Insider's Eye IE 7自動配布の基礎知識（2） デジタルアドバンテージ　小川 誉久 2007/03/28

IE 7の自動更新プロセス

　前記のケースでIE 7の自動配信が実施されるが、ユーザーが知らないうちに無条件でIE 7がインストールされてしまうわけではない。IE 7のインストーラは、インストールを開始する直前に、ユーザーに次のようなダイアログを表示し、IE 7のインストール許可をユーザーに求める。

IE 7のインストール時に表示される確認ダイアログ（英語版）

IE 7の自動配信が通知され、ユーザーがインストールを開始すると、このダイアログが表示される。ここにはインストールを許可するか、許可しないか、後回しにするかを選択できるボタンが用意されている。画面は英語版のもの。以下、カッコ内は日本語版でのボタン名。（画面はマイクロソフトより転載）

（1） IE 7のインストール作業を続行する（［インストールする］）。 　 （2） IE 7をインストールしない。これをクリックすると、二度とIE 7の自動配信は行われなくなる（［インストールしない］）。 　 （3） IE 7のインストールを後回しにする。後ほど、再度IE 7のインストール通知が行われる（［後で確認する］）。

　ここでのボタン操作により、IE 7のインストールの扱いは次のように分かれる。

IE 7のインストール確認ダイアログのボタン操作と働き

確認ダイアログのボタン操作により、このようにIE 7のインストールの取り扱いが変わる。

■［インストールする］をクリックした場合
　上記確認ダイアログの［インストールする］ボタンをクリックすると、IE 7がコンピュータにインストールされる（IE 6がIE 7にアップグレードされる）。IE 7がインストールされるのはこのボタンを押したときだけである。

　なお、IE 6からIE 7にアップグレードした場合でも、ホームページやお気に入りなど、IE 6で設定した情報の多くはIE 7でもそのまま使える。またIE 7をインストールしてしまっても、必要があれば、IE 7をコントロール・パネルの［プログラムの追加と削除］を使ってアンインストールすることで、従来のIE 6環境を取り戻すことができる。

■［インストールしない］をクリックした場合
　［インストールしない］ボタンをクリックした場合には、IE 7のインストール処理がキャンセルされる。また、一度［インストールしない］ボタンをクリックしたら、再度IE 7のインストールが促されることはない。従ってユーザーに対し、「IE 7のインストール確認ダイアログが表示されたら、［インストールしない］ボタンをクリックする」とアナウンスしておけば、IE 7のインストールを抑止できることになる。

　［インストールしない］ボタンをクリックした場合でも、必要なら、MU／WUで明示的にインストールを指定する、ダウンロード・センターからIE 7を入手してインストールすることで、IE 7を後からインストールすることは可能である。

■［後で確認する］をクリックした場合
　この場合は、その時点でのIE 7のインストールはキャンセルされるが、24時間以内にもう一度IE 7のインストールが促される。

レジストリを変更し、自動更新による配布をブロックする

　前記の確認ダイアログで［インストールしない］ボタンをクリックするように指導することで、IE 7のインストールを抑止できるのだが、これはあくまでユーザーまかせの対応である。残念ながら、ユーザーが常に指導を守ってくれるという保証はない。抑止の完全性を求めるなら、コンピュータのレジストリ値を変更することで、より抜本的にIE 7の自動配布を防止することができる。具体的には、レジストリに以下のキーを作成し、

HKLM\SOFTWARE\Microsoft\Internet Explorer\Setup\7.0

　ここにDoNotAllowIE70というDWORD値を作成する。この値を1にすると、MU／WUによる自動配布が抑止されるようになる。

　マイクロソフトは、このレジストリ値を設定するためのツール（以下Blockerツール）を以下で無償公開している。具体的には、上記のレジストリ値を設定するためのグループ・ポリシー・テンプレートとスクリプトが提供されている。ツール自体は英語版だが、日本語環境でも問題なく実行できる。

• 自動配布の無効化ツールキット（Blocker Toolkit）
  

　複数のコンピュータに対し、組織的にIE 7の自動配布を抑止したければ、ツールを活用するのが有効だ。なおグループ・ポリシー・テンプレートを利用するには、Active Directoryによるドメインが構成されている必要がある。Active Directory環境でない場合には、付属のスクリプトの方を使って、複数のコンピュータのレジストリ値を一括指定することが可能だ。

　同様のツールとして、XPSP2向けのブロッキング・ツールが過去に提供されたことがある。このツールは、XPSP2の自動更新での適用を一時的に抑止するもので、一定期間が過ぎると効果が失われるものだった。これに対しIE 7のBlockerツールは、いったん設定すると、未来永劫IE 7の自動配布が抑止される。

　なお、上記レジストリ値を設定したコンピュータであっても、MU／WUやダウンロード・センターから入手したインストーラからIE 7を手動でインストールすることは可能である。つまりレジストリ値を設定しても、ユーザーに管理者権限を与えているかぎり、ユーザーが自主的にIE 7をインストールすることを制限できない。

IE 7自動配布抑止のまとめ

　以上、組織の管理者を対象として、IE 7の自動配布を抑止する方法について説明した。説明したとおり、IE 7の自動配布の影響が及ぶのは、ユーザーにローカル・コンピュータの管理者権限を与えて、MU／WUをユーザーの責任で実行させている場合である。それ以外のコンピュータは影響を無視してよい。

　上記のケースで、IE 7の自動配布を抑止したければ、以下の4つの手段がある。対応が容易な順に並べると次のようになる。

1. IE 7のインストールが開始されたときに表示されるダイアログで、［インストールしない］ボタンをクリックするようにユーザーに指示する
   　最も簡単な方法は、IE 7インストール開始の確認ダイアログで、各ユーザーに［インストールしない］ボタンをクリックするようにあらかじめ告知しておくことだ。ユーザーがプログラマであるなど、コンピュータ・スキルの高いユーザーが多いのなら、この方法でもあまり問題はないだろう。一度［インストールしない］ボタンをクリックすれば、後で再度インストールが開始されることはない。

   　ただしこの方法はユーザーの操作に全面的に依存しており、強制力はない。

2. Blockerツールを利用してレジストリ値を設定する
   　マイクロソフトが無償提供しているBlockerツールを利用してコンピュータのレジストリ値を設定すれば、IE 7の自動配布をそれ以後ずっと抑止できる。特にActive Directory環境があるなら、グループ・ポリシーを利用できるので設定は容易だ。Active Directory環境がない場合でも、付属のスクリプトで一括設定ができる。

3. ユーザーからローカル・コンピュータの管理者権限を奪う
   　通常のアプリケーション実行だけなら、ユーザーに管理者権限を与える必要はない。説明したとおり、管理者権限を持ったユーザーがコンピュータにログオンしないかぎり、IE 7の自動配布は実施されない。ユーザーが持つ権限から管理者権限を削除し、通常のユーザーとしてコンピュータを使ってもらうようにすれば、IE 7の自動配信を抑止できる。

   　ただし、管理者権限のないユーザーは、アプリケーションやデバイス・ドライバをコンピュータに追加できないなど、用途によってはコンピュータの使用に重大な制限を加える結果になる可能性はある。

4. WSUSなどの修正プログラム管理を導入する
   　WSUSで管理されているコンピュータは、管理者がWSUSでインストールを承認しないかぎり自動配布されない。WSUSを導入すれば、IE 7の自動配布抑止だけでなく、ほかの修正プログラム管理も集中化できるので、最も理想的な対応といえる。

   　ただしこれにはWSUS用のサーバ環境を準備するなど、少なくない投資が求められる。

INDEX
	[Insider's Eye]
	IE 7自動配布の基礎知識（1）
	IE 7自動配布の基礎知識（2）

　

「Insider's Eye」

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）