Windows 11/10でユーザーによるプログラムのインストール・実行をブロックする方法

Windows 11/10/8/7、さらにはWindows Vista/XP/2000やWindows Serverファミリーでは、必要に応じてユーザーがプログラムをインストールしたり実行したりすることを制限できます。その方法としては、グループポリシーの設定でWindowsインストーラーの動作を制御したり、特定のプログラムの実行を禁止したり、レジストリエディターを使って制限をかけたりすることが挙げられます。

設定後、次のようなエラーメッセージが表示されることがあります。

システムポリシーにより、このインストールは許可されていません。システム管理者に問い合わせてください。

かつてMicrosoft Installerと呼ばれていたWindows Installer(msiexec.exe)は、最新のMicrosoft Windowsシステム上でソフトウェアのインストール、メンテナンス、アンインストールを行うためのエンジンです。

本記事では、Windows 11/10でソフトウェアのインストールをブロックする方法を詳しく解説します。

1. Windowsインストーラーの使用を無効化・制限する

スタートメニューの検索ボックスに「gpedit.msc」と入力してEnterキーを押し、ローカルグループポリシーエディターを開きます。次のパスへ移動してください。

コンピューターの構成 > 管理用テンプレート > Windowsコンポーネント > Windows インストーラー

右側のペインにある「Windows インストーラーを無効にする」をダブルクリックし、要件に応じてオプションを構成します。

この設定により、ユーザーが自分のシステムにソフトウェアをインストールすることを防止したり、システム管理者が提供するプログラムのみインストールを許可したりできます。この設定を有効にすると、「Windows インストーラーを無効にする」ボックス内のオプションを使ってインストール動作を指定できます。

各オプションの意味

• [未構成] / [無効]:Windowsインストーラーは完全に有効になり、ユーザーはソフトウェアのインストールやアップグレードを自由に行えます。これはWindows 2000 Professional、Windows XP Professional、Windows Vistaにおける既定の動作です。
• [管理されていないアプリケーションのみ]:ユーザーは、システム管理者が割り当てた(デスクトップに表示された)プログラム、または公開した(「プログラムの追加と削除」に追加された)プログラムのみインストールできます。これはWindows Serverファミリーにおける既定の動作です。
• [常に]:Windowsインストーラーが完全に無効化されます。

なお、この設定はWindowsインストーラーにのみ影響します。他の方法によるプログラムのインストールやアップグレードまでは防げない点に注意してください。

2. 「常に昇格した権限でインストールする」の設定

グループポリシーエディターで、次のパスへ移動します。

ユーザーの構成 > 管理用テンプレート > Windowsコンポーネント > Windows インストーラー

ここで「常に昇格した権限でインストールする」を構成します。

この設定は、システム上にプログラムをインストールする際に、Windowsインストーラーへシステム権限を使用するよう指示します。

この設定を有効にすると、通常は管理者によって割り当てられたプログラム(デスクトップに表示されるもの)、コンピューターに割り当てられたプログラム(自動的にインストールされるもの)、コントロールパネルの「プログラムの追加と削除」で利用可能になったプログラム向けに予約されている特権が、すべてのプログラムに拡張されます。その結果、ユーザーはアクセス権限を持たないディレクトリ(厳しく制限されたコンピューター上のディレクトリを含む)へのアクセスを必要とするプログラムをインストールできるようになります。

この設定を無効にするか未構成にした場合、管理者が配布・提供していないプログラムのインストール時には、現在のユーザーの権限が適用されます。

この設定は[コンピューターの構成]と[ユーザーの構成]の両方のフォルダーに存在します。設定を有効に機能させるには、両方のフォルダーで有効化する必要があります。

注意:熟練したユーザーは、この設定が付与する権限を利用して自身の特権を変更し、制限されたファイルやフォルダーへの永続的なアクセスを獲得できる可能性があります。[ユーザーの構成]側の設定はセキュリティが保証されない点に留意してください。

TIP:ユーザーによるアプリケーションのインストールや実行を防ぐには、WindowsのAppLockerを活用するのも効果的です。

3. 指定したWindowsアプリケーションを実行しない

グループポリシーエディターで、次のパスへ移動します。

ユーザーの構成 > 管理用テンプレート > システム

右側のペインで「指定された Windows アプリケーションを実行しない」をダブルクリックし、開いたウィンドウで「有効」を選択します。次に[オプション]の「表示」ボタンをクリックし、実行を禁止したいアプリケーションのパス(今回は msiexec.exe)を入力します。

これにより、C:\Windows\System32\ フォルダーにあるWindowsインストーラー(msiexec.exe)の実行が禁止されます。

この設定は、ここで指定したプログラムがWindowsによって起動されないようにします。有効にすると、ユーザーは禁止アプリケーションのリストに追加されたプログラムを実行できなくなります。

注意点:この設定は、Windowsエクスプローラーのプロセスから起動されるプログラムに対してのみ有効です。タスクマネージャーなど、システムプロセスやその他のプロセスから起動されるプログラムの実行までは防げません。また、ユーザーにコマンドプロンプト(cmd.exe)へのアクセスを許可している場合、コマンドウィンドウからエクスプローラー経由では起動が許可されていないプログラムを起動できてしまいます。

禁止アプリケーションのリストを作成するには、「表示」をクリックし、[コンテンツの表示]ダイアログの[値]列に実行ファイル名(例：msiexec.exe)を入力します。

4. レジストリエディターでプログラムのインストールを制限する

レジストリエディターを開き、次のキーへ移動します。

HKEY_CURRENT_USER\Software\Microsoft\Windows\Current Version\Policies\Explorer\DisallowRun

任意の名前(例：「1」)で文字列値を作成し、その値にプログラムのEXEファイル名を設定します。

例えば、msiexecを制限したい場合は、文字列値「1」を作成し、値を「msiexec.exe」に設定します。複数のプログラムを制限したい場合は、「2」「3」というように名前を変えて文字列値を追加作成し、それぞれの値に該当プログラムのexeファイル名を設定していきます。

設定を反映させるには、コンピューターの再起動が必要な場合があります。

関連記事

1. グループポリシーを使ってEXEファイルの実行をブロックする方法
2. Windowsでユーザーによるプログラムの実行を防止する方法
3. 指定したWindowsアプリケーションのみ実行を許可する方法
4. 無料で使えるアプリケーションブロックソフト「Windows Program Blocker」でソフトウェアの実行を阻止する
5. Windowsでサードパーティ製アプリのインストールをブロックする方法