アプリケーションへのアクセスを制御する

概要

• 非表示にするオブジェクト。 アプリケーションに対して非表示にするファイル、フォルダー、およびレジストリエントリ。
  たとえば、アプリケーションを非表示にするには、ファイル、フォルダー、レジストリエントリなど、そのアプリケーションに関連付けられているすべてのオブジェクトを指定する必要があります。
• 割り当て。 アプリケーションを非表示にする対象のユーザー、マシン、およびプロセス。

ワークフロー

1. 非表示ルールを作成および生成します。使用できるツールは 2 つあります。
   • GUI ベースのツール – WEM Tool Hub > アプリアクセス制御用ルールジェネレーター
   • PowerShell ツール – Profile Management インストールパッケージに含まれています。詳細については、「ルールジェネレーターを使用してルールを作成、管理、展開する」を参照してください。
2. GPO を使用して、環境内のマシンに非表示ルールを適用します。詳細については、「GPO を使用してアプリのアクセス制御を有効にする」を参照してください。

ルールジェネレーターを使用してルールを作成、管理、展開する

• Windows 10 または 11、あるいは Windows Server 2016、2019、または 2022 で動作します。
• (AD 環境のみ) ユーザーおよびマシンと同じドメインに属していること。

1. Windows PowerShell を管理者として実行します。
2. Profile Management インストールパッケージ内の \tool フォルダーにアクセスし、CPM_App_Access_Control_Config.ps1 を実行します。
   注:
   デフォルトでは、\tool フォルダーに 2 つのファイルがあります: CPM_App_Access_Control_Config.ps1 と CPM_App_Access_Control_Impl.ps1。CPM_App_Access_Control_Config.ps1 は、正しく動作するために CPM_App_Access_Control_Impl.ps1 に依存しています。CPM_App_Access_Control_Impl.ps1 をフォルダーから移動しないでください。

3. 画面の指示に従って、非表示ルールを作成、管理、生成します。
   1. マシンにインストールされている各アプリケーションとその状態を表示します。
      • 未構成。アプリケーションのルールは構成されていません。
      • 構成済み。アプリケーションに対して 1 つ以上のルールが構成されていますが、それらのいずれもマシンに適用されていません。
      • 構成済みで適用済み。アプリケーションに対して 1 つ以上のルールが構成されており、少なくとも 1 つのルールがマシンに適用されています。
      
   2. アプリケーションリストから、インデックスを入力して非表示にするアプリケーションを選択します。そのアプリケーションに関連付けられているすべてのファイル、フォルダー、およびレジストリエントリが表示されます。
      「追加を選択」(/en-us/profile-management/2407/media/app-access-control-tool-add-extra.png)
   3. 選択したアプリケーションの追加ファイル、フォルダー、またはレジストリエントリを非表示にするには、対応するアクションタイプを選択し、その名前とパスを入力してオブジェクトを追加します。さらに追加するには、この手順を繰り返します。
      考慮事項:
      • パス内のシステム環境変数（%windir%など）はサポートされていますが、ユーザー環境変数（%appdata%など）はサポートされていません。
      • ファイルとフォルダーでは、ワイルドカード * および ? がサポートされています。文字列内に複数のアスタリスク（'*'）がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列 c:\users\Finance*Manangement* では、文字 *Management* は単一のアスタリスク（*）として扱われます。
      注:
      特定のファイル、フォルダー、およびレジストリエントリに関連付けることで、アプリケーションを手動で定義することもできます。

   4. ルールの割り当てを構成します。詳細には、割り当てタイプを指定し、アプリケーションを非表示にする特定のオブジェクトを入力します。詳細については、次の表を参照してください。
      「割り当てを選択」(/en-us/profile-management/2407/media/app-access-control-tool-add-assignment.png)
      注:
      ルールに割り当てを構成しない場合、ルールで指定されたアプリは非表示になります。

      割り当ての種類	説明
      ADユーザー、ユーザーグループ、またはOU	ADドメイン名を縦棒（\|）で区切って入力します。
      ADマシン	DNSホスト名を縦棒（\|）で区切って入力します。
      NDJマシンカタログ	カタログ名を縦棒（\|）で区切って入力します。例: Machine_catalog_name1\|Machine_catalog_name2
      NDJマシン	WEM Webコンソールで AAD/NDJ オブジェクトセレクター を使用してマシン名を収集し、それらの名前を縦棒 (\|) で区切って入力します。例: Machine_name1\|Machine_name2。ドメインに参加していないすべてのマシンを追加するには、**NDJ*** と入力します。
      	NDJ マシン名には、ワイルドカード * と ? がサポートされています。
      	注: 文字列に複数のアスタリスク (*) がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列 ResearchDep*Virtual*TeamMachine* では、文字 *Virtual* は単一のアスタリスク (*) として扱われます。
      Azure AD ユーザー	WEM Webコンソールで AAD/NDJ オブジェクトセレクター を使用してユーザーのSIDと名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\Tester1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\Tester2
      Azure AD グループ	WEM Webコンソールで AAD/NDJ オブジェクトセレクター を使用してグループのSIDと名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\TestGroup1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\TestGroup2

4. 他のアプリケーションの非表示ルールを作成するには、手順3を繰り返します。
5. 画面の指示に従って、構成したルールの生データを生成し、後で使用するために.txtファイルに保存します。
6. ルールが期待どおりに機能するかどうかをテストするには、画面の指示に従って、それらをこのマシンまたはマシンのグループに展開します。
   注:
   このツールを使用して本番環境にルールを展開することはお勧めしません。

GPO を使用してアプリのアクセス制御を有効にする

1. グループポリシー管理エディターを開きます。
2. 「ポリシー > 管理用テンプレート: ポリシー定義 (ADMX ファイル) > Citrix コンポーネント > Profile Management > アプリケーションアクセス制御」にアクセスします。
3. 「アプリケーションアクセス制御」をダブルクリックします。
4. 表示されるポリシーウィンドウで、「有効」を選択します。
5. 生成されたルールを保存した.txtファイルを開き、内容をコピーして、「アプリケーションアクセス制御ルール」フィールドに貼り付けます。
6. OKをクリックします。

1. この設定がGPO、Studio、またはWEMを使用していない場合、.iniファイルの値が使用されます。
2. この設定がどこにも構成されていない場合、この機能は無効になります。

例