この記事では、Microsoft Application Virtualization (App-V) 5.1 のアカウントとグループ、ログ ファイル、およびその他のセキュリティ関連の考慮事項の概要について説明します。
重要
App-V 5.1 はセキュリティ製品ではなく、セキュリティ保護された環境を保証するものではありません。
PackageStoreAccessControl (PSAC) 機能は非推奨になりました
2014 年 6 月より、Microsoft Application Virtualization (App-V) 5.0 Service Pack 2 (SP2) で導入された PackageStoreAccessControl (PSAC) 機能は、シングル ユーザー環境とマルチ ユーザー環境の両方で非推奨になりました。
一般的なセキュリティに関する考慮事項
セキュリティ リスクを理解します。 App-V 5.1 にとって最も深刻なリスクは、権限のないユーザーによってその機能が乗っ取られ、App-V 5.1 クライアント上のキー データを再構成される可能性があることです。 サービス拒否攻撃により App-V 5.1 の機能が短期間失われても、一般に致命的な影響は発生しません。
コンピューターを物理的に保護します。 セキュリティは物理的なセキュリティなしでは不完全です。 App-V 5.1 サーバーに物理的にアクセスできるユーザーが、クライアント ベース全体を攻撃する可能性があります。 物理的攻撃の可能性は、いずれも危険度が高いと見なし、適切に軽減する必要があります。 App-V 5.1 サーバーは、アクセスが制御された物理的に安全なサーバー ルームに格納する必要があります。 オペレーティング システムにコンピューターをロックさせるか、セキュリティで保護されたスクリーン セーバーを使用して、管理者が物理的に不在のときにこれらのコンピューターをセキュリティで保護します。
最新のセキュリティ更新プログラムをすべてのコンピューターに適用します。
強力なパスワードまたはパスフレーズを使用します。 すべての App-V 5.1 および App-V 5.1 管理者アカウントに、常に 15 文字以上の強力なパスワードを使用してください。 空のパスワードは絶対に使用しないでください。 パスワードの概念の詳細については、「 アカウント パスワードとポリシー」を参照してください。
App-V 5.1 のアカウントとグループ
ユーザー アカウント管理のベスト プラクティスは、ドメイン グローバル グループを作成し、それらにユーザー アカウントを追加することです。 次に、ドメイン グローバル アカウントを App-V 5.1 サーバー上の必要な App-V 5.1 ローカル グループに追加します。
注
公開サーバーに接続する必要がある App-V クライアント コンピューター アカウントは、公開サーバーの Users ローカル グループの一部である必要があります。 既定では、ドメイン内のすべてのコンピューターは、承認 されたユーザー グループの一部であり、 ユーザーの ローカル グループの一部です。
App-V 5.1 サーバーのセキュリティ
App-V 5.1 のセットアップ中にグループは自動的に作成されません。 App-V 5.1 サーバーの操作を管理するには、次の Active Directory Domain Services グローバル グループを作成する必要があります。
| グループ名 | 詳細 |
|---|---|
| App-V 管理管理グループ | App-V 5.1 管理サーバーを管理するために使用します。 このグループは、App-V 5.1 管理サーバーのインストール中に作成されます。 重要:インストールの完了後、管理コンソールを使用してグループを作成する方法はありません。 |
| 管理サービス アカウントのデータベース読み取り/書き込み | 管理データベースへの読み取り/書き込みアクセスを提供します。 このアカウントは、App-V 5.1 管理データベースのインストール中に作成する必要があります。 |
| APP-V 管理サービス インストール管理者アカウント | 管理データベースのスキーマ バージョン テーブルへのパブリック アクセスを提供します。 このアカウントは、App-V 5.1 管理データベースのインストール中に作成する必要があります。 メモ: これは、管理データベースがサービスとは別にインストールされている場合にのみ必要です。 |
| App-V Reporting Service の管理者アカウントのインストール | レポート データベースのスキーマ バージョン テーブルへのパブリック アクセス。 このアカウントは、App-V 5.1 レポート データベースのインストール中に作成する必要があります。 メモ: これは、レポート データベースがサービスとは別にインストールされている場合にのみ必要です。 |
次の追加情報を検討してください。
パッケージ共有へのアクセス - 共有が管理サーバーと同じコンピューター上に存在する場合、 ネットワーク サービスは共有への読み取りアクセス権を必要とします。 さらに、各 App-V クライアント コンピューターには、パッケージ共有に対する読み取りアクセス許可が必要です。
注
以前のバージョンの App-V では、パッケージ共有はコンテンツ共有と呼ばれていました。
管理サーバーへの公開サーバーの登録 - 公開サーバーは管理サーバーに登録する必要があります。 たとえば、発行サーバーのコンピューター アカウントが管理サービス API を呼び出すことができるように、データベースに追加する必要があります。
App-V 5.1 パッケージのセキュリティ
次に、仮想化されたパッケージがセキュリティで保護されていることを確認する方法を計画するのに役立ちます。
- アプリケーション インストーラーがアクセス制御リスト (ACL) をファイルまたはディレクトリに適用する場合、その ACL はパッケージに保持されません。 パッケージが展開されたときに、ファイルまたはディレクトリがユーザーによって変更された場合、 %userprofile% の ACL が継承されるか、ターゲット コンピューターのディレクトリの ACL が継承されます。 前者は、ファイルまたはディレクトリが仮想ファイル システムの場所に存在しない場合に発生します。後者の場合は、ファイルまたはディレクトリが仮想ファイル システムの場所 ( %windir% など) に存在する場合に発生します。
App-V 5.1 ログ ファイル
App-V 5.1 のセットアップ中に、インストール ユーザーの %temp% フォルダーにセットアップ ログ ファイルが作成されます。