Windows 11でAppLockerを使ってユーザーによるアプリのインストール・実行を制限する方法

Windows AppLockerはWindows 7で初めて導入された機能で、Windows 11/10/8ではさらに新機能が追加されています。AppLockerを活用すれば、管理者は特定のユーザーやユーザーグループに対して、アプリケーションのインストールや実行を許可(ホワイトリスト方式)または禁止(ブラックリスト方式)することができます。これにより、実行ファイル(.exe)、スクリプト、Windows Installerファイル(.msi/.msp)、DLL、パッケージアプリ、パッケージアプリのインストーラーなど、ユーザーが実行できるアプリケーションやファイルを細かく制御できます。

Windows 11/10でAppLockerを使用する手順

AppLockerを使ってユーザーがアプリをインストール・実行できないようにするには、まず「ファイル名を指定して実行」に secpol.msc と入力し、Enterキーを押してローカルセキュリティポリシーエディターを開きます。

コンソールツリーで「セキュリティの設定」→「アプリケーション制御ポリシー」→「AppLocker」へと移動します。

次に、ルールを作成したい対象を選択します。「実行可能な規則」「Windows インストーラー」「スクリプト」、またはWindows 10以降では「パッケージ アプリ ルール」などが選べます。

パッケージアプリのルール作成例

ここでは例として、パッケージアプリのルールを作成してみましょう。「パッケージ アプリ ルール」を右クリックし、「新しい規則の作成」を選択すると、「開始前に」ページが表示されます。

「次へ」をクリックすると「アクセス許可」ページに進みます。

このページでは、動作として「許可」または「拒否」を選択し、ルールを適用するユーザーまたはユーザーグループを指定します。「次へ」をクリックすると「条件」ページに移動します。

ここでルールの条件方式を選択します。「発行元」「パス」「ファイル ハッシュ」の3つから選べます。デフォルトの「発行元」を選択した場合は、「次へ」をクリックして「発行元」ページへ進みます。

このページでは、パッケージアプリの参照(リファレンス)を選択し、ルールのスコープを設定します。

スコープの設定項目:

1. 任意の発行元に適用
2. 特定の発行元に適用
3. パッケージ名に適用
4. パッケージのバージョンに適用
5. カスタム値をルールに適用

参照オプション:

1. インストール済みのパッケージアプリを参照として使用
2. パッケージアプリのインストーラーを参照として使用

選択が完了したら「次へ」をクリックします。

必要に応じて「例外」ページでルールを除外する条件を指定できます。続く「名前と説明」ページでは、自動生成されたルール名をそのまま使うか、新しい名前を入力して「作成」をクリックします。

AppLockerを動作させるための注意点

AppLockerをシステムで機能させるには、Application Identityサービス(AppIDSvc)がコンピューター上で実行されている必要があります。また、AppLockerの実行に必要なGroup Policy Clientサービス(gpsvc)は、Windows RTではデフォルトで無効になっているため、services.mscから有効化が必要な場合があります。

Windows 11/10とWindows 7のAppLockerの違い

Windows 10以降のAppLockerでは、パッケージ化されたWindowsストアアプリ向けのルールも作成できるようになりました。さらに、Windows 10/8のAppLockerルールでは、.mst形式や.appx形式のファイルも制御対象にできます。

「このアプリはシステム管理者によってブロックされています」と表示される場合

ユーザーとしてWindowsストアアプリ(または従来型のソフトウェア)を起動した際に「このアプリはシステム管理者によってブロックされています」というメッセージが表示された場合は、管理者に連絡し、該当ソフトウェアの使用(またはインストール)を許可するルールを作成してもらう必要があります。

AppLockerのシステム要件

AppLockerのルールを作成・適用するには、コンピューターが以下のいずれかのエディションを実行している必要があります。

• Windows 11/10 Enterprise および Education
• Windows 8 Enterprise
• Windows 7 Ultimate / Enterprise
• Windows Server 2008 R2 以降

なお、レジストリやグループポリシーを使用して、ユーザーによるプログラムのインストールや実行をブロックすることも可能です。

補足：「Windows Program Blocker」は、Windows 10/8/7上でソフトウェアの実行をブロックできる無料のアプリケーションブロッカーソフトです。