このチュートリアルでは、Windows 2012サーバーでグループポリシーアプリケーションロッカーを構成する方法を説明します。
このチュートリアルでは、すべてのアプリケーションのインストールまたは実行をブロックする方法を説明します。
このチュートリアルでは、特定のアプリケーションを実行する方法を説明します。
これは、ISO 27001のような国際的な情報セキュリティ認証に準拠しているコンピュータ環境に役立ちます。
ドメインコントローラはWindows 2012 R2を実行しています。
ドメインコンピュータはWindows 7とWindows 10を実行しています。
アプリケーションロッカーは、Windows EnterpriseまたはUltimateエディションで動作します。
アプリケーションロッカーは、Windowsのプロフェッショナル版では動作しません。
ハードウェアリスト：
次のセクションでは、このWindowsチュートリアルを作成するために使用される機器のリストを示します。
上記の各ハードウェアは、AmazonのWebサイトにあります。
Windows関連のチュートリアル：
このページでは、Windowsに関連するチュートリアルの一覧にすばやくアクセスできます。
チュートリアル – アプリケーションロッカーGPOの作成
Active Directoryを使用してWindows 2012 R2を実行しているドメインコントローラで、次のタスクが実行されました。
[スタート]メニューをクリックし、グループポリシー管理ツールを見つけて開きます。
[グループポリシーの管理]画面で、[グループポリシーオブジェクト]という名前のフォルダを探します。
[グループポリシーオブジェクト]フォルダを右クリックし、[新規]オプションを選択します。
新しいポリシーの名前を入力します。
この例では、新しいGPOの名前は「ソフトウェアポリシー」です。
[グループポリシーの管理]画面で、[グループポリシーオブジェクト]という名前のフォルダを展開します。
新しいグループポリシーオブジェクトを右クリックし、[編集]オプションを選択します。
グループポリシーエディタ画面では、ユーザー構成とコンピューター構成が表示されます。
コンピュータの設定のみを変更します。
ユーザー設定を変更する必要はありません。
まず、アプリケーションIDという名前のWindowsサービスを自動的に開始するように設定する必要があります。
グループポリシーエディタ画面で、コンピュータの構成フォルダを展開し、次の項目を探します。
•コンピュータの設定> Windowsの設定>セキュリティの設定>システムサービス
右側に、Windows用の利用可能なサービスの一覧が表示されます。
「アプリケーションID」という名前の構成項目をダブルクリックします。
設定項目画面で、自動オプションを選択する必要があります。
アプリケーションロッカーが動作するためには、ドメインコンピュータはアプリケーションIDサービスを実行する必要があります。
チュートリアル – アプリケーションロッカーGPOの設定
グループポリシーエディタ画面で、コンピュータの構成フォルダを展開し、次の項目を探します。
•コンピュータの構成> Windowsの設定>セキュリティの設定>アプリケーション制御のポリシー> AppLocker
右側に、アプリケーションロッカーポリシーで使用できる設定項目が表示されます。
Configure Rule Enforcementという名前の構成項目をクリックします。
Applockerのプロパティウィンドウが表示されます。
実行可能ファイルのルールを有効にし、[ルールを強制する]オプションを選択します。
Windows Installerルールを有効にし、[ルールを強制する]オプションを選択します。
パッケージ化されたアプリケーションルールを有効にし、[ルールを強制する]オプションを選択します。
[OK]ボタンをクリックします。
次に、デフォルトのソフトウェアルールを作成する必要があります。
Executables Rulesポリシーを右クリックし、[Create default rules]オプションを選択します。
グループポリシーの作成を終了するには、グループポリシーエディタウィンドウを閉じる必要があります。
グループポリシーウィンドウを閉じるときだけ、システムは設定を保存します。
実行可能なデフォルトルールは、次のように記述します。
Windowsフォルダ内のすべてのEXEファイルを実行することができます。
Program filesフォルダ内のすべてのEXEファイルが実行されます。
Administratorsグループのメンバーは、任意のEXEファイルを実行できます。
別のアプリケーションを承認するには、実行可能ファイルのルールを右クリックし、[新しいルールを作成する]オプションを選択します。
Windowsインストーラのルールを右クリックし、[デフォルトルールを作成する]オプションを選択します。
別のアプリケーションを承認するには、Windowsインストーラのルールを右クリックし、[新しいルールを作成する]オプションを選択します。
Package Appルールを右クリックし、Create default rulesオプションを選択します。
グループポリシーの作成を終了するには、グループポリシーエディタウィンドウを閉じる必要があります。
グループポリシーウィンドウを閉じるときだけ、システムは設定を保存します。
チュートリアル – アプリケーションロッカーGPOの適用
アプリケーションロッカーGPOの作成が完了しました。
ただし、新しいグループポリシーを有効にする必要があります。
グループポリシー管理画面で、目的の組織単位を右クリックし、既存のGPOをリンクするオプションを選択する必要があります。
この例では、SOFTWARE POLICYというグループポリシーをTECH.LOCALという名前のドメインのルートにリンクします。
GPOを適用した後、10分または20分待つ必要があります。
この間、GPOは他のドメインコントローラにレプリケートされます。
20分待ってから、ユーザーのコンピュータを再起動する必要があります。
起動時に、コンピュータは新しいグループポリシーのコピーを取得して適用します。
設定をテストするには、ドメインコンピュータにログインし、ソフトウェアをダウンロードして実行する必要があります。
コンピュータは、GPOで特に許可されていないアプリケーションを自動的にブロックする必要があります。
