セキュリティ
アプリケーションのセキュリティ
アプリケーションセキュリティ機能により、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。 Web コンソールでアプリケーションセキュリティルールを設定し、ルール設定に必要な情報を取得するツールを提供できます。 また、この機能を使用して、セキュリティルールを含む割り当てグループを作成できます。 プロセスアプリケーションルールとプロセス DLL ルールが有効になっている場合 、上書きモードはデフォルトでオンになります 。 上書きモードでは、最後に処理されたルールが以前に処理されたルールを上書きします。 このモードは、シングルセッションマシンにのみ適用することをお勧めします。 この機能では、次のルールを作成することもできます。
- 実行可能なルール
- Windows インストーラールール
- スクリプトルール
- パッケージアプリルール
- DLLのルール
注意:
ルールを作成する前に、まずデフォルトのルールを追加して、重要なシステムファイルを実行できるようにすることをお勧めします。
Windows インストーラールールの作成
これには、[基本情報] と [例外] の 2 つのメニュー項目が含まれます。 Windows インストーラールールを作成するには、[基本情報] と [例外] で次の手順を実行します。
- [ルールを作成] を選択すると、[Windows インストーラールールの作成] ページが表示されます。
- 名前とオプションの説明を入力します。
- 目的のアクションを選択します。
- を選択します。 条件の種類 とか パス, 発行者又は ファイルハッシュ ドロップダウンリストから。
- [ファイル情報ビューアを開く] を選択すると、WEM ツールハブに移動します。 WEM ツールハブ**を使用すると、必要な情報をすばやく入手できます。 詳細については、「ファイル情報ビューア」を参照してください。
- 必要に応じて、通常は主要な基準に基づいてルールに含まれるファイルを含めるための例外を追加できます。 このタスクを実行するには、[例外を追加] を選択します。
- WEM Tool Hub に移動して、[ファイル情報ビューア] で指定された基準のいずれかからデータをコピーし、[ファイル情報ビューアーから貼り付け] をクリックします。
- ［完了］ をクリックします。
- [割り当ての管理] ページで必要に応じて割り当てを更新するには、[割り当てに進む] を選択します。
- このアイテムを割り当てる割り当てターゲット (ユーザーとグループ) を選択します。 フィルターを使用して課題をコンテキスト化します。 指定したフィルタは上書きモードでのみ有効で 、エージェントバージョン 2406 以降でのみサポートされます。
- 特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。
権限昇格
この機能は、管理者権限で特定のプログラムを実行するためのルールを定義します。 管理者以外のユーザーの権限を、一部の実行可能ファイルに必要な管理者レベルに昇格できます。 その結果、ユーザーは Administrators グループのメンバーであるかのようにこれらの実行可能ファイルを起動できます。
権限昇格オプション
-
権限昇格ルールを処理: 選択すると、エージェントが権限昇格設定を処理できるようになり、[権限昇格] タブの他のオプションが使用できるようになります。
-
Windows Server オペレーティング システムに適用: 特権の昇格設定を Windows Server オペレーティング システムに適用するかどうかを制御します。 選択すると、ユーザーに割り当てられたルールが Windows Server マシンで機能します。 デフォルトでは、このオプションは無効になっています。
-
RunAsInvoker を強制: すべての実行可能ファイルを現在の Windows アカウントで強制的に実行するかどうかを制御します。 選択すると、管理者として実行可能ファイルを実行するようユーザーに求められません。
このペインには、設定したルールの完全なリストも表示されます。 ルール リストを特定のルール タイプにフィルター処理するには、[ 実行可能ファイルのルール]、[ Windows インストーラーのルール]、または [ 自己昇格 ] をクリックします。 [ 検索 ] を使用して、リストをフィルタできます。 割り当てられた列には、割り当てられたユーザーまたはユーザー グループのチェックマーク アイコンが表示されます。
サポートされているルール
実行可能ルールと Windows インストーラールの 2 種類のルールを使用して、特権の昇格を設定できます。
-
実行可能ルール: アプリケーションに関連付けられた .exe および .com 拡張子を持つファイルを含むルール。
-
Windows インストーラー ルール: アプリケーションに関連付けられた拡張子
.msiおよび.mspのインストーラー ファイルを含むルール。 Windows インストーラー ルールを追加するときは、次のシナリオを考慮してください。- 権限昇格は、Microsoftの msiexec.exe にのみ適用されます。
.msiおよび.mspWindowsインストーラーファイルの展開に使用するツールが msiexec.exe であることを確認します。 - プロセスが指定された Windows インストーラー規則と一致し、その親プロセスが指定された実行可能規則と一致するとします。 指定した実行可能ルールで［ 子プロセスに適用 ］設定を有効にしない限り、プロセスは昇格された権限を取得できません。
- 権限昇格は、Microsoftの msiexec.exe にのみ適用されます。
-
自己昇格: 有効にすると、ファイルを右クリックしたときのコンテキスト メニューで 管理者権限で実行 オプションが使用できるようになります。 このオプションを選択すると、昇格の理由を入力するよう求められます。 指定した基準に基づいて、昇格が許可または拒否されます。 ルールを構成するには、 WEM ツール ハブ > ファイル情報ビューアー を使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。 また、期間を指定したり、曜日を選択したり、オプションでルールが有効なマシンを決定するための基準を設定することもできます。 もし 自己昇格 トグルが構成セットで初めて有効になると、自己昇格ルールが作成され、割り当てターゲットの割り当てを管理するときにルール リストに表示されます。 ルールは作成後に削除されることはありません。
ルールが有効になる期間を指定できます。 また、必要に応じて、ルールを適用するマシンを決定するための条件を設定できます。 次の条件のすべてまたはいずれかに一致することを選択できます。
- マシンカタログ名
- デリバリーグループ名
- デバイス名
- IPアドレス
- OSプラットフォームタイプ
- OSのバージョン
- 永続的なマシンのステータス
実行可能ファイルのルール、 Windows インストーラーのルール、または 自己昇格 ルールを選択すると、 アクション セクションに、使用可能な次のアクションが表示されます。
-
編集。 既存の実行可能ルールを編集できます。
-
[削除]。 既存の実行可能ルールを削除できます。
-
ルールを作成します。 実行可能なルールを作成できます。 実行可能なルールを作成するには、ウィザードの指示に従います。
プロセス階層制御
プロセス階層制御機能は、親子シナリオで特定の子プロセスを親プロセスから開始できるかどうかを制御します。 ルールを作成するには、親プロセスを定義し、その子プロセスの許可リストまたは禁止リストを指定します。 機能を使用する前に、このセクション全体を確認してください。
注意:
- この機能は Citrix Virtual Apps にのみ適用されます。
ルールの仕組みを理解するには、次の点に注意してください。
-
プロセスには 1 つのルールのみが適用されます。 同じプロセスに対して複数のルールを定義すると、優先度が最も高いルールのみが適用されます。
-
定義したルールは、元の親子階層だけでなく、その階層の各レベルにも適用されます。 親プロセスに適用可能なルールは、ルールの優先度に関係なく、その子プロセスに適用可能なルールよりも優先されます。 たとえば、次の 2 つのルールを定義するとします。
- ルール1:WordはCMDを開くことができません。
- ルール2:メモ帳はCMDを開くことができます。
2 つのルールでは、ルールの優先順位に関係なく、最初に Word を開いてから Word からメモ帳を開いて、メモ帳から CMD を開くことはできません。
この機能は、特定のプロセスベースの親子関係に依存して機能します。 シナリオ内の親子関係を視覚化するには、Process Explorer ツールのプロセス ツリー機能を使用します。 Process Explorer の詳細については、以下を参照してください。 https://docs.microsoft.com/en-us/sysinternals/downloads/procmon.
潜在的な問題を回避するために、完全な構成管理インターフェイスで VUEMAppCmd.exe を指す実行可能ファイル パスを追加することをお勧めします。 VUEMAppCmd.exe 公開アプリケーションが起動する前に、WEM エージェントが設定の処理を完了するようにします。 次の手順を実行します：
-
アプリケーション ノードでアプリケーションを選択し、アクション バーの プロパティ をクリックして、 場所 ページに移動します。
-
エンドユーザーオペレーティングシステム上のローカルアプリケーションのパスを入力します。
-
実行可能ファイルへのパス フィールドに、次のように入力します。
<%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
-
-
コマンドライン引数を入力して、開くアプリケーションを指定します。
- の下で コマンドライン引数 フィールドに、起動するアプリケーションへのフルパスを入力します VUEMAppCmd.exe. パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲んでください。
- たとえば、iexplore.exeを起動するとします VUEMAppCmd.exe. これを行うには、次のように入力します。
%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe.
注意事項
この機能を動作させるには、 AppInfoビューア 各エージェント マシンのツールを使用して、機能を有効にします。 このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。 この機能を有効にする場合は、次の点に注意してください。
-
エージェントをアップグレードまたはアンインストールした後は、エージェント マシンを再起動する必要があります。
-
自動エージェント アップグレード機能は、この機能が有効になっている場合は動作しません。 自動エージェント アップグレード機能を使用するには、まず AppInfoViewer ツールを使用して、プロセス階層制御機能を無効にします。
プロセス階層制御機能が有効になっていることを確認するには、 レジストリエディタ エージェントマシン上。 この機能は、次のレジストリ エントリが存在する場合に有効になります。
- 32ビットOS
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
- 64ビットOS
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM HookHKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook
前提条件
この機能を使用するには、次の前提条件が満たされていることを確認してください。
- Citrix Virtual Apps の展開。
- エージェントは Windows 10 または Windows Server で実行されています。
- インプレース アップグレードまたは新規インストール後にエージェント ホストが再起動されました。
プロセス階層制御オプション
選択した場合 プロセス階層制御 で 安全をクリックすると、次のオプションが表示されます。
プロセス階層制御を有効にする: プロセス階層制御機能を有効にするかどうかを制御します。 選択すると、 プロセス階層制御 タブの他のオプションが使用可能になり、構成された設定が有効になります。 この機能は、Citrix Virtual Apps 展開でのみ使用できます。
コンテキスト メニューから [プログラムから開く] を非表示にする: Windows の右クリック コンテキスト メニューから [プログラムから開く] [プログラムから開く] オプションを表示するか非表示にするかを制御します。 有効にすると、メニューオプションはインターフェイスから非表示になります。 無効にすると、このオプションは表示され、ユーザーはそれを使用してプロセスを開始できます。 プロセス階層制御機能は、 プログラムから開く オプション。 この設定を有効にして、アプリケーションが現在のアプリケーション階層に関連しないシステム サービスを介してプロセスを開始できないようにすることをお勧めします。
ザ プロセス階層制御 タブには、設定したルールの完全なリストも表示されます。 あなたは使用することができます 見付ける をクリックして、リストをフィルタリングします。 割り当てられた列には、割り当てられたユーザーまたはユーザー グループのチェックマーク アイコンが表示されます。
ザ アクション セクションには、次のアクションが表示されます。
- 編集。 ルールを編集できます。
- [削除]。 ルールを削除できます。
- ルールを作成します。 ルールを追加できます。
ルールを作成
-
プロセス階層制御 に移動し、 ルールの作成をクリックします。 ルールの作成 ページが表示されます。
- の 陳列 セクションで、次のように入力します。
- 名前。 ルールの表示名を入力します。 名前がルール リストに表示されます。
- [説明]。 ルールに関する追加情報を入力します。
-
優先度 セクションで、ルールの優先度を設定します。 優先度を設定するときは、次の点を考慮してください: 優先度によって、設定したルールが処理される順序が決まります。 値が大きいほど、優先順位が高くなります。 整数を入力します。 競合がある場合は、優先度の高いルールが優先されます。
-
条件タイプ セクションで、 親プロセスを追加するオプションを選択します。
- パス。 ルールはファイルパスと一致します。
- 発行元。 ルールは、選択したパブリッシャーと一致します。
- ハッシュ。 ルールは特定のハッシュ コードと一致します。
- の モード セクションで、次のいずれかのオプションを選択します。
- リストを許可します。 親プロセスから開くことが許可される子プロセスの基準を設定します。 その他はすべて否定されます。
- 拒否リスト。 親プロセスから開くことができない子プロセスの基準を設定します。 その他はすべて許可されます。
-
子プロセスの基準。
-
ルールが有効な期間を指定します。
- マシン基準: ルールが有効なマシンを決定するための基準を設定します。 オプションで、ルールを適用するマシンを決定するための基準を設定できます。 次の条件のすべてまたはいずれかに一致することを選択できます。
- マシンカタログ名
- デリバリーグループ名
- デバイス名
- IPアドレス
- OSプラットフォームタイプ
- OSのバージョン
- 永続的なマシンのステータス
ユーザーにルールを割り当てるには
リスト内のルールを 1 つ選択し、[ アクション ] セクションで [ 割り当ての管理 ] をクリックします。
ルールを削除するには
リストから 1 つ以上のルールを選択し、 削除 の アクション 節。