マップされたネットワークドライブが昇格されたプログラムに表示されない

マップされたネットワークドライブを使用している場合は、管理者権限（cmdおよびPowerShellを含む）で実行されているアプリに表示されないことに気付いたと思います。デフォルトのユーザーアカウント制御（UAC） 設定では、マップされたネットワークドライブにアクセスできません（net use経由） ）昇格モードで実行されているアプリケーションから（管理者として実行）。つまり、コマンドプロンプトまたはファイルマネージャー（Total Commanderなど）を昇格された特権で実行すると、マウントされた共有フォルダーのドライブ文字は表示されません。

次の条件が当てはまる場合、このような問題に直面する可能性があります。

• ネットワークドライブは、ユーザーのセッションでマッピングされます（GPOを介して、またはnet useを介して手動で） ）;
• コンピューターでUACが有効になっている（GPOパラメーターユーザーアカウント制御：管理者承認モードでの管理者の昇格プロンプトの動作 デフォルト値「資格情報の入力を求める」に設定されています）;
• 現在のユーザーは、コンピューターに対するローカル管理者権限を持っており、「管理者として実行」モードでアプリを実行します。

この場合、ネットワークドライブはWindowsファイルエクスプローラーとアプリに表示されますが、昇格モードで実行されているアプリケーションには表示されません。

この記事では、Windows 10で昇格モードで実行されているアプリからマップされたネットワークドライブへのアクセスを許可する方法を示します。この問題は、グループポリシーを介してマップされたネットワークドライブと、ユーザーによって接続されたフォルダーの両方で発生します。

重要 。特定のプログラムであっても、UACを完全に無効にすることは強くお勧めしません。

マップされたネットワークドライブがWindowsアプリに表示されない

UACが有効になっている昇格されたアプリケーションから、通常モードで接続されているマップされたネットワークドライブにアクセスできないことを確認しましょう。たとえば、ユーザー権限でコマンドプロンプトを開き、マップされたネットワークドライブZ：\のコンテンツにアクセスできるかどうかを確認しましょう。

Net use
Dir z:

このコマンドは、共有ネットワークフォルダの内容を一覧表示する必要があります。

現在のセッションで管理者としてコマンドプロンプトを開き、同じドライブにアクセスしようとすると、ドライブへのパスが見つからないというメッセージが表示されます。

The system cannot find the path specified.

このWindowsの動作は、アプリケーションを昇格モードで頻繁に実行するときに不便を引き起こす可能性があります。管理者権限なしでアプリケーションを実行することは可能ですが、これが常に適用できるとは限りません。

なぜそれが起こるのですか？ この特性は、ローカル管理者権限を持つユーザーのUACメカニズムに関連しています。問題は、このユーザーがログインすると、2つのアクセストークンが作成されることです。最初のトークンは、無効な管理者権限（ほとんどのアプリが実行されているフィルター処理されたアクセストークン）でアクセスを提供し、2番目は完全な権限を持つ管理者トークンです。システム内（UACによって昇格が承認されたすべてのアプリがこのコンテキストで実行されています）。

whoami /allを使用できます 同じユーザーの2つのcmd.exeセッション（通常と昇格）でコマンドを実行し、現在の特権を比較すると、それらが非常に異なっていることがわかります。次の表に、各セッションのセキュリティグループと現在の権限の違いを示します。

通常のユーザーセッション昇格されたユーザーセッションセキュリティグループ

必須ラベル\中必須レベルラベルS-1-16-8192必須ラベル\高必須レベル必須レベルSe特権_1

SeMachineAccountPrivilege

SeShutdownPrivilege

SeChangeNotifyPrivilege

SeUndockPrivilege

SeIncreaseWorkingSetPrivilege

SeTimeZonePrivilegeSeLockMemoryPrivilege

SeIncreaseQuotaPrivilege

SeMachineAccountPrivilege

SeSecurityPrivilege

SeTakeOwnershipPrivilege

SeLoadDriverPrivilege

SeSystemProfilePrivilege

SeSystemtimePrivilege

SeProfileSingleProcessPrivilege

SeIncreaseBasePriorityPrivilege

SeCreatePagefilePrivilege

SeBackupPrivilege

SeRestorePrivilege

SeShutdownPrivilege

SeSystemEnvironmentPrivilege

SeChangeNotifyPrivilege

SeRemoteShutdownPrivilege

SeUndockPrivilege

SeManageVolumePrivilege

SeImpersonatePrivilege

SeCreateGlobalPrivilege

SeIncreaseWorkingSetPrivilege

SeTimeZonePrivilege

SeCreateSymbolicLinkPrivilege

SeDelegateSessionUserImpersonatePrivilege

同じユーザーのアプリケーションは、UACが有効になっている場合（特権と非特権）の2つのコンテキストで実行できます。共有ネットワークフォルダをマップすると、システムはドライブ文字のマッピングをUNCパスに格納するシンボリックリンク（DosDevices）を作成します。これらのリンクは現在のプロセスアクセストークンに関連付けられており、他のトークンでは使用できません。

逆の問題も発生する可能性があります。コンピューターの管理者権限を持つユーザーが、グループポリシーログオンスクリプト、スケジュールされたタスク、またはSCCMジョブ（昇格された特権で実行されている）を使用してネットワークドライブに接続している場合、これらのドライブはユーザーに表示されません。ファイルエクスプローラー（非特権プロセス）。

ヒント 。簡単なトリックを使用して、管理者権限（昇格）を使用してWindowsでファイルエクスプローラーを実行できます。

回避策として、次のコマンドを使用して、昇格したコマンドプロンプトからネットワークドライブをマウントできます：net use またはrundll32 SHELL32.dll,SHHelpShortcuts_RunDLL Connect 。

リンクされた接続を有効にする：昇格されたアプリでマップされたドライブを有効にする

より簡単な解決策があります。これを実装するには、レジストリにいくつかの変更を加える必要があります。

1. レジストリエディタ（ regedit.exe ）を開きます ）;
2. レジストリキーHKEY_LOCAL_MACHINE\ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Policies \ System;に移動します
3. EnableLinkedConnections という名前の新しいパラメータ（DWORDタイプ）を作成します および値1; ヒント 。同じ変更を1つのコマンドで実行できます：reg add "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v "EnableLinkedConnections" /t REG_DWORD /d 0x00000001 /f またはPowerShellを使用する場合：
   New-ItemProperty -Path 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System' -Name EnableLinkedConnections -Value 1 -PropertyType 'DWord'
4. コンピューターを再起動します（または、次のコマンドを使用してLanmanWorkstationサービスを再起動します：get-service LanmanWorkstation |Restart-Service –Force 、およびWindowsに再ログオンします。

コンピュータを再起動した後、管理者権限で実行されているプログラムで、マップされたネットワークドライブがユーザーに表示されることを確認してください。逆のステートメントが当てはまります。昇格モードでマップされたすべてのネットワークドライブは、非特権ユーザーセッションでも使用できます。

これは、VistaからWindows 10 / WindowsServer2019までのすべてのWindowsバージョンで機能します。

注 。残念ながら、EnableLinkedConnectionsモードを有効にするためのGPO設定はありません。この設定をドメインコンピューターに適用するには、GPPを介してこのレジストリーパラメーターをデプロイする必要があります。

どのように機能しますか？ EnableLinkedConnectionsを有効にした後 レジストリパラメータ、LanmanWorkstationおよびLSA（lsass.exe）は、現在のユーザーのセッションに関連付けられている2番目のアクセストークンをチェックします。このトークンが見つかった場合、マップされたネットワークドライブのリストが1つのトークンから別のトークンにコピーされます。したがって、特権モードでマップされたネットワークドライブは通常モードで表示され、その逆も同様です。

ヒント 。別の解決策として、ターゲットの共有ネットワークフォルダーへのシンボリックリンクを作成できます。たとえば、次のようになります。

mklink /D c:\docs \\dublin-fs1\docs

このドライブには、通常モードと昇格モードの両方でアクセスできます。この方法の欠点の1つは、現在のユーザーとして共有フォルダーにアクセスすることです。 net useの場合のように、他のユーザーのアカウントを使用することはできません。 指図。

EnableLinkedConnectionsパラメーターを有効にすると、マップされたドライブは、現在のユーザーの下で起動されたスケジュールされたタスクからも使用できるようになります。タスクがLocalSystemまたは別のユーザーとして実行されている場合、現在のユーザーのマップされたネットワークドライブは使用できなくなります。