企業のIT管理者にとって最大の課題の1つは、USB、外付けハードドライブ^{(External Hard Drive)}、さらには組織のデバイスへのプリンタなどのデバイスへのアクセスをブロックすることです。これを少し簡単にするために、Microsoftは、管理者が組織全体のマシンにインストールできるデバイスを分割できるようにする階層化グループポリシー機能を展開しました。^{(Layered Group Policy feature)}

Windows 11の階層化されたグループポリシー^{(Group Policy)}とは何ですか？

このグループポリシー^{(Group Policy)}は、マシンの破損を減らし、サポートケースの数を減らすことを目的としています。最も重要なのは、データの盗難を減らすことです。ポリシーにより、インストールが制限されます。つまり、内部環境と外部環境の両方でのデバイスの使用がブロックされます。IT管​​理者は、使用/インストールする事前承認済みデバイスを選択できます。

ここで利用できる^(Available)スクリプトは、すべてのクラスがブロックされていないことを確認します。

Computer Configuration > System > Device Installation > Device Installation Restrictions

これは、 USB^(USB)デバイスの使用をブロックすることを選択した場合、それをブロックするだけであることを意味します。この新機能は、一歩先を行くことで、競合を回避するために複数のセットを作成する必要があるという以前の問題を解決します。代わりに、階層化されたInstance ID > Device ID > Class > Removableデバイスプロパティがあります。

Windows11で階層化されたグループポリシー^{(Layered Group Policy)}を適用する方法

有効にする必要がある最初のポリシーは次のとおりです—すべてのデバイス一致基準にデバイスインストールポリシーを許可および防止するための評価の階層化された順序を適用します^{(Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria)}。

完了すると、追加のポリシーセットがあり、階層的な順序（ [デバイス^(Device)インスタンスIDs > Device IDs > Deviceセットアップクラス] > Removableデバイス]）を念頭に置く必要があります。それぞれに関連するポリシーは次のとおりです。

デバイスインスタンスID

• これら^(Prevent)のデバイスインスタンスIDと一致するドライバーを使用してデバイスをインストールしないようにする^(IDs)
• ^(Allow)これらのデバイスインスタンスIDに一致するドライバーを使用したデバイスのインストールを^(IDs)許可します。

デバイスID

• これら^(Prevent)のデバイスIDと一致するドライバーを使用してデバイスをインストールしないようにする
• ^(Allow)これらのデバイスIDと一致するドライバーを使用したデバイスのインストールを許可する

デバイスセットアップクラス

• これら^(Prevent)のデバイスセットアップクラスに一致するドライバーを使用してデバイスをインストールしないようにする
• ^(Allow)これらのデバイスセットアップクラスに一致するドライバーを使用してデバイスをインストールできるようにします。

取り外しできる装置

• ^(Prevent)リムーバブルデバイスのインストールを防ぐ

^(Configure)デバイスIDまたはクラスIDを追加してそれぞれを構成し、変更を適用します。

^(Microsoft)階層構造のため、「他のポリシー設定で説明されていないデバイスのインストールを防止する^{(Prevent installation of devices not described by other policy settings)}」ポリシー設定よりも、このポリシーを使用することをお勧めします。

ハードウェアID^{(Hardware ID)}または互換性のあるIDを見つける方法は？

• Win + Xを使用してデバイスマネージャ^{(Device Manager)}を開き、Mを押します。
• デバイスを見つけます。それを右クリックし、[プロパティ]を選択します
• [詳細]タブに切り替えます
• [^(Click)プロパティ^(Property)]ドロップダウンをクリックすると、ここでハードウェアID、クラスID、およびその他の詳細を選択できます。正確な値は、値のセクションに表示されます。

デバイスID^{(Device IDs)}を許可^(Allow)リストに追加するにはどうすればよいですか？

• ポリシーを開きます—これらのデバイスIDのいずれかに一致するデバイスのインストールを許可します^{(Allow installation of devices that match any of these device IDs)}。
• [有効]を選択^{(Select Enabled)}し、[オプション]の下の[表示^(Show)]ボタンをクリックします。
• 互換性のあるID^{(Add Compatible ID)}またはハードウェアID^{(Hardware ID)}をリストに追加します
• 変更を適用します。

インストールの防止^(Prevent)ポリシーを使用して、特定のデバイスのインストールをブロックすることもできます。

管理者がデバイスのインストール制限を上書きできるようにするにはどうすればよいですか？

これに固有のポリシーがあり、有効にすることができます。有効にすると、Administratorsグループのメンバーは、ハードウェアの追加^{(Add Hardware)}ウィザードまたはドライバーの更新ウィザードを使用して、デバイスをインストールおよび更新できます。

ポリシーの変更を強制するためにタイムアウトを設定するにはどうすればよいですか？

ポリシーの変更を強制する場合は、再起動する必要があります。設定により、エンドユーザーに表示される再起動タイムアウトを設定して、データが失われないようにすることができます。^(Timeout)

投稿で、Windows11の^{(Windows 11)}階層化グループポリシー^{(Layered Group Policy)}について明確に説明されていることを願っています。

このポリシーは、 ^{(The policy)}2021年7月^{(July 2021)}のオプションの「C」クライアントリリース  の一部としてWindows 10でも利用可能であり、 2021年8月の^{(August 2021)}更新火曜日^{(Update Tuesday)}リリースからより広く利用できるようになります。

How to apply Layered Group Policy in Windows 11/10

One of the biggest challenges for an IT admіn in a company is to block access to devices such as USB, External Hard Drive, and even Printers to the organization’s devices. To make this a little easier, Microsoft has rolled out the Layered Group Policy feature that gives administrators the ability to divide which devices can be installed on machines across the organization.

What is Layered Group Policy in Windows 11?

This Group Policy aims to ensure the machines get less corruption, the number of support cases drops, and the most important is to reduce data theft. The policy ensures to restrict any installation, i.e., the use of devices both in the internal and external environment is blocked. IT admins can choose to pre-authorized devices to be used/installed.

Available here, the script makes sure not all classes are blocked:

Computer Configuration > System > Device Installation > Device Installation Restrictions

this means that if you chose to block the USB device usage, it only blocks it. Going one step ahead, the new feature resolves the earlier problem where several sets need to be created to avoid conflict. Instead, you have hierarchical layering Instance ID > Device ID > Class > Removable device property.

How to apply Layered Group Policy in Windows 11

The first policy you need to enable is — Apply layered order of evaluation for Allow and Prevent device installation policies across all device match criteria.

Once done, there are an additional set of policies, and you need to ensure to keep the hierarchical order (Device instance IDs > Device IDs > Device setup class > Removable devices) in mind. Here are the policies related to each:

Device instance IDs

• Prevent installation of devices using drivers that match these device instance IDs
• Allow installation of devices using drivers that match these device instance IDs.

Device IDs

• Prevent installation of devices using drivers that match these device IDs
• Allow installation of devices using drivers that match these device IDs

Device setup class

• Prevent installation of devices using drivers that match these device setup classes
• Allow installation of devices using drivers that match these device setup classes.

Removable devices

• Prevent installation of removable devices

Configure each of them by adding the device id or class ID and apply the changes.

Microsoft recommends using this policy over the “Prevent installation of devices not described by other policy settings” policy setting because of the layered structure.

How to find the Hardware ID or Compatible ID?

• Open Device Manager using Win + X, followed by pressing M.
• Locate the device. Right-click on it, and then select Properties
• Switch to the Details tab
• Click on the Property dropdown, and here you can select hardware ID, class ID, and other details. The exact value will be available in the value section.

How to add Device IDs to the Allow list?

• Open the policy— Allow installation of devices that match any of these device IDs.
• Select Enabled, and then click on the Show button under Options.
• Add Compatible ID or Hardware ID to the list
• Apply the changes.

You can also block the installation of specific devices by using the Prevent installation policies.

How to allow administrators to override device installation restrictions?

There is a policy specific to this which you can enable. Once enabled, members of the Administrators group can use the Add Hardware wizard or the update driver wizard to install and update the device.

How to set up a timeout to enforce policy change?

If you want to enforce the policy change, you need to reboot. A setting allows you to set up a Reboot Timeout displayed to the end-user to make sure there is no data loss.

I hope the post explained to you clearly about the Layered Group Policy in Windows 11.

The policy is also available in Windows 10  as part of the July 2021 optional “C” client release and will be made more broadly available beginning in the August 2021 Update Tuesday release.

Related posts

• Group Policy EditorをWindows 10 Home Editionに追加する方法

• Windows 10でWin32 Long Pathsを有効または無効にする方法

• Delete古いユーザープロファイルとWindows 10で自動的にファイル

• Windows 10でPicture Password Sign-In optionを無効にする方法

• Windows 11/10のWorkGroup ModeでUser Activityを追跡する方法

• タスクスケジューラを使用してWindows11/10で実行するバッチファイルをスケジュールする方法

• Group Policy UpdateをWindows 10に強制する方法

• Windows 10のImport or Export Group Policy settingsの方法

• Autocorrect and Highlight Misspelled Words - Windows 10を有効にします

• Group Policy editor（gpedit.msc）のインストール方法

• Update installationの自動再起動前に期限を指定する方法

• Windows 10のインポート、Export、Repair、Restore Default Firewall Policy

• Windows 10の有効化方法またはDisable or Application Isolation feature

• Windows 10の場合はGroup Policy Settings Reference Guide

• Group Policyを使用してstandalone browserとしてInternet Explorer 11を無効にします

• Windows 11/10でラップトップを閉じたときにモニターをオンにしておく方法

• Windows 10コンピュータに適用さGroup Policyを確認する方法

• 6最高の無料のWindows11/10修復ツール

• Windows 10でMinimum and Maximum PIN lengthを指定する方法

• Group PolicyをNon-Administratorsにのみ適用する方法Windows 10のみです