グループポリシーを使ってWindows Server 2016/2012ドメインでUSBストレージデバイスをブロックする方法

本ガイドでは、Active Directory(AD)ドメイン環境(Server 2016/2012)において、グループポリシーを使用してドメイン全体、または特定のドメインユーザーに対してUSBストレージデバイスをブロックする手順を段階的に解説します。このガイドを読み終える頃には、フラッシュドライブ、外付けハードディスク、スマートフォン、タブレットなど、ドメイン内の任意のコンピューターに接続可能なあらゆるUSBストレージデバイスへのアクセスを防止する方法や、特定のユーザーのみアクセスを拒否する方法を習得できます。

現在、多くの方がデータ転送にUSBストレージデバイスを利用しています。しかし企業にとって、従業員が外部ストレージデバイスを自由に使用できる状態は、マルウェアの拡散や機密データの持ち出しなどのセキュリティリスクにつながる可能性があります。こうしたリスクを回避するために、グループポリシーを使用して、ドメイン内のすべてのユーザーとコンピューター、あるいは特定のドメインユーザーのみに対してUSBストレージデバイスへのアクセスをブロックする方法を、以下の手順でご紹介します。*

※注意事項:
1. 本記事では、新しいグループポリシーの作成にActive Directory 2016のドメインコントローラーを使用し、適用確認にはWindows 10 ProおよびWindows 7 Proのワークステーションを使用しました。
2. 「USBアクセスのブロック」ポリシーは、ドメイン管理者や、USBキーボード、マウス、プリンターなどその他の接続済みUSBデバイスには影響しません。
3. グループポリシー適用後、ユーザーはあらゆる種類のUSBストレージデバイスにアクセスできなくなり、PC上のUSBストレージデバイスにアクセスしようとすると、以下のいずれかのエラーメッセージが表示されます。

グループポリシーでUSBストレージデバイスへのアクセスを禁止する方法(Server 2012/2012R2/2016)

• パート1:ドメイン内の全ユーザーのUSB読み取り/書き込みアクセスをブロックする
• パート2:特定のドメインユーザーのUSB読み取り/書き込みアクセスをブロックする

パート1:ドメイン全体(Server 2016)でUSBストレージデバイスへのアクセスをブロックする方法

ドメイン上のすべてのコンピューター(ユーザー)に対して、接続されたUSBストレージデバイスへのアクセスを無効化するには、以下の手順を実行します。

1. Server 2016のADドメインコントローラーでサーバーマネージャーを開き、ツールメニューからグループポリシーの管理を開きます。*

* なお、コントロールパネル→管理ツール→グループポリシーの管理から開くこともできます。

2. 「Domains(ドメイン)」配下で対象のドメインを選択し、Default Domain Policyを右クリックして「編集」を選択します。

3. 「グループポリシー管理エディター」で、以下の場所へ移動します。

• ユーザーの構成 > ポリシー > 管理用テンプレート > システム > リムーバブル記憶域へのアクセス

4. 右側のペインで「リムーバブルディスク:読み取りアクセスを拒否する」をダブルクリックします。*

* 注意事項:
1. 多くのチュートリアルでは、この時点で「すべてのリムーバブル記憶域クラス:すべてのアクセスを拒否する」ポリシーを有効にすることを推奨していますが、検証の結果、このポリシーはスマートフォンやタブレットには適用されないことが判明しました。
2. USBへの書き込みアクセスもブロックしたい場合は、「リムーバブルディスク:書き込みアクセスを拒否する」を選択してください。

5. 「有効」にチェックを入れ、「OK」をクリックします。

6. グループポリシーエディターを閉じます。
7. サーバーとクライアントマシンを再起動するか、gpupdate /forceコマンドを実行して、再起動なしでサーバーとクライアントの両方に新しいグループポリシー設定を適用します。

パート2:特定のドメインユーザーに対してUSBストレージデバイスへのアクセスを禁止する方法

グループポリシーを使用して特定のユーザーのみUSBストレージデバイスへのアクセスを無効化するには、まずアクセスを制限したいユーザーを含むグループを作成し、そのグループに新しいポリシーを適用する必要があります。手順は以下の通りです。

ステップ1:USB使用を禁止するユーザーのグループを作成する *

* 注:すでに該当ユーザーのグループを作成済みの場合は、ステップ2に進んでください。

1. 「Active Directoryユーザーとコンピューター」を開きます。
2. 左側ペインの「Users」オブジェクトを右クリックし、「新規作成」>「グループ」を選択します。

3. 新しいグループ名(例:「USB Disabled Users」)を入力し、「OK」をクリックします。*

* 注:「グローバル」と「セキュリティ」のオプションはチェックしたままにしておいてください。

4. 作成したグループを開き、「メンバー」タブを選択して「追加」をクリックします。

5. USBストレージデバイスをブロックしたいドメインユーザーを選択し、「OK」をクリックします。

6. 「OK」をクリックしてグループのプロパティを閉じます。

ステップ2:USBストレージデバイスを無効化するための新しいグループポリシーオブジェクト(GPO)を作成する

1. 「グループポリシーの管理」を開きます。
2. 「Domains」オブジェクト配下でドメインを右クリックし、「このドメインにGPOを作成し、このコンテナーにリンクする」を選択します。

3. 新しいGPOの名前(例:「USB Disabled」)を入力し、「OK」をクリックします。

4. 新しいGPOを右クリックして「編集」をクリックします。

5. 「グループポリシー管理エディター」で、以下の場所へ移動します。

• ユーザーの構成 > ポリシー > 管理用テンプレート > システム > リムーバブル記憶域へのアクセス

6. 右側のペインで「リムーバブルディスク:読み取りアクセスを拒否する」をダブルクリックします。*

* 注意事項:
1. 多くのチュートリアルでは、この時点で「すべてのリムーバブル記憶域クラス:すべてのアクセスを拒否する」ポリシーを有効にすることを推奨していますが、検証の結果、このポリシーはスマートフォンやタブレットには適用されないことが判明しました。
2. USBへの書き込みアクセスもブロックしたい場合は、「リムーバブルディスク:書き込みアクセスを拒否する」を選択してください。

7. 「有効」にチェックを入れ、「OK」をクリックします。

8. グループポリシー管理エディターのウィンドウを閉じます。

9. 「グループポリシーの管理」画面に戻り、「USB Disabled」GPOを選択し、「スコープ」タブの「セキュリティフィルター」設定の下にある「追加」ボタンをクリックします。

10. 「USB disabled users」グループの名前(本記事では例として「USB Disabled Users」)を入力し、「OK」をクリックします。

11. 完了したら、「委任」タブを選択します。

12. 「委任」タブで「Authenticated Users(認証されたユーザー)」を選択し、「詳細設定」をクリックします。

13. セキュリティの詳細設定画面で「Authenticated Users」を選択し、「グループポリシーの適用」のチェックボックスをオフにします。完了したら「OK」をクリックします。

14. グループポリシーエディターを閉じます。
15. サーバーとクライアントマシンを再起動するか、管理者権限で「gpupdate /force」コマンドを実行して、再起動なしでサーバーとクライアントの両方に新しいグループポリシー設定を適用します。

以上で作業は完了です!このガイドがお役に立ちましたら、ぜひコメントで体験談をお聞かせください。他の方々の助けとなるよう、このガイドの「いいね」やシェアにもご協力いただけると幸いです。