■ グループポリシーの解除と作業
● General Index
- Windows SteadyState
- AntiVirus : MS Security Essentials
- AntiVirus : Symantec Endopoint Protection
- Limited User
- Group Policy
- Cancel & Works
INDEX
■ グループポリシーの解除【１】
時として、共有PCの管理者は、WSSやグループポリシーで制限をかけたPCに、新たにソフトをインストールしたり、アドインソフトを追加したり、または、学校のポータルサイトのURLを修正したり、といった不運な仕事に見舞われる。
こうした作業は、まず、通常の共有PCの「制限ユーザ」をログオフし、「管理者権限」のアカウントでログインし直して行う。
そして、WSS を解除（オフに）して、一連の作業を終えたら、また保護（オンに）しなければならない。
さらに、作業中は、グループポリシーのいくつかを解除し、必要な作業を行った後、ふたたび、グループポリシーの制限を元通り、かけてやらなければならない。
ただ、こうした作業のために、最初に制限をかけた全てのグループポリシーを解除する必要はない。
作業の性質にもよるが、いくつかの項目の解除だけで、作業は可能である。ただ、これを試行錯誤で探り当てるのは、大変だろう。以下は、筆者やその前任者が、SEたちから聞いて、実際に試した結果だから、動作は保証つきだ。いくつかは余分かも知れないのだが、考えまい。とにかく、その項目を解除すれば、目的の作業は確実に達成できるのだ。
筆者がやった実例として――、
１）20台ほどの共有PCに、小さなプログラムをインストールし、関連したアドインを（IEに）加え、ついでに、Flash Player 、Java ランタイム、それに、IEにツールバーを追加する作業をした時
２）本校のポータルサイトのURLがリニューアルによって変わったため、そのURLに修正した時
――の記録に基づき、以下に、その詳細を説明したい。
● ログオン（管理者権限）
WSS で保護されたPCは、共有ユーザのアカウントで起動（＝自動ログオン）しており、同時に2つのログインを許可していない。これにより、非常に作業が面倒になるのだが、WSS の仕様のようだから、しかたがない（HDDキーパーでは、同時に２つのアカウントを起動できた）。
だから、これを、いったん共有ユーザをログオフし、管理者権限でログオンする。
そのためには、まず、「スタート」ボタン押下し、「ログオフ」項目をクリックする。
ようこそ画面に、２つのアカウントが示される（Administratorアカウントは、非表示にしてある）ので、「管理者権限」のアカウントでログオンする。
なお、来る時はたいてい突然なので、こうした時に、慌てずにすむよう、一連の作業に関する手順書（やパスワードその他）は、きちんとファイリングしておき、すぐ判る（が、人目にはつかない）場所に管理することを推奨する。異動などで担当者が替わった場合も、それは必ず、引継ぎすること。
● チェックリスト
ところで、手もとの記録（というか、メモ）によると――、
筆者が、まず、2008年6月に遭遇したミッションは、以下のものであった。
１）新規導入したクラウド型のデータベースソフトとWordを連動させるためのプログラムをインストールする
２）Flash Playerをインストールする
３）Java ランタイムをインストールする
４）制限ユーザ画面で、そのIEにアドインソフトをインストールする
５）同画面で、IEに検索ツールバーをインストールする
――以上、５点だった（内、２）３）５）は、ついでに頼まれたジョブである）。
１）から３）までは、「管理者権限」アカウントでの作業となる。
４）から５）までは、「制限ユーザ」アカウントでの作業となる。
ちなみに、この作業のために、筆者が事前に作成したチェックリストは、以下のようなExcelファイルだった。「HDD Sherif起動」とあるのは、「HDDキーパー」の英語表記であり、なぜ英語なのかは後述しているが、ここでは、これは「WSS」と読み替えてもらいたい。
（実際の作業済みの状態で、いろいろ書き込みがあるため、外に出せない箇所はPhotoshop でマスクしている）
拙いものだが、一応、開示しておく。Excelで簡単に作成できる。参考になれば幸いである。
上図が作業全般に関するリストで、下図は、作業内容の細目リストである。項目は故意に（二重に）重複させている。
単独作業だと、どうしてもミスが発生しやすい。このようなクロスチェック方式のリストがあった方が間違いが少なくなる。
項目名が、（「ツール／フォルダオプション」など）通常のグループポリシーのそれと異なるのは、この時、作業をした対象PCが、Windows2000多言語版だったからである。「HDDキーパー」も、画面では、「HDD Sherif」と表示されるし（別な機器なのか、とも思ったのだが、どうも同じ会社の同一製品らしい）、グループポリシーも全部、英語表記であった。
グループポリシーの、普通のWindows2000の日本語表記のそれと、対応する箇所を見比べて、探し当て、英語表記のポリシーを逐一、解除していった。例えば、「ツール／フォルダオプション」とあるのは、日本語版だと、「エクスプローラ」項目の「[ツール]メニューから[フォルダオプション]メニューを削除する」だが、これが、「User Configuration＞Administrative Template＞Windows Components＞Windows Explorer＞Remove the Folder Options menu item from the Tools menu」を「Enable（＝有効）」から「Not configured＝（非構成）」に変更、といった具合になる。
画面は全部、英文で、しかも、項目数が違っていたり、対応する順番も異なる。正直、あまりラクな仕事ではなかった（実働は10日ほどだが、前後半月ほど、かかっている）。
この時は、作業も多岐にわたり、対象も20台近くと多かったので、必然的に、こうした細緻なチェックリストとなった。
対象となる共有PCが、2、3台なら、これほど細かく作らないでもいいかも知れないが、やはりメモ程度のものは作成して、作業に臨んだほうがベストだと思われる。
できればExcelで作表し、記録として後に残すことを推奨する。少し修正して使い回せるので、後任者が助かるはずだ。
人間にはケアレスミスが付きものだが、機械はバカ正直であるから、間違えたら、愚直にそれを反映する。
ミスを避けるには、人間側がチェックするしか、ない。
● WSS の解除（オフ）
管理者権限のアカウントによるログイン画面で、デスクトップのアイコンをクリックし、WSS を起動させる。
まず、「共有ユーザ」の「ユーザ設定」の「全般タブ」画面を開き――、
「全般設定」で、「プロファイルをロックし、ユーザが永続的な変更を加えられないようにする」のチェックを外す。
これをやっておかないと、いくら設定変更しても、肝心の共有ユーザがロックされたままとなり、管理者権限でやった設定が、共有ユーザ（＝制限ユーザ）に反映されない。
つい忘れがちなので、これは、留意されたい。
次に、メイン画面で、WSS を「オフ」にし、保護を解除する。
以下のメッセージダイアログが表示され（このスクリーンショットは撮れなかった）――、
「Windows ディスク保護をオフにすると、機能はアンインストールされ、キャッシュ ファイルは削除されます。後で Windows ディスク保護をオンにすると、再インストールとキャッシュ ファイルの再作成に数分かかる可能性があります。
続行しますか?」
「はい」をクリックすると、さらに次のメッセージが表示され――、
「コンピュータを再起動してアンインストールを完了し、Windows ディスク保護をオフにする必要があります。」
「OK」をクリックすると、再起動し、しばらく時間がかかり、制限ユーザで自動ログオンする。
● ログオン2（管理者権限）
再び、いったんログオフし、管理者権限でログオンする。
手順は、前と同じである。重複項目が煩瑣かと思うが、とにかく、手順通りに記述を進める。
● グループポリシーの解除（１）
管理者権限ユーザ画面で、デスクトップ上の「コンソール１.msc」アイコンをクリックし、「グループポリシー」を起動する。
起動したグループポリシーの階層をたどって、以下の項目を解除する。
「管理用テンプレート」＞「Windows コンポーネント」＞「Internet Explorer」＞「インターネットコントロールパネル」から――、
直下の７つの項目すべてを解除（下記参照）。
（ちなみに、ここでの「解除」とは、「有効」を「未構成」にチェックを入れ換えることである）
- [全般]ページの使用を許可しない 有効→未構成へ
- [セキュリティ]ページの使用を許可しない 有効→未構成へ
- [コンテンツ]ページの使用を許可しない 有効→未構成へ
- [接続]ページの使用を許可しない 有効→未構成へ
- [プログラム]ページの使用を許可しない 有効→未構成へ
- [プライバシー]ページの使用を許可しない 有効→未構成へ
- [詳細設定]ページの使用を許可しない 有効→未構成へ
● グループポリシーの解除（２）
「管理用テンプレート」＞「Windows コンポーネント」＞「エクスプローラ」から――、
直下の５つの項目すべてを解除（下記参照）。
- [ツール]メニューから[フォルダオプション]メニューを削除する 有効→未構成
- [ネットワークドライブの割り当て]と[ネットワークドライブの切断]項目を削除する 有効→未構成
- エクスプローラから[検索]ボタンを削除する 有効→未構成
- 指定したドライブを[マイコンピュータ]内で非表示にする 有効→未構成
- [マイコンピュータ]からドライブにアクセスできないようにする 有効→未構成
● グループポリシーの解除（３）
次に――、
「管理用テンプレート」＞「タスクバーと[スタート]メニュー」から――、
直下の制限された１つの項目を解除（下記参照）。
- [設定]メニューのプログラムを削除する 有効→未構成
● グループポリシーの解除（４）
「管理用テンプレート」＞「コントロールパネル」から――、
直下の制限された１つの項目を解除（下記参照）。
- コントロールパネルへのアクセスを禁止する 有効→未構成
以上で、「グループポリシー」の解除作業は完了である。
先述したように、「グループポリシー」は、一度、作成してしまえば、その後、設定しようが、その設定を改変しようが、終了時に、「はい」を選ばなくても、その時点での設定が反映される。だから、そのまま、終了してよい。
項目数など、すこし面倒に思われるかも知れないが、これでも、全部だと、８画面29項目の制限を、４画面14項目の解除だけですむのだから、半分以下である。もって、諒としたい。
解除項目と作業内容との間の関連性（因果関係）が不明なものもある、というか、本当に解除する必要があるのか、疑わしいものもあるが、われわれがSEから聞いた通りの手順でやっていることだから、一応、従ってもらいたい。疑念を晴らすには、相当な手間ひまかけた動作確認や検証作業が必要だし、そんなことをするよりも、不要（かも知れない）項目を、素直にまとめて解除した方が早い。理屈より、実際的にやる。これが、この仕事の要諦である。
● 改変作業
「グループポリシー」を解除しても、再起動の必要はない。
だから、そのまま、インストールなどのシステムの「改変作業」に移れる。
以上の４画面の14項目を解除（未構成）にすれば、たいていのアプリのインストールや、その他の修正、改変は有効になる。
また、多くの改変作業は、「管理者権限」の画面で出来るが、中には、（上述した、筆者がやった、IEへのアドイン設定など）、「制限ユーザ」でないと出来ない作業もある。その場合は、一度、「管理者権限」アカウントをログオフし、「制限ユーザ」でログオンして、作業を行い、最終的に、「管理者権限」アカウントに戻る。
面倒くさいが、「IEへのアドイン」などは、「管理者権限」でやっても、「制限ユーザ」の画面には全く反映されないのだから、仕方がない。
要は、作業の性質によって、立ち上げるアカウントも異なることもある、ということだ。留意されたい。
せっかく、がんばって作業しても、それが肝心の「共有ユーザ」画面に反映されないのでは、どうしようもあるまい。
● グループポリシーの再設定
作業が終了したら、ふたたび、「グループポリシー」を起動させる。
今度は、逆に、解除（未構成）にした項目を制限（有効）にするのである。
さすがに煩瑣なので、もう一度、記述は、くり返さないが、上記の「グループポリシーの解除」の項目を、全て、「有効」に換えてゆく。
全ての項目を「有効」にもどしたら、「グループポリシー」の再設定は完了である。
設定は自動で反映されるので、そのまま終了してよい。
● WSS の再保護（オン）
「グループポリシー」の再設定が終わったら、今度は、WSS を起動して、「ユーザ設定」画面を開く。
「全般」タブで――、
「全般設定」で、「プロファイルをロックし、ユーザが永続的な変更を加えられないようにする」のチェックを入れる。
そうして、「ハードディスクの保護」を「オン」にもどす。
やはり、少し時間がかかる再起動となり、制限ユーザで自動ログオンする。
以上で、全ての作業は完了である。
念のために、チェックリストをもう一度みて、漏れがないかどうか、確認し、しかるべき改変が正しく行われているかどうか、（アプリなど）試しに動作確認してみる。
特に、管理者権限でではなく、共有ユーザ画面で行った設定が、きちんと反映されているかどうかをチェックされたい。これがなされていないと、いくら管理者権限アカウントの画面で有効であっても、日常、共有ユーザが使う画面で無効になっていたら、作業自体がなんにもならないからだ。
チェックを終われば、作業は成功である。
■ グループポリシーの解除【２】
解除（１）は、アプリのインストールなどの「大きな作業」に対応した方法だった。
解除（２）は、より特殊な、特定の「小さい仕事」に特化した事例である。
すなわち、「グループポリシー」のページでも別項をもうけて説明したが、学校が固有のWebサイトをもっており、ブラウザが立ち上がった時に、そのポータルサイトを表示するように設定してある、とする。
その際に表示されるURLが、なんらかの都合で、修正された場合に、それを設定変更する事例である。
さすがに煩瑣に過ぎるので、上記のように、項目ごとの詳細記述は、くり返さない。
ただ、要点を述べるにとどめる。
● チェックリスト２
これは実際には、上記の作業より少し早く、2008年4月に筆者が遭遇したケースである。
属している組織のポータルサイトがリニューアルし、WebページのURLが突然、変更となったので、配下のブランチにいた筆者としては、そのURLを変更せざるを得なくなった次第だ。かなり急ぎの仕事だったので、20台を1週間で終わらせている。
この作業のために、筆者が用意したチェックリストは、下図である。
上記の2番目のチェックリストと同様、「HDD Sherif」は「HDDキーパー」の英語表記であり、ここでは、「WSS」と読み替えてもらいたい。「Aブロック」等は、PCを置いたパーティションテーブルごとの区分のための呼称である。
（「HDDキーパー」の項目に取消線がある箇所は、経年劣化やＣドライブの空き容量が不足して、HDDキーパーを有効化できないPCだったりで、その作業をトバしたもの）
● グループポリシーの編集
「グループポリシー」を起動し、階層をたどって、以下の項目を解除する。
「管理用テンプレート」＞「Windows の設定」＞「Internet Explorer」から――、
直下の「URL」内の「重要なURL」の「ホームページのURL」を編集。
具体的には、変更された新しいポータルサイトのURLに書き換える。
それが終わったら、グループポリシー自体を終了する。くり返すが、一度、作成したグループポリシーは、編集した後、保存してもしなくても設定が反映されるので、そのまま終了させてよい。
これでグループポリシーの編集は完了である。
● WSS の再保護（オン）
WSS を起動して、「ユーザ設定」画面を開く。
「全般」タブで――、
「全般設定」で、「プロファイルをロックし、ユーザが永続的な変更を加えられないようにする」のチェックを入れる。
「ハードディスクの保護」を「オン」にもどす。
再起動して、PCは、元の保護状態に戻る。
以上で、作業は全て完了である。
■ Afrerword
なお、これだけは、注意事項として上げておく。
この種のセキュリティに関わる作業において――、
自分以外の他人を信用したり、または、その人間に作業をゆだねたりしてはならない。
この種の作業は、絶対に、自分一人で行なう。
直属の上司以外に、セキュリティ関係のマニュアル（特に、設定したPCのAdministratorや管理者権限アカウントのパスワードを記した文書）を披見させてはいけない。
どんなに、助手となってくれそうな人間（信頼がおける、年若い同僚だの、マジメで目端が利く生徒だの）がいたとしても、断じて、彼らを使って、こうした作業をしてはいけない。
もし期日などが決まっていて、一人では、それまでに出来ない作業内容だったら、その旨、上司と相談して、補助となる臨時スタッフを決めてもらい、一斉に作業を行なってもよいが、その際、パスワードは、事前に、PC全台において変更しておき、臨時スタッフには、仮パスワードと、作業内容の手順書だけを記したものを配布し、作業が完了したら、（細緻にに自分で再チェックをして、その作業が完全になされているかどうか、検証した後）、パスワードをかけ直す。
これくらい、やらないと、セキュリティは保護されない。
また、システム管理の仕事とは、そういうものだ。因果な話だが、事実である。肝に銘じておかれたい。
とにかく、こうしたセキュリティ業務で、信じられるのは自分だけだ、と考えてもらいたい。
絶対に、他人を信用したり、（真の）パスワードを漏洩したりしてはいけない。
このことは、自分が異動となり、後任者に引継ぎを行なう際にも、きつく遵守するよう、云っておく。
なお、管理者権限のパスワードは、このこととは別に、定期的にランダムなものに変更することを推奨する（管理者権限でログオンし、コンパネの「ユーザアカウント」項目で、別なパスワードに変更すればよい）。
参考資料
- 「MS Windows SteadyState 2.5公式ダウンロードサイト」
- 「MS Security Essentials ダウンロードサイト」
- 「Windows SteadyState」の「まとめサイト」TOP ｜ MSE用vbsスクリプト
- 「シマンテック：SEP11 and Windows SteadyState」（SEP用XMLスクリプト記述法）
- 「名古屋市立大学：SteadyStateでSymantec AntiVirusのアップデート方法」（NAV用vbsスクリプトとXMLファイル記述方法）
- 「システム管理者のためのWindows セキュリティ対策ガイド」井上孝司著（2002年 毎日コミュニケーションズ刊）
- 「Active Directory 導入と運用の基本」井上孝司著（2003/2007年 毎日コミュニケーションズ刊）
- 「Windows トラブル対策大全2004」日経Windows プロ編（2003年 日経BP社刊）
- 「Windows2000Server 今から始めるLANの構築＆運用入門：Windowsネットワーク導入ガイド」加藤佐一著（2000年 技術評論社刊）
サイトはともかく、書籍に関しては、どれも古いのは申し訳ないが、仕方がないのである。
筆者らは、これでやってきたので、なかには、むろん、改訂版などが出たり、新しい書名で内容を刷新していたりするものがあるのは知っている。だが、筆者の環境で使用していたサーバマシンが（先日、ＯＳのサポート終了となった）Windows2000Server であったし、その後、2003Server がリリースされても、だからといって即座に換装するわけにもいかない。よって、最新のWindows2008Server の参考書などは、不要だから購入もしておらず、それゆえ内容も知らないので、責任をもって言及できないのだ。
いずれも、Amazon にて（異様に安価で）上記の（古書の）入手は可能だが、できれば、類書で新しいものを参照してもらいたい。
ここに挙げたのは、あくまでも、筆者らが参考にした本だけである。よろしく、ご了解ねがう。