セキュリティ

最終公開日 : Nov 13, 2026
これらの設定により、Workspace Environment Management™ (WEM) 内でのユーザーアクティビティを制御できます。
Related information
管理 (レガシーコンソール)

アプリケーションセキュリティ

重要:
ユーザーが実行できるアプリケーションを制御するには、Windows AppLockerインターフェイスまたはWEMを使用してWindows AppLockerルールを管理します。これらのアプローチはいつでも切り替えることができます。両方のアプローチを同時に使用することはお勧めしません。
これらの設定により、ルールを定義することで、ユーザーが実行を許可されているアプリケーションを制御できます。この機能はWindows AppLockerに似ています。WEMを使用してWindows AppLockerルールを管理すると、エージェントはApplication Securityタブのルールをエージェントホスト上のWindows AppLockerルールに変換します。エージェントがルール処理を停止しても、それらは構成セットに保持されます。AppLockerは、エージェントによって処理された最後の命令セットを使用して実行を継続します。

アプリケーションセキュリティ

このタブには、現在のWEM構成セット内のアプリケーションセキュリティルールが一覧表示されます。テキスト文字列に基づいてリストをフィルタリングするには、Findを使用します。
Securityタブでトップレベル項目「Application Security」を選択すると、次のオプションが利用可能になります。
  • Process Application Security Rules。選択すると、Application Securityタブのコントロールが有効になり、エージェントは現在の構成セットのルールを処理し、それらをエージェントホスト上のAppLockerルールに変換します。選択されていない場合、Application Securityタブのコントロールは無効になり、エージェントはルールをAppLockerルールに変換しません。（この場合、AppLockerルールは更新されません。）
    注:
    WEM管理コンソールがWindows 7 SP1またはWindows Server 2008 R2 SP1（またはそれ以前のバージョン）にインストールされている場合、このオプションは利用できません。
  • Process DLL Rules。選択すると、エージェントは現在の構成セットのDLLルールをエージェントホスト上のAppLocker DLLルールに変換します。このオプションは、Process Application Security Rulesを選択した場合にのみ利用可能です。
    重要:
    DLLルールを使用する場合、許可されているすべてのアプリで使用される各DLLに対して、「Allow」権限を持つDLLルールを作成する必要があります。
    注意:
    DLLルールを使用すると、ユーザーはパフォーマンスの低下を経験する可能性があります。この問題は、AppLockerがアプリの実行が許可される前に、アプリがロードする各DLLをチェックするために発生します。
  • OverwriteおよびMerge設定により、エージェントがアプリケーションセキュリティルールをどのように処理するかを決定できます。
    • Overwrite。既存のルールを上書きできます。選択すると、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。
    • Merge。ルールを既存のルールとマージできます。競合が発生した場合、最後に処理されたルールが以前に処理されたルールを上書きします。マージ中にルール適用設定を変更する必要がある場合は、マージモードでは異なる場合に古い値が保持されるため、上書きモードを使用してください。

ルールコレクション

ルールはAppLockerルールコレクションに属します。各コレクション名には、含まれるルールの数（例: (12)）が示されます。コレクション名をクリックして、ルールリストを次のいずれかのコレクションにフィルタリングします。
  • 実行可能ルール。アプリケーションに関連付けられた.exeおよび.com拡張子を持つファイルを含むルール。
  • Windowsルール。クライアントコンピューターおよびサーバーへのファイルのインストールを制御するインストーラーファイル形式（.msi、.msp、.mst）を含むルール。
  • スクリプトルール。以下の形式のファイルを含むルール：.ps1、.bat、.cmd、.vbs、.js。
  • パッケージルール。Universal Windowsアプリとも呼ばれるパッケージ化されたアプリを含むルール。パッケージ化されたアプリでは、アプリパッケージ内のすべてのファイルが同じIDを共有します。したがって、1つのルールでアプリ全体を制御できます。WEMは、パッケージ化されたアプリのパブリッシャールールのみをサポートします。
  • DLLルール。以下の形式のファイルを含むルール：.dll、.ocx。
ルールリストをコレクションにフィルターすると、ルール適用オプションを使用して、AppLockerがエージェントホスト上のそのコレクション内のすべてのルールをどのように適用するかを制御できます。以下のルール適用値が可能です。
オフ（デフォルト）。ルールは作成され、「オフ」に設定されます。これは、ルールが適用されないことを意味します。
オン。ルールは作成され、「適用」に設定されます。これは、エージェントホストでアクティブであることを意味します。
監査。ルールは作成され、「監査」に設定されます。これは、エージェントホスト上で非アクティブな状態であることを意味します。ユーザーがAppLockerルールに違反するアプリを実行すると、そのアプリは実行が許可され、アプリに関する情報がAppLockerイベントログに追加されます。

AppLockerルールをインポートするには

AppLockerからエクスポートされたルールをWorkspace Environment Managementにインポートできます。インポートされたWindows AppLocker設定は、セキュリティタブの既存のルールに追加されます。無効なアプリケーションセキュリティルールは自動的に削除され、レポートダイアログに一覧表示されます。
  1. リボンで、AppLockerルールをインポートをクリックします。
  2. AppLockerからエクスポートされた、AppLockerルールを含むXMLファイルを参照します。
  3. インポート をクリックします。
ルールはアプリケーションセキュリティルールリストに追加されます。

ルールを追加するには

  1. サイドバーでルールコレクション名を選択します。たとえば、実行可能ルールを追加するには、「実行可能ルール」コレクションを選択します。
  2. ルールの追加をクリックします。
  3. 表示セクションで、次の詳細を入力します。
    • 名前。ルールリストに表示されるルールの表示名です。
    • 説明。リソースに関する追加情報（オプション）。
  4. 種類セクションで、オプションを選択します。
    • パス。ルールはファイルパスと一致します。
    • 発行元。ルールは選択した発行元と一致します。
    • ハッシュ。ルールは特定のハッシュコードと一致します。
  5. 権限セクションで、許可または拒否を選択します。この選択により、アプリケーションの実行を許可するか禁止するかが制御されます。
  6. このルールをユーザーまたはユーザーグループに割り当てるには、割り当てペインで、このルールを割り当てるユーザーまたはグループを選択します。「割り当て済み」列には、割り当てられたユーザーまたはグループの「チェック」アイコンが表示されます。
    ヒント:
    • 通常のWindows選択修飾キーを使用して複数の選択を行うことができます。または、すべて選択を使用してすべての行を選択できます。
    • ユーザーはすでにWEMユーザーリストに登録されている必要があります。
    • ルールは作成後に割り当てることができます。
  7. 次へをクリックします。
  8. 選択したルールタイプに応じて、ルールが一致する基準を指定します。
    • パス。ルールを適用するファイルまたはフォルダーへのパスを入力します。WEMエージェントは、実行可能ファイルのパスに従って、実行可能ファイルにルールを適用します。
    • 発行元。次のフィールドに入力します: 発行元、製品名、ファイル名、ファイルバージョン。いずれのフィールドも空にすることはできませんが、代わりにアスタリスク (*) を入力できます。WEMエージェントは、発行元情報に従ってルールを適用します。適用されると、ユーザーは同じ発行元情報を共有する実行可能ファイルを実行できます。
    • ハッシュ。ハッシュを追加するには、追加をクリックします。ハッシュの追加ウィンドウで、ファイル名とハッシュ値を入力します。選択したファイルまたはフォルダーからハッシュを作成するには、AppInfoViewerツールを使用できます。WEMエージェントは、指定されたとおりに同一の実行可能ファイルにルールを適用します。その結果、ユーザーは指定されたものと同一の実行可能ファイルを実行できます。
  9. 次へをクリックします。
  10. 必要な例外を追加します（オプション）。例外の追加で、例外の種類を選択し、追加をクリックします。（必要に応じて、例外を編集または削除できます。）
  11. ルールを保存するには、作成をクリックします。

ユーザーにルールを割り当てるには

リストで1つ以上のルールを選択し、ツールバーまたはコンテキストメニューで編集をクリックします。エディターで、ルールを割り当てるユーザーおよびユーザーグループを含む行を選択し、OKをクリックします。また、すべて選択を使用してすべての選択を解除することで、選択したルールをすべてのユーザーから割り当て解除することもできます。
注: 複数のルールを選択して編集をクリックすると、それらのルールに対するルール割り当ての変更は、選択したすべてのユーザーおよびユーザーグループに適用されます。つまり、既存のルール割り当てはそれらのルール間でマージされます。

デフォルトルールを追加するには

デフォルトルールを追加をクリックします。AppLockerのデフォルトルールのセットがリストに追加されます。

ルールを編集するには

リストで1つ以上のルールを選択し、ツールバーまたはコンテキストメニューで編集をクリックします。エディターが表示され、行った選択に適用される設定を調整できます。

ルールを削除するには

リストで1つ以上のルールを選択し、ツールバーまたはコンテキストメニューで削除をクリックします。

アプリケーションセキュリティルールをバックアップするには

現在の構成セットにあるすべてのアプリケーションセキュリティルールをバックアップできます。ルールはすべて単一のXMLファイルとしてエクスポートされます。復元を使用して、任意の構成セットにルールを復元できます。 リボンで、バックアップをクリックし、セキュリティ設定を選択します。

アプリケーションセキュリティルールを復元するには

Workspace Environment Managementのバックアップコマンドによって作成されたXMLファイルから、アプリケーションセキュリティルールを復元できます。復元プロセスでは、現在の構成セットのルールがバックアップ内のルールに置き換えられます。セキュリティタブに切り替えるか更新すると、無効なアプリケーションセキュリティルールが検出されます。無効なルールは自動的に削除され、レポートダイアログに一覧表示されます。このダイアログはエクスポートできます。
復元プロセス中に、現在の構成セットのユーザーおよびユーザーグループへのルール割り当てを復元するかどうかを選択できます。再割り当ては、バックアップされたユーザー/グループが現在の構成セット/Active Directoryに存在する場合にのみ成功します。不一致のルールは復元されますが、割り当て解除されたままになります。復元後、それらはレポートダイアログに一覧表示され、CSV形式でエクスポートできます。
  1. リボンで、復元をクリックして復元ウィザードを開始します。
  2. セキュリティ設定を選択し、次へを2回クリックします。
  3. フォルダーから復元で、バックアップファイルを含むフォルダーを参照します。
  4. AppLockerルール設定を選択し、次へをクリックします。
  5. ルール割り当てを復元するかどうかを確認します。
    • はい。ルールを復元し、現在の構成セット内の同じユーザーおよびユーザーグループに再割り当てします。
    • いいえ。ルールを復元し、割り当て解除されたままにします。
  6. 復元を開始するには、設定の復元をクリックします。

プロセス管理

これらの設定により、特定のプロセスをホワイトリストまたはブラックリストに登録できます。

プロセス管理

プロセス管理を有効にする。このオプションは、プロセスホワイトリストとブラックリストが有効かどうかを切り替えます。無効にすると、プロセスブラックリストタブとプロセスホワイトリストタブの設定はどれも適用されません。
注:
このオプションは、エージェントがユーザーセッションで実行されている場合にのみ機能します。エージェントをセッションで実行できるようにするには、詳細設定 > 構成 > メイン構成タブを使用して、エージェントの起動オプション（ログオン時 / 再接続時 / 管理者向け）を有効にし、エージェントの種類をUIに設定します。これらのオプションについては、「詳細設定」で説明しています。

プロセスブラックリスト

これらの設定により、特定のプロセスをブラックリストに登録できます。
プロセスブラックリストを有効にする。このオプションは、プロセスブラックリストを有効にします。実行可能ファイル名（例: cmd.exe）を使用してプロセスを追加します。
ローカル管理者を除外する。ローカル管理者アカウントをプロセスブラックリストから除外します。
指定されたグループを除外する。特定のユーザーグループをプロセスブラックリストから除外できます。

プロセスホワイトリスト

これらの設定により、特定のプロセスをホワイトリストに登録できます。プロセスブラックリストとプロセスホワイトリストは相互に排他的です。
プロセスホワイトリストを有効にする。このオプションは、プロセスホワイトリストを有効にします。実行可能ファイル名（例: cmd.exe）を使用してプロセスを追加します。
注:
プロセスホワイトリストを有効にするが有効になっている場合、ホワイトリストにないすべてのプロセスは自動的にブラックリストに登録されます。
ローカル管理者を除外する。ローカル管理者アカウントをプロセスホワイトリストから除外します（すべてのプロセスを実行できます）。
指定されたグループを除外する。特定のユーザーグループをプロセスホワイトリストから除外できます（すべてのプロセスを実行できます）。

特権の昇格

注:
この機能はCitrix Virtual Appsには適用されません。
特権昇格機能を使用すると、一部の実行可能ファイルに必要な管理者レベルに非管理者ユーザーの特権を昇格させることができます。その結果、ユーザーは管理者グループのメンバーであるかのように、それらの実行可能ファイルを開始できます。

特権昇格

セキュリティで特権昇格ペインを選択すると、次のオプションが表示されます。
  • 特権昇格設定の処理。特権昇格機能を有効にするかどうかを制御します。選択すると、エージェントが特権昇格設定を処理できるようになり、特権昇格タブの他のオプションが利用可能になります。
  • Windows Server OSに適用しない。特権昇格設定をWindows Serverオペレーティングシステムに適用するかどうかを制御します。選択した場合、ユーザーに割り当てられたルールはWindows Serverマシンでは機能しません。デフォルトでは、このオプションが選択されています。
  • RunAsInvokerを強制する。すべての実行可能ファイルを現在のWindowsアカウントで実行するように強制するかどうかを制御します。選択した場合、ユーザーは実行可能ファイルを管理者として実行するように求められません。
このタブには、構成したルールの完全なリストも表示されます。実行可能ファイルルールまたはWindowsインストーラールールをクリックして、ルールリストを特定のルールタイプにフィルタリングします。検索を使用してリストをフィルタリングできます。割り当て済み列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

特権昇格は、実行可能ファイルルールとWindowsインストーラールールの2種類のルールを使用して構成できます。
  • 実行可能ファイルルール。アプリケーションに関連付けられた.exeおよび.com拡張子を持つファイルを含むルール。
  • Windowsインストーラールール。アプリケーションに関連付けられた.msiおよび.msp拡張子を持つインストーラーファイルを含むルール。Windowsインストーラールールを追加する際は、次のシナリオを考慮してください。
    • 特権昇格はMicrosoftのmsiexec.exeにのみ適用されます。.msiおよび.msp Windowsインストーラーファイルを展開するために使用するツールがmsiexec.exeであることを確認してください。
    • あるプロセスが指定されたWindowsインストーラールールに一致し、その親プロセスが指定された実行可能ファイルルールに一致するとします。指定された実行可能ファイルルールで子プロセスに適用設定が有効になっていない限り、そのプロセスは昇格された特権を取得できません。
実行可能ファイルルールタブまたはWindowsインストーラールールタブをクリックすると、アクションセクションに次の利用可能なアクションが表示されます。
  • 編集。既存の実行可能ファイルルールを編集できます。
  • 「削除」。既存の実行可能ルールを削除できます。
  • 「ルールの追加」。実行可能ルールを追加できます。

ルールを追加するには

  1. 「実行可能ルール」または「Windowsインストーラールール」に移動し、「ルールの追加」をクリックします。「ルールの追加」ウィンドウが表示されます。
  2. 「表示」セクションで、次の情報を入力します。
    • 「名前」。ルールの表示名を入力します。この名前はルールリストに表示されます。
    • 「説明」。ルールに関する追加情報を入力します。
  3. 「種類」セクションで、オプションを選択します。
    • 「パス」。ルールはファイルパスと一致します。
    • 「発行元」。ルールは選択した発行元と一致します。
    • 「ハッシュ」。ルールは特定のハッシュコードと一致します。
  4. 「設定」セクションで、必要に応じて以下を構成します。
    • 「子プロセスに適用」。選択すると、実行可能ファイルが開始するすべての子プロセスにルールが適用されます。より詳細なレベルで特権昇格を管理するには、次のオプションを使用します。
      • 「同じフォルダー内の実行可能ファイルにのみ適用」。選択すると、同じフォルダーを共有する実行可能ファイルにのみルールが適用されます。
      • 「署名された実行可能ファイルにのみ適用」。選択すると、署名された実行可能ファイルにのみルールが適用されます。
      • 同じ発行元の実行可能ファイルにのみ適用。選択した場合、同じ発行元情報を共有する実行可能ファイルにのみルールが適用されます。この設定は、ユニバーサル Windows プラットフォーム (UWP) アプリでは機能しません。
      注:
      Windows インストールルールを追加すると、「子プロセスに適用」設定がデフォルトで有効になり、編集することはできません。
    • 開始時刻。エージェントがルールの適用を開始する時刻を指定できます。時刻形式は HH:MM です。時刻はエージェントのタイムゾーンに基づきます。
    • 終了時刻。エージェントがルールの適用を停止する時刻を指定できます。時刻形式は HH:MM です。指定された時刻以降、エージェントはルールを適用しなくなります。時刻はエージェントのタイムゾーンに基づきます。
    • パラメータの追加。指定されたパラメータに一致する実行可能ファイルに特権昇格を制限できます。パラメータは一致基準として機能します。指定するパラメータが正しいことを確認してください。この機能の使用例については、「パラメータで実行される実行可能ファイル」を参照してください。このフィールドが空であるか、空白のみが含まれている場合、エージェントは、パラメータの有無にかかわらず、関連する実行可能ファイルに特権昇格を適用します。
    • 正規表現を有効にする。正規表現を使用して基準をさらに拡張するかどうかを制御できます。
  5. 「割り当て」セクションで、ルールを割り当てるユーザーまたはユーザーグループを選択します。すべてのユーザーとユーザーグループにルールを割り当てる場合は、「すべて選択」を選択します。
    ヒント:
    • 通常の Windows 選択修飾キーを使用して、複数の選択を行うことができます。
    • ユーザーまたはユーザーグループは、「管理 > ユーザー」タブに表示されるリストにすでに存在している必要があります。
    • ルールは後で（ルール作成後に）割り当てることもできます。
  6. 次へをクリックします。
  7. 以下のいずれかを実行します。前のページで選択したルールタイプに応じて、異なるアクションが必要です。
    • パス。ルールを適用するファイルまたはフォルダーへのパスを入力します。WEM エージェントは、実行可能ファイルにルールを適用します。 実行可能ファイルのパスに従って。
    • 発行元。次のフィールドに入力します: 「発行元」、「製品名」、「ファイル名」、および「ファイルバージョン」。いずれのフィールドも空にすることはできませんが、代わりにアスタリスク (*) を入力できます。WEM エージェントは、発行元情報に従ってルールを適用します。適用された場合、ユーザーは同じ発行元情報を共有する実行可能ファイルを実行できます。
    • ハッシュ。追加をクリックしてハッシュを追加します。「ハッシュの追加」ウィンドウで、ファイル名とハッシュ値を入力します。「AppInfoViewer」ツールを使用して、選択したファイルまたはフォルダからハッシュを作成できます。WEM エージェントは、指定されたとおりに同一の実行可能ファイルにルールを適用します。その結果、ユーザーは指定されたものと同一の実行可能ファイルを実行できます。
  8. 作成をクリックしてルールを保存し、ウィンドウを終了します。

パラメータを指定して実行される実行可能ファイル

指定されたパラメータに一致する実行可能ファイルに特権昇格を制限できます。パラメータは一致基準として機能します。実行可能ファイルで利用可能なパラメータを確認するには、Process Explorer や Process Monitor などのツールを使用します。それらのツールに表示されるパラメータを適用します。
実行可能ファイルのパスに基づいて、実行可能ファイル (例: cmd.exe) にルールを適用したいとします。特権昇格を test.bat にのみ適用したい場合です。Process Explorer を使用してパラメータを取得できます。
パラメータを指定して実行されるCMD (/en-us/workspace-environment-management/service/media/cmd-running-with-parameters.png)
Add Parameter フィールドに、次のように入力できます。
  • /c ""C:\test.bat""
次に、Path フィールドに次のように入力します。
  • C:\Windows\System32\cmd.exe
この場合、指定されたユーザーの特権は、test.bat の場合にのみ管理者レベルに昇格されます。

ユーザーにルールを割り当てるには

リストから1つ以上のルールを選択し、Actions セクションで Edit をクリックします。Edit Rule ウィンドウで、ルールを割り当てたいユーザーまたはユーザーグループを選択し、OK をクリックします。

ルールを削除するには

リストから1つ以上のルールを選択し、Actions セクションで Delete をクリックします。

特権昇格ルールをバックアップするには

現在の構成セットにあるすべての特権昇格ルールをバックアップできます。すべてのルールは単一のXMLファイルとしてエクスポートされます。Restore を使用して、任意の構成セットにルールを復元できます。
バックアップを完了するには、リボンで使用できる Backup ウィザードを使用します。Backup ウィザードの使用方法の詳細については、リボン を参照してください。

特権昇格ルールを復元するには

Workspace Environment Management バックアップウィザードを介してエクスポートされたXMLファイルから、特権昇格ルールを復元できます。復元プロセスでは、現在の構成セットのルールがバックアップ内のルールに置き換えられます。セキュリティ > 特権昇格ペインに切り替えるか、または更新すると、無効な特権昇格ルールが検出されます。無効なルールは自動的に削除され、エクスポート可能なレポートに一覧表示されます。復元ウィザードの使用について詳しくは、「リボン」(/ja-jp/workspace-environment-management/service/using-environment-management/ribbon.html)を参照してください。

自己昇格

自己昇格を使用すると、特定のユーザーに対して、事前に正確な実行可能ファイルを提供することなく、特権昇格を自動化できます。これらのユーザーは、ファイルを右クリックし、コンテキストメニューで管理者権限で実行を選択するだけで、該当する任意のファイルの自己昇格を要求できます。その後、昇格の理由を提供するよう求めるプロンプトが表示されます。WEMエージェントは理由を検証しません。昇格の理由は、監査目的でデータベースに保存されます。条件が満たされると、昇格が適用され、ファイルは管理者権限で正常に実行されます。
この機能により、ニーズに最適なソリューションを柔軟に選択できます。ユーザーが自己昇格を許可するファイルの許可リストを作成したり、ユーザーが自己昇格を防止したいファイルのブロックリストを作成したりできます。
自己昇格は、次の形式のファイルに適用されます: .exe、.msi、.bat、.cmd、.ps1、および.vbs。
注:
デフォルトでは、一部のファイルを実行するために特定のアプリケーションが使用されます。たとえば、.cmdファイルを実行するにはcmd.exeが使用され、.ps1ファイルを実行するにはpowershell.exeが使用されます。これらのシナリオでは、デフォルトの動作を変更することはできません。
セキュリティ > 自己昇格を選択すると、次のオプションが表示されます。
  • 自己昇格を有効にする。自己昇格機能を有効にするかどうかを制御します。このオプションを選択して、次の操作を行います。
    • エージェントが自己昇格設定を処理できるようにします。
    • 自己昇格タブの他のオプションを利用可能にします。
    • ユーザーがファイルを右クリックしたときに、コンテキストメニューで管理者権限で実行オプションを利用可能にします。これにより、ユーザーは自己昇格タブで指定した条件に一致するファイルの自己昇格を要求できます。
  • 権限。ユーザーが自己昇格を許可するファイルの許可リストを作成したり、ユーザーが自己昇格を防止したいファイルのブロックリストを作成したりできます。
    • 許可。ユーザーが自己昇格を許可するファイルの許可リストを作成します。
    • 拒否。ユーザーが自己昇格を防止したいファイルのブロックリストを作成します。
  • 次の操作を実行できます。
    • 編集。既存の条件を編集できます。
    • 削除。既存の条件を削除できます。
    • 追加。条件を追加できます。パス、選択した発行元、または特定のハッシュコードに基づいて条件を作成できます。
  • 設定。エージェントが自己昇格を適用する方法を制御する追加設定を構成できます。
    • 子プロセスに適用。選択すると、ファイルが開始するすべての子プロセスに自己昇格条件が適用されます。
    • 開始時刻。エージェントが自己昇格の条件の適用を開始する時刻を指定できます。時刻形式はHH:MMです。時刻はエージェントのタイムゾーンに基づきます。
    • 終了時刻。エージェントが自己昇格の条件の適用を停止する時刻を指定できます。時刻形式はHH:MMです。指定された時刻以降、エージェントは条件を適用しなくなります。時刻はエージェントのタイムゾーンに基づきます。
  • 割り当て。自己昇格条件を該当するユーザーまたはユーザーグループに割り当てることができます。すべてのユーザーおよびユーザーグループに条件を割り当てるには、すべて選択をクリックするか、全員を選択します。すべて選択チェックボックスは、選択をクリアしてユーザーおよびユーザーグループを再選択したいシナリオで役立ちます。

プロセス階層制御

プロセス階層制御機能は、親子関係のシナリオで、特定の子プロセスが親プロセスから開始できるかどうかを制御します。親プロセスを定義し、その子プロセスに対して許可リストまたはブロックリストを指定することで、ルールを作成します。この機能を使用する前に、このセクション全体を確認してください。
注:
  • この機能はCitrix Virtual Appsにのみ適用されます。
ルールの仕組みを理解するために、次の点に留意してください。
  • プロセスは1つのルールのみに従います。同じプロセスに対して複数のルールを定義した場合、最も優先度の高いルールのみが適用されます。
  • 定義したルールは、元の親子階層に限定されるだけでなく、その階層の各レベルにも適用されます。親プロセスに適用されるルールは、ルールの優先度に関係なく、その子プロセスに適用されるルールよりも優先されます。たとえば、次の2つのルールを定義します。
    • ルール1：WordはCMDを開くことができません。
    • ルール2：メモ帳はCMDを開くことができます。
    この2つのルールがある場合、ルールの優先順位に関係なく、まずWordを開いてからWordからメモ帳を開くことで、メモ帳からCMDを開くことはできません。
この機能は、特定のプロセスベースの親子関係に依存して動作します。シナリオにおける親子関係を視覚化するには、Process Explorerツールのプロセスツリー機能を使用します。Process Explorerの詳細については、<https://docs.microsoft.com/ja-jp/sysinternals/downloads/procmon>を参照してください。
潜在的な問題を回避するために、Full Configuration管理インターフェイスでVUEMAppCmd.exeを指す実行可能ファイルのパスを追加することをお勧めします。VUEMAppCmd.exeは、公開されたアプリケーションが開始する前にWEMエージェントが設定の処理を完了するようにします。次の手順を完了してください。
  1. 「アプリケーション」ノードで、アプリケーションを選択し、アクションバーのプロパティをクリックしてから、「場所」ページに移動します。
    Full Configurationのアプリケーション設定ページ
  2. エンドユーザーのオペレーティングシステム上のローカルアプリケーションのパスを入力します。
    • 「実行可能ファイルへのパス」フィールドに、次のように入力します。
      <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
  3. 開くアプリケーションを指定するコマンドライン引数を入力します。
    • 「コマンドライン引数」フィールドに、VUEMAppCmd.exeを介して起動したいアプリケーションへのフルパスを入力します。パスに空白が含まれている場合は、アプリケーションのコマンドラインを二重引用符で囲んでください。
    • たとえば、VUEMAppCmd.exeを介してiexplore.exeを起動したいとします。その場合は、次のように入力します。%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

考慮事項

この機能が動作するためには、各エージェントマシンでAppInfoViewerツールを使用して機能を有効にする必要があります。このツールを使用して機能を有効または無効にするたびに、マシンの再起動が必要です。この機能が有効になっている場合、以下の考慮事項に注意してください。
  • エージェントをアップグレードまたはアンインストールした後、エージェントマシンを再起動する必要があります。
    注:
    バージョン2103.2.0.1または2104.1.0.1からアップグレードまたはアンインストールする場合、再起動のプロンプトは表示されません。
  • 自動エージェントアップグレード機能は、エージェントバージョン2105.1.0.1以降では動作しません。自動エージェントアップグレード機能を使用するには、まずAppInfoViewerツールを使用してプロセス階層制御機能を無効にしてください。
  • バージョン 2103.2.0.1 または 2104.1.0.1 からアップグレードする場合、エージェントの自動アップグレードが完了した後、エージェントマシンを再起動する必要があります。
プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンで レジストリエディター を開きます。次のレジストリエントリが存在する場合、この機能は有効になっています。
  • 32ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64ビットOS
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook
重要:
エージェントのバージョン 2103.2.0.1 および 2104.1.0.1 では、プロセス階層制御機能が自動的に有効になる場合があります。プロセス階層制御機能が有効になっていることを確認するには、エージェントマシンでレジストリエディターを開きます。この機能が有効になっている場合、エージェントのアップグレードまたはアンインストール後に、エージェントマシンを手動で再起動する必要があります。

前提条件

この機能を使用するには、次の前提条件が満たされていることを確認してください。
  • Citrix Virtual Appsの展開。
  • エージェントがWindows 10またはWindows Serverで実行されていること。
  • インプレースアップグレードまたは新規インストール後にエージェントホストが再起動されていること。

プロセス階層制御

セキュリティ で プロセス階層制御 を選択すると、次のオプションが表示されます。
  • プロセス階層制御を有効にする。プロセス階層制御機能を有効にするかどうかを制御します。選択すると、プロセス階層制御 タブの他のオプションが利用可能になり、そこで構成された設定が有効になります。この機能は、Citrix Virtual Appsの展開でのみ使用できます。
  • コンテキストメニューからを非表示にする。Windowsの右クリックコンテキストメニューから プログラムから開く オプションを表示するかどうかを制御します。有効にすると、メニューオプションはインターフェイスから非表示になります。無効にすると、オプションが表示され、ユーザーはそれを使用してプロセスを開始できます。プロセス階層制御機能は、プログラムから開く オプションを介して開始されたプロセスには適用されません。現在のアプリケーション階層とは無関係なシステムサービスを介してアプリケーションがプロセスを開始するのを防ぐために、この設定を有効にすることをお勧めします。
プロセス階層制御 タブには、構成したルールの完全なリストも表示されます。検索 を使用してリストをフィルター処理できます。割り当て済み 列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。
アクション セクションには、次のアクションが表示されます。
  • 編集。ルールを編集できます。
  • 削除。ルールを削除できます。
  • ルールの追加。ルールを追加できます。

ルールを追加するには

  1. プロセス階層制御に移動し、ルールの追加をクリックします。ルールの追加ウィンドウが表示されます。
  2. 表示セクションで、次のように入力します。
    • 名前。ルールの表示名を入力します。この名前はルールリストに表示されます。
    • 説明。ルールに関する追加情報を入力します。
  3. 種類セクションで、オプションを選択します。
    • パス。ルールはファイルパスと一致します。
    • 発行元。ルールは選択した発行元と一致します。
    • ハッシュ。ルールは特定のハッシュコードと一致します。
  4. モードセクションで、次のいずれかのオプションを選択します。
    • 子プロセスをブロックリストに追加。選択すると、親プロセスに対してルールを構成した後、該当する子プロセスのブロックリストを定義できます。ブロックリストは、指定したプロセスのみの実行を禁止し、他のプロセスは実行を許可します。
    • 子プロセスを許可リストに追加。選択すると、親プロセスに対してルールを構成した後、該当する子プロセスの許可リストを定義できます。許可リストは、指定したプロセスのみの実行を許可し、他のプロセスは実行を禁止します。
    注:
    プロセスは1つのルールのみに従います。同じプロセスに対して複数のルールを定義した場合、ルールは優先順位に従って適用されます。
  5. 優先度セクションで、ルールの優先度を設定します。優先度を設定する際は、次の点を考慮してください。優先度は、設定したルールが処理される順序を決定します。値が大きいほど優先度が高くなります。整数を入力します。競合が発生した場合、優先度の高いルールが優先されます。
  6. 割り当てセクションで、ルールを割り当てるユーザーまたはユーザーグループを選択します。すべてのユーザーおよびユーザーグループにルールを割り当てる場合は、すべて選択を選択します。
    注:
    • 通常のWindowsの選択キーを使用して、複数選択を行うことができます。
    • ユーザーまたはユーザーグループは、管理 > ユーザータブに表示されるリストにすでに存在している必要があります。
    • ルールは後で（ルール作成後に）割り当てることもできます。
  7. 次へをクリックします。
  8. 親プロセスにルールを設定するには、次のいずれかを実行します。前のページで選択したルールタイプによって、必要なアクションが異なります。
    • パス。親プロセスにルールを適用するファイルまたはフォルダーへのパスを入力します。WEMエージェントは、実行可能ファイルのパスに基づいて実行可能ファイルにルールを適用します。パスの一致を示すために、このフィールドにアスタリスク (*) のみを入力することはお勧めしません。そうすると、意図しないパフォーマンスの問題が発生する可能性があります。
    • 発行元。次のフィールドに入力します: 発行元、製品名、ファイル名、ファイルバージョン。どのフィールドも空にすることはできませんが、代わりにアスタリスク (*) を入力できます。WEMエージェントは、発行元情報に基づいて親プロセスにルールを適用します。適用された場合、ユーザーは同じ発行元情報を共有する実行可能ファイルを実行できます。
    • ハッシュ。追加をクリックしてハッシュを追加します。ハッシュの追加ウィンドウで、ファイル名とハッシュ値を入力します。AppInfoViewerツールを使用して、選択したファイルまたはフォルダーからハッシュを作成できます。WEMエージェントは、指定された同一の実行可能ファイルにルールを適用します。その結果、ユーザーは指定されたものと同一の実行可能ファイルを実行できます。
  9. 次へをクリックして、子プロセスの設定を構成します。
  10. 該当する子プロセスの許可リストまたはブロックリストを定義するには、次のいずれかを実行します。
    1. メニューからルールタイプを選択し、追加をクリックします。子プロセスウィンドウが表示されます。
    2. 子プロセスウィンドウで、必要に応じて設定を構成します。子プロセスウィンドウのユーザーインターフェイスは、選択したルールタイプによって異なります。子プロセスでは、次のルールタイプが利用可能です: パス、発行元、ハッシュ。
    3. OKをクリックしてルールの追加ウィンドウに戻ります。さらに子プロセスを追加するか、作成をクリックしてルールを保存し、ウィンドウを終了します。

ユーザーにルールを割り当てるには

リストからルールを1つ選択し、アクションセクションで編集をクリックします。ルールの編集ウィンドウで、ルールを割り当てたいユーザーまたはユーザーグループを選択し、OKをクリックします。

ルールを削除するには

リストから1つ以上のルールを選択し、アクションセクションで削除をクリックします。

ルールをバックアップするには

現在の構成セットにあるすべてのプロセス階層制御ルールをバックアップできます。すべてのルールは単一のXMLファイルとしてエクスポートされます。復元を使用して、任意の構成セットにルールを復元できます。
バックアップを完了するには、リボンで使用できるバックアップウィザードを使用します。バックアップウィザードの使用方法の詳細については、リボンを参照してください。

ルールを復元するには

Workspace Environment Managementバックアップウィザードを介してエクスポートされたXMLファイルから、プロセス階層制御ルールを復元できます。復元プロセスでは、現在の構成セットのルールがバックアップ内のルールに置き換えられます。セキュリティ > プロセス階層制御ペインに切り替えるか更新すると、無効なルールは削除され、エクスポート可能なレポートに一覧表示されます。復元ウィザードの使用方法の詳細については、リボンを参照してください。