アプリケーションの制御
信頼できる所有権チェックなどの Application Control のセキュリティ方法を、ユーザがインストールして実行できるアプリケーションを制御する構成のルールと組み合わせることができます。
Application Control は、信頼できる所有権チェックという方法を使用して、ユーザが導入した実行ファイルの実行を防止します。管理者などの信頼できる所有者がインストールしたアプリケーションのみが既定で実行が許可されます。マルチユーザ環境にインストールされた Project や Visio などの Microsoft アプリケーションの場合、Application Control を使用して、指定されたライセンスがあるデバイスによってのみこれらのアプリケーションへのアクセスが許可されます。
Application Control 構成には2つのグループ ルールがあります。無制限ですべての実行ファイルを実行できる BuiltIn\Administrators と信頼できる所有者が所有する実行ファイルのみを実行できる すべてのユーザ があります。作成された各ルールには、許可された項目と拒否された項目リストがあります。
許可された項目リストでは、管理者が、信頼できる所有権エラーやネットワーク実行ファイルなど、既定のルールで通常はブロックされる実行ファイルへのアクセスを付与することができます。
拒否された項目リストでは、管理者が、通常は既定のルールで許可される実行ファイルへのアクセスを拒否できます。
多くの場合、Microsoft アプリケーションは数台のデバイスでのみ実行するようにライセンスが付与されているため、Application Control を使用して、最初はすべてのユーザのアプリケーションへのアクセスを拒否してから、許可されたデバイスに基づいて、一部へのアクセスを許可することをお勧めします。
![閉じた](../../Skins/Default/Stylesheets/Images/transparent.gif)
- [グループ] > [すべてのユーザ] ノードを展開します。
- [拒否された項目] ノードを右クリックし、[項目の追加] > [拒否]> [ファイル] を選択します。[ファイルの追加] ダイアログが表示されます。
- アクセスを制限するアプリケーションを参照して選択するか、[ファイル] フィールドに名前を入力し、[追加] をクリックします。すべての標準ユーザは、指定されたアプリケーションの使用が拒否されます。
上記の構成はすべてのユーザのアクセスを拒否するため、例外ルールを作成して、指定されたライセンスがあるデバイスがアプリケーションを実行することを許可する必要があります。デバイスは、IP アドレス範囲または NetBIOS 名を使用して指定できます。これらのデバイスは、ターミナル サーバ/Citrix 環境で接続するクライアント コンピュータです。
Application Control ルールは、許可された項目ルールが拒否された項目ルールを無効にするという点で、Microsoft グループ ポリシーの動作とは異なります。
![閉じた](../../Skins/Default/Stylesheets/Images/transparent.gif)
-
[ルール] リボンで、[ルールの追加] > [デバイス ルール] を選択します。
新しいルールが作成されます。
- 新しいルールを右クリックし、[名前の変更] を選択します。
- Visio のライセンスがあるデバイスなど、直感的な名前を入力します。
- 新しいルールを展開します。
- 許可された項目ノードを選択します。
-
[ルール項目] リボンで、[項目の追加] > [許可] > [ファイル] を選択します。
[ファイルの追加] ダイアログが表示されます。
- 許可されたデバイスがアクセスできるアプリケーションを参照して選択するか、[ファイル] フィールドに名前を入力し、[追加] をクリックします。
これは、手順1で制限したアプリケーションと同じです。
![閉じた](../../Skins/Default/Stylesheets/Images/transparent.gif)
- 新しいデバイス ルールを選択します。
-
[ルール] リボンで [クライアント デバイスの追加] を選択します。
[クライアント デバイスの追加] ダイアログが表示されます。
-
指定されたアプリケーションを許可するデバイスを参照して選択し、[追加] をクリックします。
また、次のように、直接入力して、デバイスを指定することもできます。
- IP アドレス (例: 192.168.1.80)
- IP アドレス範囲 (例: 192.168.1.10-20)
-
NetBIOS 名 (例: Ivanti-PC1)
上記を組み合わせることもできます。
- デバイスが接続デバイスであり、アプリケーションを実行している物理デバイスではないことを指定するには、各デバイスの [デバイス タイプ] 列で [接続デバイス] を選択します。
![閉じた](../../Skins/Default/Stylesheets/Images/transparent.gif)
構成を保存します。構成が Citrix/ターミナル サーバに配布されると、指定されたデバイスのみが Microsoft の「デバイス単位」のライセンスがあるアプリケーションを起動できます。