Windowsサンドボックスでカスタム構成環境を作成する方法

Windows サンドボックスは、隔離された環境でアプリケーションやユーティリティを安全にテストできる便利なツールです。しかし、さまざまなソフトウェアやサービスを検証する際に、独自のカスタム環境を作りたいと考えるユーザーも少なくありませんでした。これは従来、仮想マシン（VM）が Windows サンドボックスに対して持っていた利点の一つです。そんな中、Microsoft はユーザーからのフィードバックに真摯に耳を傾け、Windows サンドボックス向けにカスタム構成環境を作成する機能を追加しました。

Windows サンドボックスの構成と使い方

Windows サンドボックス用カスタム構成環境の作成

Windows サンドボックスの構成ファイルは XML 形式で記述され、拡張子「.wsb」のファイルとして読み込まれます。現在、Windows サンドボックスでサポートされている構成項目は次の4つです。

1. vGPU（仮想化 GPU）
2. ネットワーク
3. 共有フォルダー
4. ログオンコマンド（スタートアップスクリプト）

これらの WSB ファイルが動作する仕組みは、おおむね以下のようになっています。

この機能により、ユーザーは Windows サンドボックスの隔離環境をより細かく制御できるようになります。

WSB ファイルは、メモ帳や Visual Studio Code を使って作成・編集できます。

以下では、各構成項目の具体的な設定方法を解説します。

1] vGPU

vGPU の構文は次のとおりです。

<vGpu>VALUE</VGpu>

指定できる値は以下の2種類です。

• Disable：サンドボックス内の vGPU サポートを無効にします。
• Default：vGPU サポートの既定値（現在の設定）をそのまま維持します。

Microsoft は次のように注意を促しています。

仮想化 GPU を有効にすると、サンドボックスの攻撃対象領域が拡大する可能性があります。

2] ネットワーク

ネットワーク設定の構文は次のとおりです。

<Networking>VALUE</Networking>

指定できる値は以下の2種類です。

• Disable：サンドボックス内のネットワーク機能を無効にします。
• Default：ネットワーク設定の既定値をそのまま維持します。

Microsoft は次のように注意を促しています。

ネットワークを有効にすると、信頼できないアプリケーションが内部ネットワークにさらされる可能性があります。

3] 共有フォルダー

共有フォルダーの構文は次のとおりです。

<MappedFolder>
       <HostFolder>ホスト側フォルダーのパス</HostFolder>
       <ReadOnly>VALUE</ReadOnly>
</MappedFolder>

この項目で指定できるサブ要素は以下のとおりです。

• HostFolder：ホストマシン上でサンドボックスと共有するフォルダーを指定します。なお、指定したフォルダーがホスト側に存在しない場合、コンテナーは起動に失敗するので注意してください。
• ReadOnly：true に設定すると、コンテナー内から共有フォルダーへのアクセスが読み取り専用に制限されます。指定できる値：true / false。

Microsoft は次のように注意を促しています。

ホストからマップされたファイルやフォルダーは、サンドボックス内のアプリによって改ざんされたり、ホスト側へ影響を及ぼす可能性があります。

4] LogonCommand

ログオンコマンドの構文は次のとおりです。

<LogonCommand>
       <Command>起動時に実行するコマンド</Command>
</LogonCommand>

この項目で指定できるサブ要素は以下のとおりです。

• Command：サンドボックス起動時に実行される実行可能なコマンドまたはスクリプトを指定します。

Microsoft は次のようにアドバイスしています。

実行ファイルやスクリプトの起動といった単純なコマンドであればそのまま動作しますが、複数の手順を伴う複雑な処理はスクリプトファイルにまとめることを推奨します。このスクリプトファイルは共有フォルダー経由でコンテナーにマップし、LogonCommand ディレクティブから実行できます。

設定例

Microsoft は、実際のカスタム構成の例として、「vGPU とネットワークを無効化し、共有するダウンロードフォルダーを読み取り専用に設定し、起動時にそのフォルダーをエクスプローラーで開く」という構成を公開しています。

コードは以下のとおりです。

<Configuration>
<VGpu>Disable</VGpu>
<Networking>Disable</Networking>
<MappedFolders>
   <MappedFolder>
     <HostFolder>C:\Users\Public\Downloads</HostFolder>
     <ReadOnly>true</ReadOnly>
   </MappedFolder>
</MappedFolders>
<LogonCommand>
   <Command>explorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads</Command>
</LogonCommand>
</Configuration>

また、このファイルをサーバーから直接ダウンロードして、自分で試してみることもできます。

この機能の嬉しいポイントは、Windows 10 1903（May 2019 Update）以降で利用できることです。つまり、ビルド 18342 以降の環境であれば、特別な準備なしにこの機能を問題なく活用できます。

この機能についてさらに詳しく知りたい方は、Microsoft の公式ドキュメントをご確認ください。