セキュリティ

最終公開日 : Nov 13, 2026
Related information
構成セット

アプリケーションセキュリティ

アプリケーションセキュリティ機能を使用すると、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。Webコンソールでアプリケーションセキュリティルールを構成し、ルール構成に必要な情報を取得するためのツールを提供できます。また、この機能を使用して、セキュリティルールを含む割り当てグループを作成することもできます。

構成

アプリケーションルールを処理とDLLルールを処理が有効になっている場合、上書きモードがデフォルトでオンになります。上書きモードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードはシングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールも作成できます。
  • 実行可能ルール
  • Windowsインストーラールール
  • スクリプトルール
  • パッケージアプリルール
  • DLLルール
注:
ルールを作成する前に、重要なシステムファイルが実行できるように、まずデフォルトルールを追加することをお勧めします。
  • アプリケーションルールを処理。選択すると、アプリケーションセキュリティタブのコントロールが有効になり、エージェントは現在の構成セットのルールを処理し、それらをエージェントホスト上のAppLockerルールに変換します。選択されていない場合、アプリケーションセキュリティタブのコントロールは無効になります。
    注:
    Workspace Environment Management™管理コンソールがWindows 7 SP1またはWindows Server 2008 R2 SP1（またはそれ以前のバージョン）にインストールされている場合、このオプションは利用できません。
  • DLLルールを処理。選択すると、エージェントは現在の構成セットのDLLルールを処理します。このオプションは、アプリケーションセキュリティルールを処理を選択した場合にのみ利用できます。
    重要:
    DLLルールを使用する場合、許可されているすべてのアプリで使用される各DLLに対して、許可権限を持つDLLルールを作成する必要があります。
    注意:
    DLLルールを使用すると、ユーザーはパフォーマンスの低下を経験する可能性があります。
  • 上書きとマージの設定により、エージェントがアプリケーションセキュリティルールを処理する方法を決定できます。
    • 上書き。既存のルールを上書きできます。選択すると、最後に処理されたルールが以前に処理されたルールを上書きします。このモードはシングルセッションマシンにのみ適用することをお勧めします。
    • マージ。既存のルールとルールをマージできます。競合が発生した場合、最後に処理されたルールが以前に処理されたルールを上書きします。マージ中にルール適用設定を変更する必要がある場合は、マージモードでは値が異なる場合に古い値が保持されるため、上書きモードを使用してください。

ルールコレクション

各コレクション名には、含まれるルールの数が示されます（例：(12)）。コレクション名をクリックすると、ルールリストが次のいずれかのコレクションにフィルタリングされます。
  • 実行可能ルール。アプリケーションに関連付けられている.exeおよび.com拡張子のファイルを含むルール。
  • Windowsルール。クライアントコンピューターおよびサーバーへのファイルのインストールを制御するインストーラーファイル形式（.msi、.msp、.mst）を含むルール。
  • スクリプトルール。次の形式のファイルを含むルール：.ps1、.bat、.cmd、.vbs、.js。
  • パッケージルール。ユニバーサルWindowsアプリとも呼ばれるパッケージアプリを含むルール。パッケージアプリでは、アプリパッケージ内のすべてのファイルが同じIDを共有します。したがって、1つのルールでアプリ全体を制御できます。Workspace Environment Managementは、パッケージアプリのパブリッシャールールのみをサポートしています。
  • DLLルール。次の形式のファイルを含むルール：.dll、.ocx。
ルールリストをコレクションにフィルタリングすると、ルール適用オプションが使用可能になります。次のルール適用値が可能です。
オフ（デフォルト）。ルールが作成され、オフに設定されます。これは、ルールが適用されないことを意味します。
オン。ルールが作成され、適用に設定されます。これは、エージェントホストでアクティブであることを意味します。
監査。ルールが作成され、監査に設定されます。これは、エージェントホスト上で非アクティブな状態であることを意味します。

Windowsインストーラールールの作成

これには、基本情報と例外の2つのメニュー項目が含まれます。Windowsインストーラールールを作成するには、基本情報と例外の下で次の手順を完了します。
  • ルールの作成を選択すると、Windowsインストーラールールの作成ページに移動します。
  • 名前とオプションの説明を入力します。
  • 目的のアクションを選択します。
  • ドロップダウンリストから、パス、発行元、ファイルハッシュなどの基準タイプを選択します。
  • ファイル情報ビューアを開くを選択すると、Citrix Environment Tool Hubに移動します。Citrix Environment Tool Hubを使用して、必要な情報をすばやく取得します。詳細については、「ファイル情報ビューア」を参照してください。
  • 必要に応じて、プライマリ基準に基づいて通常ルールに含まれるファイルを含めるための例外を追加できます。このタスクを実行するには、例外の追加を選択します。
  • Citrix Environment Tool Hubに移動して、ファイル情報ビューアの下にある指定された基準のいずれかからデータをコピーし、ファイル情報ビューアから貼り付けをクリックします。
  • 「完了」をクリックします。
  • 割り当ての管理ページで必要に応じて割り当てを更新するには、割り当てに進むを選択します。
  • この項目を割り当てる割り当てターゲット（ユーザーとグループ）を選択します。フィルターを使用して割り当てをコンテキスト化します。指定したフィルターは上書きモードでのみ有効であり、エージェントバージョン2406以降でのみサポートされます。
  • 特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。

WEM WebコンソールでAppLockerルールをインポートする

AppLocker XMLファイルからエクスポートされたアプリケーションセキュリティルールをWEM Webコンソールに直接インポートできます。これにより、既存のAppLocker構成から複数のルールをすばやく取り込み、セットアップを効率化し、環境全体の一貫性を向上させることができます。ルールをインポートすると、その割り当ても含まれます。
AppLockerルールをインポートするには、セキュリティ > アプリケーションセキュリティタブに移動し、AppLockerルールのインポートを選択します。
AppLockerルールのインポートページでは、2つのインポートモードオプションが利用可能です。
  • スキップ: 環境に存在する同じGUIDを持つルールは作成または更新されません。XMLファイルのルールを使用する代わりに、既存のルールが保持されます。
  • 上書き: 一致するGUIDを持つ既存のルールは、XMLファイルのルールを使用して更新されます。
注:
  • AppLocker ルール XML ファイルは、サイズが 10 MB を超えてはなりません。
  • ファイルは有効な XML 形式である必要もあります。
  • 担当者が見つからない場合、またはルールをインポートできない場合、ボードにエラーメッセージが表示されます。
  • ルールが無効な場合、ルールの作成は失敗します。

特権昇格

この機能は、特定のプログラムを管理者特権で実行するためのルールを定義します。非管理者ユーザーの特権を、一部の実行可能ファイルに必要な管理者レベルに昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。

特権昇格オプション

  • 特権昇格ルールの処理: 選択すると、エージェントが特権昇格設定を処理できるようになり、特権昇格タブの他のオプションが利用可能になります。
  • Windows Server OS に適用: 特権昇格設定を Windows Server オペレーティングシステムに適用するかどうかを制御します。選択した場合、ユーザーに割り当てられたルールは Windows Server マシンで機能します。デフォルトでは、このオプションは無効になっています。
  • RunAsInvoker を強制: すべての実行可能ファイルを現在の Windows アカウントで実行するかどうかを制御します。選択した場合、ユーザーは実行可能ファイルを管理者として実行するように求められません。
このペインには、構成したルールの完全なリストも表示されます。「実行可能ルール」、「Windows インストーラー ルール」、または「自己昇格」をクリックして、ルールリストを特定のルールタイプにフィルタリングできます。「検索」を使用してリストをフィルタリングできます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

特権昇格は、実行可能ルールと Windows インストーラー ルールの 2 種類のルールを使用して構成できます。
  • 実行可能ルール: アプリケーションに関連付けられた .exe および .com 拡張子を持つファイルを含むルール。
  • Windows インストーラー ルール: アプリケーションに関連付けられた .msi および .msp 拡張子を持つインストーラーファイルを含むルール。Windows インストーラー ルールを追加する際は、次のシナリオを考慮してください。
    • 特権の昇格は、Microsoft の msiexec.exe にのみ適用されます。.msi および .msp Windows インストーラーファイルを展開するために使用するツールが msiexec.exe であることを確認してください。
    • プロセスが指定された Windows インストーラー規則に一致し、その親プロセスが指定された実行可能規則に一致するとします。そのプロセスは、指定された実行可能規則で 設定が有効になっていない限り、昇格された特権を取得できません。
  • 自己昇格: 有効にすると、ファイルを右クリックしたときにコンテキストメニューに オプションが表示されます。このオプションを選択すると、昇格の理由の入力を求められます。その後、指定した条件に基づいて、昇格が許可されるか拒否されます。規則を構成するには、Citrix Environment Tool Hub > File Info Viewer を使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。期間を指定したり、曜日を選択したり、オプションで規則が有効になるマシンを決定する条件を設定したりすることもできます。構成セットで トグルが初めて有効になると、自己昇格規則が作成され、割り当てターゲットの割り当てを管理する際の規則リストで見つけることができます。この規則は作成後に削除されることはありません。
重要:
フォルダーベースのパス条件で特権昇格規則を構成する場合は、管理者以外のユーザーが指定されたパスへの 書き込み アクセス権を持たないようにしてください。書き込み アクセスを許可すると、標準ユーザーがそれらの場所にファイルを配置し、昇格された特権を取得する可能性があります。
フォルダーベースのパス条件をすでに構成しており、標準ユーザーが 書き込み アクセス権を持っている場合は、フォルダーのアクセス許可を更新して管理者のみに 書き込み アクセスを制限するか、規則を ハッシュ または 発行元 条件を使用するように変更してください。
規則が有効な期間を指定できます。また、オプションで、規則が適用されるマシンを決定する条件を設定することもできます。次の条件のすべてまたは一部に一致するように選択できます。
  • マシンカタログ名
  • デリバリーグループ名
  • デバイス名
  • IP アドレス
  • OS プラットフォームの種類
  • OS バージョン
  • 永続的なマシンステータス
、、または 規則を選択すると、 セクションに次の利用可能なアクションが表示されます。
  • 編集。既存の実行可能規則を編集できます。
  • 削除。既存の実行可能規則を削除できます。
  • 規則の作成。実行可能規則を作成できます。実行可能規則を作成するには、ウィザードの指示に従ってください。

プロセス階層制御

プロセス階層制御機能は、親子関係のシナリオで、特定の親プロセスから特定の子プロセスを開始できるかどうかを制御します。親プロセスを定義し、その子プロセスに対して許可リストまたはブロックリストを指定することで、ルールを作成します。この機能を使用する前に、このセクション全体を確認してください。
注:
  • この機能は、Citrix Virtual Apps にのみ適用されます。
ルールの仕組みを理解するには、次の点に留意してください。
  • プロセスは1つのルールのみに従います。同じプロセスに対して複数のルールを定義した場合、最も優先度の高いルールのみが適用されます。
  • 定義したルールは、元の親子階層に限定されるだけでなく、その階層の各レベルにも適用されます。親プロセスに適用されるルールは、ルールの優先度に関係なく、その子プロセスに適用されるルールよりも優先されます。たとえば、次の2つのルールを定義します。
    • ルール1：Word は CMD を開くことができません。
    • ルール2：メモ帳は CMD を開くことができます。
    この2つのルールがある場合、ルールの優先度に関係なく、まず Word を開き、次に Word からメモ帳を開くことで、メモ帳から CMD を開くことはできません。
この機能は、特定のプロセスベースの親子関係に依存して動作します。シナリオにおける親子関係を視覚化するには、Process Explorer ツールのプロセスツリー機能を使用します。Process Explorer の詳細については、<https://docs.microsoft.com/ja-jp/sysinternals/downloads/procmon> を参照してください。
潜在的な問題を回避するために、Full Configuration 管理インターフェイスで VUEMAppCmd.exe を指す実行可能ファイルのパスを追加することをお勧めします。VUEMAppCmd.exe は、公開アプリケーションが開始する前に WEM エージェントが設定の処理を完了するようにします。次の手順を実行します。
  1. アプリケーションノードでアプリケーションを選択し、アクションバーでプロパティをクリックしてから、場所ページに移動します。
    Full Configuration のアプリケーション設定ページ(/en-us/workspace-environment-management/service/media/full-configuration-interface-application-settings.png)
  2. エンドユーザーのオペレーティングシステム上のローカルアプリケーションのパスを入力します。
    • 実行可能ファイルへのパスフィールドに、次のように入力します。
      <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
  3. アプリケーションを開くように指定するコマンドライン引数を入力します。
    • コマンドライン引数フィールドに、VUEMAppCmd.exe を介して起動するアプリケーションへのフルパスを入力します。パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲んでください。
    • たとえば、VUEMAppCmd.exe を介して iexplore.exe を起動するとします。その場合は、次のように入力します: %ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

考慮事項

この機能が動作するには、各エージェントマシンで AppInfoViewer ツールを使用して機能を有効にする必要があります。このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。この機能が有効になっている場合、次の考慮事項に注意してください。
  • エージェントのアップグレードまたはアンインストール後には、エージェントマシンを再起動する必要があります。
  • この機能が有効になっている場合、自動エージェントアップグレード機能は動作しません。自動エージェントアップグレード機能を使用するには、AppInfoViewer ツールを使用して、まずプロセス階層制御機能を無効にします。
プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンで レジストリエディター を開きます。次のレジストリエントリが存在する場合、この機能は有効になっています。
  • 32ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

前提条件

この機能を使用するには、次の前提条件が満たされていることを確認してください。
  • Citrix Virtual Appsの展開。
  • エージェントがWindows 10またはWindows Serverで実行されていること。
  • インプレースアップグレードまたは新規インストール後にエージェントホストが再起動されていること。

プロセス階層制御オプション

セキュリティでプロセス階層制御を選択すると、次のオプションが表示されます。
プロセス階層制御を有効にする：プロセス階層制御機能を有効にするかどうかを制御します。選択すると、「プロセス階層制御」タブの他のオプションが利用可能になり、構成された設定が有効になります。この機能は、Citrix Virtual Apps展開でのみ使用できます。
コンテキストメニューからを非表示にする：Windowsの右クリックコンテキストメニューから「プログラムから開く」オプションを表示または非表示にするかどうかを制御します。有効にすると、メニューオプションはインターフェイスから非表示になります。無効にすると、オプションは表示され、ユーザーはそれを使用してプロセスを開始できます。プロセス階層制御機能は、「プログラムから開く」オプションを介して開始されたプロセスには適用されません。現在のアプリケーション階層とは無関係なシステムサービスを介してアプリケーションがプロセスを開始するのを防ぐために、この設定を有効にすることをお勧めします。
「プロセス階層制御」タブには、構成したルールの完全なリストも表示されます。「検索」を使用してリストをフィルタリングできます。割り当てられた列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
「アクション」セクションには、次のアクションが表示されます。
  • 編集：ルールを編集できます。
  • 削除：ルールを削除できます。
  • ルールの作成：ルールを追加できます。

ルールの作成

  1. 「プロセス階層制御」に移動し、「ルールの作成」をクリックします。「ルールの作成」ページが表示されます。
  2. 「表示」セクションで、次のように入力します。
    • 名前：ルールの表示名を入力します。名前はルールリストに表示されます。
    • 説明：ルールに関する追加情報を入力します。
  3. 「優先度」セクションで、ルールの優先度を設定します。優先度を構成する際は、次の点を考慮してください。優先度は、構成したルールが処理される順序を決定します。値が大きいほど優先度が高くなります。整数を入力します。競合がある場合、優先度の高いルールが優先されます。
  4. 「条件タイプ」セクションで、「親プロセス」を追加するオプションを選択します。
    • パス：ルールはファイルパスと一致します。
    • 発行元。ルールは選択した発行元と一致します。
    • ハッシュ。ルールは特定のハッシュコードと一致します。
  5. モードセクションで、次のいずれかのオプションを選択します。
    • 許可リスト。親プロセスから開くことが許可されている子プロセスの基準を設定します。それ以外はすべて拒否されます。
    • 拒否リスト。親プロセスから開くことが許可されていない子プロセスの基準を設定します。それ以外はすべて許可されます。
  6. 子プロセスの基準。
  7. ルールが有効になる期間を指定します。
  8. マシン基準: ルールが有効になるマシンを決定するための基準を設定します。オプションで、ルールが適用されるマシンを決定するための基準を設定できます。次の基準のすべてまたは一部に一致するように選択できます。
    • マシンカタログ名
    • デリバリーグループ名
    • デバイス名
    • IPアドレス
    • OSプラットフォームの種類
    • OSバージョン
    • 永続的なマシンステータス

ユーザーにルールを割り当てるには

リストからルールを1つ選択し、アクションセクションで割り当ての管理をクリックします。

ルールを削除するには

リストから1つ以上のルールを選択し、アクションセクションで削除をクリックします。