アプリケーションへのアクセスを制御する

概要

• 非表示にするオブジェクト。 アプリケーションに対して非表示にするファイル、フォルダー、およびレジストリエントリ。
  たとえば、アプリケーションを非表示にするには、ファイル、フォルダー、レジストリエントリなど、そのアプリケーションに関連付けられているすべてのオブジェクトを指定する必要があります。
• 割り当て。 アプリケーションを非表示にする対象のユーザー、マシン、およびプロセス。

ワークフロー

1. 非表示ルールを作成および生成します。使用できるツールは2つあります。
   • GUIベースのツール – WEM Tool Hub > アプリアクセス制御用ルールジェネレーター
   • PowerShellツール – Profile Managementインストールパッケージに含まれています。詳しくは、「ルールジェネレーターを使用したルールの作成、管理、展開」を参照してください。
2. GPOを使用して、環境内のマシンに非表示ルールを適用します。詳しくは、「GPOを使用したアプリアクセス制御の有効化」を参照してください。

ルールジェネレーターを使用してルールを作成、管理、展開する

• Windows 10または11、あるいはWindows Server 2016、2019、または2022で実行されていること。
• (AD環境のみ) ユーザーおよびマシンと同じドメイン内にあること。

1. 管理者としてWindows PowerShellを実行します。
2. プロファイル管理インストールパッケージ内の**\tool**フォルダーにアクセスし、CPM_App_Access_Control_Config.ps1を実行します。
   注:
   デフォルトでは、\toolフォルダーにCPM_App_Access_Control_Config.ps1とCPM_App_Access_Control_Impl.ps1の2つのファイルがあります。CPM_App_Access_Control_Config.ps1は、正しく機能するためにCPM_App_Access_Control_Impl.ps1に依存しています。CPM_App_Access_Control_Impl.ps1をフォルダーから移動しないでください。

3. 画面の指示に従って、非表示ルールを作成、管理、生成します。
   1. マシンにインストールされている各アプリケーションとその状態を表示します。
      • 未構成。アプリケーションに対してルールが構成されていません。
      • 構成済み。アプリケーションに対して1つ以上のルールが構成されていますが、それらのいずれもマシンに適用されていません。
      • 構成済みで適用済み。アプリケーションに対して1つ以上のルールが構成されており、少なくとも1つのルールがマシンに適用されています。
      
   2. アプリケーションリストから、インデックスを入力して非表示にするアプリケーションを選択します。そのアプリケーションに関連付けられているすべてのファイル、フォルダー、およびレジストリエントリが表示されます。
      
   3. 選択したアプリケーションの追加のファイル、フォルダー、またはレジストリエントリを非表示にするには、対応するアクションタイプを選択し、その名前とパスを入力してオブジェクトを追加します。さらに追加するには、この手順を繰り返します。
      考慮事項:
      • パス内のシステム環境変数（%windir% など）はサポートされていますが、ユーザー環境変数（%appdata% など）はサポートされていません。
      • ファイルとフォルダーでは、ワイルドカード * と ? がサポートされています。文字列内に複数のアスタリスク（'*'）がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列 c:\users\Finance*Manangement* では、文字 *Management* は単一のアスタリスク（*）として扱われます。
      注:
      特定のファイル、フォルダー、およびレジストリエントリに関連付けることで、アプリケーションを手動で定義することもできます。

   4. ルールの割り当てを構成します。詳細には、割り当てタイプを指定し、アプリケーションを非表示にする特定のオブジェクトを入力します。詳細については、次の表を参照してください。
      
      注:
      ルールに割り当てを構成しない場合、ルールで指定されたアプリは非表示になります。

      割り当ての種類	説明
      ADユーザー、ユーザーグループ、またはOU	ADドメイン名を縦棒（\|）で区切って入力します。
      ADマシン	DNSホスト名を縦棒（\|）で区切って入力します。
      NDJマシンカタログ	カタログ名を縦棒（\|）で区切って入力します。例: Machine_catalog_name1\|Machine_catalog_name2
      NDJマシン	WEM WebコンソールでAAD/NDJオブジェクトセレクターを使用してマシン名を収集し、それらの名前を縦棒 (\|) で区切って入力します。例: Machine_name1\|Machine_name2。すべてのドメインに参加していないマシンを追加するには、「**NDJ***」と入力します。
      	ワイルドカード*と?はNDJマシン名に対してサポートされています。
      	注: 文字列に複数のアスタリスク (*) がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列ResearchDep*Virtual*TeamMachine*では、文字*Virtual*は単一のアスタリスク (*) として扱われます。
      Azure ADユーザー	WEM WebコンソールでAAD/NDJオブジェクトセレクターを使用してユーザーのSIDと名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\Tester1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\Tester2
      Azure ADグループ	WEM WebコンソールでAAD/NDJオブジェクトセレクターを使用してグループのSIDと名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\TestGroup1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\TestGroup2
      注: 特定のユーザーまたはマシンを除外するには、識別子の前にEX>を追加します。特定のプロセスを除外するには、識別子の前に?を追加します。除外を割り当てられたグループから縦棒 (\|) で区切ります。

4. ステップ3を繰り返して、他のアプリケーションの非表示ルールを作成します。
5. 画面の指示に従って、設定したルールの生データを生成し、将来使用するために.txtファイルに保存します。
6. ルールが期待どおりに機能するかどうかをテストするには、画面の指示に従って、それらをこのマシンまたはマシンのグループに展開します。

GPOを使用してアプリのアクセス制御を有効にする

1. グループポリシー管理エディターを開きます。
2. ポリシー > 管理用テンプレート: ポリシー定義 (ADMX ファイル) > Citrix コンポーネント > Profile Management > アプリケーションアクセス制御にアクセスします。
3. アプリケーションアクセス制御をダブルクリックします。
4. 表示されるポリシーウィンドウで、有効を選択します。
5. 生成されたルールを保存した.txtファイルを開き、内容をコピーして、アプリケーションアクセス制御ルールフィールドに貼り付けます。
6. ルールが\r\nではなく\nで区切られていることを確認するために、ルールコンテンツを再確認してください。Windowsでは、コンテンツを貼り付けると\nが自動的に\r\nに変換され、エラーの原因となる可能性があります。
7. OKをクリックします。

1. この設定がGPO、Studio、またはWEMを使用していない場合、.iniファイルの値が使用されます。
2. この設定がどこにも構成されていない場合、この機能は無効になります。

例