Windows デバイス管理で組織の Windows デバイスを管理している場合、Google 管理コンソールでカスタム設定を追加することで、デバイスで許可するアプリを制限できます。アプリは、カスタム設定の値としてアップロードする XML ファイルで指定します。個々のアプリをブロックすることも、EXE ファイルや MSI ファイルなど、特定のタイプに一致するすべてのアプリファイルをブロックすることもできます。
ステップ 1: 許可するアプリとブロックするアプリを XML ファイルで指定する
XML ファイルを作成するには、PowerShell のコマンドラインまたは Windows グループ ポリシー エディタの GUI を使用します。この手順では、単一のポリシーを作成する方法について説明しますが、同じファイル形式のアプリに関連するポリシーを 1 つの XML ファイルにまとめることもできます。例をご覧ください。
重要: さまざまな種類のアプリファイル（EXE、MSI、スクリプト、StoreApps、DLL）をブロックするには、個別のカスタム設定を作成する必要があります。
オプション 1 - コマンドライン（PowerShell）
- オンラインの GUID 生成ツールを使用して、ランダムな GUID を取得します。ヒント: 検索エンジンで
online GUID generatorを検索します。 - 特定のアプリをブロックする場合は、そのアプリの情報を取得します。特定のファイル形式のすべてのアプリをブロックする場合は、この手順をスキップできます。
- Windows デバイスで、ブロックまたは許可するアプリの実行可能ファイル（末尾が .exe のファイル）をダウンロードします。
- PowerShell を開きます。
- Get-AppLockerFileInformation -path PathToExe | format-list を実行します。ここで、PathToExe は実行可能ファイルへのパスです。
- レスポンスで、
Publisher行の値を見つけて記録します。値は次の形式で、XML で使用する値に対応しています。PublisherNameProductNameBinaryName,BinaryVersion
パブリッシャー名は
O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=USなどの長い文字列です。文字列全体を含める必要があります。
- 次の XML をテキスト エディタにコピーします。
<RuleCollection Type="Type" EnforcementMode="Enabled">
<FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
<Conditions>
<FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
<BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection> - XML を編集して、プレースホルダをそれぞれの値に置き換えます。複数のポリシーを 1 つのファイルにグループ化するなどの具体的なユースケースについては、例をご覧ください。
プレースホルダ 値 Type アプリのファイル形式（OMA-URI と一致する必要があります）:
- EXE ファイルの場合は、
"Exe"と入力します。 - MSI ファイルの場合は、
"Msi"と入力します。 - スクリプト ファイルの場合は、
"Script"と入力します。 - DLL ファイルの場合は、
"Dll"と入力します。 - Microsoft Store アプリの場合は、
"Appx"と入力します。
GUID 手順 1 で生成した GUID。 PolicyName ポリシーの名前。任意の文字列を使用できます。 PolicyDescription ポリシーの説明。 UserOrGroupSid ポリシーが適用されるユーザーまたはグループ: - デバイスのすべてのユーザーにポリシーを適用するには、「S-1-1-0」と入力します。
- 特定のユーザーにポリシーを適用するには、そのユーザーの SID を入力します。SID を取得するには、コマンドラインで次のコマンドを実行します。
wmic username get name,sid
username はデバイスを使用しているユーザーのユーザー名です。ユーザー名がわからない場合は、次のコマンドを実行して、デバイスを使用しているすべてのユーザーのリストを取得します。
wmic useraccount get name,sid
-
入力できるユーザー名は 1 つのみです。複数のユーザーにポリシーを適用するには、対象のユーザーをグループに追加するか、ポリシーをコピーして名前を更新します。
- 特定のグループにポリシーを適用するには、そのグループの SID を入力します。グループ SID を取得するには、コマンドラインで次のコマンドを実行します。
wmic groupName get name,sid
groupName はデバイスを使用しているグループの名前です。グループの名前がわからない場合は、次のコマンドを実行して、デバイスを使用しているすべてのグループのリストを取得します。
wmic group get name,sid
Allow|Deny このポリシーでのアクション（指定したアプリを許可またはブロックする）を選択します。 PublisherName アプリの発行元の名前（手順 2 の PublisherName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。 BinaryName バイナリのファイル名（手順 2 の BinaryName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。
たとえば、すべての EXE ファイルをブロックするには、「*」と入力し、カスタム設定を追加するときに、/EXE/Policy で終わる OMA-URI を選択します。
ProductName サービスの名前（手順 2 の ProductName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。 latestVersion このポリシーの適用先となるアプリの最新バージョン番号。アプリのすべてのバージョンをブロックするには、「*」と入力します。 earliestVersion このポリシーの適用先となるアプリの最も古いバージョン番号。アプリのすべてのバージョンをブロックするには、「*」と入力します。 - EXE ファイルの場合は、
-
ファイルを保存します。
オプション 2 - GUI（Windows グループ ポリシー エディタ）
- Microsoft の記事で「Generating the XML（XML の生成）」に記載されている手順に沿って操作します。「ポリシーの作成」セクションに到達したら、手順を停止します。
注: この手順では、デバイスにインストールされているアプリのポリシーを作成する方法について説明します。デバイスにインストールされていないアプリのポリシーを作成するには、手順 6 で [パッケージ化アプリ インストーラをリファレンスとして使用する] を選択します。
- XML ファイルを書き出したら、作成したポリシーをグループ ポリシー エディタで削除します。削除しない場合、そのポリシーがデバイスで適用されます。
ステップ 2: カスタム設定を追加する
-
Google 管理コンソールで、メニュー アイコン
[
デバイス] [モバイルとエンドポイント] [設定] [Windows] に移動します。アクセスするには、モバイル デバイス管理の管理者権限が必要です。
- [カスタム設定] をクリックします。
- [カスタム設定を追加] をクリックします。
カスタム設定を構成します。
[OMA-URI] フィールドに「ApplicationLaunchRestriction」と入力し、ポリシー内のアプリのファイル形式に対応する OMA-URI を選択します。
- EXE ファイルの場合は、./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/EXE/Policy を選択します。
- Microsoft Store で入手できるアプリの場合は、./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<グループ化を入力>/AppStore/Policy を選択します。
- MSI ファイルの場合は、./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<グループ分けを入力>/MSI/Policy を選択します。
- PowerShell スクリプトの場合は、./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<グループ分けを入力>/Script/Policy を選択します。
DLL ファイルの場合は、./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<Enter Grouping>/DLL/Policy を選択します。
詳しくは、Microsoft の AppLocker CSP に関するドキュメントをご覧ください。
OMA-URI で、<Enter Grouping> を、カスタム設定ごとに一意のランダムな英数字文字列に置き換えます。たとえば、EXE ファイルをブロックするカスタム設定と MSI ファイルをブロックするカスタム設定を追加する場合は、カスタム設定ごとに異なる値を使用します。
OMA-URI を選択すると、[名前] フィールドが [ポリシー] に更新されます。カスタム設定のリストで識別しやすいように、一意の名前を入力します。
[データ型] で [文字列（XML）] を選択し、[XML をアップロード] をクリックして、最初のセクションで作成した XML 構成ファイルを選択します。
（省略可）カスタム設定の動作と適用対象を説明する説明を入力します。
[次へ] をクリックしてカスタム設定の適用先となる組織部門を選択するか、[他にも追加] をクリックして別の設定を開始します。[次へ] をクリックして組織部門を選択するまで、追加のポリシーは組織部門に適用されません。
ポリシーを適用する組織部門を選択します。
[適用] をクリックします。
組織部門のユーザーが Windows デバイスでブロックされたアプリをインストールまたは開こうとすると、アプリがシステム管理者によってブロックされたというエラー メッセージが表示されます。
XML ファイルの例
署名付きアプリのみ許可する（署名なしアプリをすべてブロックする）
このポリシーを使用すると、ユーザーは署名付きのアプリのみをインストールできるようになります。同時に、OMA-URI で指定されたファイル形式を持つ、無署名のアプリをインストールできなくなります。
任意のファイル形式を持つ無署名のアプリをすべてブロックするには、各ファイル形式のカスタム設定を追加し、値に次の XML を使用します。
注: RuleCollection では、Type はアプリのファイルタイプと一致している必要があります。値は、EXE ファイルの場合は "Exe"、MSI ファイルの場合は "Msi"、スクリプト ファイルの場合は "Script"、DLL ファイルの場合は "Dll"、StoreApps の場合は "Appx" になります。FilePublisherRule で、GUID をオンライン GUID ジェネレータから取得したランダムな GUID に置き換えます。
<RuleCollection Type="Type" EnforcementMode="Enabled">
<FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection>特定のアプリをブロックする
アプリをブロックするには、アプリを許可する <FilePublisherRule> セクションと、ブロックするアプリごとに <FilePublisherRule> ブロックを含める必要があります。
一般的な形式を次に示します。
<RuleCollection Type="Type" EnforcementMode="Enabled">
<FilePublisherRule...>
...allow apps...
</FilePublisherRule>
<FilePublisherRule...>
...conditions for first app to block...
</FilePublisherRule>
<FilePublisherRule...>
...conditions for second app to block...
</FilePublisherRule>
</RuleCollection>注: RuleCollection では、Type はアプリのファイルタイプと一致している必要があります。値は、EXE ファイルの場合は "Exe"、MSI ファイルの場合は "Msi"、スクリプト ファイルの場合は "Script"、DLL ファイルの場合は "Dll"、StoreApps の場合は "Appx" になります。FilePublisherRule で、GUID をオンライン GUID ジェネレータから取得したランダムな GUID に置き換えます。
たとえば次のポリシーの場合、ユーザーは「アプリ A」と「アプリ B」のどちらも実行できなくなります。どちらのアプリも EXE 形式です。
<RuleCollection Type="Exe" EnforcementMode="Enabled">
<FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection>Windows オペレーティング システムにバンドルされているアプリをブロックする
次の例は、Microsoft のドキュメントに記載されている例に基づき、ユーザーが Windows Mail を使用できないようにします。使用する前に、GUID を、オンラインの GID 生成ツールから取得したランダムな URL に置き換えてください。
注: このアプリファイルは Microsoft ストア アプリであるため、OMA-URI は ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/<グループ分けを入力>/AppStore/Policy にする必要があります。
<RuleCollection Type="Appx" EnforcementMode="Enabled">
<FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id=GUID Name="Block Windows Mail" Description="Blocks all users from using Windows Mail" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="O=Microsoft Corporation, L=Redmond, S=Washington, C=US" ProductName="microsoft.windowscommunicationsapps" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*" />
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection>
Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は関連各社の商標です。