【Windows】ユーザーが指定されたアプリケーションのみを実行できるように制限する方法

多くの企業では、業務用PCで使用できるアプリケーションを必要最小限に限定しています。管理者は従業員によるWindowsアプリケーションの利用を制限でき、特定のアプリケーションだけを許可し、それ以外のすべてをブロックするポリシーを設定できます。これは、家族や同僚に作業用として個人PCを貸す場合にも有効な手段です。許可した少数のアプリケーション以外は使えなくなるため、誤操作や不要なソフトウェアのインストールを防ぐことができます。また、特定のユーザーアカウントに対してのみ制限をかけることも可能です。本記事では、ユーザーが指定されたWindowsアプリケーションのみを実行できるようにする方法を詳しく解説します。

注意: 以下の変更は、必ず標準ユーザーアカウントで行ってください。管理者アカウントで設定する場合は、グループポリシーエディターやレジストリエディターなどの管理ツールも許可リストに含めておきましょう。こうすることで、後から設定を元に戻せるようになります。

指定したWindowsアプリケーションのみ実行を許可する

この記事で紹介する方法では、アプリケーションの実行ファイル名が必要になります。リストに登録したアプリケーションのみが実行を許可されます。実行ファイルの拡張子は「.exe」であり、各アプリケーションのフォルダ内で簡単に見つけることができます。ただし、管理ツールなど拡張子が「.msc」のファイルを許可リストに追加したい場合は、「mmc.exe」（Microsoft Management Console）も併せて追加する必要があります。.mscファイルはXMLを含むテキストファイルであり、ユーザーがMSCファイルを開くと、Windowsはそのファイルを引数としてmmc.exeを実行する仕組みになっているためです。

方法1: ローカルグループポリシーエディターを使用する

ローカルグループポリシーエディターは、OSのさまざまな設定を構成するためのツールです。今回使用するポリシーは「ユーザーの構成」カテゴリ配下にあります。なお、グループポリシーエディターには、許可リスト方式とは逆に、指定したアプリケーションのみをブロックする設定も用意されています。

Windows Homeエディションをお使いの場合は、この方法はスキップしてください。Homeエディションにはグループポリシーエディターが搭載されていません。

1. Windows + Rキーの組み合わせを押してファイル名を指定して実行ダイアログを開き、「gpedit.msc」と入力してEnterキーを押します。ローカルグループポリシーエディターが起動します。
2. [ユーザーの構成] カテゴリから、次のパスへ移動します:

   ユーザーの構成\管理用テンプレート\システム\

   
3. 「指定されたWindowsアプリケーションのみを実行する」という設定をダブルクリックすると、別ウィンドウで開きます。設定を「有効」に変更し、「表示」ボタンをクリックします。
4. 許可するアプリケーションの実行ファイル名を追加します。スクリーンショットのように入力してください。

   注意: エクスプローラー、グループポリシーエディター、レジストリエディターなどのアプリケーションも必ず追加してください。管理ツール（GPOなど）を許可しておけば、後からこの設定を解除できるようになります。

5. 「適用/OK」ボタンをクリックして変更を保存します。これにより、システム上のすべてのWindowsアプリケーションが無効化され、リストに追加したものだけが実行できるようになります。
6. 再びすべてのWindowsアプリケーションを有効化したい場合は、手順3の設定を「未構成」または「無効」に戻します。

方法2: レジストリエディターを使用する

レジストリエディターは、Windows OSの低レベル設定を表示・管理できるツールです。グループポリシーエディターの方法と異なり、いくつかの技術的な手順が必要となり、存在しないキーや値を作成する必要があります。安全のため、作業前にレジストリのバックアップを作成しておくことをおすすめします。以下の手順で、標準ユーザーに対して特定のアプリケーションのみを許可できます。

1. Windows + Rキーの組み合わせを押してファイル名を指定して実行ダイアログを開き、「regedit」と入力してEnterキーを押します。UAC（ユーザーアカウント制御）の確認画面が表示されたら、「はい」を選択します。
2. HKEY_CURRENT_USERハイブから、次のキーへ移動します:

   HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer

3. Explorerキーを右クリックし、「新規 > DWORD (32ビット) 値」を選択して新しい値を作成します。値の名前は「RestrictRun」にします。
4. RestrictRun値をダブルクリックし、値のデータを「1」に設定します。
5. 次に、Explorerキーを右クリックして「新規 > キー」を選択し、新しいキーを作成します。キー名は「RestrictRun」にします。
6. 作成したキー内で右側のペインを右クリックし、「新規 > 文字列値」を選択します。値の名前は、スクリーンショットのように実行ファイル名そのままを指定します。
7. 値を開いて、文字列データとしてアプリケーションの実行ファイル名を入力します。
   注意: 一部のツールは拡張子が「.msc」であるため、それらのツールについては「mmc.exe」の実行ファイル名を追加してください。

8. すべての設定が完了したら、変更を適用するためにコンピューターを再起動します。
9. システム上のすべてのプログラムを再び有効化したい場合は、値のデータから実行ファイル名を削除するか、レジストリから該当する値を削除します。