリプトは、ログオン時の設定変更や調査に使う。条件分岐で「社外ならA・社内ならB」なども可能。
GPOもログオンスクリプトも、やり過ぎると移行漏れの温床になる。設計書に設定内容を必ず明記すること。

AD・ファイル共有・WSUS

Active Directory：ドメイン環境を作り、ユーザー・コンピュータ・グループポリシーを管理する。DNS・DHCPも一緒に入れることが多い。信頼関係やFSMOなど、基本構成は技術書で押さえる。
ファイル共有：アクセス権の考え方と設定値をしっかり結びつける。組織改変・人事異動時の手順、フォルダ構造を設計初期に定義する。アクセスベースの列挙を活用。ドライブマッピングでは兼務者の扱い（何個まで許容するか）を決める。フェイルオーバークラスターとの関係、容量アラートの閾値も設計する。
WSUS：Windows Updateを管理する。パッチのリリースは第一水曜日。適用の流れを検討し、ADのGPOでWSUSのグループ分けをする。個別にインターネットへ出す運用だと基本適用されないので、組織で管理するならWSUSは必須（GPOで必ず参加させる）。サーバも年一くらいで、計画してからパッチ適用する。

RDS・仮想化・クラスタ・BIOS

RDS（リモートデスクトップサービス）：接続ブローカー・RDWeb・RDライセンスで構成。CALがとにかく高いので、デバイスCALとユーザーCALの概念をクライアントに説明し、お得な方を選ぶ。何人までログオン可能か、何台まで障害を想定するか、しっかりサイジングしないと高負荷になりがち。
仮想化：サーバ仮想化・デスクトップ仮想化・NW機器仮想化など種類がある。概念ごとに正しく理解する。
クラスタ：Windows Server標準のフェールオーバークラスターで、Hyper-Vやファイルサーバなどはクラスタ化できる。業務システムは各ベンダーのクラスターソフトが必要な場合も。可用性の算出根拠は慎重に、計算式を明示できるように。
BIOS：OSを起動する以前の制御。できることを押さえておく。

GPO・ログオンスクリプト・タスクスケジューラ・PowerShellを組み合わせられるようになると、インフラ自動化はほぼなんでもできるようになります。ここがWindowsインフラの、いちばんの武器だと思います。

現場で「ハマった」「効いた」実話

ホスト名は15文字以内。これ、地味ですが本当に大事です。あるとき、16文字のホスト名でサーバが立っていて（お客様側のチェック漏れでした）、たまたま先頭15文字が既存サーバと丸かぶり。

Active Directory上で名前が上書きされ、本番業務サーバに接続できなくなって、えらい目に遭いました。Windowsのホスト名（NetBIOS名）は15文字までしか有効にならない、という仕様を、身をもって思い知った一件です。

「論理的に説明できる仕組みは、大体PowerShellで実現できる」。そう悟った出来事があります。外部からの訪問端末が社内にいるときだけ適用したいGPOがあったのですが、前任者は「実現できない」としていました。

私は、ログオン時に確立済みのポートとIPアドレスを確認し、それを条件分岐にしたGPO適用タスクを組んで実現。お客様の部長に、めちゃくちゃ褒められました。UIでは無理でも、筋道を立てて説明できる処理なら、たいていPowerShellで形にできます。