■ グループポリシーによる共有PCの保護
● General Index
- Windows SteadyState
- AntiVirus : MS Security Essentials
- AntiVirus : Symantec Endopoint Protection
- Limited User
- Group Policy
- Cancel & Works
INDEX
■ グループポリシー
「グループポリシー」の定義は、専門書によると、非常に難解である。
試しに、Wikipediaで、「グループポリシー」を検索してみれば判るが、一読して、その意味が判る人は、そうそういないだろう。専門書になると、これがさらに難しくなり、やれ「Active Directory ドメイン」がどうとか、「ドメイン全体、あるいはドメイン内のOrganization Unit を対象にしたポリシーの設定」とか、概念の理解以前に、用語自体が把握しにくいものとなる。
だが、ごく簡単に云ってしまえば――、
「グループポリシー」とは、そのPC全体に、かけうる、最良のセキュリティツールだ。
当然のことながら、かけた管理者にも、このポリシーは適用される（← ここ重要！）。
いったん、グループポリシーをかけたPCは、管理者といえども、容易には設定変更など出来ない、のである。
そして、グループポリシーは、WSS と合わせれば、最強無比なユーザ機能制限のセキュリティツールになる。
ただし、グループポリシーを設定する作業そのものは、実に簡単だ。
グループポリシーを作成し、制限をかけるだけなら、誰にでも出来る。
こんな簡単なことが、後になって、実に厄介な、もとい、結構な状態を引き起こすのか、信じられないほどだ。
因果関係が、理不尽なほど、釣り合わない。「往きはよいよい、帰りはコワイ」ツールなのである。
まず、かけた制限が、どの程度の範囲に及ぶのか、素人には、一見して、まるで判らない。
ちなみに、筆者やその前任者が携わった、グループポリシーをかけたシステムは、全て、大手のソフトハウスの、プロのSEがシステム設計し、設定したものであり、その管理システム全体は、制御サーバの支配下にある40台のPCという、きわめて大がかりなものであった（現在は、サーバ／クライアントＯＳ(＝Windows2000）のサポートが終了したので、サーバごとPC群も撤去している）。筆者がいたのは、その組織のブランチだったが、倍近い台数のセンターでも同じシステムを組んでいたので、規模としては、大体、100台のオーダーの端末を支配下においたクライアントサーバシステムと考えてよいだろう。
筆者が、本稿で想定しているのは、それほど大規模なシステムではない。一条校の実態を正確に把握しているわけではないが、およそ10台〜50台くらいの規模までの、校内ＬＡＮ（有線ないし無線）で構築された１つの学校単位のシステム内に位置づけられた、パソコン室の共有PC、が対象である。正直いって、それ以上の規模ならば、専門のソフトハウスに、きちんと合見積りを取って最安値のところに発注した方がよいだろう。それでも、HDDキーパーの代替にWSSを使えば、かなり価格は抑えられるはずである。
ただ、本稿で述べることは、大規模なシステムの末端工作員である、筆者らが、直に面倒を見なければならなかったPCを対象としており、個々の端末の世話は、システムの規模と関係ないものだ。現役時代、われわれは、ただ、そのシステム全体を構築したSE が作ってくれた「セキュリティシステム設計書」や「ポリシー変更手引書」や「運用手順書」などを見て、文字通り、ターミナル（末端）というか、クライアントというか、フロントエンドというか、そうした一番外側の部分を、そっと扱うのみであった。そして、その周縁部にだけ携わっている限り、何のトラブルも起こらないのだ。
面倒事は、常に、何かPCに改変を加えたりしなければならない時に発生する。
かけたグループポリシーの全部を解除しなくても、いくつか解除するだけで、ある程度の設定変更作業は出来るはずなのだが、その「守備範囲」が、最初は、どこからどこまでなのか、よく判らないのである（ありていに云えば、今でも、よく理解できない部分が多い）。
ただし、もし、最初にグループポリシーをかけた状態のまま、ずっと使うのであれば、何の問題もなく、苦労も要らない。
だが、PCは日々、進化するものだし、ソフトも新しいものをインストールしたり、アドインソフトを追加したり、ヴァージョンアップしたり、そうした作業をしないわけにはいかない。そして、それは全部、管理者の仕事になる。
というわけで、グループポリシー自体のこれ以上の解説は、省く（というか、筆者には、正確に伝えられる自信がない）。
3000円超の、それに関する専門書を、二、三冊、何度か読み返したが、よく理解できなかった、というのが、正味のところである。自分が理解できないものを、他人に説明は出来ない。
だが、理解しようと、できまいと、その効用と使い方さえ知っていれば、筆者には充分であった。
そしてまた、これを読んでいる、（少数の）共有PC管理担当者にも、充分だと思われる。
「仕組み（メカニズム）」や理屈が判らなくても、マシンは使えるのだ。
これが無責任に聞こえたら申し訳ないが、筆者としては、誠心誠意なつもりである。むしろ自分が理解していないことを、他人に、知ったかぶりして誤って伝える方が無責任というべきだろう。
「グループポリシー」が強力無比なセキュリティツールであり、一度、かけたら、解除しない限り、PCの自由な操作は困難であること。また、そうでなくては、セキュリティツールとしては使えないわけだから、それを有りのまま、受け容れること。重要なのは、それだけだ。
そして、筆者が知っているのは、その「グループポリシー」の「仕組み」ではなく、「機能（ファンクション）」であり、「理屈」ではなく、その具体的な「かけ方」である。
さらに、いくつかの改変を施したい場合、どれを解除すればよいか、といった運営上の「Tips（コツ）」である。
そのことについてなら、多少は、自分なりに得た知識を、他人に伝えることが出来る。
WSS やMSE についての情報なら、ある程度、ネットに言及された記事は存在するが、「グループポリシー」についてのそれは皆無に近い。まして、その３つを統合したシステムについての記事は、本稿くらいであろう。
役に立つことを祈って、以下、そのやり方の詳細について、述べる。
■ 作成
画面左下の「スタート」ないしキーボードの「Windows」ボタンを押下すると、スタートメニューが立ち上がる。
そして、「すべてのプログラム」の右側に、「ファイル名を指定して実行」という目立たない項目がある。
余計なスタートアップツールを停止させる時に、「msconfig」と打ったり、PC上級者がレジストリをいじる際に、「regedit」と打ったり、ＬＡＮが生きているかどうか調べるため「ping」コマンドを打ったりする以外は、よほどヘヴィなユーザでないと存在も知らない人が多い項目である。
この実体は、たぶん、アクセサリ内の「コマンドプロンプト（ＤＯＳ窓）」と同じだと思うが、GUIではなく、「コマンドによる操作」が必要な場合、これを使うことになっている。Windows ユーザには、黒い背景画面のＤＯＳ窓よりは、いくぶん取っつきやすい、とのMS側の配慮だろう。今やMacにさえ、UNIXライクのCUI画面「ターミナル」があるのだから、親切な方だ。
ところで、グループポリシーを作成するには、いくつかの方法がある（らしい）。
筆者が先述の本などを読んでも、コンパネの「管理ツール」から作成するよう記述されていたり、すこし異和感をもったほどだが、筆者が習ったのは、以下の１つだけなので、その方法に倣ってもらいたい。
これ以外の方法で作成されたグループポリシーで、何が起きようと、筆者は責任をもてない(全く知らない世界なのである）。
ともあれ、「ファイル名を指定して実行」から、グループポリシーの作成は行う。
まず、この項目をクリックする（下図参照）。
なお、Vista マシンには、デフォルトでは、スタートメニューに、この項目がない。常備させる方法もあるが――、
とりあえず、「Windows キー＋R」ボタン同時押下で表示させることが出来る。
（設定によっては、XPマシンでも、この項目がない機種がある。その場合も、同じキー操作で表示させる）
ここをクリックすると、入力用のボックスが出るので（下図参照）――、
「mmc」とコマンドを入力し、「ＯＫ」ボタン押下する。
（ちなみに、「mmc」とは、「Microsoft Management Console（MS管理コンソール）」の略語の由）
すると、以下のような画面（「コンソール１」）が起動する。
これは、グループポリシーの初期画面であり、まだ何も設定されない「白紙の状態」だ。
グループポリシーは、次の操作（スナップインの追加）で、初めて設定される。
「コンソール１」の「ファイル」のドロップダウンメニューから、「スナップインの追加と削除」を選択する。
「スナップインの追加と削除」画面が表示される。
下欄左端の「追加」ボタンを押下する。
「スタンドアロン スナップインの追加」画面が表示され、利用できる一覧が出る。
その中から、「グループポリシーオブジェクトエディタ」を選択し、「追加」ボタン押下する。
「グループポリシーオブジェクトの選択」が出るので、「完了」ボタン押下する。
「コンソールの設定を、コンソール１に保存しますか」のダイアログが出る。
初回だけは、「はい」を押下する。
（初回は、「はい」で保存しないと、作業自体がキャンセルになってしまい、内容が保存されない。だが、次回からは、なんらかの設定変更をしても、わざわざ保存せずに――つまり、この画面で「はい」を押下しなくても、その内容は保存／反映される。奇妙な話だが、「仕様」らしいので、留意されたい）
■ 設定
「グループポリシー」が作成されると、デスクトップ上に下図のようなアイコン（「コンソール１.msc」）が作られる。
以後は、これをクリックして「グループポリシーエディタ（以下、「mmc」）」を起動する。
「mmc」を起動すると、下図のような、（表示の都合上、少し展開しているが）階層構造になったポリシー内容が、現れる。
その１つ１つの項目ごとに、設定をしてゆくのである。
上図を見てもわかる通り、階層構造が、左右のペインに分かれて表示され、左ペインの階層の細目が、右ペインに表示されているのが判る。
より判りやすいように、一応、設定項目がある階層を、一覧にしてみた（下図参照）。
ひどく複雑そうに見えるが、実際にやってみれば、個々の該当する項目を設定しさえすればよいので、見た目ほど難しい作業ではない。
だが、一応、下記のような階層構造の内部をあつかうのだ、ということを頭のすみに、小さくメモしておいてほしい。
設定の対象となるのは、厳密にいうと、「管理用テンプレート」の下にある「Windows コンポーネント」内の項目が大半である。
煩瑣なので、以下の説明において、上位の階層の記述は略すが、以下の階層構造を見れば、大体のことは理解されよう。
なお、赤い★印を付した項目が８つあり、これが、設定の対象となる。
その他に、オプションとして、赤い☆印を付した項目が１つ、これは任意である（後述）。
コンソールルート ｜ ｜＿ローカルコンピュータポリシー ｜ ｜＿コンピュータの構成 ｜ ｜＿ユーザーの構成 ｜ ｜＿ソフトウェアの設定 ｜ ｜＿Windows の設定 ｜｜ ｜｜＿Internet Explorerのメンテナンス ｜ ｜ ｜ ｜＿URL☆ ｜ ｜＿管理用テンプレート ｜ ｜＿Windows コンポーネント ｜｜ ｜｜＿Internet Explorer ｜｜｜ ｜｜｜＿インターネットコントロールパネル★ ｜｜ ｜｜＿エクスプローラ★ ｜｜ ｜＿タスクバーと[スタート]メニュー★ ｜ ｜＿デスクトップ★ ｜ ｜ ｜ ｜＿Active Desktop★ ｜ ｜＿コントロールパネル★ ｜｜ ｜＿システム★ ｜ ｜＿Ctrl+Alt+Del オプション★
さて、これから、その「個別の設定」をするわけだが――、
この先は、非常に面倒な作業なので、できるだけ、グループポリシー内の階層の上のほうから、順に追って説明したい。
機能別に紹介し、その影響について解説したいところだが、そういうことは不可能だ。筆者自身が、それらについて、内容や因果関係を説明できないからである。
頼りない、と思われるかも知れないが、これは、「そういうものだ」と考えて、そのまま、設定するしかない。中には、かける内容が意味不明のものもあるだろうが、一切、よけいなことを考えずに、ただ、設定だけをやってもらいたい。
● Ｉｎｔｅｒｎｅｔ Explorer
● インターネットコントロールパネル
ここでの、設定項目は、以下の7つである（＝右ペインの項目全部）。
- [全般]ページの使用を許可しない 有効
- [セキュリティ]ページの使用を許可しない 有効
- [コンテンツ]ページの使用を許可しない 有効
- [接続]ページの使用を許可しない 有効
- [プログラム]ページの使用を許可しない 有効
- [プライバシー]ページの使用を許可しない 有効
- [詳細設定]ページの使用を許可しない 有効
個々の項目の設定は、下図のような画面で――、
デフォルトで全て「未構成」になっている箇所を「有効」に換え、「ＯＫ」ボタン押下で設定変更される。
慣れた上級者になると、いちいち、マウスなど使わずに、キーボードから――、
カーソルキーで、該当項目をとらえて、リターンキー押下で項目内容を開き、ショートカットキー「E」が「有効」なので、Ｅキー押下で設定変更し、ＯＫボタンの代わりにリターンキー押下で決定。さらに、カーソルキーで、その下の項目に移動。
――といった裏ワザを使ったりするが、ビギナーが最初から、そんな横着をしてはいけない。
慣れるまでは、着実に、マウスを使って項目設定し、変更を行うことを推奨する。
間違えると、後で大変なことになるし、さらに、どこが間違っているか、探し当てるのが非常に難しいからだ。
ビギナーのシステム管理者は、地道な仕事をされることを奨めたい。
● エクスプローラ
ここでの、設定項目は、以下の5つである。
- [ツール]メニューから[フォルダオプション]メニューを削除する 有効
- [ネットワークドライブの割り当て]と[ネットワークドライブの切断]項目を削除する 有効
- エクスプローラから[検索]ボタンを削除する 有効
- 指定したドライブを[マイコンピュータ]内で非表示にする 有効
- [マイコンピュータ]からドライブにアクセスできないようにする 有効
なお、上記のうち――、
「指定したドライブを[マイコンピュータ]内で非表示にする」
「[マイコンピュータ]からドライブにアクセスできないようにする」
――の２つについては、任意のドライブを指定できる。
下図のように、「有効」にチェックを入れると、「次の組み合わせの中から１つ選んでください」とあり、ドロップダウンメニューから、必ず「Ｃドライブのみを制限する」を選び、ＯＫボタン押下する。
これによって、たとえば、Ｄドライブや、USBメモリを挿した場合の「リムーバブルドライブ」が、制限対象から外れるので、利用者は、そこを自由に使って作業が出来る。
逆に云えば、デフォルトの「すべてのドライブを制限する」にしてしまうと、PCから、いかなるデータも取り出せなくなる。
ユーザが作成したＷｏｒｄやＥｘｃｅｌ文書、またネットからダウンロードしたPDF文書なども取り出せない（実際、セキュアな環境作りを目指す大企業などでは、そうしたところもあるそうだ。機密漏洩の対策としては正しいのであろう）。
しかし、それでは、いくらなんでも一般ユーザには不便なので、Ｃドライブだけ、制限対象とするのである。
厳密にいえば、Cドライブでも、その内部フォルダであるデスクトップ上には、いくつかのファイルは格納可能である。ただし、MS Office で作成された文書（WordやExcel、ppt）は、なぜかデスクトップ上には格納できない（エディタ文書やPDFは可能である）。問い合わせがあったら、Dドライブに格納するよう、指導するしか、ない。
WSS でも、デフォルトでは、Cドライブしか、HDD やシステムの改変の復元をしないから、Dドライブに共有ユーザが残した雑データなどは、随時、週一くらいに巡回して、管理者が削除すればよい（利用者が削除してくれれば、よいのだが、そこまで望むのはムリであろう）。
ちなみに、くり返しになるが、筆者が、「卓駆★」というファイル管理ユーティリティを入れているのは、それが、Windows 標準のエクスプローラの機能ではなく、独自の機能で、PC内部にアクセスできるからである。これや「まめFile5」を使えば、グループポリシーで制限がかけられているCドライブ内にアクセス可能だ。しかし、これは、緊急避難的な措置であり、共有ユーザには内緒である。
「まめFile5」でDドライブに移り、該当ファイルやフォルダを指定してDELキー押下で「削除」できる。
● タスクバーと[スタート]メニュー
ここでの、設定項目は、以下の10個である。
- [スタート]メニューから[マイドキュメント]を削除する 有効
- [スタート]メニューから[最近使ったファイル]を削除する 有効
- [設定]メニューのプログラムを削除する 有効
- [スタート]メニューから[検索]を削除する 有効
- [スタート]メニューから[ファイル名を指定して実行]を削除する 有効
- [スタート]メニューから[検索]を削除する 有効
- [スタート]メニューに[ログオフ]を追加する 有効
- [スタート]メニューでコンテキストメニューのドラッグアンドドロップを禁止する 有効
- タスクバーと[スタート]メニューの設定を変更できないようにする 有効
- タスクバーのコンテキストメニューへのアクセスを削除する 有効
● デスクトップ
ここでの、設定項目は、以下の２つである。
- デスクトップの[マイドキュメント]を削除する 有効
- デスクトップ上の[マイネットワーク]アイコンを非表示にする 有効
● Active Desktop
ここでの、設定項目は、以下の１つである。
- Active Desktopを無効にする 有効
なお、この機能は、Internet Explorer のver.4〜6 での拡張機能のため、デフォルトでIE7以上を使っている Vista にはない。「グループポリシー」はＯＳごとに細部が異なり、NTと2000、またXPではそれぞれ違う。
Vista やWin7 でやる場合は、対応する項目を探す必要がある。
● コントロールパネル
ここでの、設定項目は、以下の１つである。
- コントロールパネルへのアクセスを禁止する 有効
● システム
ここでの、設定項目は、以下の１つである。
- ログオン時にようこそ画面を表示しない 有効
● Ctrl + Alt + Del オプション
ここでの、設定項目は、以下の３つである。
- タスクマネージャを削除する 有効
- コンピュータのロックを削除する 有効
- [パスワードの変更]を削除する 有効
以上で、一応、グループポリシーの設定は完了である。
ただ、次に、もう1項目だけ、オプションとして、設定変更が必要かも知れない箇所がある。
環境によっては、必要ないだろうが、説明だけはしておく。
● Internet Explorer
● 重要なURL
以下は、その学校自体が、「固有のWebサイト」を有していて、共有PCのブラウザ（IE）でも、立ち上げたら、一番最初に、そのポータルサイトが表示される必要がある――そういう条件においての、特殊な事情による、設定である。
共有PCでIEを立ち上げた時、その学校のWebサイトを表示して起動するだけなら、IEの「ツール」＞「インターネットオプション」＞「全般」タブ＞「アドレス」設定で簡単にできるが、これだとユーザに改竄される畏れがある。
（実際に、筆者はグループポリシーで縛りをかけたはずのPCで、ポータルサイトの改竄をされたことがある。簡体字のページになっていたが、どうやったのか、神のみぞ知るである）
ユーザが、どんな改変をしようとしても、Webサイトを学校のポータルサイトに保つには、別なところで固定の設定が必要だ。
今までは、グループポリシーの、「管理用テンプレート」下のフォルダで作業をしていたが、これは、その一つ上の階層の、「Windows の設定」下の「Internet Explorer」での作業となる。
これだけ、オプションとして別項にしたのは、そういう意味合いもある（いわば、階層を戻るわけである）。
下図の「URL」内の「重要なURL」を開く。
「重要なURL」画面で、「ホームページのURL」項目で、「ホームページのURLをカスタマイズする」にチェックを入れる。
さらに、（あらかじめIEで呼び出しておき、そのアドレス欄からコピー＆ペーストすると間違いがないと思うが）その学校のポータルサイトのURLを入力する。
「ＯＫ」ボタン押下する。
これで、起動時のポータルサイトのURL設定が固定される。
以上で、「グループポリシー」の設定は、完了である。
終了しようとすると、下図のようなダイアログが表示される。
だが、これは（先述したように）、「はい」でも「いいえ」でも、内容は保存される。
逆に云えば、一度、グループポリシーの画面上で誤設定したら、それはそのまま残る。くれぐれも慎重に行ってもらいたい。
次は、上記のような設定をかけた後、なんらかの理由によって、制限を解除して、改変や追加の作業をしなければならない場合の説明である。
下欄右端の「Next >>」をクリックされたい。