知識マップ: GCPWとは - WindowsログオンをGoogle認証で扱う方法

記事「GCPWとは - WindowsログオンをGoogle認証で扱う方法」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

この記事は、GCPW(Google Credential Provider for Windows)を管理対象のGoogleアカウントでWindows 10/11にサインインさせるための資格情報プロバイダーとして整理し、BitLockerや更新管理などの端末レベル制御はWindows device managementの併用が前提であることを示す。既存のローカル/AD-backedプロファイルはDirectory側のcustom attributeで関連付けるか新規プロファイルを作るかを事前に設計する必要があり、併用時は最初にサインインしたユーザーだけがenrollされる制約がある。GoogleとWindowsのパスワードは同期が前提のため、AD/Entra ID側だけで先にリセットする運用は事故のもとになる。USBセキュリティキーは未対応で、許可ドメインの設定なしには誰もサインインできない。

flowchart LR
    accTitle: GCPWの知識マップ
    accDescr: GCPWによるWindowsサインインがChrome Browserと許可ドメインを前提とすること、Windows device managementの端末レベル管理がGCPWでの最初のenrollを前提にすること、既存プロファイルの関連付けとパスワード同期の運用上の注意点の関係を示す図
    gcpw["GCPW"]
    windows_device_management["Windows device management"]
    chrome_browser["Chrome Browser"]
    fido2_security_key["セキュリティキー"]
    permitted_domains["許可ドメイン(permitted domains)"]
    admin_console_gcpw_settings["Admin consoleでのGCPW設定"]
    installer_token_embedding["installerへのトークン自動埋め込み"]
    gcpw_enrollment["Windows device managementへのenroll"]
    staging["staging(キッティング)"]
    first_user_enrollment_constraint["最初の1ユーザーenroll制約"]
    existing_profile_association["既存プロファイルの関連付け"]
    custom_attribute_profile_mapping["Directory側custom attributeによるプロファイル対応付け"]
    initial_signin_ad_connectivity_requirement["初回サインイン時のAD接続性要件"]
    ad_backed_profile["AD-backedプロファイル"]
    active_directory["Active Directory(AD DS)"]
    ad_side_only_password_reset_antipattern["AD/Entra ID側だけでの先行パスワードリセット"]
    password_sync_requirement["Google/Windowsパスワード同期の前提"]
    offline_signin_validity_period["オフラインサインイン許容日数"]
    google_2sv["2SV(2段階認証)"]
    google_password_complexity_policy["Google側パスワード複雑度設定"]
    bitlocker["BitLocker"]
    windows_update["Windows Update"]
    admin_rights["管理者権限"]
    gcpw -->|"前提とする"| chrome_browser
    gcpw -.->|"両立しない"| fido2_security_key
    gcpw -->|"前提とする"| permitted_domains
    permitted_domains -->|"で構成できる"| admin_console_gcpw_settings
    admin_console_gcpw_settings -->|"前提とする"| installer_token_embedding
    windows_device_management -->|"前提とする"| gcpw
    windows_device_management -->|"前提とする"| gcpw_enrollment
    gcpw_enrollment -->|"前提とする"| gcpw
    staging -.->|"原因になり得る"| first_user_enrollment_constraint
    existing_profile_association -->|"利用する"| custom_attribute_profile_mapping
    existing_profile_association -.->|"前提とする"| initial_signin_ad_connectivity_requirement
    ad_backed_profile -->|"前提とする"| active_directory
    ad_side_only_password_reset_antipattern -->|"両立しない"| password_sync_requirement
    offline_signin_validity_period -->|"で構成できる"| admin_console_gcpw_settings
    gcpw -.->|"利用する"| google_2sv
    google_password_complexity_policy -.->|"両立しない"| active_directory
    windows_device_management -->|"利用する"| bitlocker
    windows_device_management -->|"利用する"| windows_update
    gcpw -.->|"前提とする"| admin_rights
    chrome_browser -.->|"前提とする"| admin_rights
    gcpw -->|"で構成できる"| admin_console_gcpw_settings
    gcpw -->|"利用する"| existing_profile_association
    existing_profile_association -->|"利用する"| ad_backed_profile
    gcpw -->|"前提とする"| password_sync_requirement
    staging -->|"より先に行うべき"| gcpw_enrollment

概念間の関係(全25件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

GCPWはChrome Browserを前提とします。GCPWはGoogleサインイン画面の起動にChrome Browser 81以降(管理者権限でインストール済み)を必要とする / 確度: 確立した関係 / 確認日: 2026-08-01 出典
GCPWはセキュリティキーと両立しません。GCPWの2段階認証ではUSBセキュリティキーが未対応のため、セキュリティキーしか許可していない構成だとユーザーがWindowsに入れなくなる。ほかの2要素も許可していれば、セキュリティキーを登録したまま通常のGoogle認証で使い、Windowsサインインには別の要素を使える / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
GCPWは許可ドメイン(permitted domains)を前提とします。GCPWでは許可ドメイン(permitted domains)を設定しないと誰もサインインできない / 確度: 確立した関係 / 確認日: 2026-08-01 出典
許可ドメイン(permitted domains)はAdmin consoleでのGCPW設定で構成できます。許可ドメインはAdmin consoleまたは端末レジストリのdomains_allowed_to_loginで設定できるが、現在はAdmin console管理が基本とされる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Admin consoleでのGCPW設定はinstallerへのトークン自動埋め込みを前提とします。Admin consoleから許可ドメインなどを設定できるのは、配布したinstallerにその組織のトークンが埋め込まれている場合に限られる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Windows device managementはGCPWを前提とします。Windows device managementはGCPWによるサインインの上に成り立つ併用機能で、対応エディションもGCPW単体とは異なる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Windows device managementはWindows device managementへのenrollを前提とします。BitLockerや更新、ローカル管理者権限などの端末レベル設定は、端末がWindows device managementへenrollされて初めて効く / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Windows device managementへのenrollはGCPWを前提とします。enrollはGCPWでの最初のサインインを経て行われる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
staging(キッティング)は最初の1ユーザーenroll制約の原因になることがあります。キッティング作業中に担当者が最初にGCPWでサインインすると、意図しない担当者アカウントがenrollされてしまう / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
既存プロファイルの関連付けはDirectory側custom attributeによるプロファイル対応付けを利用します。既存プロファイルへの関連付けは、Directory側のcustom attributeやSIDベースのレジストリ設定を使って設計する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
既存プロファイルの関連付けは初回サインイン時のAD接続性要件を前提とします。AD参加端末でまだAD-backedプロファイルが無い場合、既存プロファイルの関連付けには初回サインイン時のAD接続性が必要になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
AD-backedプロファイルはActive Directory(AD DS)を前提とします。AD-backedプロファイルはActive Directoryのアカウントに紐付くWindowsプロファイルである / 確度: 確立した関係 / 確認日: 2026-08-01 出典
AD/Entra ID側だけでの先行パスワードリセットはGoogle/Windowsパスワード同期の前提と両立しません。AD/Entra ID側だけで先にパスワードをリセットすると、Google側との同期という前提が崩れ、GoogleとWindowsのパスワードが不一致になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
オフラインサインイン許容日数はAdmin consoleでのGCPW設定で構成できます。オフラインサインインの許容日数はvalidity_period_in_daysとしてAdmin consoleまたはレジストリで設定する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
GCPWは2SV(2段階認証)を利用します。2SVを有効にする場合、GCPWは2段階認証(2SV)を使ってサインインの安全性を高められる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Google側パスワード複雑度設定はActive Directory(AD DS)と両立しません。Google側はパスワード全体の強度を評価する方式で、Active Directoryのような文字種(大文字・小文字・数字・記号)の指定ができないため、AD側の文字種要件が厳しい環境ではGoogle側で通ったパスワードがWindows側で弾かれる可能性が残る / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Windows device managementはBitLockerを利用します。Windows device managementの端末レベル設定にはBitLockerの制御が含まれる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
Windows device managementはWindows Updateを利用します。Windows device managementの端末レベル設定にはWindows Updateの制御が含まれる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
GCPWは管理者権限を前提とします。端末でGCPWのinstallerを実行するには管理者権限が必要(GCPWでのサインイン自体は日常的な利用であり、管理者権限を必要としない) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
Chrome Browserは管理者権限を前提とします。GCPWの要件を満たすChrome Browserは、管理者権限でインストールされている必要がある(Chrome Browser自体は通常ユーザー権限でもインストールできる) / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
GCPWはAdmin consoleでのGCPW設定で構成できます。GCPWの許可ドメインやオフライン期間などはAdmin consoleで組織全体へ配布して構成する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
GCPWは既存プロファイルの関連付けを利用します。GCPWは初回サインイン時に、既存のローカル/AD-backedプロファイルを関連付けるか、新しいWindowsプロファイルを作るかを決める / 確度: 確立した関係 / 確認日: 2026-08-01 出典
既存プロファイルの関連付けはAD-backedプロファイルを利用します。既存プロファイルの関連付けは、ローカルプロファイルだけでなくAD-backedプロファイルを対象にする場合もある / 確度: 確立した関係 / 確認日: 2026-08-01 出典
GCPWはGoogle/Windowsパスワード同期の前提を前提とします。GCPWを使う端末では、Googleのパスワードと Windowsのパスワードが同期していることが前提になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
staging(キッティング)はWindows device managementへのenrollより先に行うべきです。staging(キッティング)で誰が最初にGCPWでサインインするかが後のenroll対象を決めてしまうため、enrollより前にstaging手順を適切に設計しておくべきである / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

GCPW: 管理対象のGoogleアカウントでWindows 10/11へサインインさせるためのWindows資格情報プロバイダー。GoogleのみをIDプロバイダとして扱い、単体の主役はWindowsサインインとChrome BrowserのSSO体験で、Windowsドメインの完全代替ではない。
Windows device management: GCPWと併用できる、BitLocker・Windows Update制御・ローカル管理者権限の制御・カスタム設定配布・ワイプなど端末レベルの管理機能群。GCPW単体とは対応するGoogle Workspaceエディションが異なる。
許可ドメイン(permitted domains): GCPWでのサインインを許可するGoogleアカウントのドメイン。Admin consoleまたはレジストリのdomains_allowed_to_loginで設定し、設定しないと誰もサインインできない。
Admin consoleでのGCPW設定: GCPWの許可ドメインやオフライン期間などの設定を組織全体へ配る、現在基本とされる管理方法。端末レジストリの同名設定より優先され、端末への反映にはおよそ1時間程度かかる。
Windows device managementへのenroll: 端末をWindows device managementの管理対象として登録すること。GCPWでのサインインとは別の状態で、enrollされて初めてBitLockerや更新などの端末レベル設定が効く。
staging(キッティング): 端末を利用者へ渡す前のキッティング作業。この段階で誰が最初にGCPWでサインインするかが、後のenroll対象を決めてしまう。
既存プロファイルの関連付け: GCPW導入時に、端末の既存ローカル/AD-backedプロファイルをGoogleアカウントに対応付けて再利用するか、新規Windowsプロファイルを作るかを決める設計。Directory側のcustom attributeやSIDベースのレジストリ設定で対応付ける。
AD-backedプロファイル: Active Directoryのアカウントに紐付いたWindowsプロファイル。端末ローカルだけで完結するローカルプロファイルと区別される。
AD/Entra ID側だけでの先行パスワードリセット: Google側と同期させず、AD/Entra ID側だけでパスワードを先にリセットする運用。GoogleとWindowsのパスワードが不一致になり、ログオン事故につながる。
オフラインサインイン許容日数: 最後のオンラインサインインから何日までオフラインサインインを許すかを、validity_period_in_daysなどで設定する期間。決めないまま導入すると、厳しすぎて現場が困るか緩すぎて端末紛失時のリスクが上がるかに寄りやすい。
Google側パスワード複雑度設定: Google管理コンソールの「セキュリティ」→「認証」→「パスワードの管理」で組織部門ごとに設定する、最小・最大文字数(8〜100文字)や再利用可否・有効期限などの設定。大文字・小文字・数字・記号といった文字種の指定はできず、パスワード全体の強度を評価する方式である。
Chrome Browser: GCPWがGoogleサインイン画面の起動に使うブラウザー。81以降のstable版が管理者権限でインストールされていることが前提で、有無や配置不整合があるとログオンが失敗する。

機械可読データ

JSON-LD / Turtle ── この記事の知識グラフ全体
概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。