ユーザ権限管理の使用例

1. [ライブラリ] > [ユーザ権限ポリシー] ノードに移動します。
2. [権限管理] リボンで、[ポリシーの追加] を選択します。
3. 新しいポリシーを選択して右クリックし、[名前の変更] を選択します。
4. 「管理者権限の昇格」などのわかりやすい名前をポリシーに付けます。

5. 新しいポリシーを選択し、[権限管理] リボンで、[グループ処理の追加] をクリックします。

   [アカウントの選択] ダイアログが表示されます。

6. ポリシーに追加するグループを参照し、選択します。

7. グループは、[ユーザ権限ポリシー] 作業領域の [グループ メンバーシップ] タブに一覧表示されます。

   [メンバーシップの追加] が [処理] 列で指定されていることを確認します。ユーザは、グループのメンバーであるかのように、アプリケーションを実行できます。

   • [グループ メンバーシップ] タブを使用して、アプリケーションを実行する認証資格情報を指定します。
   • [権限] タブでは、アプリケーションに対するユーザの権限を詳細に制御できます。
   • [プロパティ] タブは、完全性レベルを指定するために使用されます。完全性レベルが低いアプリケーションは、完全性レベルが高いアプリケーションと相互運用することができません。

1. ナビゲーション ペインで、[ルール] > [グループ] > [すべてのユーザ] > [ユーザ権限] を選択します。
2. [権限] リボンで、[項目の追加] ドロップダウン矢印を選択し、[アプリケーション] をハイライトしてから、ファイル、フォルダ、署名、またはグループのいずれかを選択します。
3. 追加する項目を選択します。
4. [ユーザ権限ポリシー] を上記の [ユーザ権限管理ポリシーを作成する] で作成されたポリシーに設定します。
5. [すべてのユーザ]を選択します。
6. セキュリティ レベル スライダを [ 無制限] に移動し、Application Control によるブロックを防止します。
7. 構成を保存します。

イベント9018は、ユーザにアプリケーション変更権限が付与されるときを監査します。

1. [ライブラリ] > [ユーザ権限ポリシー] ノードを選択します。
2. [権限管理] リボンで、[ポリシーの追加] を選択します。
3. 新しいポリシーを選択して右クリックし、[名前の変更] を選択します。
4. 「Visual Studio の昇格」など、ポリシーの直感的な名前を入力します。

5. [権限管理] リボンで、[グループ処理の追加] を選択します。

   [アカウントの選択] ダイアログが表示されます。

6. ポリシーに追加するグループを参照し、選択します。

   グループは、[ルール] 作業領域の [グループ メンバーシップ] タブに追加されます。

7. タブで、[メンバーシップの追加] が [処理] 列で指定されていることを確認します。

   ユーザは、グループのメンバーであるかのように、アプリケーションを実行できます。

1. [ライブラリ] > [ユーザ権限ポリシー] ノードを選択します。
2. [権限管理] リボンで、[ポリシーの追加] を選択します。
3. 新しいポリシーを選択して右クリックし、[名前の変更] を選択します。
4. 「デバッグの実行」など、ポリシーの直感的な名前を入力します。

5. [権限] タブを選択します。

   [権限] 作業領域が表示されます。

6. [処理] 列でデバッグ権限のドロップダウンメニューを選択し、[有効] を選択します。

1. ナビゲーション ペインで、[ルール] > [グループ] を選択します。

2. [ルール] リボンで [ルールの追加] ドロップダウン矢印を選択し、[グループ ルール] を選択します。

   [グループ ルールの追加] ダイアログが表示されます。

3. [アカウント] フィールドにドメイン名を入力します。
4. [追加] をクリックします。

1. 作成したルールの下の [ユーザ権限] ノードを選択します。

   [ユーザ権限] 作業領域が表示されます。

2. [権限管理] リボンで、[項目の追加] > [アプリケーション] > [ファイル] を選択します。
   [ユーザ権限管理のファイルを追加] ダイアログが表示されます。
3. Visual Studio アプリケーション ファイルを参照して選択します。
4. [ポリシーを子プロセスに適用する] オプションを選択します。

5. [追加] をクリックします。

   実行ファイルのファイル パスと名前が作業領域の [アプリケーション] タブに追加されます。

6. タブの [ユーザ権限ポリシー] 列で、[Visual Studio の昇格] ポリシーを選択します。これは、手順1で作成されたポリシーです。

1. [ユーザ権限] 作業領域で、[権限管理] リボンから、[項目の追加] > [アプリケーション] > [ファイル] を選択します。

   [ユーザ権限管理のファイルを追加] ダイアログが表示されます。

2. [ファイル] フィールドに * を入力します。これは、すべてのデバッグ アプリケーションを許可します。
3. [追加] をクリックします。

4. [ユーザ権限ポリシー] 列で [デバッグの実行] ポリシーを選択します。

   これは、手順4で作成されたポリシーです。

構成を保存します。

ディスクのデフラグでは管理者権限が必要であり、特定のコンポーネントによって統制されます。権限管理を使用して、このコンポーネントのユーザ権限を昇格するため、ディスクのデフラグを許可します。

1. 適用されるルール ノードを選択します。たとえば、[グループ] > [すべてのユーザ] ノードを選択します。

2. [権限管理] リボンで、[項目の追加] > [コンポーネントの追加] を選択します。

   [コンポーネントの選択] ダイアログが表示されます。

3. [デフラグ] コンポーネントを選択し、[OK] をクリックします。

   [コンポーネントの選択] ダイアログの上部にあるフィルタを使用すると、コンポーネントをオペレーティング システムでフィルタリングできます。

   コンポーネントが、ルールの作業領域にある [コンポーネント] タブに追加されます。

4. [ユーザ権限ポリシー] 列のドロップダウン矢印を選択し、[セキュリティ情報昇格] ポリシーを選択します。
5. 構成を保存します。

Microsoft Windows の更新機能は特定のコンポーネントによって統制されます。権限管理を使用して、このコンポーネントの権限を昇格し、非管理者標準ユーザが役割を実行するための変更ができるようにします。

アプレットの権限を昇格するには

1. 適用されるルール ノードを選択します。たとえば、[グループ] > [すべてのユーザ] ノードを選択します。

2. [権限管理] リボンで、[項目の追加] > [コンポーネントの追加] を選択します。

   [コンポーネントの選択] ダイアログが表示されます。

3. 自動更新/Windows コンポーネントを選択し、[OK] をクリックします。

   [コンポーネントの選択] ダイアログの上部にあるフィルタを使用すると、コンポーネントをオペレーティング システムでフィルタリングできます。

   コンポーネントが、ルールの作業領域にある [コンポーネント] タブに追加されます。

4. [ユーザ権限ポリシー] 列のドロップダウン矢印を選択し、[セキュリティ情報昇格] ポリシーを選択します。
5. 構成を保存します。

1. [ライブラリ] > [ユーザ権限ポリシー] ノードに移動します。
2. [権限管理] リボンで、[ポリシーの追加] を選択します。
3. 新しいポリシーを選択して右クリックし、[名前の変更] を選択します。
4. 「管理者権限の降格」などのわかりやすい名前をポリシーに付けます。
5. 新しいポリシーを選択し、[権限管理] リボンで、[グループ処理の追加] を選択します。
   [アカウントの選択] ダイアログが表示されます。

6. ポリシーに追加するグループを参照し、選択します。これらは、アプリケーションを実行するためのアカウント認証資格情報です。追加 をクリックします。

   グループは、[ポリシー] 作業領域の [グループ メンバーシップ] タブに一覧表示されます。

7. [処理] 列で、[メンバーシップの破棄] を選択します。
   • [グループ メンバーシップ] タブを使用して、アプリケーションを実行する認証資格情報を指定します。
   • [権限] タブでは、アプリケーションに対するユーザの権限を詳細に制御できます。
   • [プロパティ] タブは、完全性レベルを指定するために使用されます。完全性レベルが低いアプリケーションは、完全性レベルが高いアプリケーションと相互運用することができません。

1. [ルール] > [グループ] > [すべてのユーザ] > [ユーザ権限] ノードに移動します。
2. [権限管理] リボンで、[項目の追加] ドロップダウン矢印を選択して、[アプリケーション] を参照し、次のいずれかを実行します。
   • ファイル
   • フォルダ
   • 署名
   • グループ
3. 追加する項目を選択します。
4. ユーザ権限ポリシーを、手順1で作成されたポリシーに設定します。
5. すべてのユーザノードを選択します。
6. セキュリティ レベル スライダを制限まで移動します。
7. 構成を保存します。

イベント9018は、ユーザにアプリケーション変更権限が付与されるときを監査します。

サービスはコントロール パネルのコンポーネントです。ユーザ権限管理を使用して、サービス コンポーネントの権限を降格し、非管理者標準ユーザがサービスを開始および停止できないようにします。

1. 適用されるルール ノードの下で、[ユーザ権限] ノードを選択します。たとえば、[グループ] > [すべてのユーザ] ノードを選択します。

2. [権限管理] リボンで、[項目の追加] > [コンポーネントの追加] を選択します。

   [コンポーネントの選択] ダイアログが表示されます。

3. [サービス] コンポーネントを選択し、[OK] をクリックします。

   [コンポーネントの選択] ダイアログの上部にあるフィルタを使用すると、コンポーネントをオペレーティング システムでフィルタリングできます。

   選択したコンポーネントは、作業領域の [コンポーネント] タブに表示されます。

4. [ユーザ権限ポリシー] 列のドロップダウン矢印を選択し、[ビルトイン制限] ポリシーを選択します。
5. 構成を保存します。

保護されたダイアログ

管理者は Application Control および権限管理を使用して、標準ユーザを管理者権限に昇格させることができます。ユーザの管理者権限を許可すると、重要なシステム ファイルを含むすべてのファイルと、ファイルの削除や名前の変更などの機能へのアクセスを付与します。このような操作はシステムを危険にさらす可能性があります。

Application Control および権限管理には保護された共通ダイアログ機能があり、ユーザによるファイルの操作を禁止します。ダイアログボックスが開き、ファイルへのアクセスを提供しますが、ファイルの削除や名前変更はできます。

Application Control は、ユーザが本来アクセスできる領域へのアクセスを制限しません。

管理者および保護された共通ダイアログに昇格

シナリオ

• あなたは IT 管理者です
• 新しいユーザ権限ポリシーを作成しています

プロセス

1. [権限管理] リボンで、[ライブラリ] > [ユーザ権限ポリシー] ノードに移動し、[ポリシーの追加] を選択します。

   新しいポリシーが作成されます。

2. 新しいポリシーを右クリックし、[名前の変更] を選択します。
3. 「管理者に昇格」など、ポリシーの直感的な名前を入力します。

4. 新しいポリシーを選択し、[権限管理] リボンの [グループ処理の追加] を選択します。

   [アカウントの選択] ダイアログが表示されます。

5. [アカウント] フィールドに管理者アカウントを入力するか、[参照] ボタンを使用して、アカウントを検索します。追加 をクリックします。
6. [メンバーシップの追加] が [処理] 列で選択されていることを確認します。これは既定の設定です。[メンバーシップの追加] オプションでは、ユーザが指定されたグループのメンバーであるかのように、アプリケーションを実行できます。[メンバーシップの破棄] オプションでは、ユーザはアプリケーションを実行できません。
7. 適用されるグループの下の [ユーザ権限] ノードを選択します。たとえば、すべてのユーザ グループを選択します。
8. [権限管理] リボンで、[項目の追加] > [アプリケーション] > [ファイル] を選択します。
9. [ユーザ権限管理のファイルを追加] ダイアログが表示されます。
10. 共通ダイアログを保護するアプリケｰションの名前を入力するか、[参照] ボタンをクリックして、アプリケーションを参照します。
11. [共通ダイアログに適用する] オプションが選択されていることを確認します。
12. [追加] をクリックします。
13. 手順1～6で作成されたポリシーが [ユーザ権限ポリシー] 列で選択されていることを確認します。
14. 構成を保存します。