| |
|
|
Vistaの地平
第8回 管理者権限での実行を制限するユーザー・アカウント制御UAC（後編）
3．アプリケーションの昇格とUACの設定
畑中 哲
2007/04/05 |
|
|
アプリケーションを最初から昇格して起動するには
UACに対応している、いないにかかわらず、アプリケーションを最初から昇格して起動することもできる（もちろん、UACによる問い合わせダイアログが表示されるので、ユーザーが明示的に許可する必要がある）。
［互換性］タブによる昇格
実行ファイルあるいはそのショートカットのプロパティを開くと、［互換性］タブがある。このタブには［管理者としてこのプログラムを実行する］チェックボックスがある。このチェックボックスをオンにしておくと、昇格して起動することができる。
 |
| プログラムのショートカットで昇格させる |
プログラムのショートカットのプロパティの［互換性］タブにある［特権レベル］グループで、昇格させるかどうかを決めることができる。
| |
 |
このタブを選択する。 |
| |
 |
このチェックボックスをオンにすると、ショートカットをダブルクリックするだけで、昇格して実行できる。 |
|
コンテキスト・メニューでの昇格
実行ファイルあるいはそのショートカットを右クリックしてコンテキスト・メニュー（ポップアップ・メニュー）を表示させると、［管理者として実行］という項目がある。これを選ぶと、昇格して起動させることができる。
|
| コンテキスト・メニューで昇格させる |
実行ファイルやそのショートカットを右クリックしてポップアップ・メニューから選ぶことでも、昇格して実行させられる。
| |
|
これを選択するとUACの許可ダイアログが表示され、［続行］を選択すると、アプリケーションを最初から昇格して実行できる。 |
|
昇格したコマンド・プロンプトを利用する
コマンド・プロンプトから起動するプログラムの場合は、以上の方法は利用できない。このような場合は、まずコマンド・プロンプトを上記の方法で昇格させ（［すべてのプログラム］－［アクセサリ］－［コマンド プロンプト］メニューを右クリックし、［管理者として実行］を選択する）、そこからプログラムを起動するとよい。もしくは、［スタート］メニューの検索文字列ボックス（「検索の文字列」ボックス）に「cmd」と入力し、［Ctrl］＋［Shift］＋［Enter］を入力してもよい。コマンド・プロンプトが昇格している場合は、タイトル・バーの先頭に「管理者: コマンド プロンプト」と表示されるので、通常のコマンド・プロンプトと区別できる。
 |
| 昇格したコマンド・プロンプト |
コマンド・プロンプトをUACで昇格させると、そこから起動されるプログラムも昇格された状態で実行できる。管理者権限の必要な操作を行う場合に利用できる方法である。
| |
|
昇格されたコマンド・プロンプトの場合は、このようなタイトルが表示される。 |
|
コントロール・パネルでのUACの設定
UACは、［ユーザー アカウント］コントロール・パネルの［ユーザーアカウント制御の有効化または無効化］で有効／無効を切り替えることができる（再起動が必要）。無効にするときは、それによって得られるメリットと失うセキュリティとを、よくよく考慮した方がよいだろう。具体的な操作方法については、以下のTIPS記事を参照していただきたい。
グループ・ポリシー
UACの挙動は、グループ・ポリシーを使ってある程度細かく制御することができる。［コンピュータの構成］－［Windows の設定］－［セキュリティの設定］－［ローカル ポリシー］－［セキュリティ オプション］の、「ユーザー アカウント制御: ～」というポリシーが適用される。
| ポリシー |
概要 |
| アプリケーションのインストールを検出し、昇格をプロンプトする |
「インストーラの検出」の有効化／無効化 |
| ビルトインAdministratorアカウントのための管理者承認モード |
ビルトインAdministratorにもUACを適用するかどうかを設定する |
| 安全な場所にインストールされているUIAccessアプリケーションの昇格のみ |
アクセシビリティ・アプリケーションの昇格を制限するかどうかを設定する |
| 各ユーザーの場所へのファイルまたはレジストリの書き込みエラーを仮想化する |
「ファイルとレジストリの仮想化」の有効化／無効化 |
| 管理者承認モードですべての管理者を実行する |
管理者ユーザーにUACを適用するかどうかを設定する |
| 管理者承認モードでの管理者に対する昇格時のプロンプトの動作 |
管理者ユーザーに昇格の許可をどのように求めるかを選択する |
| 署名され検証された実行ファイルのみを昇格する |
署名されていない実行ファイルの昇格を許すかどうかを設定する |
| 昇格のプロンプト時にセキュリティで保護されたデスクトップに切り替える |
昇格の許可を求めるダイアログ・ボックスを保護するかどうかを選択する |
| 標準ユーザーに対する昇格時のプロンプトの動作 |
一般ユーザーに昇格の許可をどのように求めるかを選択する |
 |
| グループ・ポリシーによるUACの制御 |
| これらの項目をグループ・ポリシーで設定することにより、UACの挙動を制御できる。 |
■
おわりに
UACによって、「普段は一般ユーザーとしてアプリケーションを実行し、必要なときにだけ管理者ユーザーとして実行する」という使い方が、ようやく実用的になってきた。
Windows Vistaでは、この記事で解説した内容以外にも、Internet Explorer 7などで活用されている「Mandatory Integrity Control」（MIC）、デスクトップ上のセキュリティを高める「User Interface Privilege Isolation」（UIPI）、サービスのセッションを隔離する「セッション0の分離」などがあいまって、飛躍的にセキュリティが強化されている。その一方で、不便にならないように、また従来のアプリケーションとの互換性を維持できるように、決して完全ではないが相当な力が注がれている（これらの機能については、いずれ機会を改めて紹介する）。
Aeroなどの外見が注目されることの多いWindows Vistaだが、そうしたセキュリティ上のメリットだけでも移行を検討するに値する。中でもUACは必ず有効にして使いたい新機能だろう。
Windows Server Insider フォーラム 新着記事
