セキュリティ

最終公開日 : Nov 13, 2026
Related information
構成セット

アプリケーションセキュリティ

アプリケーションセキュリティ機能を使用すると、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。Webコンソールでアプリケーションセキュリティルールを設定し、ルール設定に必要な情報を取得するツールを提供できます。また、この機能を使用して、セキュリティルールを含む割り当てグループを作成することもできます。「アプリケーションルールを処理」と「DLLルールを処理」が有効になっている場合、「上書き」モードがデフォルトでオンになります。「上書き」モードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールも作成できます。
  • 実行可能ルール
  • Windowsインストーラールール
  • スクリプトルール
  • パッケージアプリルール
  • DLLルール
注:
ルールを作成する前に、重要なシステムファイルが実行されるように、まずデフォルトルールを追加することをお勧めします。

Windowsインストーラールールの作成

これには、「基本情報」と「例外」の2つのメニュー項目が含まれます。Windowsインストーラールールを作成するには、「基本情報」と「例外」で次の手順を実行します。
  • 「ルールの作成」を選択すると、「Windowsインストーラールールの作成」ページに移動します。
  • 名前とオプションの説明を入力します。
  • 目的の「アクション」を選択します。
  • ドロップダウンリストから、「パス」、「発行元」、「ファイルハッシュ」などの「基準タイプ」を選択します。
  • 「ファイル情報ビューアーを開く」を選択すると、Citrix Environment Tool Hubに移動します。Citrix Environment Tool Hub** を使用して、必要な情報をすばやく取得します。詳細については、「ファイル情報ビューアー」を参照してください。
  • 必要に応じて、プライマリ基準に基づいて通常ルールに含まれるファイルを含める例外を追加できます。このタスクを実行するには、「例外の追加」を選択します。
  • Citrix Environment Tool Hub に移動して、ファイル情報ビューアの下にある指定された条件のいずれかからデータをコピーし、ファイル情報ビューアから貼り付けをクリックします。
  • 「完了」をクリックします。
  • 割り当ての管理ページで必要に応じて割り当てを更新するには、割り当てに進むを選択します。
  • この項目を割り当てる割り当てターゲット（ユーザーとグループ）を選択します。フィルターを使用して割り当てをコンテキスト化します。指定したフィルターは上書きモードでのみ有効であり、エージェントバージョン2406以降でのみサポートされます。
  • 特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。

WEM WebコンソールでAppLockerルールをインポートする

AppLocker XMLファイルからエクスポートされたアプリケーションセキュリティルールをWEM Webコンソールに直接インポートできます。これにより、既存のAppLocker構成から複数のルールを迅速に取り込み、セットアップを効率化し、環境全体の一貫性を向上させることができます。ルールをインポートすると、その割り当ても含まれます。
AppLockerルールをインポートするには、管理コンソール > セキュリティ > アプリケーションセキュリティタブに移動し、AppLockerルールのインポートを選択します。
AppLockerルールのインポートページには、2つのインポートモードオプションがあります。
  • スキップ: 環境に存在する同じGUIDを持つルールは作成または更新されません。XMLファイルのルールを使用する代わりに、既存のルールが保持されます。
  • 上書き: 一致するGUIDを持つ既存のルールは、XMLファイルのルールを使用して更新されます。
注:
  • AppLockerルールXMLファイルのサイズは10 MBを超えてはなりません。
  • ファイルは有効なXML形式である必要があります。
  • 割り当て先が見つからない場合、またはルールをインポートできない場合、ボードにエラーメッセージが表示されます。
  • ルールが無効な場合、ルールの作成は失敗します。

特権の昇格

この機能は、特定のプログラムを管理者権限で実行するためのルールを定義します。管理者以外のユーザーの権限を、一部の実行可能ファイルに必要な管理者レベルに昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。

権限昇格オプション

  • プロセス権限昇格ルール: 選択すると、エージェントが権限昇格設定を処理できるようになり、タブの他のオプションが利用可能になります。
  • Windows Serverオペレーティングシステムに適用: 権限昇格設定をWindows Serverオペレーティングシステムに適用するかどうかを制御します。選択すると、ユーザーに割り当てられたルールはWindows Serverマシンで機能します。デフォルトでは、このオプションは無効になっています。
  • RunAsInvokerを強制: すべての実行可能ファイルを現在のWindowsアカウントで実行するように強制するかどうかを制御します。選択すると、ユーザーは実行可能ファイルを管理者として実行するように求められません。
  • ネットワークロケーションのアプリに適用: 権限昇格がネットワークロケーションから起動されたアプリケーションに適用されるかどうかを制御します。選択すると、権限昇格ルールは、ローカルドライブ上のアプリケーションに加えて、UNCパス（ネットワーク共有）またはマップされたドライブでホストされているアプリケーションも処理します。デフォルトでは、このオプションは無効になっています。
このペインには、構成したルールの完全なリストも表示されます。特定のルールタイプにルールリストをフィルタリングするには、実行可能ルール、Windowsインストーラールール、または自己昇格をクリックします。リストをフィルタリングするには、検索を使用できます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

権限昇格は、実行可能ルールとWindowsインストーラールールの2種類のルールを使用して構成できます。
  • 実行可能ルール: アプリケーションに関連付けられた.exeおよび.com拡張子を持つファイルを含むルール。
  • Windowsインストーラールール: アプリケーションに関連付けられた.msiおよび.msp拡張子を持つインストーラーファイルを含むルール。Windowsインストーラールールを追加する際は、次のシナリオを考慮してください。
    • 権限昇格はMicrosoftのmsiexec.exeにのみ適用されます。.msiおよび.mspのWindowsインストーラーファイルを展開するために使用するツールがmsiexec.exeであることを確認してください。
    • あるプロセスが指定されたWindowsインストーラールールに一致し、その親プロセスが指定された実行可能ルールに一致するとします。指定された実行可能ルールで子プロセスに適用設定が有効になっていない限り、そのプロセスは昇格された権限を取得できません。
  • 自己昇格: 有効にすると、ファイルを右クリックしたときにコンテキストメニューに管理者権限で実行オプションが表示されます。このオプションを選択すると、昇格の理由を提供するように求められます。その後、指定した基準に基づいて昇格が許可されるか拒否されます。ルールを構成するには、Citrix Environment Tool Hub > ファイル情報ビューアを使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。期間、曜日、およびルールが有効なマシンを決定するための基準をオプションで設定することもできます。構成セットで自己昇格トグルが初めて有効にされると、自己昇格ルールが作成され、割り当てターゲットの割り当てを管理する際にルールリストで見つけることができます。ルールは作成後に削除されることはありません。
重要:
フォルダーベースのパス条件で権限昇格ルールを構成する場合、管理者以外のユーザーが指定されたパスへの書き込みアクセス権を持たないようにしてください。書き込みアクセスを許可すると、標準ユーザーがそれらの場所にファイルを配置し、昇格された権限を取得する可能性があります。
フォルダーベースのパス条件をすでに構成していて、標準ユーザーが書き込みアクセス権を持っている場合は、フォルダーのアクセス許可を更新して管理者のみに書き込みアクセスを制限するか、ルールの代わりにハッシュまたは発行元条件を使用するように変更します。
ルールの有効期間を指定できます。また、オプションで、ルールが適用されるマシンを決定するための基準を設定できます。次の基準のすべてまたは一部に一致するように選択できます。
  • マシンカタログ名
  • デリバリーグループ名
  • デバイス名
  • IPアドレス
  • OSプラットフォームの種類
  • OSバージョン
  • 永続的なマシンステータス
実行可能ルール、Windowsインストーラールール、または自己昇格ルールを選択すると、アクションセクションに次の利用可能なアクションが表示されます。
  • 編集。既存の実行可能ルールを編集できます。
  • 削除。既存の実行可能ルールを削除できます。
  • ルールの作成。実行可能ルールを作成できます。実行可能ルールを作成するには、ウィザードの指示に従ってください。

プロセス階層制御

プロセス階層制御機能は、親子シナリオで特定の子プロセスが親プロセスから開始できるかどうかを制御します。親プロセスを定義し、その子プロセスに対して許可リストまたはブロックリストを指定することでルールを作成します。この機能を使用する前に、このセクション全体を確認してください。
注:
  • この機能はCitrix Virtual Appsにのみ適用されます。
ルールがどのように機能するかを理解するために、次の点に留意してください。
  • プロセスは1つのルールのみに従います。同じプロセスに対して複数のルールを定義した場合、最も優先度の高いルールのみが適用されます。
  • 定義したルールは、元の親子階層に限定されるだけでなく、その階層の各レベルにも適用されます。親プロセスに適用されるルールは、ルールの優先度に関係なく、子プロセスに適用されるルールよりも優先されます。たとえば、次の2つのルールを定義します。
    • ルール1：WordはCMDを開くことができません。
    • ルール2：メモ帳はCMDを開くことができます。
    この2つのルールがある場合、ルールの優先度に関係なく、まずWordを開き、次にWordからメモ帳を開くことで、メモ帳からCMDを開くことはできません。
この機能は、特定のプロセスベースの親子関係に依存して動作します。シナリオにおける親子関係を視覚化するには、Process Explorerツールのプロセスツリー機能を使用します。Process Explorerの詳細については、<https://docs.microsoft.com/ja-jp/sysinternals/downloads/procmon>を参照してください。
潜在的な問題を回避するために、Full Configuration管理インターフェイスでVUEMAppCmd.exeを指す実行可能ファイルのパスを追加することをお勧めします。VUEMAppCmd.exeは、公開アプリケーションが開始する前にWEMエージェントが設定の処理を完了することを保証します。次の手順を完了します。
  1. アプリケーションノードでアプリケーションを選択し、アクションバーのプロパティをクリックしてから、場所ページに移動します。
    Full Configurationのアプリケーション設定ページ
  2. エンドユーザーのオペレーティングシステム上のローカルアプリケーションのパスを入力します。
    • 実行可能ファイルへのパスフィールドに、次のように入力します。
      <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
  3. 開くアプリケーションを指定するコマンドライン引数を入力します。
    • コマンドライン引数フィールドに、VUEMAppCmd.exeを介して起動するアプリケーションへのフルパスを入力します。パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲んでください。
    • たとえば、VUEMAppCmd.exeを介してiexplore.exeを起動したいとします。その場合は、次のように入力します。%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

考慮事項

この機能が動作するためには、各エージェントマシンでAppInfoViewerツールを使用して機能を有効にする必要があります。このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。この機能が有効になっている場合、次の考慮事項に注意してください。
  • エージェントのアップグレードまたはアンインストール後には、エージェントマシンを再起動する必要があります。
  • この機能が有効になっている場合、エージェントの自動アップグレード機能は動作しません。エージェントの自動アップグレード機能を使用するには、まずAppInfoViewerツールを使用してプロセス階層制御機能を無効にします。
プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンでレジストリエディターを開きます。次のレジストリエントリが存在する場合、この機能は有効になっています。
  • 32ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

前提条件

この機能を使用するには、次の前提条件が満たされていることを確認してください。
  • Citrix Virtual Appsの展開。
  • エージェントがWindows 10またはWindows Serverで実行されていること。
  • インプレースアップグレードまたは新規インストール後にエージェントホストが再起動されていること。

プロセス階層制御オプション

セキュリティでプロセス階層制御を選択すると、次のオプションが表示されます。
プロセス階層制御を有効にする: プロセス階層制御機能を有効にするかどうかを制御します。選択すると、プロセス階層制御タブの他のオプションが使用可能になり、構成された設定が有効になります。この機能は、Citrix Virtual Appsの展開でのみ使用できます。
コンテキストメニューからを非表示にする: Windowsの右クリックコンテキストメニューからプログラムから開くオプションを表示するかどうかを制御します。有効にすると、メニューオプションはインターフェイスから非表示になります。無効にすると、オプションが表示され、ユーザーはそれを使用してプロセスを開始できます。プロセス階層制御機能は、プログラムから開くオプションを介して開始されたプロセスには適用されません。現在のアプリケーション階層とは無関係なシステムサービスを介してアプリケーションがプロセスを開始するのを防ぐために、この設定を有効にすることをお勧めします。
プロセス階層制御タブには、構成したルールの完全なリストも表示されます。検索を使用してリストをフィルター処理できます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
アクションセクションには、次のアクションが表示されます。
  • 編集。ルールを編集できます。
  • 削除。ルールを削除できます。
  • ルールの作成。ルールを追加できます。

ルールの作成

  1. プロセス階層制御に移動し、ルールの作成をクリックします。ルールの作成ページが表示されます。
  2. 表示セクションで、以下を入力します。
    • 名前。ルールの表示名を入力します。名前はルールリストに表示されます。
    • 説明。ルールに関する追加情報を入力します。
  3. 優先度セクションで、ルールの優先度を設定します。優先度を設定する際は、以下を考慮してください。優先度は、設定したルールが処理される順序を決定します。値が大きいほど、優先度が高くなります。整数を入力します。競合がある場合、優先度の高いルールが優先されます。
  4. 基準タイプセクションで、親プロセスを追加するオプションを選択します。
    • パス。ルールはファイルパスに一致します。
    • 発行元。ルールは選択した発行元に一致します。
    • ハッシュ。ルールは特定のハッシュコードに一致します。
  5. モードセクションで、以下のいずれかのオプションを選択します。
    • 許可リスト。親プロセスから開くことが許可されている子プロセスの基準を設定します。それ以外はすべて拒否されます。
    • 拒否リスト。親プロセスから開くことが許可されていない子プロセスの基準を設定します。それ以外はすべて許可されます。
  6. 子プロセスの基準。
  7. ルールが有効な期間を指定します。
  8. マシン基準: ルールが有効になるマシンを決定するための基準を設定します。オプションで、ルールが適用されるマシンを決定するための基準を設定できます。次の基準のすべてまたは一部に一致するように選択できます。
    • マシンカタログ名
    • デリバリーグループ名
    • デバイス名
    • IPアドレス
    • OSプラットフォームの種類
    • OSバージョン
    • 永続的なマシンステータス

ユーザーにルールを割り当てるには

リストから1つのルールを選択し、アクションセクションで割り当ての管理をクリックします。

ルールを削除するには

リストから1つ以上のルールを選択し、アクションセクションで削除をクリックします。