適用対象:
- Windows 10
- Windows 11
この記事では、Microsoft Application Virtualization (App-V) のアカウントとグループ、ログ ファイル、およびその他のセキュリティ関連の考慮事項の概要について説明します。
重要
App-V はセキュリティ製品ではなく、セキュリティ保護された環境を保証するものではありません。
PackageStoreAccessControl (PSAC) 機能は非推奨になりました
2014 年 6 月より、Microsoft Application Virtualization (App-V) 5.0 Service Pack 2 (SP2) で導入された PackageStoreAccessControl (PSAC) 機能は、シングル ユーザー環境とマルチ ユーザー環境の両方で非推奨となりました。
一般的なセキュリティに関する考慮事項
セキュリティ リスクを理解します。 App-V に対する最も深刻なリスクは、権限のないユーザーが App-V クライアントの機能をハイジャックして、ハッカーが App-V クライアント上の主要なデータを再構成できるようにすることです。 一方、サービス拒否攻撃による App-V の機能の短期的な損失は、それほど致命的ではありません。
コンピューターを物理的に保護します。 物理的なセキュリティを考慮しないセキュリティ戦略は不完全です。 App-V サーバーに物理的にアクセスするユーザーは、クライアント ベース全体を攻撃する可能性があるため、潜在的な物理的攻撃や盗難は絶対に防ぐ必要があります。 App-V サーバーは、アクセスが制限された物理的に安全なサーバー ルームに格納する必要があります。 オペレーティング システムまたはセキュリティで保護されたスクリーン セーバーを使用してコンピューターをロックして、管理者が不在のときにコンピューターのセキュリティを維持します。
最新のセキュリティ更新プログラムをすべてのコンピューターに適用します。
強力なパスワードまたはパスフレーズを使用します。 すべての App-V および App-V 管理者アカウントに、常に 15 文字以上の強力なパスワードを使用します。 空のパスワードは絶対に使用しないでください。 パスワードの概念の詳細については、「 パスワード ポリシー 」と 「強力なパスワード」を参照してください。
App-V のアカウントとグループ
ユーザー アカウント管理のベスト プラクティスは、ドメイン グローバル グループを作成し、それらにユーザー アカウントを追加することです。 その後、ドメイン グローバル アカウントを App-V サーバー上の必要な App-V ローカル グループに追加します。
注
公開サーバーに接続する必要がある App-V クライアント コンピューター アカウントは、公開サーバーの Users ローカル グループの一部である必要があります。 既定では、ドメイン内のすべてのコンピューターは、承認 されたユーザー グループの一部であり、 ユーザーの ローカル グループの一部です。
App-V サーバーのセキュリティ
App-V のセットアップ中にグループは自動的に作成されません。 App-V サーバーの操作を管理するには、次の Active Directory Domain Services グローバル グループを作成する必要があります。
| グループ名 | 詳細 | 重要な注意 |
|---|---|---|
| App-V 管理管理グループ | App-V 管理サーバーの管理に使用されます。 このグループは、App-V 管理サーバーのインストール中に作成されます。 | インストールの完了後、管理コンソールは新しいグループを作成できません。 |
| 管理サービス アカウントのデータベース読み取り/書き込み | 管理データベースへの読み取り/書き込みアクセスを提供します。 このアカウントは、App-V 管理データベースのインストール中に作成する必要があります。 | |
| APP-V 管理サービス インストール管理者アカウント | 管理データベースのスキーマ バージョン テーブルへのパブリック アクセスを提供します。 このアカウントは、App-V 管理データベースのインストール中に作成する必要があります。 | このアカウントは、管理データベースがサービスとは別にインストールされている場合にのみ必要です。 |
| App-V Reporting Service の管理者アカウントのインストール | レポート データベースのスキーマ バージョン テーブルへのパブリック アクセス。 このアカウントは、App-V レポート データベースのインストール中に作成する必要があります。 | このアカウントは、レポート データベースがサービスとは別にインストールされている場合にのみ必要です。 |
次の追加情報を検討してください。
パッケージ共有へのアクセス: 共有が管理サーバーと同じコンピューターに存在する場合、 ネットワーク サービスは共有への読み取りアクセス権を必要とします。 さらに、各 App-V クライアント コンピューターには、パッケージ共有に対する読み取りアクセス許可が必要です。
注
以前のバージョンの App-V では、パッケージ共有はコンテンツ共有と呼ばれていました。
管理サーバーへの公開サーバーの登録: 公開サーバーは管理サーバーに登録する必要があります。 たとえば、発行サーバーのコンピューター アカウントが管理サービス API を呼び出すことができるように、データベースに追加する必要があります。
App-V パッケージのセキュリティ
アプリケーション インストーラーがアクセス制御リスト (ACL) をファイルまたはディレクトリに適用する場合、その ACL はパッケージに保持されません。 パッケージの展開時にファイルまたはディレクトリがユーザーによって変更された場合、変更されたファイルまたはディレクトリは %userprofile% の ACL を継承するか、ターゲット コンピューターのディレクトリの ACL を継承します。 前者は、ファイルまたはディレクトリが仮想ファイル システムの場所に存在しない場合に発生します。後者は、ファイルまたはディレクトリが仮想ファイル システムの場所 ( %windir% など) に存在する場合に発生します。
App-V ログ ファイル
App-V のセットアップ中に、インストール ユーザーの %temp% フォルダーにセットアップ ログ ファイルが作成されます。