このトピックには、User Experience Virtualization (UE-V) のアカウントとグループ、ログ ファイル、およびその他のセキュリティ関連の考慮事項の概要が含まれます。 詳細については、こちらのリンクを参照してください。
UE-V 構成のセキュリティに関する考慮事項
重要
設定ストレージ共有を作成するときは、共有アクセスをアクセスを必要とするユーザーに制限します。
設定パッケージには個人情報が含まれている可能性があるため、可能な限り保護する必要があります。 一般に、次の手順を実行します。
- アクセスが必要なユーザーのみに共有を制限します。 特定の共有でフォルダーをリダイレクトしたユーザーのセキュリティ グループを作成し、それらのユーザーのみにアクセスを制限します。
- 共有を作成するときは、共有名の後に $ を付けて共有を非表示にします。 この追加により、カジュアルなブラウザーから共有が非表示になり、共有は My Network Places に表示されません。
- ユーザーに必要最小限のアクセス許可のみを付与します。 必要なアクセス許可を次の表に示します。
設定の保存場所フォルダーに、次の共有レベルの SMB アクセス許可を設定します。
ユーザー アカウント 推奨されるアクセス許可 すべてのユーザー アクセス許可なし UE-V のセキュリティ グループ フル コントロール 設定の保存場所のフォルダーに次の NTFS ファイル システムのアクセス許可を設定します。
ユーザー アカウント 推奨されるアクセス許可 Folder 作成者/所有者 アクセス許可なし アクセス許可なし ドメイン管理者 フル コントロール このフォルダー、サブフォルダー、ファイル UE-V ユーザーのセキュリティ グループ フォルダーの一覧表示/データの読み取り、フォルダーの作成/データの追加 このフォルダーのみ すべてのユーザー すべてのアクセス許可を削除する アクセス許可なし 設定テンプレート カタログ フォルダーに次の共有レベルの SMB アクセス許可を設定します。
ユーザー アカウント アクセス許可の推奨 すべてのユーザー アクセス許可なし ドメイン コンピューター 読み取りアクセス許可レベル 管理者 読み取り/書き込みアクセス許可レベル 設定テンプレート カタログ フォルダーに次の NTFS アクセス許可を設定します。
ユーザー アカウント 推奨されるアクセス許可 適用 作成者/所有者 フル コントロール このフォルダー、サブフォルダー、ファイル ドメイン コンピューター フォルダーの内容と読み取りアクセス許可を一覧表示する このフォルダー、サブフォルダー、ファイル すべてのユーザー アクセス許可なし アクセス許可なし 管理者 フル コントロール このフォルダー、サブフォルダー、ファイル
リダイレクトされたファイル共有をホストするには、Windows Server 2003 の Windows Server を使用します
ユーザー設定パッケージ ファイルには、クライアント コンピューターと設定パッケージを格納するサーバーの間で転送される個人情報が含まれています。 このプロセスのため、データがネットワーク上を移動する間、データが確実に保護されるようにする必要があります。
ユーザー設定データは、ネットワーク上を通過する際のデータの傍受、ネットワーク上を通過する際のデータの改ざん、データをホストするサーバーのなりすましといった潜在的な脅威に対して脆弱です。
Windows Server 2003 以降、Windows Server オペレーティング システムのいくつかの機能は、ユーザー データのセキュリティ保護に役立ちます。
Kerberos - Kerberos は、すべてのバージョンの Microsoft Windows 2000 Server および Windows Server 2001 以降の Windows Server で標準です。 Kerberos では、ネットワーク リソースに対する最高レベルのセキュリティが保証されます。 NTLM はクライアントのみを認証します。Kerberos はサーバーとクライアントを認証します。 NTLM が使用されている場合、クライアントはサーバーが有効かどうかを認識しません。 この違いは、クライアントが個人用ファイルをサーバーと交換する場合、移動ユーザー プロファイルの場合と同様に重要です。 Kerberos は、NTLM よりも優れたセキュリティを提供します。 Kerberos は、Microsoft Windows NT Server 4.0 以前のオペレーティング システムでは使用できません。
IPsec - IPsec (IP セキュリティ プロトコル) は、ネットワーク レベルの認証、データ整合性、および暗号化を提供します。 IPsec により、次のことが保証されます。
- ローミング データは、データが転送中のデータ変更から保護されます。
- ローミング データは、傍受、閲覧、またはコピーから安全です。
- ローミングされたデータは、認証されていないパーティによるアクセスから安全です。
SMB 署名 - サーバー メッセージ ブロック (SMB) 認証プロトコルは、アクティブなメッセージ攻撃と "中間者" 攻撃を防ぐメッセージ認証をサポートします。 SMB 署名は、各 SMB にデジタル署名を配置することで、この認証を提供します。 デジタル署名は、クライアントとサーバーの両方によって検証されます。 SMB 署名を使用するには、最初に署名を有効にするか、SMB クライアントと SMB サーバーの両方で署名を要求する必要があります。 SMB の署名により、パフォーマンス ペナルティが課されます。 ネットワーク帯域幅は消費されませんが、クライアント側とサーバー側でより多くの CPU サイクルを使用します。
ユーザー データを保持するボリュームには必ず NTFS ファイル システムを使用します
最も安全な構成のために、UE-V 設定ファイルをホストするサーバーを構成して、NTFS ファイル システムを使用します。 FAT ファイル システムとは異なり、NTFS では随意アクセス制御リスト (DACL) とシステム アクセス制御リスト (SACL) がサポートされます。 DACL と SACL は、ファイルに対して操作を実行できるユーザーと、ファイルに対して実行される操作のログをトリガーするイベントを制御します。
ネットワーク経由で送信されるユーザー ファイルの暗号化を EFS に依存しないでください
暗号化ファイル システム (EFS) を使用してリモート サーバー上のファイルを暗号化する場合、暗号化されたデータはネットワーク経由での転送中に暗号化されません。ディスクに保存された場合にのみ暗号化されます。
この暗号化プロセスは、システムにインターネット プロトコル セキュリティ (IPsec) または Web 分散オーサリングおよびバージョン管理 (WebDAV) が含まれている場合は適用されません。 IPsec は、TCP/IP ネットワーク経由で転送されるデータを暗号化します。 サーバー上の WebDAV フォルダーにコピーまたは移動される前にファイルが暗号化されている場合、ファイルは送信中およびサーバーに保存されている間も暗号化されたままになります。
UE-V サービスで各ユーザーのフォルダーを作成できるようにします
UE-V が最適に動作するようにするには、サーバー上にルート共有のみを作成し、UE-V サービスでユーザーごとにフォルダーを作成できるようにします。 UE-V は、適切なセキュリティを使用してこれらのユーザー フォルダーを作成します。
このアクセス許可の構成を使用すると、ユーザーは設定ストレージ用のフォルダーを作成できます。 UE-V サービスは、ユーザーのコンテキストで実行されている設定パッケージ フォルダーを作成し、セキュリティで保護します。 ユーザーは自分の設定パッケージ フォルダーに対するフル コントロールを受け取ります。 他のユーザーは、このフォルダーへのアクセス権を継承しません。 個別のユーザー ディレクトリを作成してセキュリティで保護する必要はありません。 ユーザーのコンテキストで実行される UE-V サービスは、それを自動的に実行します。
注
設定ストレージ共有に Windows Server を使用する場合は、追加のセキュリティを構成できます。 UE-V を構成すると、ローカルの Administrators グループまたは現在のユーザーが、設定パッケージが格納されているフォルダーの所有者であることを確認できます。 追加のセキュリティを有効にするには、次のコマンドを使用します。
- REG_DWORD レジストリ キー RepositoryOwnerCheckEnabled を
HKEY_LOCAL_MACHINE\Software\Microsoft\UEV\Agent\Configurationに追加します。 - レジストリ キーの値を 1 に設定します。
この構成設定が適用されると、UE-V サービスは、ローカルの Administrators グループまたは現在のユーザーが設定パッケージ フォルダーの所有者であることを確認します。 指定しない場合、UE-V サービスはフォルダーへのアクセスを許可しません。
ユーザー用にフォルダーを作成する必要がある場合は、正しいアクセス許可が設定されていることを確認します。
フォルダーを事前に作成しないことを強くお勧めします。 代わりに、UE-V サービスにユーザーのフォルダーを作成させます。
UE-V 2 設定をホーム ディレクトリまたはカスタム ディレクトリに保存するための適切なアクセス許可を確保する
UE-V 設定をユーザーのホーム ディレクトリまたはカスタム Active Directory (AD) ディレクトリにリダイレクトする場合は、ディレクトリのアクセス許可がorganizationに適切に設定されていることを確認します。
設定場所テンプレートの内容を確認し、必要に応じてアクセスを制御します
設定場所テンプレートが作成されるとき、UE-V ジェネレーターはライトウェイト ディレクトリ アクセス プロトコル (LDAP) クエリを使用して、現在ログインしているユーザーのユーザー名と電子メール アドレスを取得します。 この情報は、テンプレート作成者名とテンプレート作成者の電子メールとしてテンプレートに保存されます。 (この情報はいずれも Microsoft に送信されません。)
設定場所テンプレートを organization 外のユーザーと共有する場合は、すべての設定場所を確認し、設定場所テンプレートに個人情報や会社情報が含まれていないことを確認する必要があります。 任意の XML ビューアーを使用して設定場所テンプレート ファイルを開くと、内容を表示できます。 社外のユーザーと共有する前に、設定場所テンプレート ファイルから個人情報や会社情報を表示および削除する方法を次に示します。
- テンプレート作成者名 - テンプレート作成者名に一般的な非識別名を指定するか、このデータをテンプレートから除外します。
- Template Author Email - 一般的な非識別テンプレート作成者電子メールを指定するか、このデータをテンプレートから除外します。
テンプレート作成者名またはテンプレート作成者の電子メールを削除するには、UE-V ジェネレーター アプリケーションを使用できます。 ジェネレーターから、[ 設定場所テンプレートを編集する] を選択します。 最近使用したテンプレートから編集する設定場所テンプレートを選択するか、設定テンプレート ファイルを参照します。 続行するには [次へ] を選択します。 [プロパティ] ページで、[テンプレート作成者名] または [テンプレート作成者の電子メール] テキスト フィールドからデータを削除します。 設定場所テンプレートを保存します。