【Windows】グループポリシーで特定のサービスをユーザーから非表示にする方法

はじめに

本記事では、Services.mscコンソールのサービス一覧から特定のWindowsサービスを非表示にする簡単な方法を解説します。この手法を使えば、対象のサービスをコンピューターのすべてのユーザー(管理者を含む)から隠すことができます。その結果、誰もこのWindowsサービスを停止・削除・実行できなくなります。通常、この設定はウイルス対策ソフトのサービス、周辺機器へのアクセス制御システム、ユーザーアクティビティ監視システムなど、保護が必要なプログラムに対して有効です。

事前確認:サービス管理コンソールで対象サービスをチェック

まず、管理者アカウントでサービス管理コンソール(管理ツール → サービス、または services.msc)を開き、非表示にしたいサービスが一覧に存在することを確認します。ここでは例として SecretService を使用します。目標は、Active Directoryドメイン内のすべてのコンピューターにおいて、このサービスをユーザーから隠すことです。

グループポリシーによるサービス非表示の手順

1. グループポリシー管理スナップインを管理者権限で起動します(管理ツール → グループポリシーの管理)。ドメインコントローラー上で実行するか(この場合、非表示にするサービスを一時的にDCへインストールする必要があります)、またはサービスが稼働しているコンピューター上で直接実行します(後者の場合、適切なバージョンのリモートサーバー管理ツール(RSAT)のインストールが必要です)。
2. 新しいグループポリシーを作成(または既存のポリシーを編集)し、Windowsサービスを非表示にしたいコンピューターが所属するOUに割り当てます。
3. 次のポリシーセクションへ移動します:コンピューターの構成 > ポリシー > Windowsの設定 > セキュリティの設定 > システムサービス。
4. 右ペインで対象サービス名(ここではSecretService)を見つけ、その設定を開きます。
5. [このポリシー設定を定義する]にチェックを入れてポリシー経由でサービスを管理することを指定し、スタートアップの種類として[自動]を選択します。
6. 続いて[セキュリティの編集]ボタンをクリックし、このサービスの管理権限を持つアカウントの一覧からSYSTEM以外を削除します(AdministratorsとInteractiveを取り除きます)。これにより、管理者であってもサービスの停止や削除ができなくなります。
7. 変更内容を確認して保存します。
8. グループポリシー管理エディターを閉じます。
9. サービスがインストールされているコンピューター上でグループポリシーを更新します(ポリシーの適用に問題が発生した場合は、gpresultコマンドやRSOP.mmcで診断できます):

   Gpupdate /force

10. サービス一覧のコンソールを更新(F5)し、SecretServiceが一覧から消えていること、一方で実行ファイル自体はバックグラウンドで起動・稼働していることを確認します。

まとめ

本記事では、Active Directoryドメイン内のすべてのコンピューターにおいて、特定のWindowsサービスをユーザーや管理者から非表示にする方法を紹介しました。グループポリシーの「システムサービス」設定とアクセス許可の制御を組み合わせることで、重要なサービスを効果的に保護し、意図しない停止や削除を防ぐことができます。セキュリティソフトや監視システムなど、改ざんされては困るサービスの運用時にぜひ活用してください。