セキュリティ

最終公開日 : Nov 13, 2026
Related information
構成セット

アプリケーションセキュリティ

アプリケーションセキュリティ機能を使用すると、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。Webコンソールでアプリケーションセキュリティルールを構成し、ルール構成に必要な情報を取得するためのツールを提供できます。また、この機能を使用して、セキュリティルールを含む割り当てグループを作成することもできます。

構成

アプリケーションルールを処理とDLLルールを処理が有効になっている場合、上書きモードがデフォルトでオンになります。上書きモードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールも作成できます。
  • 実行可能ルール
  • Windowsインストーラールール
  • スクリプトルール
  • パッケージアプリルール
  • DLLルール
注:
ルールを作成する前に、重要なシステムファイルが実行されるように、まずデフォルトのルールを追加することをお勧めします。
  • アプリケーションルールを処理。選択すると、アプリケーションセキュリティタブのコントロールが有効になり、エージェントは現在の構成セットのルールを処理し、それらをエージェントホスト上のAppLockerルールに変換します。選択しない場合、アプリケーションセキュリティタブのコントロールは無効になります。
    注:
    このオプションは、Workspace Environment Management™管理コンソールがWindows 7 SP1またはWindows Server 2008 R2 SP1（またはそれ以前のバージョン）にインストールされている場合は使用できません。
  • DLLルールを処理。選択すると、エージェントは現在の構成セットのDLLルールを処理します。このオプションは、アプリケーションセキュリティルールを処理を選択した場合にのみ使用できます。
    重要:
    DLLルールを使用する場合、許可されているすべてのアプリで使用される各DLLに対して、許可権限を持つDLLルールを作成する必要があります。
    注意:
    DLLルールを使用すると、ユーザーのパフォーマンスが低下する可能性があります。
  • 上書きおよびマージ設定により、エージェントがアプリケーションセキュリティルールを処理する方法を決定できます。
    • 上書き。既存のルールを上書きできます。選択すると、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。
    • マージ。既存のルールとルールをマージできます。競合が発生した場合、最後に処理されたルールが以前に処理されたルールを上書きします。マージ中にルール適用設定を変更する必要がある場合は、マージモードでは値が異なる場合に古い値が保持されるため、上書きモードを使用してください。

ルールコレクション

各コレクション名には、含まれるルールの数が示されます（例：(12)）。コレクション名をクリックすると、ルールリストが次のいずれかのコレクションにフィルタリングされます。
  • 実行可能ルール。アプリケーションに関連付けられている .exe および .com 拡張子のファイルを含むルール。
  • Windows ルール。クライアントコンピューターおよびサーバーへのファイルのインストールを制御するインストーラーファイル形式（.msi、.msp、.mst）を含むルール。
  • スクリプトルール。次の形式のファイルを含むルール：.ps1、.bat、.cmd、.vbs、.js。
  • パッケージルール。ユニバーサル Windows アプリとも呼ばれるパッケージアプリを含むルール。パッケージアプリでは、アプリパッケージ内のすべてのファイルが同じIDを共有します。したがって、1つのルールでアプリ全体を制御できます。Workspace Environment Management は、パッケージアプリのパブリッシャールールのみをサポートしています。
  • DLL ルール。次の形式のファイルを含むルール：.dll、.ocx。
ルールリストをコレクションにフィルタリングすると、ルール適用オプションが使用可能になります。次のルール適用値が可能です。
オフ（デフォルト）。ルールは作成され、オフに設定されます。これは、ルールが適用されないことを意味します。
オン。ルールは作成され、適用に設定されます。これは、エージェントホストでアクティブであることを意味します。
監査。ルールは作成され、監査に設定されます。これは、エージェントホスト上で非アクティブな状態であることを意味します。

Windows インストーラールールの作成

これには、基本情報と例外の2つのメニュー項目が含まれます。Windows インストーラールールを作成するには、基本情報と例外の下で次の手順を完了します。
  • ルールの作成を選択すると、Windows インストーラールールの作成ページに移動します。
  • 名前とオプションの説明を入力します。
  • 目的のアクションを選択します。
  • ドロップダウンリストから、パス、発行元、ファイルハッシュなどの基準タイプを選択します。
  • ファイル情報ビューアを開くを選択すると、Citrix Environment Tool Hubに移動します。Citrix Environment Tool Hubを使用して、必要な情報をすばやく取得します。詳細については、ファイル情報ビューアを参照してください。
  • 必要に応じて、主要な基準に基づいて通常はルールに含まれるファイルを含めるための例外を追加できます。このタスクを実行するには、例外の追加を選択します。
  • Citrix Environment Tool Hubに移動して、ファイル情報ビューアの下にある指定された基準のいずれかからデータをコピーし、ファイル情報ビューアから貼り付けをクリックします。
  • 「完了」をクリックします。
  • 割り当ての管理ページで必要に応じて割り当てを更新するには、割り当てに進むを選択します。
  • この項目を割り当てる割り当てターゲット（ユーザーとグループ）を選択します。フィルターを使用して割り当てをコンテキスト化します。指定するフィルターは、上書きモードでのみ有効であり、エージェントバージョン2406以降でのみサポートされます。
  • すべてのファイルに特定のルールを適用する必要がある場合は、アスタリスクを入力します。

WEM WebコンソールでAppLockerルールをインポートする

AppLocker XMLファイルからエクスポートされたアプリケーションセキュリティルールをWEM Webコンソールに直接インポートできます。これにより、既存のAppLocker構成から複数のルールを迅速に取り込み、セットアップを効率化し、環境全体の一貫性を向上させることができます。ルールをインポートすると、その割り当ても含まれます。
AppLockerルールをインポートするには、セキュリティ > アプリケーションセキュリティタブに移動し、AppLockerルールのインポートを選択します。
AppLockerルールのインポートページでは、2つのインポートモードオプションが利用可能です。
  • スキップ: 環境に存在する同じGUIDを持つルールは作成または更新されません。XMLファイルのルールを使用する代わりに、既存のルールが保持されます。
  • 上書き: 一致するGUIDを持つ既存のルールは、XMLファイルのルールを使用して更新されます。
注:
  • AppLocker ルール XML ファイルのサイズは 10 MB を超えてはなりません。
  • ファイルは有効な XML 形式である必要もあります。
  • 割り当てられたユーザーが見つからない場合、またはルールをインポートできない場合、ボードにエラーメッセージが表示されます。
  • ルールが無効な場合、ルールの作成は失敗します。

特権昇格

この機能は、特定のプログラムを管理者特権で実行するためのルールを定義します。管理者以外のユーザーの特権を、一部の実行可能ファイルに必要な管理者レベルに昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。

特権昇格オプション

  • 特権昇格ルールを処理する: これを選択すると、エージェントが特権昇格設定を処理できるようになり、 タブの他のオプションが利用可能になります。
  • Windows Server OS に適用する: 特権昇格設定を Windows Server オペレーティングシステムに適用するかどうかを制御します。選択した場合、ユーザーに割り当てられたルールは Windows Server マシンで機能します。デフォルトでは、このオプションは無効になっています。
  • RunAsInvoker を強制する: すべての実行可能ファイルを現在の Windows アカウントで実行するように強制するかどうかを制御します。選択した場合、ユーザーは実行可能ファイルを管理者として実行するように求められません。
このペインには、構成したルールの完全なリストも表示されます。、、または をクリックして、ルールリストを特定のルールタイプにフィルタリングできます。 を使用してリストをフィルタリングできます。割り当てられた列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

特権昇格は、実行可能ルールと Windows インストーラールールの 2 種類のルールを使用して構成できます。
  • 実行可能ルール: アプリケーションに関連付けられた .exe および .com 拡張子を持つファイルを含むルール。
  • Windows インストーラールール: アプリケーションに関連付けられた .msi および .msp 拡張子を持つインストーラーファイルを含むルール。Windows インストーラールールを追加する際は、次のシナリオを考慮してください。
    • 特権の昇格は、Microsoft の msiexec.exe にのみ適用されます。.msi および .msp Windows インストーラーファイルを展開するために使用するツールが msiexec.exe であることを確認してください。
    • プロセスが指定された Windows インストーラー規則に一致し、その親プロセスが指定された実行可能規則に一致するとします。そのプロセスは、指定された実行可能規則で 設定が有効になっていない限り、昇格された特権を取得できません。
  • 自己昇格: 有効にすると、ファイルを右クリックしたときのコンテキストメニューに オプションが利用可能になります。このオプションを選択すると、昇格の理由を提供するよう求められます。その後、指定した条件に基づいて、昇格は許可または拒否されます。規則を構成するには、Citrix Environment Tool Hub > File Info Viewer を使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。期間を指定したり、曜日を選択したり、オプションで規則が有効になるマシンを決定する条件を設定したりすることもできます。構成セットで トグルが初めて有効になると、自己昇格規則が作成され、割り当てターゲットの割り当てを管理する際に規則リストで見つけることができます。規則は作成後に削除されることはありません。
重要:
フォルダーベースのパス条件を使用して特権昇格規則を構成する際は、管理者以外のユーザーが指定されたパスへの書き込みアクセス権を持たないようにしてください。書き込みアクセスを許可すると、標準ユーザーがそれらの場所にファイルを配置できるようになり、昇格された特権を取得する可能性があります。
フォルダーベースのパス条件をすでに構成していて、標準ユーザーが書き込みアクセス権を持っている場合は、フォルダーのアクセス許可を更新して書き込みアクセスを管理者のみに制限するか、代わりにハッシュまたは発行元条件を使用するように規則を変更してください。
規則が有効になる期間を指定できます。また、オプションで、規則が適用されるマシンを決定する条件を設定できます。次の条件のすべてまたは一部に一致するように選択できます。
  • マシンカタログ名
  • デリバリーグループ名
  • デバイス名
  • IP アドレス
  • OS プラットフォームの種類
  • OS バージョン
  • 永続的なマシンの状態
実行可能規則、Windows インストーラー規則、または自己昇格規則を選択すると、 セクションに、利用可能な次のアクションが表示されます。
  • 編集。既存の実行可能規則を編集できます。
  • 削除。既存の実行可能規則を削除できます。
  • 規則の作成。実行可能規則を作成できます。実行可能規則を作成するには、ウィザードの指示に従ってください。

プロセス階層制御

プロセス階層制御機能は、親子関係のシナリオで、特定のチャイルドプロセスが親プロセスから開始できるかどうかを制御します。親プロセスを定義し、そのチャイルドプロセスに対して許可リストまたはブロックリストを指定することで、ルールを作成します。この機能を使用する前に、このセクション全体を確認してください。
注:
  • この機能はCitrix Virtual Appsにのみ適用されます。
ルールの仕組みを理解するには、次の点に留意してください。
  • プロセスには1つのルールのみが適用されます。同じプロセスに対して複数のルールを定義した場合、最も優先度の高いルールのみが適用されます。
  • 定義したルールは、元の親子階層に限定されず、その階層の各レベルにも適用されます。親プロセスに適用されるルールは、ルールの優先度に関係なく、そのチャイルドプロセスに適用されるルールよりも優先されます。たとえば、次の2つのルールを定義します。
    • ルール1：WordはCMDを開くことができません。
    • ルール2：メモ帳はCMDを開くことができます。
    この2つのルールがある場合、ルールの優先度に関係なく、最初にWordを開き、次にWordからメモ帳を開くことで、メモ帳からCMDを開くことはできません。
この機能は、特定のプロセスベースの親子関係に依存して動作します。シナリオにおける親子関係を視覚化するには、Process Explorerツールのプロセスツリー機能を使用します。Process Explorerの詳細については、<https://docs.microsoft.com/ja-jp/sysinternals/downloads/procmon>を参照してください。
潜在的な問題を回避するために、フル構成管理インターフェイスでVUEMAppCmd.exeを指す実行可能ファイルのパスを追加することをお勧めします。VUEMAppCmd.exeは、公開アプリケーションが起動する前にWEMエージェントが設定の処理を完了するようにします。次の手順を実行します。
  1. アプリケーションノードでアプリケーションを選択し、アクションバーのプロパティをクリックして、場所ページに移動します。
    フル構成のアプリケーション設定ページ
  2. エンドユーザーのオペレーティングシステム上のローカルアプリケーションのパスを入力します。
    • 実行可能ファイルへのパスフィールドに、次のように入力します。
      <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
  3. 開くアプリケーションを指定するコマンドライン引数を入力します。
    • フィールドに、VUEMAppCmd.exe を介して起動するアプリケーションへのフルパスを入力します。パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲んでください。
    • たとえば、VUEMAppCmd.exe を介して iexplore.exe を起動したいとします。その場合は、次のように入力します: %ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

考慮事項

この機能を使用するには、各エージェントマシンで AppInfoViewer ツールを使用して機能を有効にする必要があります。このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。この機能が有効になっている場合、次の考慮事項に注意してください。
  • エージェントのアップグレードまたはアンインストール後には、エージェントマシンを再起動する必要があります。
  • この機能が有効になっている場合、自動エージェントアップグレード機能は動作しません。自動エージェントアップグレード機能を使用するには、まず AppInfoViewer ツールを使用してプロセス階層制御機能を無効にします。
プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンで レジストリエディター を開きます。次のレジストリエントリが存在する場合、この機能は有効になっています。
  • 32ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

前提条件

この機能を使用するには、次の前提条件が満たされていることを確認してください。
  • Citrix Virtual Appsの展開。
  • エージェントがWindows 10またはWindows Serverで実行されていること。
  • インプレースアップグレードまたは新規インストール後にエージェントホストが再起動されていること。

プロセス階層制御オプション

で を選択すると、次のオプションが表示されます。
プロセス階層制御を有効にする: プロセス階層制御機能を有効にするかどうかを制御します。選択すると、プロセス階層制御タブの他のオプションが利用可能になり、構成された設定が有効になります。この機能は、Citrix Virtual Apps展開でのみ使用できます。
コンテキストメニューからを非表示にする: Windowsの右クリックコンテキストメニューからプログラムから開くオプションを表示するか非表示にするかを制御します。有効にすると、メニューオプションはインターフェイスから非表示になります。無効にすると、オプションが表示され、ユーザーはそれを使用してプロセスを開始できます。プロセス階層制御機能は、プログラムから開くオプションを介して開始されたプロセスには適用されません。現在のアプリケーション階層とは無関係なシステムサービスを介してアプリケーションがプロセスを開始するのを防ぐために、この設定を有効にすることをお勧めします。
プロセス階層制御タブには、構成したルールの完全なリストも表示されます。検索を使用してリストをフィルタリングできます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
アクションセクションには、次のアクションが表示されます。
  • 編集。ルールを編集できます。
  • 削除。ルールを削除できます。
  • ルールの作成。ルールを追加できます。

ルールの作成

  1. プロセス階層制御に移動し、ルールの作成をクリックします。ルールの作成ページが表示されます。
  2. 表示セクションで、次のように入力します。
    • 名前。ルールの表示名を入力します。名前はルールリストに表示されます。
    • 説明。ルールに関する追加情報を入力します。
  3. 優先度セクションで、ルールの優先度を設定します。優先度を構成する際は、次の点を考慮してください。優先度は、構成したルールが処理される順序を決定します。値が大きいほど、優先度が高くなります。整数を入力します。競合がある場合、優先度の高いルールが優先されます。
  4. 基準タイプセクションで、親プロセスを追加するオプションを選択します。
    • パス。ルールはファイルパスと一致します。
    • 発行元。ルールは選択された発行元と一致します。
    • ハッシュ。ルールは特定のハッシュコードと一致します。
  5. モードセクションで、次のいずれかのオプションを選択します。
    • 許可リスト。親プロセスから開くことが許可されている子プロセスの基準を設定します。それ以外はすべて拒否されます。
    • 拒否リスト。親プロセスから開くことが許可されていない子プロセスの基準を設定します。それ以外はすべて許可されます。
  6. 子プロセスの基準。
  7. ルールが有効になる期間を指定します。
  8. マシンの基準: ルールが有効になるマシンを決定するための基準を設定します。ルールが適用されるマシンを決定するための基準をオプションで設定できます。次の基準のすべてまたは一部に一致するように選択できます。
    • マシンカタログ名
    • デリバリーグループ名
    • デバイス名
    • IPアドレス
    • OSプラットフォームタイプ
    • OSバージョン
    • 永続的なマシンステータス

ユーザーにルールを割り当てるには

リストから1つのルールを選択し、アクションセクションで割り当ての管理をクリックします。

ルールを削除するには

リストから1つ以上のルールを選択し、アクションセクションで削除をクリックします。