修復サーバの設定をしてみましょう。
ここで設定したサーバはNAP非準拠でアクセスが制限されたサーバからもアクセスできます。
言い換えるとNAP非準拠のサーバは修復サーバにしかアクセスすることが出来ません。

 

ファイル名を指定して実行から「nps.msc」を実行し、NPSのコンソールを開きます。



 
ポリシー→ネットワークポリシーを選択し、NAP DHCP非準拠、NAP DHCP NAP非対応のいずれかをダブルクリックします。


 
設定タブの「NAP強制」から構成ボタンを押下します。


 
修復サーバはグループ単位で管理されます。
新しいグループボタンを押下して、新しいグループを作成します。


 
新しい修復サーバーグループ画面で新しいグループ名を入力します。
「追加」ボタンを押下し、新しいグループに含めるコンピューターを選択します。


 
新しいサーバの追加画面です。





もう1つのポリシーにも設定を行ないます。
修復サーバグループは先ほど作成したグループを利用します。



新しい修復サーバグループが作成されました、

NAP用にGPOを構成してみましょう。



gpme.mscでGPOの参照画面を開きます。




左から二番目のボタンを押下して、新規GPOを作成
新規GPOの名前をNAP client settingsと名付けます。
OKボタンを押下して、編集画面に移ります。



 「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「システムサービス」の「Network Access Protection Agent」を選択


 
サービスのスタートアップモードを「自動」に設定します。



 「コンピューターの構成」→「ポリシー」→「Windowsの設定」→「セキュリティの設定」→「ネットワークアクセス保護」→「NAPクライアントの構成」→「強制クライアント」から「DHCP検疫強制クライアント」を選択



 「この強制クライアントを有効にする」にチェックを入れます。



「コンピューターの構成」→「ポリシー」→「[管理用テンプレート」→「Windows コンポーネント」→「セキュリティ センター」の「セキュリティセンターをオンにする（ドメイン上のコンピューターのみ）」を選択します。


 
有効を選択します。

--

GPOの編集は以上です。
今回は作成したGPOにセキュリティフィルター処理を設定して、GPOが適用されるグループを限定させています。



グループポリシーの管理画面(gpmc.msc)を開き、先ほど作成したGPOを選択します。
セキュリティフィルター処理の項目から「Authenticated Users」を選択し、削除ボタンを押下します。



OKを押して、削除を行ないます。

次に追加ボタンを押下します。



GPOを適用したいグループを選択してOKボタンを押下します。



これで、GPOが適用されるのは「NAP Client Computers」に属するコンピューターのみになりました。 

DHCPのスコープに対してNAPを有効にします。
DHCPのコンソール画面より行ないます。



DHCPのコンソール画面からスコープを右クリックして、「プロパティ」を選択します。



スコープのプロパティ画面の「ネットワークアクセス保護」タブで「このスコープに対して有効にする」を選択します。
 


続いてスコープオプションで右クリックして、「オプションの構成」を選択します。



詳細設定タブで、ユーザクラスは「既定のユーザクラス」を選択して、「015:DNSドメイン名」の値を指定します。
ここで指定した値はNAP準拠のクライアントに対して割り当てられます。





ユーザクラスとして「既定のネットワークアクセス保護クラス」を選択して、「015 DNSドメイン名」の値を指定します。
ここで指定した値はNAP非準拠のサーバに対して割り当てられます。

以上でスコープの設定は終わりです。