Windows Sandboxでカスタム構成環境を作成・活用する方法

Windows Sandboxは、隔離された環境でアプリケーションやユーティリティを安全にテストできる非常に便利なツールです。しかし従来は、さまざまなソフトウェアやサービスを検証するためのカスタム環境を自由に作成することが難しく、この点は仮想マシン(VM)に対するWindows Sandboxの弱点の一つでした。そんな中、Microsoftはユーザーからのフィードバックに真摯に耳を傾け、Windows Sandbox向けにカスタム構成環境を作成する機能を追加しました。

Windows Sandboxの設定と基本的な使い方

Windows Sandbox用のカスタム構成環境を作成する

Windows Sandboxの構成ファイルはXML形式で記述され、拡張子「.wsb」のファイルとして読み込まれます。現在、Windows Sandboxでサポートされている構成項目は以下の4つです。

1. vGPU(仮想化GPU)
2. ネットワーク
3. 共有フォルダー
4. スタートアップスクリプト(ログオンコマンド)

これらの.wsbファイルの動作メカニズムは以下の図のようになっています。

この機能により、ユーザーはWindows Sandboxの隔離環境をより細かく制御できるようになります。構成ファイルは、メモ帳やVisual Studio Codeなどのテキストエディターを使って作成・編集します。

以下、各項目の具体的な構成方法を順番に解説していきます。

1] vGPU

vGPUに関する構文は以下の通りです。

<VGpu>値</VGpu>

指定できる値は次の2種類です。

• Disable: サンドボックス内でのvGPUサポートを無効にします。
• Default: vGPUサポートについて現在の既定値を維持します。

Microsoftによると、

仮想化GPUを有効にすると、サンドボックスの攻撃対象領域が拡大する可能性があります。

2] ネットワーク(Networking)

ネットワークに関する構文は以下の通りです。

<Networking>値</Networking>

指定できる値は次の2種類です。

• Disable: サンドボックス内でのネットワークサポートを無効にします。
• Default: ネットワークサポートについて現在の既定値を維持します。

Microsoftによると、

ネットワークを有効にすると、信頼できないアプリケーションが内部ネットワークにさらされる可能性があります。

3] 共有フォルダー(MappedFolders)

共有フォルダーに関する構文は以下の通りです。

<MappedFolder>
       <HostFolder>ホスト側フォルダーのパス</HostFolder>
       <ReadOnly>値</ReadOnly>
</MappedFolder>

指定できるサブ要素は次の2つです。

• HostFolder: ホストマシン上でサンドボックスと共有するフォルダーを指定します。なお、指定したフォルダーはホスト側にあらかじめ存在している必要があり、見つからない場合はサンドボックスの起動に失敗しますので注意してください。
• ReadOnly: trueに設定すると、サンドボックス内から共有フォルダーへのアクセスが読み取り専用に制限されます。指定できる値はtrue/falseです。

Microsoftによると、

ホストからマッピングされたファイルやフォルダーは、サンドボックス内のアプリによって改ざんされたり、ホスト側へ影響を及ぼしたりする可能性があります。

4] ログオンコマンド(LogonCommand)

ログオンコマンドに関する構文は以下の通りです。

<LogonCommand>
       <Command>起動時に実行するコマンド</Command>
</LogonCommand>

指定できるサブ要素は次の通りです。

• Command: サンドボックス起動時に自動的に実行される実行可能スクリプトを指定します。

Microsoftによると、

単純なコマンド(実行ファイルやスクリプトの起動など)であればそのまま動作しますが、複数の手順を伴う複雑な処理については、スクリプトファイルにまとめておくことを推奨します。このスクリプトファイルは共有フォルダー経由でサンドボックス内にマッピングし、LogonCommandディレクティブから実行することができます。

実際の設定例

Microsoftは、カスタマイズしたWindows Sandbox環境の具体例を公開しています。この例では、vGPUとネットワークを無効化し、共有する「ダウンロード」フォルダーを読み取り専用に設定したうえで、起動時にそのフォルダーをエクスプローラーで開くようにしています。

コードは以下の通りです。

<Configuration>
<VGpu>Disable</VGpu>
<Networking>Disable</Networking>
<MappedFolders>
   <MappedFolder>
     <HostFolder>C:\Users\Public\Downloads</HostFolder>
     <ReadOnly>true</ReadOnly>
   </MappedFolder>
</MappedFolders>
<LogonCommand>
   <Command>explorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads</Command>
</LogonCommand>
</Configuration>

また、このサンプルファイルを配布サーバーから直接ダウンロードして、自分の環境で試してみることもできます。

この機能の魅力は、Windows 10 1903(May 2019 Update)以降で利用できるという点です。つまり、Windows 10ビルド18342以降を実行していれば、特別な準備なしにこの機能を問題なく活用できます。

この機能の詳細については、Microsoftの公式ドキュメントをご確認ください。