セキュリティ | Workspace Environment Managementサービス

セキュリティ

October 15, 2024

寄稿者:

アプリケーションのセキュリティ

アプリケーションセキュリティ機能により、ユーザーが実行できるアプリケーションとファイルを制御するルールを定義できます。 Web コンソールでアプリケーションセキュリティルールを設定し、ルール設定に必要な情報を取得するツールを提供できます。また、この機能を使用して、セキュリティルールを含む割り当てグループを作成できます。 プロセスアプリケーションルールとプロセス DLL ルールが有効になっている場合、上書きモードはデフォルトでオンになります。 上書きモードでは、最後に処理されたルールが以前に処理されたルールを上書きします。このモードは、シングルセッションマシンにのみ適用することをお勧めします。この機能では、次のルールを作成することもできます。

実行可能なルール

Windows インストーラールール

スクリプトルール

パッケージアプリルール

DLLのルール

注意:

ルールを作成する前に、重要なシステムファイルが実行できるように、まずデフォルトのルールを追加することをお勧めします。

Windows インストーラールールの作成

これには、[基本情報] と [例外] の 2 つのメニュー項目が含まれます。 Windows インストーラールールを作成するには、[基本情報] と [例外] で次の手順を実行します。

[ルールを作成] を選択すると、[Windows インストーラールールの作成] ページが表示されます。

名前とオプションの説明を入力します。

目的のアクションを選択します。

ドロップダウンリストから [パス]、[発行元]、[ファイルハッシュ] などの条件タイプを選択します。

[ファイル情報ビューアを開く] を選択すると、WEM ツールハブに移動します。 WEM ツールハブ**を使用すると、必要な情報をすばやく入手できます。詳細については、「ファイル情報ビューア」を参照してください。

オプションで、例外を追加して、通常は主要な基準に基づいてルールに含まれるファイルを含めることができます。このタスクを実行するには、[例外を追加] を選択します。

WEM Tool Hub に移動して、[ファイル情報ビューア] で指定された基準のいずれかからデータをコピーし、[ファイル情報ビューアーから貼り付け] をクリックします。

［完了］ をクリックします。

[割り当ての管理] ページで必要に応じて割り当てを更新するには、[割り当てに進む] を選択します。

このアイテムを割り当てる割り当てターゲット (ユーザーとグループ) を選択します。フィルターを使用して課題をコンテキスト化します。指定したフィルタは上書きモードでのみ有効で、エージェントバージョン 2406 以降でのみサポートされます。

特定のルールをすべてのファイルに適用する必要がある場合は、アスタリスクを入力します。

権限昇格

この機能は、管理者権限で特定のプログラムを実行するためのルールを定義します。管理者以外のユーザーの権限を、一部の実行可能ファイルに必要な管理者レベルに昇格できます。その結果、ユーザーは Administrators グループのメンバーであるかのようにこれらの実行可能ファイルを起動できます。

権限昇格オプション

権限昇格ルールを処理: 選択すると、エージェントが権限昇格設定を処理できるようになり、[権限昇格] タブの他のオプションが使用できるようになります。

Windows Server OS に適用: 特権の昇格設定を Windows Server オペレーティングシステムに適用するかどうかを制御します。選択すると、ユーザーに割り当てられたルールが Windows Server マシンで機能します。デフォルトでは、このオプションは無効になっています。

RunAsInvoker を強制: すべての実行可能ファイルを現在の Windows アカウントで強制的に実行するかどうかを制御します。選択すると、管理者として実行可能ファイルを実行するようユーザーに求められません。

このペインには、設定したルールの完全なリストも表示されます。ルールリストを特定のルールタイプにフィルター処理するには、[ 実行可能ファイルのルール]、[ Windows インストーラーのルール]、または [ 自己昇格 ] をクリックします。 [ 検索 ] を使用して、リストをフィルタできます。割り当てられた列には、割り当てられたユーザーまたはユーザーグループのチェックマークアイコンが表示されます。

サポートされているルール

実行可能ルールと Windows インストーラールの 2 種類のルールを使用して、特権の昇格を設定できます。

実行可能ルール: アプリケーションに関連付けられた .exe および .com 拡張子を持つファイルを含むルール。

Windows インストーラールール: アプリケーションに関連付けられた拡張子 .msi および .msp のインストーラーファイルを含むルール。 Windows インストーラールールを追加するときは、次のシナリオを考慮してください。

権限昇格は、Microsoftの msiexec.exe にのみ適用されます。 .msiおよび.msp Windowsインストーラーファイルの展開に使用するツールが msiexec.exe であることを確認します。
プロセスが指定された Windows インストーラー規則と一致し、その親プロセスが指定された実行可能規則と一致するとします。指定した実行可能ルールで［ 子プロセスに適用 ］設定を有効にしない限り、プロセスは昇格された権限を取得できません。

自己昇格: 有効にすると、ファイルを右クリックしたときのコンテキストメニューで 管理者権限で実行 オプションが使用できるようになります。このオプションを選択すると、昇格の理由を入力するよう求められます。指定した基準に基づいて、昇格が許可または拒否されます。ルールを構成するには、 WEM ツールハブ > ファイル情報ビューアー を使用して、パス、発行元、ハッシュ値などの必要な情報をすばやく取得できます。また、期間を指定したり、曜日を選択したり、オプションでルールが有効なマシンを決定するための基準を設定することもできます。構成セットで初めて「 自己昇格 」トグルを有効にすると、自己昇格ルールが作成され、割り当て先の割り当てを管理するときにルールリストに表示されます。ルールは作成後に削除されることはありません。

実行可能ファイルのルール、 Windows インストーラーのルール、または 自己昇格 ルールを選択すると、 アクション セクションに、使用可能な次のアクションが表示されます。

編集。既存の実行可能ルールを編集できます。

[削除]。既存の実行可能ルールを削除できます。

ルールを作成します。実行可能なルールを作成できます。実行可能なルールを作成するには、ウィザードの指示に従います。

この情報は役に立ちましたか?