セキュリティ
アプリケーションセキュリティ
アプリケーションセキュリティ機能を使用すると、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。Webコンソールでアプリケーションセキュリティルールを構成し、ルール構成に必要な情報を取得するためのツールを提供できます。また、この機能を使用して、セキュリティルールを持つ割り当てグループを作成することもできます。
構成
アプリケーションルールを処理とDLLルールを処理が有効になっている場合、上書きモードがデフォルトでオンになります。上書きモードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールを作成することもできます。
-
実行可能ルール
-
Windowsインストーラールール
-
スクリプトルール
-
パッケージアプリルール
-
DLLルール
注:
ルールを作成する前に、重要なシステムファイルが実行できるように、まずデフォルトルールを追加することをお勧めします。
-
アプリケーションルールを処理。選択すると、アプリケーションセキュリティタブのコントロールが有効になり、エージェントは現在の構成セットのルールを処理し、それらをエージェントホスト上のAppLockerルールに変換します。選択されていない場合、アプリケーションセキュリティタブのコントロールは無効になります。注:このオプションは、Workspace Environment Management™ 管理コンソールが Windows 7 SP1 または Windows Server 2008 R2 SP1 (またはそれ以前のバージョン) にインストールされている場合は使用できません。
-
DLLルールを処理。選択すると、エージェントは現在の構成セットのDLLルールを処理します。このオプションは、アプリケーションセキュリティルールを処理を選択した場合にのみ使用できます。重要：DLLルールを使用する場合、許可されているすべてのアプリで使用される各DLLに対して、許可権限を持つDLLルールを作成する必要があります。注意:DLLルールを使用すると、ユーザーはパフォーマンスの低下を経験する可能性があります。
-
上書きとマージの設定により、エージェントがアプリケーションセキュリティルールをどのように処理するかを決定できます。
-
上書き。既存のルールを上書きできます。選択すると、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。
-
マージ。既存のルールとルールをマージできます。競合が発生した場合、最後に処理されたルールが以前に処理されたルールを上書きします。マージ中にルール適用設定を変更する必要がある場合は、マージモードでは異なる場合に古い値が保持されるため、上書きモードを使用してください。
-
ルールコレクション
各コレクション名には、含まれるルールの数が示されます（例：(12)）。コレクション名をクリックして、ルールリストを以下のいずれかのコレクションにフィルタリングします。
-
実行可能ルール。アプリケーションに関連付けられている.exeおよび.com拡張子のファイルを含むルール。
-
Windowsルール。クライアントコンピューターおよびサーバーへのファイルのインストールを制御するインストーラーファイル形式（.msi、.msp、.mst）を含むルール。
-
スクリプトルール。以下の形式のファイルを含むルール：.ps1、.bat、.cmd、.vbs、.js。
-
パッケージルール。ユニバーサルWindowsアプリとも呼ばれるパッケージアプリを含むルール。パッケージアプリでは、アプリパッケージ内のすべてのファイルが同じIDを共有します。したがって、1つのルールでアプリ全体を制御できます。Workspace Environment Managementは、パッケージアプリのパブリッシャールールのみをサポートします。
-
DLLルール。以下の形式のファイルを含むルール：.dll、.ocx。
ルールリストをコレクションにフィルタリングすると、ルール適用オプションが利用可能になります。以下のルール適用値が可能です。
オフ（デフォルト）。ルールは作成され、オフに設定されます。これは、ルールが適用されないことを意味します。
オン。ルールは作成され、適用に設定されます。これは、エージェントホストでアクティブであることを意味します。
監査。ルールは作成され、監査に設定されます。これは、エージェントホストで非アクティブな状態であることを意味します。
Windowsインストーラールールの作成
これには、基本情報と例外の2つのメニュー項目が含まれます。Windowsインストーラールールを作成するには、基本情報と例外の下で次の手順を完了します。
-
ルールの作成を選択すると、Windowsインストーラールールの作成ページに移動します。
-
名前とオプションの説明を入力します。
-
目的のアクションを選択します。
-
ドロップダウンリストから、パス、発行元、ファイルハッシュなどの基準タイプを選択します。
-
「ファイル情報ビューアを開く」を選択すると、WEM Tool Hubに移動します。WEM Tool Hub**を使用して、必要な情報をすばやく取得します。詳細については、「ファイル情報ビューア」を参照してください。
-
必要に応じて、プライマリ基準に基づいて通常ルールに含まれるファイルを含めるための例外を追加できます。このタスクを実行するには、例外の追加を選択します。
-
WEM Tool Hubに移動して、ファイル情報ビューアの下にある指定された基準のいずれかからデータをコピーし、ファイル情報ビューアから貼り付けをクリックします。
-
「完了」をクリックします。
-
割り当ての管理ページで必要に応じて割り当てを更新するには、割り当てに進むを選択します。
-
この項目を割り当てる割り当てターゲット（ユーザーとグループ）を選択します。フィルターを使用して割り当てをコンテキスト化します。指定するフィルターは、上書きモードでのみ有効であり、エージェントバージョン2406以降でのみサポートされます。
-
特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。
特権の昇格
この機能は、特定のプログラムを管理者特権で実行するためのルールを定義します。非管理者ユーザーの特権を、一部の実行可能ファイルに必要な管理者レベルに昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。
特権昇格オプション
-
Windows Server OSに適用する: 特権昇格設定をWindows Serverオペレーティングシステムに適用するかどうかを制御します。選択すると、ユーザーに割り当てられたルールはWindows Serverマシンで機能します。デフォルトでは、このオプションは無効になっています。
-
RunAsInvokerを強制する: すべての実行可能ファイルを現在のWindowsアカウントで実行するように強制するかどうかを制御します。選択すると、ユーザーは実行可能ファイルを管理者として実行するように求められません。
このペインには、設定したルールの一覧も表示されます。実行可能ルール、Windowsインストーラー ルール、または自己昇格をクリックして、ルールリストを特定のルールタイプにフィルタリングします。検索を使用してリストをフィルタリングできます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
サポートされているルール
権限昇格は、実行可能ルールとWindowsインストーラー ルールの2種類のルールを使用して構成できます。
-
実行可能ルール: アプリケーションに関連付けられた.exeおよび.com拡張子を持つファイルを含むルール。
-
Windowsインストーラー ルール: アプリケーションに関連付けられた
.msiおよび.msp拡張子を持つインストーラーファイルを含むルール。Windowsインストーラー ルールを追加する際は、次のシナリオを考慮してください。-
権限昇格はMicrosoftのmsiexec.exeにのみ適用されます。
.msiおよび.mspのWindowsインストーラーファイルを展開するために使用するツールがmsiexec.exeであることを確認してください。 -
あるプロセスが指定されたWindowsインストーラー ルールに一致し、その親プロセスが指定された実行可能ルールに一致するとします。指定された実行可能ルールで子プロセスに適用設定が有効になっていない限り、そのプロセスは昇格された権限を取得できません。
-
-
自己昇格: 有効にすると、ファイルを右クリックしたときにコンテキストメニューに管理者権限で実行オプションが表示されます。このオプションを選択すると、昇格の理由を提供するように求められます。その後、指定した基準に基づいて昇格が許可または拒否されます。ルールを構成するには、WEM Tool Hub > ファイル情報ビューアーを使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。また、期間を指定したり、曜日を選択したり、オプションでルールが有効になるマシンを決定する基準を設定したりすることもできます。構成セットで自己昇格トグルが初めて有効になると、自己昇格ルールが作成され、割り当てターゲットの割り当てを管理する際にルールリストで見つけることができます。ルールは作成後に削除されることはありません。
重要：
フォルダーベースのパス条件で権限昇格ルールを構成する場合、管理者以外のユーザーが指定されたパスへの書き込みアクセス権を持たないようにしてください。書き込みアクセスを許可すると、標準ユーザーがそれらの場所にファイルを配置し、昇格された権限を取得する可能性があります。
フォルダーベースのパス条件をすでに構成しており、標準ユーザーが書き込みアクセス権を持っている場合、フォルダーのアクセス許可を更新して書き込みアクセスを管理者のみに制限するか、代わりにハッシュまたは発行元条件を使用するようにルールを変更してください。
ルールが有効な期間を指定できます。また、オプションでルールが適用されるマシンを決定する基準を設定できます。次の基準のすべてまたは一部に一致するように選択できます。
-
マシンカタログ名
-
デリバリーグループ名
-
デバイス名
-
IPアドレス
-
OSプラットフォームの種類
-
OSバージョン
-
永続的なマシンステータス
実行可能ルール、Windows インストーラールール、または自己昇格ルールを選択すると、アクションセクションに次の利用可能なアクションが表示されます。
-
編集。既存の実行可能ルールを編集できます。
-
削除。既存の実行可能ルールを削除できます。
-
ルールの作成。実行可能ルールを作成できます。実行可能ルールを作成するには、ウィザードの指示に従ってください。
プロセス階層制御
プロセス階層制御機能は、親子関係のシナリオで、特定のチャイルドプロセスがその親プロセスから開始できるかどうかを制御します。親プロセスを定義し、そのチャイルドプロセスに対して許可リストまたはブロックリストを指定することでルールを作成します。この機能を使用する前に、このセクション全体を確認してください。
注:
-
この機能はCitrix Virtual Appsにのみ適用されます。
ルールの仕組みを理解するために、次の点に留意してください。
-
プロセスは1つのルールのみに従います。同じプロセスに対して複数のルールを定義した場合、最も優先度の高いルールのみが適用されます。
-
定義したルールは、元の親子階層に限定されるだけでなく、その階層の各レベルにも適用されます。親プロセスに適用されるルールは、ルールの優先度に関係なく、そのチャイルドプロセスに適用されるルールよりも優先されます。たとえば、次の2つのルールを定義します。
-
ルール1：WordはCMDを開くことができません。
-
ルール2：メモ帳はCMDを開くことができます。
この2つのルールがある場合、ルールの優先度に関係なく、まずWordを開き、次にWordからメモ帳を開くことで、メモ帳からCMDを開くことはできません。 -
この機能は、特定のプロセスベースの親子関係に依存して動作します。シナリオにおける親子関係を視覚化するには、Process Explorerツールのプロセスツリー機能を使用します。Process Explorerの詳細については、
<https://docs.microsoft.com/ja-jp/sysinternals/downloads/procmon>を参照してください。
潜在的な問題を回避するため、フル構成管理インターフェイスで VUEMAppCmd.exe を指す実行可能ファイルのパスを追加することをお勧めします。VUEMAppCmd.exe は、公開されたアプリケーションが開始する前に WEM エージェントが設定の処理を完了することを保証します。次の手順を完了してください。
-
アプリケーションノードでアプリケーションを選択し、アクションバーのプロパティをクリックしてから、場所ページに移動します。フル構成のアプリケーション設定ページ(/en-us/workspace-environment-management/service/media/full-configuration-interface-application-settings.png)
-
エンドユーザーのオペレーティングシステム上のローカルアプリケーションのパスを入力します。
-
実行可能ファイルへのパスフィールドに、次のように入力します。
<%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
-
-
開くアプリケーションを指定するコマンドライン引数を入力します。
-
コマンドライン引数フィールドに、VUEMAppCmd.exe を介して起動したいアプリケーションへのフルパスを入力します。パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲むようにしてください。
-
たとえば、VUEMAppCmd.exe を介して iexplore.exe を起動したいとします。その場合は、次のように入力します。
%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。
-
考慮事項
この機能が動作するためには、各エージェントマシンで AppInfoViewer ツールを使用して機能を有効にする必要があります。このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。機能が有効になっている場合、以下の考慮事項に注意してください。
-
エージェントをアップグレードまたはアンインストールした後、エージェントマシンを再起動する必要があります。
-
この機能が有効になっている場合、自動エージェントアップグレード機能は動作しません。自動エージェントアップグレード機能を使用するには、まず AppInfoViewer ツールを使用してプロセス階層制御機能を無効にしてください。
プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンでレジストリエディターを開きます。以下のレジストリエントリが存在する場合、この機能は有効になっています。
-
32ビットOS
-
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
-
-
64ビットOS
-
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook -
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook
-
前提条件
この機能を使用するには、以下の前提条件が満たされていることを確認してください。
-
Citrix Virtual Appsの展開。
-
エージェントがWindows 10またはWindows Serverで実行されている。
-
インプレースアップグレードまたは新規インストール後にエージェントホストが再起動されている。
プロセス階層制御オプション
セキュリティでプロセス階層制御を選択すると、次のオプションが表示されます。
プロセス階層制御を有効にする: プロセス階層制御機能を有効にするかどうかを制御します。選択すると、プロセス階層制御タブの他のオプションが利用可能になり、構成された設定が有効になります。この機能は、Citrix Virtual Appsの展開でのみ使用できます。
コンテキストメニューからを非表示にする: Windowsの右クリックコンテキストメニューからプログラムから開くオプションを表示または非表示にするかどうかを制御します。有効にすると、メニューオプションはインターフェイスから非表示になります。無効にすると、オプションは表示され、ユーザーはそれを使用してプロセスを開始できます。プロセス階層制御機能は、プログラムから開くオプションを介して開始されたプロセスには適用されません。現在のアプリケーション階層とは無関係なシステムサービスを介してアプリケーションがプロセスを開始するのを防ぐために、この設定を有効にすることをお勧めします。
プロセス階層制御タブには、構成したルールの完全なリストも表示されます。検索を使用してリストをフィルター処理できます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
アクションセクションには、次のアクションが表示されます。
-
編集。ルールを編集できます。
-
削除。ルールを削除できます。
-
ルールの作成。ルールを追加できます。
ルールの作成
-
プロセス階層制御に移動し、ルールの作成をクリックします。ルールの作成ページが表示されます。
-
表示セクションで、次のように入力します。
-
名前。ルールの表示名を入力します。この名前はルールリストに表示されます。
-
説明。ルールに関する追加情報を入力します。
-
-
優先度セクションで、ルールの優先度を設定します。優先度を設定する際は、次の点を考慮してください。優先度は、設定したルールが処理される順序を決定します。値が大きいほど、優先度が高くなります。整数を入力します。競合がある場合、優先度の高いルールが優先されます。
-
基準タイプセクションで、親プロセスを追加するオプションを選択します。
-
パス。ルールはファイルパスと一致します。
-
発行元。ルールは選択した発行元と一致します。
-
ハッシュ。ルールは特定のハッシュコードと一致します。
-
-
モードセクションで、次のいずれかのオプションを選択します。
-
許可リスト。親プロセスから開くことが許可されている子プロセスの基準を設定します。それ以外はすべて拒否されます。
-
拒否リスト。親プロセスから開くことが許可されていない子プロセスの基準を設定します。それ以外はすべて許可されます。
-
-
子プロセスの基準。
-
ルールが有効な期間を指定します。
-
マシン基準: ルールが有効になるマシンを決定するための基準を設定します。オプションで、ルールが適用されるマシンを決定するための基準を設定できます。次の基準のすべてまたは一部に一致するように選択できます。
-
マシンカタログ名
-
デリバリーグループ名
-
デバイス名
-
IPアドレス
-
OSプラットフォームの種類
-
OSバージョン
-
永続的なマシンの状態
-
ユーザーにルールを割り当てるには
リストからルールを1つ選択し、ActionsセクションでManage assignmentsをクリックします。
ルールを削除するには
リストから1つ以上のルールを選択し、ActionsセクションでDeleteをクリックします。