セキュリティ

最終公開日 : Nov 13, 2026
Related information
構成セット

アプリケーションセキュリティ

アプリケーションセキュリティ機能を使用すると、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。Webコンソールでアプリケーションセキュリティルールを設定し、ルール設定に必要な情報を取得するためのツールを提供できます。また、この機能を使用して、セキュリティルールを含む割り当てグループを作成することもできます。

構成

Process application rules と Process DLL rules が有効になっている場合、Overwrite モードがデフォルトでオンになります。Overwrite モードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールも作成できます。
  • 実行可能ルール
  • Windowsインストーラールール
  • スクリプトルール
  • パッケージアプリルール
  • DLLルール
注:
ルールを作成する前に、重要なシステムファイルが実行されるように、まずデフォルトルールを追加することをお勧めします。
  • Process application rules。選択すると、Application Security タブのコントロールが有効になり、エージェントは現在の構成セットのルールを処理し、それらをエージェントホスト上のAppLockerルールに変換します。選択されていない場合、Application Security タブのコントロールは無効になります。
    注:
    このオプションは、Workspace Environment Management™ 管理コンソールがWindows 7 SP1またはWindows Server 2008 R2 SP1（またはそれ以前のバージョン）にインストールされている場合は使用できません。
  • Process DLL Rules。選択すると、エージェントは現在の構成セットのDLLルールを処理します。このオプションは、Process Application Security Rules を選択した場合にのみ使用できます。
    重要：
    DLLルールを使用する場合、許可されているすべてのアプリで使用される各DLLに対して、Allow 権限を持つDLLルールを作成する必要があります。
    注意:
    DLLルールを使用すると、ユーザーはパフォーマンスの低下を経験する可能性があります。
  • Overwrite および Merge 設定により、エージェントがアプリケーションセキュリティルールを処理する方法を決定できます。
    • Overwrite。既存のルールを上書きできます。選択すると、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。
    • マージ。既存のルールとルールをマージできます。競合が発生した場合、最後に処理されたルールが以前に処理されたルールを上書きします。マージ中にルール適用設定を変更する必要がある場合は、マージモードでは値が異なる場合に古い値が保持されるため、上書きモードを使用してください。

ルールコレクション

各コレクション名には、含まれるルールの数が示されます（例：(12)）。コレクション名をクリックすると、ルールリストが次のいずれかのコレクションにフィルタリングされます。
  • 実行可能ルール。アプリケーションに関連付けられている.exeおよび.com拡張子のファイルを含むルール。
  • Windowsルール。クライアントコンピューターおよびサーバーへのファイルのインストールを制御するインストーラーファイル形式（.msi、.msp、.mst）を含むルール。
  • スクリプトルール。次の形式のファイルを含むルール：.ps1、.bat、.cmd、.vbs、.js。
  • パッケージルール。ユニバーサルWindowsアプリとも呼ばれるパッケージアプリを含むルール。パッケージアプリでは、アプリパッケージ内のすべてのファイルが同じIDを共有します。したがって、1つのルールでアプリ全体を制御できます。Workspace Environment Managementは、パッケージアプリのパブリッシャールールのみをサポートしています。
  • DLLルール。次の形式のファイルを含むルール：.dll、.ocx。
ルールリストをコレクションにフィルタリングすると、ルール適用オプションが使用可能になります。次のルール適用値が可能です。
オフ（デフォルト）。ルールが作成され、オフに設定されます。これは、ルールが適用されないことを意味します。
オン。ルールが作成され、適用に設定されます。これは、エージェントホストでアクティブであることを意味します。
監査。ルールが作成され、監査に設定されます。これは、エージェントホスト上で非アクティブな状態であることを意味します。

Windowsインストーラールールの作成

これには、基本情報と例外の2つのメニュー項目が含まれます。Windowsインストーラールールを作成するには、基本情報と例外の下で次の手順を完了します。
  • ルールの作成を選択すると、Windowsインストーラールールの作成ページに移動します。
  • 名前とオプションの説明を入力します。
  • 目的のアクションを選択します。
  • ドロップダウンリストから、パス、発行元、ファイルハッシュなどの基準タイプを選択します。
  • ファイル情報ビューアを開くを選択すると、WEM Tool Hubに移動します。WEM Tool Hub**を使用して、必要な情報をすばやく取得します。詳細については、「ファイル情報ビューア」を参照してください。
  • 必要に応じて、プライマリ基準に基づいて通常ルールに含まれるファイルを含めるための例外を追加できます。このタスクを実行するには、例外の追加を選択します。
  • WEM Tool Hubに移動して、ファイル情報ビューアの下にある指定された基準のいずれかからデータをコピーし、ファイル情報ビューアから貼り付けをクリックします。
  • 「完了」をクリックします。
  • 割り当ての管理ページで必要に応じて割り当てを更新するには、割り当てに進むを選択します。
  • この項目を割り当てる割り当てターゲット（ユーザーとグループ）を選択します。フィルターを使用して割り当てをコンテキスト化します。指定したフィルターは、上書きモードでのみ有効であり、エージェントバージョン2406以降でのみサポートされます。
  • 特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。

特権の昇格

この機能は、特定のプログラムを管理者特権で実行するためのルールを定義します。非管理者ユーザーの特権を、一部の実行可能ファイルに必要な管理者レベルに昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。

特権昇格オプション

  • 特権昇格ルールを処理する: 選択すると、エージェントが特権昇格設定を処理できるようになり、特権昇格タブの他のオプションが利用可能になります。
  • Windows Server OSに適用する: 特権昇格設定をWindows Serverオペレーティングシステムに適用するかどうかを制御します。選択した場合、ユーザーに割り当てられたルールはWindows Serverマシンで機能します。デフォルトでは、このオプションは無効になっています。
  • RunAsInvokerを強制する: すべての実行可能ファイルを現在のWindowsアカウントで実行するように強制するかどうかを制御します。選択した場合、ユーザーは実行可能ファイルを管理者として実行するように求められません。
このペインには、構成したルールの完全なリストも表示されます。特定のルールタイプにルールリストをフィルタリングするには、実行可能ルール、Windows インストーラー ルール、または自己昇格をクリックします。検索を使用してリストをフィルタリングできます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

特権昇格は、実行可能ルールとWindowsインストーラールールの2種類のルールを使用して構成できます。
  • 実行可能ルール: アプリケーションに関連付けられた.exeおよび.com拡張子を持つファイルを含むルール。
  • Windows インストーラー ルール: アプリケーションに関連付けられた.msiおよび.msp拡張子を持つインストーラーファイルを含むルール。Windowsインストーラールールを追加する際は、次のシナリオを考慮してください。
    • 特権昇格は、Microsoftのmsiexec.exeにのみ適用されます。.msiおよび.mspのWindowsインストーラーファイルを展開するために使用するツールがmsiexec.exeであることを確認してください。
    • あるプロセスが指定されたWindowsインストーラールールに一致し、その親プロセスが指定された実行可能ルールに一致するとします。指定された実行可能ルールで子プロセスに適用設定が有効になっていない限り、そのプロセスは昇格された特権を取得できません。
  • 自己昇格: 有効にすると、ファイルを右クリックしたときにコンテキストメニューに管理者権限で実行オプションが表示されます。このオプションを選択すると、昇格の理由を提供するよう求められます。昇格は、指定した基準に基づいて許可または拒否されます。ルールを構成するには、WEM Tool Hub > ファイル情報ビューアーを使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。また、期間を指定したり、曜日を選択したり、オプションでルールが有効になるマシンを決定するための基準を設定したりすることもできます。構成セットで自己昇格トグルが初めて有効にされた場合、自己昇格ルールが作成され、割り当てターゲットの割り当てを管理する際のルールリストで見つけることができます。ルールは作成後に削除されることはありません。
ルールが有効な期間を指定できます。また、オプションで、ルールが適用されるマシンを決定するための基準を設定することもできます。以下の基準のすべてまたは一部に一致するように選択できます。
  • マシンカタログ名
  • デリバリーグループ名
  • デバイス名
  • IPアドレス
  • OSプラットフォームタイプ
  • OSバージョン
  • 永続的なマシンステータス
実行可能ルール、Windows インストーラー ルール、または自己昇格ルールを選択すると、アクションセクションに利用可能な次のアクションが表示されます。
  • 編集。既存の実行可能ルールを編集できます。
  • 削除。既存の実行可能ルールを削除できます。
  • ルールの作成。実行可能ルールを作成できます。実行可能ルールを作成するには、ウィザードの指示に従ってください。