第2回　Windows Thin PCを“本物の”シンクライアントに仕上げる：Windows Thin PCで本格的なシンクライアントを実現する（3/5 ページ）

　前ページで設定したWinTPCにいくつかカスタマイズを加えて、利便性を向上しよう。

接続ツールの終了と連動してシャットダウンなどができるようにする

　前述のログイン・シェルの設定では、ログオン時に指定した接続ツールを立ち上げるだけなので、接続ツールを終了すると画面には何もない状態になってしまう。［Ctrl］＋［Alt］＋［Del］キーを押せばシャットダウンなどは可能であるが、例えばリモート接続の終了と連動してWinTPCを自動的にシャットダウンするなどのアクションを選択できると便利だ。

　これは、ログイン・シェルで接続ツールを直接起動させるのではなく、ラッパー・プログラム*1経由で間接的に起動させることで実現できる。

ラッパー・プログラムを経由して接続ツールを起動する
ログイン・シェルとして接続ツールを直接起動させるのではなく、ラッパー・プログラム経由で間接的に起動させることにより、接続ツールの終了後にシャットダウンするか、再び接続ツールを起動するか選択するといった柔軟な対応が可能になる。

　ラッパー・プログラムを経由させることで、接続ツールの起動前に無線LANやVPNなどの認証ツールの実行も可能になるだろう。ラッパー・“プログラム”と書いたが、実際はスクリプトで十分だ。筆者の方でWSH （Windows Scripting Host） ベースのサンプル・スクリプトを用意したので参考にしていただきたい。

• Windows ログイン・シェルのラッパースクリプト（マイクロソフト TechNet Script Center）

　具体的なカスタマイズ方法についても、上記ページの「Usage」以下に記している。

接続ツールの終了を検知してアクションを実行する
筆者が作成したWSHベースのサンプル・プログラムを利用した例。接続ツールの終了をラッパー・プログラムが自動検知することで、もう一度接続ツールを呼び出したり、シャットダウンやログオフを実行させたりすることが可能になる。

他のアプリケーションを起動する“抜け道”をふさぐ

　ログイン・シェルをロックダウンしても、実はまだ接続ツール以外のアプリケーションを起動できてしまう“抜け道”が残っている。

　例えば、IEをログイン・シェルにしている場合、アドレス・バーから「C:\Windows\System32\cmd.exe」と入力して［Enter］キーを押すと、コマンド・プロンプトが起動できてしまう。IE以外でも、ファイル・オープン・ダイアログやファイル保存ダイアログ、タスク・マネージャの［ファイル］−［新しいタスクの実行］などから任意のアプリケーションが起動できてしまう。

IEのアドレス・バーからローカル・ファイルを起動する
このようにIEのアドレス・バーにフルパスで入力すると、指定したアプリケーションやファイルが起動できてしまう。IEのセキュリティは年々厳しくなっているが、この操作はエンドユーザー自らの入力であるため制限されない。IEに限らず、一般的なアプリケーションのファイル・オープン・ダイアログなども“抜け道”となっている。
　 （1）コマンド・プロンプトの実行ファイルを指定すると、起動できてしまう。

　IT担当者以外にこういった“抜け道”を知る者がどれほどいるか微妙ではあるが、管理者のメンテナンス・フリーを目指すためにもふさいでおきたい。その方法はレジストリ設定やグループ・ポリシー、次ページで解説するAppLockerなど設定項目によっていくつかあるが、ここではスクリプト化への応用も可能なレジストリによる設定方法を紹介する。

　以下の設定はいずれもユーザー個別のレジストリ設定となるため、前ページで説明した「レジストリ・ハイブのロード」操作が必要だ。また、いずれもデフォルトで用意されていないため、エントリ自身も作成する必要がある。

IEのアドレス・バーからローカル・ファイルの起動を禁止した場合の挙動
前述のエクスプローラ関連のレジストリ設定項目である「NoFileUrl」値と「NoRun」値を有効（「1」を設定）にすると、IEのアドレス・バーなどからのローカル・ファイル起動をブロックできる。

　これらのレジストリ設定についても、一括設定・解除するサンプル・スクリプトを筆者の方で用意したので参考にしていただきたい。

• Windows のユーザーセッションをロックダウンする WSH スクリプト（マイクロソフト TechNet Script Center）