Windows 10の必須ユーザープロファイル（読み取り専用）とは？作成・設定方法を徹底解説

必須ユーザープロファイル（Mandatory User Profile）は、管理者だけが変更できる特別な事前構成済みローミングプロファイルです。このプロファイルが割り当てられたユーザーは、ログオンセッション中は通常どおりWindowsを使用できますが、ログオフ時に加えた変更は一切保存されません。次回ログオン時には、必須プロファイルが変更されないまま読み込まれます。

必須プロファイルのフォルダーはネットワーク共有フォルダーに配置でき、複数のドメインユーザーに一括して割り当てることが可能です。例えば、ターミナルサーバー（RDS）のユーザー、情報キオスク端末、個人プロファイルを必要としないユーザー（学生、来訪者など）などが対象となります。管理者は必須プロファイルに対してフォルダーリダイレクトを構成できるため、ユーザーの個人ファイルはファイルサーバー上に保持できます（リダイレクト先フォルダーに不要なファイルが溜まらないよう、NTFSまたはFSRMによるディスククォータの有効化をお勧めします）。

Windowsにおける必須ユーザープロファイルの種類

Windowsの必須ユーザープロファイルには、次の2種類があります。

• 通常の必須ユーザープロファイル – 管理者が、ユーザーレジストリハイブ（HKEY_CURRENT_USER）を含むNTuser.datファイルをNTuser.manにリネームします。Ntuser.manが使われると、システムはそのプロファイルを読み取り専用とみなし、変更を保存しません。必須プロファイルがリモートサーバーに保存されていてサーバーが利用不能になった場合でも、ユーザーはキャッシュされたバージョンのプロファイルでログオンできます。
• スーパー必須ユーザープロファイル（Super-Mandatory Profile） – このタイプでは、ユーザープロファイルを含むフォルダー名の末尾に「.man」拡張子を付けてリネームします。このプロファイルタイプを持つユーザーは、プロファイルが保存されているサーバーが利用できない場合、ログオン自体ができなくなります。

シナリオによっては、必須プロファイルをローカルユーザーにも活用できます。例えば、公共のコンピューター（キオスク端末、会議室のPCなど）でUWFフィルターの代わりに使うケースです。どのユーザーも同じ環境で作業でき、ログオフ時に変更は保存されません。

ここからは、Windows 10で通常の必須プロファイルを作成し、ユーザーに割り当てる方法を紹介します。この例ではローカルコンピューター上に必須ユーザープロファイルを作成します（プロファイルはローカルドライブに保存されます）が、ドメインアカウントへの割り当て方法についても解説します。

Windows 10で必須ユーザープロファイルを作成する手順

1. 管理者アカウントでコンピューターにログオンし、「ローカルユーザーとグループ」コンソール（lusrmgr.msc）を起動します。
2. 新しいアカウントを作成します。例：ConfRoom
3. 次に、既定のプロファイルを特定の拡張子付きの別フォルダーへコピーします。Windows 10 1703を使用している場合、このフォルダーにはV6サフィックスが必要です。例えば、フォルダー名はC:\ConfRoom.V6になります。
4. システムのプロパティ（SystemPropertiesAdvanced.exe）を開きます。
5. [ユーザープロファイル]セクションの[設定]をクリックします。
6. [Default Profile]を選択し、[コピー先]をクリックします。
7. コピー先としてC:\ConfRoom.V6を指定します（UNCパスを指定して、ファイルサーバー上のネットワーク共有フォルダーにプロファイルテンプレートをコピーすることも可能です。例：\\lon-fs01\profiles\ConfRoom.V6）。
8. アクセス許可でNT AUTHORITY\Authenticated Usersを選択します。

ヒント： Windows 10 1709以降のビルドでは、プロファイルテンプレートをコピーする際に「必須プロファイル」という専用オプションが用意されています。このオプションを使用すると、選択したユーザーグループに対して、フォルダーへの読み取り専用NTFSアクセス許可が自動的に付与されます。

必須プロファイルをユーザーに割り当てる方法

これで、対象ユーザーに必須プロファイルを割り当てられる状態になりました。

ローカルの必須プロファイルを使用する場合は、ユーザーのプロパティにある[プロファイル]タブを開き、[プロファイル パス]欄にC:\ConfRoom.v6ディレクトリへのパスを指定します。

ADドメインでローミング必須ユーザープロファイルを構成する場合は、ADUCコンソールのアカウントプロパティで、プロファイルディレクトリへのUNCパスを指定します。

その後、新しいユーザーアカウントでシステムにログオンし、必要な設定をすべて行います（外観の選択、ショートカットや必要なファイルの配置、ソフトウェアの構成など）。

ヒント： ローミングプロファイルに対しては、XMLファイルを使ってスタートレイアウトやタスクバーを構成することはできません。

ユーザーセッションを終了し、管理者アカウントでログオンし直します。そして、ユーザープロファイルフォルダー内のNTUSER.datをNTUSER.manにリネームします。

次に、必須プロファイルを持つユーザーとしてシステムにログオンし、ログオフ後にプロファイルへ変更が保存されていないことを確認してください。

ログオンエラー発生時の対処法

必須ユーザープロファイルでログオンした際に、次のエラーが表示されることがあります。

User Profile Service サービスによるサインインに失敗しました。ユーザー プロファイルを読み込めません。

また、システムログに次のようなイベントが記録される場合は、プロファイルフォルダーのセキュリティ設定に問題があります。

Windows could not load your roaming profile and is attempting to log you on with your local profile. Changes to the profile will not be copied to the server when you log off. Windows could not load your profile because a server copy of the profile folder already exists that does not have the correct security. Either the current user or the Administrators group must be the owner of the folder.

プロファイルディレクトリに、以下のアクセス許可が割り当てられていることを確認してください（子オブジェクトへの継承も含む）。

• ALL APPLICATION PACKAGES – フルコントロール（これがないとスタートメニューが正しく動作しません）
• Authenticated Users – 読み取りと実行
• SYSTEM – フルコントロール
• Administrators – フルコントロール

同じアクセス許可を、regedit.exeでntuser.datプロファイルファイルを[ファイル] → [ハイブの読み込み]で読み込んだうえで、ユーザーレジストリハイブにも割り当てます。

ローミングプロファイルを使用する場合、すべてのデバイスでスタートメニューを正しく表示するには、レジストリのHKLM\Software\Microsoft\Windows\CurrentVersion\Explorerセクションに、REG_DWORD型のSpecialRoamingOverrideAllowedという名前の値を作成し、値を1に設定します。

必須プロファイルに変更を加える必要がある場合は、ntuser.manをntuser.datにリネームして戻し、ユーザーアカウントで環境を構成します。設定完了後、再度ファイルをリネームすればOKです。

RDSサーバーで必須プロファイルを使用する

RDSサーバーで必須プロファイルを使用する場合は、次のグループポリシーを利用できます。プロファイルディレクトリへのパスを指定し、必須プロファイルの使用を有効化できます。該当するGPOセクションは以下の通りです。
コンピューターの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → リモート デスクトップ サービス → リモート デスクトップ セッション ホスト → プロファイル

1. [RD セッション ホスト サーバーで必須プロファイルを使用する] = 有効
2. [リモート デスクトップ サービス ローミング ユーザー プロファイルのパスを設定する] = 有効 + UNCパスを指定

なお、必須プロファイルと併せてフォルダーリダイレクトを使用する場合は、AppData（Roaming）フォルダーのリダイレクトは推奨されませんのでご注意ください。