アプリケーションへのアクセスを制御する

最終公開日 : Nov 13, 2026
アプリケーションアクセス制御機能を使用すると、ルールを使用してアプリケーションへのアクセスを制御できます。この機能により、アプリケーションとイメージの管理を効率化できます。たとえば、異なる部門に同一のマシンを提供しながら、それぞれの固有のアプリケーション要件を満たすことができ、イメージの数を削減できます。
この記事では、アプリケーションアクセス制御を有効にし、制御ルールを構成するプロセスについて説明します。また、この機能を使用して仮想環境でのイメージ管理を簡素化する例も示します。
注:
この機能は、Active Directory (AD) 環境と非ドメイン参加 (NDJ) 環境の両方に適用されます。
Related information
構成

概要

アプリケーションアクセス制御機能を使用すると、非表示ルールを構成することで、ユーザー、マシン、プロセスからアプリケーションを非表示にできます。
非表示ルールは次の2つの部分で構成されます。
  • 非表示にするオブジェクト。 アプリケーションに対して非表示にするファイル、フォルダー、およびレジストリエントリ。
    たとえば、アプリケーションを非表示にするには、ファイル、フォルダー、レジストリエントリなど、そのアプリケーションに関連付けられているすべてのオブジェクトを指定する必要があります。
  • 割り当て。 アプリケーションを非表示にする対象のユーザー、マシン、およびプロセス。

割り当ての種類

非表示ルールにおける割り当ては、プロセス、ユーザー、マシンの3つのカテゴリに分類されます。具体的な割り当ての種類は次のとおりです。
カテゴリ タイプ
プロセス 任意のプロセス
ユーザー
  • AD および Azure Active Directory (AAD) ユーザー
  • AD および AAD ユーザーグループ
マシン
  • AD、AAD、およびNDJマシン
  • ADマシンのグループ（組織単位（OU）にグループ化）
  • NDJマシンのグループ（マシンカタログにグループ化）
注:
  • アプリアクセス制御ポリシーのコンテキストでは、OUはマシンのコンテナとしてのみ使用され、ユーザーのコンテナとしては使用されません。その結果、OUの割り当ては、OU内のマシンからのみアプリを非表示にし、OU内のユーザーからは非表示にしません。
  • NDJマシンは、Citrix®が作成し、電源管理するマシンに限定されます。
非表示ルールに複数の割り当てが構成されている場合、以下の考慮事項に注意してください。
  • それらの割り当てが同じカテゴリである場合（例：ユーザー AとユーザーグループB）、アプリケーションは、それらの割り当てで指定されたすべてのオブジェクト（ユーザーAとユーザーグループBのすべてのユーザー）から非表示になります。
  • それらの割り当てが異なるカテゴリである場合（例：ユーザー Aとマシン X）、アプリケーションは、それらのすべての割り当てで指定された条件が満たされたときに非表示になります（ユーザーAがマシンXにサインインしたとき）。
  • それらの割り当てがプロセスカテゴリである場合、アプリケーションは、それらの割り当てで指定されたすべてのプロセスから非表示になります。
注:
ルールに割り当てが構成されていない場合、ルールで指定されたアプリケーションは非表示になります。

ワークフロー

アプリアクセス制御機能を使用すると、プロファイル管理は、提供されたルールに基づいて、ユーザー、マシン、およびプロセスからアプリケーションを非表示にできます。大まかに言えば、アプリアクセス制御を実装するワークフローは次のとおりです。
  1. 非表示ルールを作成および生成します。使用できるツールは2つあります。
  2. GPOを使用して、環境内のマシンに非表示ルールを適用します。詳細については、GPOを使用してアプリアクセス制御を有効にするを参照してください。

Rule Generator を使用してルールを作成、管理、展開する

このセクションでは、PowerShell ベースの Rule Generator を使用してルールを作成、管理、展開する方法について説明します。
開始する前に、ツールを実行するマシンが次の要件を満たしていることを確認してください。
  • Windows 10 または 11、あるいは Windows Server 2016、2019、または 2022 で動作します。
  • (AD 環境のみ) ユーザーおよびマシンと同じドメインに属していること。
一般的な手順は次のとおりです。
  1. Windows PowerShell を管理者として実行します。
  2. Profile Management インストールパッケージ内の \tool フォルダーにアクセスし、CPM_App_Access_Control_Config.ps1 を実行します。
    注:
    デフォルトでは、\tool フォルダーに 2 つのファイルがあります: CPM_App_Access_Control_Config.ps1 と CPM_App_Access_Control_Impl.ps1。CPM_App_Access_Control_Config.ps1 は、正しく動作するために CPM_App_Access_Control_Impl.ps1 に依存しています。CPM_App_Access_Control_Impl.ps1 をフォルダーから移動しないでください。
  3. 画面の指示に従って、非表示ルールを作成、管理、生成します。
    1. マシンにインストールされている各アプリケーションとその状態を表示します。
      • 未構成。アプリケーションのルールは構成されていません。
      • 構成済み。アプリケーションに対して 1 つ以上のルールが構成されていますが、それらのいずれもマシンには適用されていません。
      • 構成済みで適用済み。アプリケーションに対して 1 つ以上のルールが構成されており、少なくとも 1 つのルールがマシンに適用されています。
      アプリリスト
    2. アプリケーションリストから、非表示にしたいアプリケーションをインデックスを入力して選択します。そのアプリケーションに関連付けられているすべてのファイル、フォルダー、およびレジストリエントリが表示されます。
      追加を選択(/en-us/profile-management/2607-ltsr/media/app-access-control-tool-add-extra.png)
    3. 選択したアプリケーションの追加のファイル、フォルダー、またはレジストリエントリを非表示にするには、対応するアクションタイプを選択し、その名前とパスを入力してオブジェクトを追加します。さらに追加するには、この手順を繰り返します。
      考慮事項:
      • パス内のシステム環境変数（%windir%など）はサポートされていますが、ユーザー環境変数（%appdata%など）はサポートされていません。
      • ファイルとフォルダーには、ワイルドカード*と?がサポートされています。文字列に複数のアスタリスク（'*'）がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列c:\users\Finance*Manangement*では、文字*Management*は単一のアスタリスク（*）として扱われます。
      注:
      特定のファイル、フォルダー、およびレジストリエントリに関連付けることで、アプリケーションを手動で定義することもできます。
    4. ルールの割り当てを構成します。詳細には、割り当てタイプを指定し、アプリケーションを非表示にする特定のオブジェクトを入力します。詳細については、次の表を参照してください。
      割り当てを選択(/en-us/profile-management/2607-ltsr/media/app-access-control-tool-add-assignment.png)
      注:
      ルールに割り当てを構成しない場合、ルールで指定されたアプリは非表示になります。
      割り当ての種類 説明
      ADユーザー、ユーザーグループ、またはOU それらのADドメイン名を、縦棒（\|）で区切って入力します。
      ADマシン それらのDNSホスト名を、縦棒（\|）で区切って入力します。
      NDJマシンカタログ カタログ名を、縦棒（\|）で区切って入力します。例: Machine_catalog_name1\|Machine_catalog_name2
      NDJ マシン WEM Web コンソールで AAD/NDJ オブジェクトセレクター を使用してマシン名を収集し、それらの名前を縦棒 (\|) で区切って入力します。例: Machine_name1\|Machine_name2。すべてのドメインに参加していないマシンを追加するには、「**NDJ***」と入力します。
      NDJ マシン名では、ワイルドカード * と ? がサポートされています。
      注: 文字列に複数のアスタリスク (*) がある場合、2つのアスタリスク間の文字は無視されます。たとえば、文字列 ResearchDep*Virtual*TeamMachine* では、文字 *Virtual* は単一のアスタリスク (*) として扱われます。
      Azure AD ユーザー WEM Web コンソールで AAD/NDJ オブジェクトセレクター を使用してユーザーの SID と名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\Tester1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\Tester2
      Azure AD グループ WEM Web コンソールで AAD/NDJ オブジェクトセレクター を使用してグループの SID と名前を収集し、次の形式で入力します: sid1\name1\|sid2\name2。例:/azuread/989c2938-6527-4133-bab1-f3860dd15098\TestGroup1\|/azuread/82bdde32-d5d9-4d64-b0ff-9876d4488d05\TestGroup2
      注: 特定のユーザーまたはマシンを除外するには、識別子の前に EX> を追加します。特定のプロセスを除外するには、識別子の前に ? を追加します。除外を割り当てられたグループから縦棒 (\|) で区切ります。
  4. 手順 3 を繰り返して、他のアプリケーションの非表示ルールを作成します。
  5. 画面の指示に従って、構成したルールの生データを生成し、後で使用するために .txt ファイルに保存します。
  6. ルールが期待どおりに機能するかどうかをテストするには、画面の指示に従って、このマシンまたはマシンのグループに展開します。

GPO を使用してアプリケーションアクセス制御を有効にする

非表示ルールを作成して生成したら、GPO を使用して、環境内のマシンに適用できます。
GPO を使用してマシンに制御ルールを適用するには、次の手順を実行します。
  1. グループポリシー管理エディターを開きます。
  2. ポリシー > 管理用テンプレート: ポリシー定義 (ADMX ファイル) > Citrix Components > Profile Management > App access control にアクセスします。
  3. App access control をダブルクリックします。
  4. 表示されるポリシーウィンドウで、Enabled を選択します。
  5. 生成されたルールを保存した .txt ファイルを開き、内容をコピーして、App access control rules フィールドに貼り付けます。
  6. ルールが \r\n ではなく \n で区切られていることを確認するために、ルールコンテンツを再確認してください。Windows では、コンテンツを貼り付けると \n が自動的に \r\n に変換されることがあり、エラーの原因となる可能性があります。
  7. OKをクリックします。
この機能の構成の優先順位は次のとおりです。
  1. この設定が GPO、Studio、または WEM を使用していない場合、.ini ファイルの値が使用されます。
  2. この設定がどこにも構成されていない場合、この機能は無効になります。

例

このセクションでは、イメージのアプリアクセス制御を実装するための例を説明します。

要件

この例の要件は次のとおりです。
  • 営業、人事、およびエンジニアリング部門の仮想マシンを作成するために、単一のイメージを使用します。
  • 次のアプリケーションへのアクセスを制御します。
    • Microsoft Excel: 人事部門のユーザーには表示されません。
    • Visual Studio Code: 営業部門または人事部門のユーザーには表示されません。

解決策

インストールされているアプリケーションへのアクセスを制御するために、Profile Management をインストールします。

テンプレートマシンをインストールする

イメージをキャプチャするためのテンプレートマシンをインストールします。手順は次のとおりです。
  1. 新しいマシンを、ユーザーおよびマシンと同じADドメインに参加させます。
  2. マシンに以下のソフトウェアをインストールします。
    • 必要に応じて、Windows 10または11、あるいはWindows Server 2016、2019、または2022
    • Profile Management バージョン2303以降
    • 必要なすべてのアプリケーション

非表示ルールを作成および生成する

  1. テンプレートマシンで、Rule Generatorツールを使用して非表示ルールを作成および生成します。
    • ルール1：人事部のユーザーからMicrosoft Excelを非表示にする（アプリケーション：Microsoft Excel；割り当て：HRユーザーグループ）
    • ルール2：営業部または人事部のユーザーからVisual Studio Codeを非表示にする（アプリケーション：Visual Studio Code；割り当て：SalesユーザーグループおよびHRユーザーグループ）
  2. 2つのルールの生データを生成し、.txtファイルに保存します。
ツールの使用方法の詳細については、「Rule Generatorを使用してルールを作成、生成、および展開する」を参照してください。
これで、テンプレートマシンからイメージをキャプチャできます。

GPO を使用してアプリのアクセス制御を有効にする

仮想マシンが作成されたら、GPO を使用してアプリのアクセス制御を一元的に有効にし、生成されたルールをマシンに適用します。詳細については、「GPO を使用してアプリのアクセス制御を有効にする」を参照してください。

FSLogix からルールセットを移行する

Rule Generator ツールを使用すると、FSLogix で構成されたルールセットを Profile Management のアプリアクセス制御に移行できます。
注:
FSLogixで使用される一部のルールタイプと割り当てタイプは、アプリアクセス制御でサポートされていません。環境を確認し、必要に応じて代替構成を検討してください。
FSLogix ルールセットを移行するには：
  1. WEM ツールハブ > アプリケーションアクセス制御用ルールジェネレーター を開きます。
  2. Import > FSLogix Apps Rule Set をクリックして移行を開始します。
  3. 「参照」をクリックし、FSLogix Rule Editorを使用して保存されたFSLogixルール定義ファイルを見つけて、「開く」をクリックします。
    注:
    ルール定義ファイルとそれに関連付けられた割り当てファイルが同じフォルダーに保存されていることを確認してください。このツールは、サポートされているルールセットとその割り当てを移行します。
  4. 移行が完了したら、詳細を確認します。
    サポートされていないルールやデータがないか確認し、結果を検証します。移行後にルールを編集または追加できます。
  5. 「インポート」をクリックしてプロセスを完了します。
    移行されたルールはテスト可能になり、既存のルールとともに保存できます。