[戻る]

　●　総目次

• Windows SteadyState
• AntiVirus : MS Security Essentials
• AntiVirus : Symantec Endopoint Protection
• Limited User
• Group Policy
• Cancel & Works

　　　　　　　　　　INDEX

• 趣意
• ダウンロード
• インストール
• 初期画面
• 各種設定
• 保護オン

■　趣意

本稿は、以下の目的に特化して、記述されている。

主に、学教法でいう、いわゆる一条校、すなわち、小学校、中学校、高校、大学などにおいて、共有スペースにおかれた、不特定多数のユーザに供されている共有PCを、そのユーザのイタズラや不用意な操作、また世界中にいるクラッカーたちの攻撃から守り、セキュアで安全な環境を保つことである。
PCは、一応、Windows XP マシンを事例としているが、Vista マシンその他でも同じことが出来る。

そのために、まず（１）として――
MS社が無償で提供しているツール「Windows SteadyState 2.5」を使う。
これは、どのようなイタズラやアタックがあろうとも、再起動することで、その間に、HDDやシステム加えられた、いかなる改変をも、チャラにして、元にもどす優れたセキュリティ・ツールである。

そして（２）――、
Windows に備わった「グループポリシー」を使って、「制限ユーザ」のアカウントでさえ、可能なイタズラその他に「縛り」をかけ、PCの勝手な改変などが出来ないようにする。
なお、グループポリシーは、現時点で、Windows XP professional および Windows Vista で実装されている。
もともとWindows NT 系のツールなので、NT や2000 にもあるが、すでにサポート終了のため、ネット接続自体、危険であるから、あえて言及しない。また、Windows 7 にもあるのだが、インタフェースが、かなり変わってしまったのと、あいにく検証用のマシンが手もとにない。そのため、その検証をしていない。よって、これにも言及はしない。よろしくご了承ねがう（とはいえ、内容は大して違わないはずだから、応用は利くものと思われる）。

さらに（３）――、
いかに、Windows SteadyState が優秀なツールであっても、それだけでは世界中に蔓延するウィルスやワームの攻撃から、PCを守ることは不可能である。どうしても、アンチバイラスソフトが必要となる。
だから、Windows SteadyState とアンチバイラスソフトを組み合わせ（＝連動させて）、セキュリティを強化する。
特に、最近、校内外に猖獗していると思われるUSBワームに対しては、逆にアンチバイラスソフトが脆弱なため、Windows SteadyState との組み合わせが最善の保護方法である。
ただし、Windows SteadyState の機能として、保護モードでは、HDDやシステムに加えられた全ての改変がチャラになるのだから、当然、アンチバイラスのウイルス情報の更新データなども、いくら更新しても元にもどってしまう。これでは都合が悪い。だから、アンチバイラスソフトを認識させて、連動させることによって、その更新情報だけは、再起動後も、システムに残るように工夫する。そのための拡張機能が、実は、Windows SteadyState には備わっているので、それを利用することにする。

Windows SteadyState では、デフォルトで、MS のアンチスパイウェアソフト「Windows Defender」他、いくつかのアンチバイラスを対応させているが、その一覧にない場合でも、スクリプトを所定のフォルダに格納することで認識させることが可能である。
ここでは、アンチバイラスは、一応、筆者の勤め先で、学内関係者が無料で使える（＝＞大学と企業とのアカデミックライセンスによる）「Symantec Endpoint Protection」と、個人利用はMSが無償で提供している「MS Security Essentials」の２つを事例として上げている。
これ以外のアンチバイラスソフトでも、スクリプトを参照して適用すれば、認識されるはずなので、参考にしてもらいたい。


以上、３つが、本稿の趣旨であり、以下は、その詳細を説明したものである。
唐突すぎて、意味が判らない人もいるだろうが、こうしたPCの利用形態は場所によっては結構あり、需要もあるのだ。

世の中には、1人1台（ないし数台）でPCを使う個人ユーザも、いるだろう。むしろ、その方が大半のはずだ。
だが、そうではなく、共有スペースに設置された、共有PCを使っているユーザもいるはずである。
その多くは、教育関係の施設（小学校、中学校、高校、その他）のパソコン室などに置かれている。そして、その管理をゆだねられた担当者は、非礼を承知でいえば、日々、不慣れなシステム管理という役目に苦労していると思われる。

なぜ不慣れかと云うと、その多くが事務職や教師であり、たとえ彼らがPCに多少、くわしかったとしても、システム管理という仕事は、専門職であり、非常に特殊な経験の積み重ねによって初めて成れる職種であるため、その道の専門家に教えて貰わないかぎり、そして経験を積まないかぎり、一朝一夕で身につくものではないからだ。失礼ながら、一条校の教職員が、そうした環境で学び、必要なスキルや知識を有しているとは、とても思えない。だが、（筆者がそうであったように）職掌として引き受けた場合には、担当責任者として最善をつくすしかないだろう。
しかしながら、残念なことに、市販マニュアル本などを見ても、こうした特殊な事例（の組み合わせ）に対応しているものは少なく、ネットで検索しても、このような事例に特化し詳述した記事を見つけるのは至難である。

本稿は、そうしたビギナー管理者のために、セキュアで安全な環境を、しかも無料で提供する方法について記されたものである。
これは、一条校での予算が、PCを配備するイニシャルコストは支出されても、それを維持管理運営するランニングコストまでは手が回らないのが実状だと思われるからだ。
（同じ理由で、本稿は、いわゆるネットカフェなどの利用環境は視野に入れていない。利益追求の私企業ならソフトハウスに依頼して有償だが安全なる管理システムを組めるはずだし保守契約しだいでメンテも受けられるであろう。たとえ、本稿がその一助になったとしても、それは慮外のことで、筆者の与り知るところではない）

さらに、このように特殊なジョブだと、誰かが先鞭をつけたとしても、他に伝えられない限り、その情報は、まず、共有されない。
筆者が、（システム管理に関しては）素人同然なのに、このような身の丈にあまる内容のHTML文書を作成しているのは、ひとえに情報共有化（の第一歩）のためである。「Windows SteadyState」や「MS Security Essentials」や「グループポリシー」に関する、個別の情報は、ネットを検索すれば入手できるし、市販マニュアルもないではないが、それら全部をまとめた事例に関する情報源は、見つけることが出来なかった。そして、この作業に関していえば、上記の３つをまとめて連動させる手順が重要なので、それに関する情報が、どこにもない状況では、おこがましく、また、拙いまでも、自分が知っていることを記しておいてもいいのではないか、と考えたからである。
もとより、専門外のことなので、万一、内容に間違いやミスがあったら、ご叱正たまわりたい。よろしく、ご了解ねがう次第である。


さて、「Windows SteadyState 2.5」は、セキュリティソフトとしては非常に優れているが、あまり知られていないのが実状である。しかも、それを無償でMSが提供しているのに、それを知らずに使わないのは、あまりにも、もったいない話だ。

また、「グループポリシー」は、大変に強力な制限ツールである。
Windows 本来の「制限ユーザ」のアカウントでも、かなりの制約を課すとはいえ、それでもイタズラが絶えないのが、そうした教育の現場というものだろう。生徒たちは、少しばかり、ヤンチャであるべきだが、それを無制限に許していては、システム管理はつとまらない。
かといって、頭ごなしに「ダメだ」と禁止したり、罰則を設けたりするのも、教育上、感心できない。痛し痒しであろう。
だが、パソコンとは、文字通り「パーソナル・コンピュータ」であり、本来、自分自身で1台、所有し、それを壊してもいいくらいの気持ちで扱って、初めて、そのハードやソフトの仕組みを理解できる類いのマシンである。ユーザを萎縮させるような使い方の強制は、そもそも、本来的な使い方に合わないのだ。

とはいえ、現実問題として、うっかり自由に触らせて、複数台の共有PCの設定がメチャメチャになるごとに、管理担当者が、それをいちいち、元通りにするのは、大変である。
トルストイではないが、（幸福な家庭は一様に幸福であり、不幸な家庭はそれぞれに不幸であるくらいには）、正常に動作しているPCには1つの道しかないが、異常な動作なり故障や障害の出たPCには、百通りの壊れ方があるのだ。それら100の障害に1人の平均的なPCの知識やスキルしかない、にわかシステム管理担当者がすべて対応するのは、ほぼ不可能である。
できることは、おそらく、最初っからＯＳをクリーンインストールすることぐらいだろう。

だったら、あらかじめ、やってはいけない「禁止項目」を、PCのシステム自体に封じておけば、そうした心配もなくなるわけである。
そのような機能的制約の中でも、PCは充分に使いこなせるはずだし、また、管理者も安心して、ユーザの不用意な利用を黙認できるだろう（それ以上の使い方を望むユーザは、個人の費用で購入すればよいのである）。
ただ、そのために必須の制限ツールである「グループポリシー」について、具体的に書かれた市販マニュアルは、残念ながら、書店でも、あまり見かけない。ネット上には、いくつかのサイトで紹介がなされているが、そもそも、どういった目的で作られたツールなのか、それすらも判らない人が多数を占めると思われる。それほど認知度が低いのだ。
専門のSEなどでも、それについて熟知している者は稀である。

そうした現状があり、だからこそ、本稿では、それについて詳述する次第だ。

さらに、アンチバイラスは、これだけ世界中に、コンピュータウィルスやワーム、マルウェア、スパイウェア、ペストウェアなどが猖獗している状況では、PCを防御するに必須のソフトであるが、そのためには、つねに、Liveupdate によるウイルス情報の更新や、定期的スキャンによる検疫、といった手間がかかるが、これが意外と完全には、なされていないのが、実状であろう。

筆者の周囲にも、アンチバイラスソフトを、「ただ入れておけば、それでよかろう」といった無考えな人や、入れても、自動更新もしておらず、挙げ句に感染した、と騒ぐので、見てみたら、数ヶ月間も更新されずに、無防備のまま放置されていたマシンなど、一般PCユーザのセキュリティへの無関心さは、枚挙にいとまがない。不幸なことだが、これだけ、ウィルス被害が喧伝されているにも関わらず、一般ユーザの認識とは、その程度の他人事なのである。
しかしながら、いったん感染したら、その被害はそのPC1台だけでは留まらないことは云うを俟たない。

かつて筆者がいた環境では、サーバPCへのコードレッド・アタックにより、同一のセグメントにおかれた10台ほどのマシンが全滅したことがある。当時、その職掌にあった同僚は、それら全部を1台ずつ、ＯＳのリインストールから復旧したが、うち何台かは、復旧後しばらくして修理不能な障害が出た。これは今世紀初頭の話だが、事情は今も変わらない。セキュリティホールへの攻撃は、一瞬にして、そのPCだけを修復不能に陥れることもあるが、むしろ怖いのは、その1台を橋頭堡として、バックドアから侵入し、他の端末をも感染させることだ。同じ支線ＬＡＮ環境内で複数台あるPCにおけるセキュリティの弛みは、蟻の一穴であり、それによってもたらされる被害の甚大さは、時として重大なる悲惨な結果を招くことを、心にとめておきたい。
だが、こうしたことを、個々のユーザに注意したところで、完全な遵守と防御は、もとより不可能であろう。

セキュリティ担当者としては、嘆かわしく、また悩ましい現況であるが、PCの操作を個々の人間にゆだねる以上、それは仕方がない。計算された危険、というべきだ。だが、共有スペースのマシンならば、本当は話が違う。これは、思う存分、セキュアな管理下において、ユーザの自由度を制限しても、それが万全に可能となる。それでも個々のアプリの使い勝手には関係ないし、ひいては、それが（共有PCを利用する）不特定多数のユーザ全員の利益に繋がるのだから、誰からも文句を云われる筋合いはない。

アンチバイラスのウイルス情報のLiveupdate だけでなく、他には、Windows のupdate の自動更新もそうだが、そうでなくとも、管理者の仕事は忙しく、多様性に富んでいるのだから、全て、そうしたことを機械的に自動化して、煩わしい些事はマシンにまかせて、まったりと自分本来の仕事だけやって、過ごしたいものである。

そのために、「Windows SteadyState 2.5」にアンチバイラスソフトを組み合わせて、完全に更新を自動化したい。
つまり、HDDやシステムに加えられた改変は再起動一発でチャラにするが、そこに例外として、Windows update による更新や、アンチバイラスのLiveupdateでのウイルス情報の更新だけ、見逃してもらうのだ。デフォルト以外のアンチバイラスでも、適切なスクリプトを所定のフォルダに格納することで、それが可能となるのである。以下、それらの方法を記すことにする。

以上のことが設定できれば、共有PCの管理者は、作業が楽になる。というより、ほとんどやることがないほどだ。
そうしたセキュアで安全な環境を提供できることを約束したい。

そのためには、最初に、少しばかり、やることがある。
だが、そのハードルをクリアすれば、とても快適で安楽な明日が待っている。

そうした明日のために、以下のことを是非、やってもらいたい。
ありきたりの市販マニュアルには、書いてないことばかりであるし、耳慣れない用語も出て来るかも知れないが、しかし、それほど難しいことではない。
ごく普通のPCの知識とスキルがあれば、誰にでも可能なことである。

どうか、堅苦しく考えずに、気楽な気分で、一読されたい。
少し長いが、一読する価値があることは保証する。

このページのトップに戻る

■　ダウンロード

まず最初に、MicroSoft のダウンロードセンターから、「Windows SteadyState」(以下、煩瑣につき、「WSS」と略）をダウンロードする。現時点で、ヴァージョンは2.5である。
（もし、このサイトが移動していたら、Web検索で「Windows SteadyState」と入力し、上位にヒットした、MSのサイトから落とされたい）

当該ページの「簡単な説明」には、こうある――、

Windows SteadyState は、学校のコンピュータ室やインターネット カフェ、図書館、
または家庭のコンピュータを管理する場合でも、コンピュータの使用者に関わらず、
思いのままに簡単に管理を行う手助けとなります。

上述したように、「共有PCを保護する」ことが謳われている。

簡単なようだが、これは画期的なことなのである。
それまで、そうした共有PCの管理には、「HDDキーパー」（トーエイ工業製）といった製品が使用されていた。
別な製品もあるかも知れないが、いずれにせよ、そうしたツールは非常に高価であった。
筆者が2000年前後に使っていたのは（一部では、今なお現役）、1基1万数千円ほどするものだった（今では、WinXP、Vista、7対応のライト版が6000円台である由だ）。
プログラムはFD1枚で収まる程度の小さなものだったが、コピープロテクト用に、PCIバスに基盤を挿したり、ドングルというハード的なプロテクトをパラレルポートに指したりして、不正使用を防止していた。
いずれにせよ、PC保護のために、1台につき1万以上の経費が、かかっていたわけである。
全学では、対象PC台数は100以上にもなるから、総計すると大変な出費である。また、そうした台数になると、ゲートウェイサーバでのDHCP方式による子IPアドレス管理やゲートウェイスイッチから、グループポリシーまで、ソフトハウスにシステム開発を丸投げで委ねていたので、イニシャルコストだけでも、厖大な予算を必要とした。

それが、MSの提供で無償で利用できるツールが自由に使えるのだから、これは、大変に便利なことだ、とシステム管理の関係者は喜んでいる。
むろん、100台単位のPCを管理するには、ゲートウェイスイッチ等の機器が必要となるが、PC保護への予算はなくてもよいし、しかもその後のメンテも不要だからだ。10台くらいまでの規模なら、ゲートウェイサーバやスイッチといった（ポート数にもよるが）100万以上もする機器も必要ない。万々歳というわけだ。
なお、同じページの注意事項で――、

ということは、少なくとも、ver.2.5 は2010年いっぱいで配付終了となる。だが、それで終わるとは考えにくい。
その後は、たぶん、ver.3 などにアップグレードするか、別の名称の製品になるはずだ（WSSは、その前身となる「Shared Computer Toolkit」というツールがあり、それはVista 未対応だったが、それが物語るように、開発自体、昨日今日のものではない）。
いずれにせよ、MS社としては、かなり力を傾注したツールなので、無くなることはないだろう。
ユーザとしては、安心して使っていてよいと思う（ただし、2.5 のダウンロードは期日までとなる）。

さて、WSS の原理というか設計思想は、たぶん、そうした「HDDキーパー」等と同じだと思われる。
HDDの状態を保存していて（たぶん、インストール時に、独自の領域をHDD内に設けて、そこからリカバリしているのだ、と思われる）、一度、シャットダウンし、再起動したら、その間にPCのHDDやシステムに加えられた、あらゆる改変（イタズラやクラッキングを含む）が、全てチャラとなり、元の状態にもどる、という仕組みである。
「復元ポイント」と似ているが、復元の絶対的な確実性において、比較にならないほど強力なツールだ。

しかも、「HDDキーパー」と異なり、MS 社の製品なので、Windows のupdate による更新データなどは、「例外」として除外され、HDDやシステムの改変とは見なされずに、そのまま残るのだ。
さらに、（WSSが認識すれば、だが）アンチバイラスソフトのウイルス情報の更新データについても同じことが云える。
それらの更新は、例外規定として、再起動しても、システム内に残るのである。

すなわち――、
完全に更新を自動化すれば、この先、何年でも（ＯＳがサポート終了になるまで）、メンテナンスの必要がなくなるのだ。
（XP(Pro)のサポート終了は2014年4月8日、Vista(Home、Ultimate）は2015年4月11日、Vista(Biz、Ent.）は2017年4月11日である）

HDDキーパーを使っていた時は、そうはいかなった。とんでもなく煩瑣な作業が必要だった。
1週間に1回は、HDDキーパーを解除し、「1日保護モード」にして、Windows のupdate を行ない、アンチバイラスソフトのLiveupdate を行なって、スキャンをかけ、マシンに異状がないことを確認して、しかる後、また、HDDキーパーの保護を元にもどしてやらねばならなかったのだ。悪質かつ感染力が強く、亜種が多発するようなワーム猖獗時期には、ほぼ毎日、その作業が必要だった。
万一、保護をかけ忘れると、エライことになるから、作業は細心の注意が必要で、気が抜けない。対象PCの台数が多いと、必須的に、チェックリストを見ながらの、大変な仕事となる（しかも担当者は自分一人なのだ）。

つまり、管理者としては、WSS導入で、そんな面倒な仕事がなくなるわけで、非常に助かる。
大勢のシステム管理者が、喜んだわけは、単に、これが無償のツールだから、というだけではないのだ。
MS社が提供しているがゆえに、そういった保守が簡単になるというメリットがあることにより、これは優れたツールなのである。


ところで、当該ダウンロード・ページ下部には、「関連リソース」として――、

1. Windows SteadyState Readme ファイル
2. Windows SteadyState のテクニカル FAQ
3. Windows SteadyState 質問する
4. Windows SteadyState ハンドブック

――がリンクされている。
リソースとは論理資源の意味で、要するに参考(書)のことだ。
この「ハンドブック」はPDFファイルで、約1.3MB、100頁ほどもある。
テクニカルFAQはもう少し薄いが、念のために、2つとも落としておくことを推奨する。
別に、全部、読まなくてもいい。不明な点があった時に開いて、参照するくらいの気持ちで読めば、それでいいと思われる（これを全部、出力して、読破しているユーザがいるとは、筆者には信じられない）。しかも、後述するように、これでも、まだ不十分なのだ。

「続行」をクリックして、「正規 Windows 確認コンポーネントのインストール」などの指示に従い、ダウンロードする。
これは、あなたが使っているWindows が正規版であるかどうかを、MS側がチェックしているだけで、個人情報などが漏れる心配はない。ただ、1台の雛形HDDからクローンをイメージ配信するなりして、管理している場合、不正チェックに引っかかる可能性があるので、留意されたい。

■　インストール

さて、ダウンロードしたファイルは、「SteadyState.msi」という7MBほどの実行ファイルである。
これを「管理者権限のユーザ」で実行する。

ついでに言及すると、WSS で保護したPCは、起動と同時に、「制限ユーザ」のアカウントで毎回、自動ログオンするように設定し、一般利用者には制限ユーザで利用させ、管理者権限を与えない。管理者権限アカウントは、管理者だけが持つ。
新規のアプリのインストールが必要な時などは、管理者のみが、それを行う。けして、一般利用者に、管理者権限のアカウントを委ねてはならない。むろん、パスワードの秘匿には留意が必要となる。また、いざという時のために、本来のAdministrator アカウントのパスワードも絶対安全なところに保管されたい。間違っても、当のPC内に、テキストの形で残したりしてはならない（クラッキングされたら、一発で突破されてしまう）。また、パスワードを目に付くところにポストイットで貼っておくなど、論外である。PCのクラッキングで一番多い手法は、ソーシャルエンジニアリングだということを肝に銘じておかれたい。

さて、このWSSというツールは、PCのシステムのかなり深いところで動作するため、事前に、HDDのチェックディスクやデフラグが必須となっている。これは、必ず遵守してもらいたい。
作業に際し、（筆者としては、こちらを推奨するが）新たにＯＳをリインストールすれば、問題はない。だが、そうでない場合、かなり長い日月、使っているならば、HDD上のエラー、フラグメンテーションは、セキュリティ関係ツールの動作には、致命的になるのだ。
必ず、チェックディスクやデフラグを行なってから、インストールしてもらいたい。これは、結構、長い時間かかるので、職場のマシンならば、夕方に、自宅のマシンならば、夜、就寝前に行ない、つけっ放しで翌日、シャットダウンすればよい。
なお、Ｃドライブへのチェックディスクは、システムが動作している間は出来ないため、再起動の後に実行される。ブルーバックに白いフォントで表示が出るが、故障ではないので、終わるまで待つ。

さらに云えば、こうした操作は――、
１）「マイコンピュータ」＞「ローカルディスク」（Ｃドライブ）＞（右クリックの）「プロパティ」＞「ツール」＞「エラーチェック」ないし「最適化」で行なう。
または――
２）「コントロールパネル（コンパネ）」＞「パフォーマンスとメンテナンス」＞「管理ツール」＞「コンピュータの管理」＞「ディスクの管理」＞（右クリックの）「プロパティ」＞「ツール」＞「エラーチェック」ないし「最適化」でも同じことが可能である。

これらの作業は、もしあれば、Ｄドライブも含めたHDD全体で実行する。
ついでながら、HDDを（Ｃドライブのみの）ワンパーティションで使用するのは、賛成できない（「グループポリシー」での保護をかけた場合、制限ユーザはＣドライブへのアクセスが出来なくなるからである）。パーティションを切って、ユーザがＤドライブを利用できるように、備えておくことを推奨する。
最近では、フリーウェアで、パーティションを動的に（つまり、システムが稼働中に）切るツールがある。むろん市販のツールもある。XPのリインストールの際に、パーティションを切ってセットアップするのがベストだが、もし、ワンパーティションのHDDの場合は、出来れば、ユーザの便宜のために、そうしたツールを使って、パーティションを切っておいた方がよい。パーティション操作は少し面倒な作業かも知れないが、のちのち、ユーザの利便性を考えると、Ｄドライブの存在は必須である。
（たとえば、デフォルトでは、Word文書などは、デスクトップへの保存が出来ない。テキストやPDF文書は保存可能だが、MS Office製品で作成した文書は保存できないため、共有ユーザはDドライブに格納するしか、方法がないのだ） インストール自体は、さほど問題はない（はずである）。
インストールされたら、デスクトップ上に、下図のようなアイコンが表示される。
これをクリックすれば、WSS が起動する。

このページのトップに戻る

■　初期画面

下図が、起動した、「Windows SteadyState 2.5」の初期画面である。
機能の多様性に比較して、きわめてシンプルであることに驚かされる。
しかも、後述するように、その操作は、さらにシンプルなのだ。

まず、中央に３つある項目のうち、一番上の「コンピュータの制限の設定」を見てみよう。
下図がその画面である。

いくつか入っているチェックは、デフォルトのものである。
ここは、特にいじる必要はない。
Cドライブへの制限ユーザのアクセス禁止などは、「グループポリシー」で行なうので、ここでやる必要がないのだ。

次に、2番目の項目である「ソフトウェア更新のスケジュール」を見る。

これも、デフォルト画面だが、ここは、少し問題があり、アンチバイラス関係で、いじる必要が出てくる。
だが、今は、そのままにしておこう。

ただ、右側の項目[２」で、「更新の選択」が、「Windows update」がデフォルトでオンになっていることを確認しておく。
なお、更新時刻は、あとで、「MS Security Essentials」の設定を行うが、そちらの更新時刻と同じに設定する（筆者の環境だと、「毎日、午前2時」だが、むろん、これは個々の環境によって異なる）。

次に（一番重要な）、3番目の項目「ハードディスクの保護」を見てみよう。下図である。

この画面は、デフォルトでは、「オフ」になっている。
さらに、保護レヴェルは、「再起動時にすべての変更を削除する」項目にチェックが入っている。
画面では、「オン」であるが、その瞬間、保護モードとなり、数十秒間のバックアップ領域確保のためか、時間がかかって、自動的に再起動される。
そうなったら、もう、いかなるHDDやシステムの改変も（管理者権限ユーザでログオンしていても）、無効となる。というか、つぎの再起動で、全てが元にもどるのだ。

一番下に、チェック項目として、「ログオフ、再起動、またはシャットダウンの前に、変更が失なわれることについて管理者に警告しない」があり、チェックを入れているが、これはオフ状態では、効かない。オン状態で、チェックが有効になる。
個人的には、この警告は不要だと考えている（つまりチェックしておく）。
大学図書館やネットカフェなどの特殊なスペースを除いては、24時間、オープンの共有スペースは考えにくいし、Windows のupdateや、アンチバイラスのウイルス情報更新やスキャンなどは、それなりの時間を要するので、できるだけ、こうした作業は、マシンをつけっ放しにしておいて、深夜の無人時間帯に自動化させた方がよいと思われるからである。
逆に云うと、ユーザがまだいるような時間帯に、この種の作業を自動化すると、ユーザによって、肝心な作業が、停止される畏れもある。ツールの性質上、再起動は避けられないが、その後のupdateやLiveupdateなどは、手動で電源断が可能だ。だから、出来るだけ、放置しておき、深夜ないし未明の誰もいない時間帯に作業がなされるようにしたい。


さて、メイン画面の右側には、「ユーザ設定」の項目がある（下図参照）。

WSS 内で、新規ユーザを作成可能だが、筆者は、常套をふんで、「コントロールパネル」＞「ユーザアカウント」から、新規ユーザを作成することにしている。

この「user01ユーザ」や別項の「user01」アカウントは、「制限ユーザ」である。
後述する理由から、一時的に、管理者権限ユーザに変えて、作業をするが、設定後は、基本的に、この「制限ユーザ」で、マシンは常時、動作することになる。
そのためには、（最終的に）自動ログオンの設定にしておき、ユーザが再起動しても、自動的に、この制限ユーザでしか、ログオン出来ないように設定する（作業の都合上、「ようこそ画面」は残すので、ログオフすれば、管理者権限ユーザのアカウントの存在は知られるが、そのパスワードが一般ユーザに知られない限り、安全である）。

同様に、パスワードの設定なども、「ユーザアカウント」画面で行なう。
別にそれを推奨するわけではないが、いろいろな方法を憶えるより、１つの方法だけ、熟知しておき、それ1本でいった方が間違いが少ない。

むろん、Windows は複雑なシステムだから、同じ1つの操作でも、さまざまな手段が可能なように作られている。だが、ここで必要なのは、操作の万能性ではない。システムに確実な保護をかけること、なのだ。であれば、沢山の方法を知っていて試すよりか、1つの方法だけで、それを全うするのが、間違う可能性＝危険性も少なくなる道理だろう。
ヒューマン・ファクターによるエラーとは、そうした多様性の中に多く含まれるものだ。物知りであるに越したことはないが、こと、システム管理においては、博識より、堅実を選ぶのが、一番ではないか、と思料する次第である。

さて、「ユーザ設定」項目であるが、上図に、「全般」以下４つの「タブ画面」があることに留意されたい。
「全般」「Windows の制限」「機能の制限」「ブロックするプログラム」の４つである。
以下、これらのタブ画面ごとに、設定を加え／削除してゆく。

まずは、「全般」タブで――、
「全般設定」で、「プロファイルをロックし、ユーザが永続的な変更を加えられないようにする」のチェックを確認しておきたい。
これで、常時起動の「制限ユーザ」アカウントにおいて、HDDやシステムを保護し、改変からPCを守るのである。

ただ、図ではチェックが入った状態だが、「制限ユーザ」の画面設定がすむまでは、このチェックは外しておく。
でないと、どのような設定をしても、WSS のメイン画面とは別経路で、「ユーザ設定」だけは独立して保護がかかってしまうので、全部、チャラになってしまうからだ。

それ以外で、この（全般）画面では設定する必要はない。

このページのトップに戻る

■　各種設定

さて、いよいよ、個々の設定に入る。
まずは、「ユーザ設定」のタブを開く。
（「全般」タブはもう済んでいるので）、「Windows の制限」タブを開く（下図）。

デフォルトでは、いくつかにチェックが入っているが、全部、チェックを外す。
個別に外すよりも、真ん中のレベルごとの制限のラジオボタンから、「制限なし」にチェックを入れると全てデフォルトでかかっていたチェックが外れる。
これらの制限は、「グループポリシー」でかけるため、WSSでやると二重になってしまう。よって、チェックは全て外しておく（二重にかけても支障がないかも知れないが、当てにならない。たとえば、WSS 側で制限をかけると、制限ユーザ画面のタスクバーに「USB機器」のアイコンが表示されず、ＵＳＢメモリの取り外しに支障が出たことがあった。将来予測可能なトラブルは未然に回避するにしくはない。よって、かける制限は「グループポリシー」だけでよいのである）。

次に「機能の制限」タブを開く（下図）。

これも、デフォルトでは、いくつかにチェックが入っているが、全部、チェックを外す。
方法と理由は同上である。

次に（あまり意味はないが）、一応、「ブロックするプログラム」タブを開く（下図）。

筆者の環境では、特に、ここでブロックするプログラムはなかったので、何もしない。

異なる利用環境では、ブロックしなければならないプログラムがあるかも知れない。
その際は、左ペインの該当プログラムをカーソルで選択し、真ん中の「ブロック＞」をクリックする（もし、そのプログラムが一覧になければ、「参照」ボタンをクリックして辿る）。
すると、そのプログラムはブロックされる項目に入る。
逆（解除）の場合は、右ペインのプログラムを選択して、「＜解除」ボタンをクリックすればよい。
最後に「ＯＫ」ボタン押下すれば、完了する。

以上で、「Windows SteadyState」の初期設定は完了である。

このページのトップに戻る

■　保護オン

では、ここで、もう一度、最初の画面に立ち返って、試しに、保護モードをオンにしてみよう（下図参照）。
「ハードディスクの保護」画面で、オフだったチェックをオンに換えてみる。
（保護レヴェルは、いつも「再起動時にすべての変更を削除する」項目にチェック）

すると、下図のようなダイアログ表示が出る。
「はい」をクリックする。

自ら、そう云うだけあって、ここで、しばらく「キャッシュファイル」作成とやらの時間がかかる。
少し待つ。

作業が終わると、下図のようなダイアログ表示が出て、再起動をうながす。
「ＯＫ」ボタンを押下する。

特殊な再起動となって、（設定は、自動ログオンで制限ユーザが起動するので）、自動ログオンの後、画面の下欄右下のタスクバーに、下図のようなバルーン表示が出る。

これによって、PCは、WSS によって完全に保護されたことになる。
しかも、起動（＝ログオン）しているのは、「制限ユーザ」だから、いかなる改変も出来ない。
小さなフリーソフトくらいなら、制限ユーザでも入れることは可能かも知れないが、次の再起動で、全てがチャラとなり、HDDやシステムに加えられた改変は、全て元に戻るのだ。というか、そもそも、そういうセキュリティツールである。


むろん、作業は途中なので、ここで、WSS の保護状態を「オン」のままにはしておけない。設定作業中は、「オフ」状態で行う。
ただ、どういう状態になるか、それは了解されると思う（試しに、いろいろやってみれば判る）。

以上で、WSS に関する説明は完了である。


次には、ページを改めて、「アンチバイラス」ソフトの設定とWSSの連動（１）に移る。
（１）では、まず、MS社が無償で提供している「MicroSoft Security Essentials」をあつかう。
（２）では、筆者の環境で使用している「Symantec Endopoint Protection」をあつかう。

本来なら、「グループポリシー」を先に説明すべきかも知れないが、「グループポリシー」は、最後にかけるプロテクトである。
ここは、実務として、プロテクトをかける順番に話を進めているので、アンチバイラスを先に説明することにする。
「グループポリシー」について先に知りたい人は、冒頭の総目次をみて、そこからリンク先を辿ってもらいたい。

下欄右端の「Next >>」をクリックされたい。

このページのトップに戻る