Policyの継承と上書きの仕組みを説明します。共通設定を1カ所で管理しながら、必要な部分だけを変える方法です。仕組みを理解しないまま使うと、どのデバイスがどの設定になっているか追えなくなります。
Parent Policyの仕組み
Policyには親子関係を持たせられます。子Policyは親の設定を引き継ぎ、必要な項目だけを独自の値に変えます。
Parent: Common-Base
├─ Server-Windows-Maintenance
└─ Server-Windows-24h
この構成なら、監視のしきい値やアンチウイルスの設定はParent Policyで一度だけ定義します。子Policyでは再起動の可否など、異なる部分だけを設定します。
利点は変更の一元化です。共通の監視項目を追加したいとき、Parent Policyを1回変更すれば全ての子に反映されます。子Policyを個別に修正する必要がありません。
継承される項目とされない項目
原則として、子Policyで明示的に設定していない項目は親から引き継がれます。
| 状態 | 挙動 |
|---|---|
| 子で未設定 | 親の値が使われる |
| 子で設定済み | 子の値が優先される |
| 親を後から変更 | 子で未設定の項目だけが変わる |
3番目が重要です。子で上書きした項目は、親を変更しても影響を受けません。「親を直したのに一部のデバイスだけ変わらない」という場合、その項目が子で上書きされています。
子Policyでの上書き
子Policyの編集画面では、どの項目が親から継承されていて、どの項目が上書きされているかが区別して表示されます。
上書きを解除すれば、親の値に戻ります。
【運用のポイント】 上書きする項目は最小限にしてください。子Policyで上書きする項目が増えるほど、親を持つ意味が薄れます。子で半分以上の項目を上書きしているなら、そもそも親子関係が適切でない可能性があります。
デバイス単位のPolicy Override
Policy自体の親子関係とは別に、個々のデバイスで設定を上書きする機能があります。デバイス詳細画面のDevice informationにPolicy overridesとして表示されます。
用途は限定的です。次のような場合にだけ使ってください。
| 場面 | 例 |
|---|---|
| 一時的な例外 | 検証中の1台だけ監視を緩める |
| 恒久的だが1台限りの事情 | 特殊な業務端末で特定の監視を外す |
3台以上に同じ上書きをしているなら、それは新しいPolicyを作るべきサインです。
【注意】 デバイス単位の上書きは一覧では目立ちません。台数が増えると、なぜそのデバイスだけ挙動が違うのか分からなくなります。上書きしたデバイスは記録に残し、四半期ごとに棚卸ししてください。
Location単位の上書き
Organizationのデフォルトとは別に、Location単位でPolicyを割り当てることもできます。
Policy location overridesを有効にすると、そのLocationだけ別のPolicyを適用できるEdit LocationのPoliciesタブでPolicy location overridesを有効にすると、Device Roleごとに適用するPolicyを指定できます。無効のままなら、Organizationの設定がそのまま使われます。
拠点固有の事情、例えば「この工場だけは日中に再起動できない」といった要件に対応する仕組みです。
3層の優先順位
ここまでで、設定を変える手段が3つ出てきました。優先順位は次の通りです。
| 優先度 | 手段 | 影響範囲 |
|---|---|---|
| 高 | デバイス単位のPolicy Override | 1台 |
| 中 | Location単位のPolicy割り当て | その拠点のデバイス |
| 低 | Organization単位のデフォルト | その組織全体 |
さらにPolicy自体の親子関係が加わります。この4段階を全て使うと、実際の設定を追うのが困難になります。
実務では、次の方針をおすすめします。
- Policyの親子関係で、共通設定と差分を整理する
- Organization単位のデフォルトを基本にする
- Location単位の上書きは、拠点固有の事情がある場合だけ
- デバイス単位の上書きは、原則として使わない
上書きの件数を把握する
Policyの一覧にOverrides列があります。そのPolicyに対して、デバイス単位の上書きが何件あるかを示します。
Overrides列で、デバイス単位の上書き件数を一覧で確認できるこの列を定期的に確認してください。件数が増えているPolicyは、設定が実態に合っていない可能性があります。
Overridesの件数 | 判断 |
|---|---|
| 0 | 適切な状態 |
| 1〜2 | 個別の事情によるもの。記録があれば問題ない |
| 3以上 | Policyを分けるべきサイン |
3台以上に同じ上書きをしているなら、それは新しいPolicyを作るべき状況です。上書きで対応し続けると、どのデバイスがどの設定なのか追えなくなります。
Policy名はInternal | Windows | Crowdstrikeのように継承関係が表示されるため、一覧を見るだけで階層構造を把握できます。
継承関係を確認する方法
現在どの設定が効いているかを確認するには、次の順で見ます。
- デバイス詳細画面で適用されているPolicy名を確認する
Policy overridesの有無を確認する- そのPolicyの親子関係を確認する
- 該当する項目が子で上書きされているかを確認する
トラブル対応でよくあるのが「Policyを直したのに反映されない」という状況です。多くの場合、原因は2番目か4番目にあります。