‘未分類’ カテゴリーのアーカイブ
Windows Server 2008 で Windows XP のUSBリムーバブルストレージの使用を禁止するグループポリシーを実現するためにグループポリシー管理用テンプレートを作り適用する
Active Directoryとグループポリシーはクライアントコンピュータを効果的に管理する強力なツールである。業務コンピュータをWindows ServerとWindowsクライアントで構成する理由の半分はActive Directoryとグループポリシーにあると言っても過言ではないはずだ。
Windows ServerのActive DirectoryとグループポリシーはWindows 2000 ServerからWindows Server 2003、Windows Server 2008と進化してきた。当然ながらWindows XP、Windows Vista、Windows 7と新しいクライアントに対応したグループポリシーが充実したが、残念ながらWindows XPを対象外とするポリシーも増えてきた。
データ漏洩の危険性、あるいはUSBメモリを介して広がるウィルスの蔓延といったセキュリティ上の観点から、クライアントコンピュータのUSB大容量ストレージの使用を禁止したいと多くの管理者は思っているはずだ。Windows Server 2008のグループポリシーでは「リムーバブル記憶領域へのアクセス」に関する多くのポリシーが用意されている。たとえば「リムーバブルディスク：実行アクセス権の拒否」といったものだ。しかしこれらのポリシーの多くはWindows Vista以降が対象である。
＜Fig.1 : グループポリシー管理エディターでの「リムーバブル領域へのアクセス」グループポリシー＞
＜Fig.2 : 「リムーバブルディスク：読み取りアクセス権の拒否」ポリシーはWindows Vista以降が対象＞
ではWindows Server 2008のグループポリシーでWindows XPのUSBリムーバブルディスクの使用禁止を管理できないのかといえば、そうではない。従来からの方法として、グループポリシー管理テンプレートを作って適用する方法がある。
そもそもWindowsクライアントコンピュータの挙動は、Windows XP以降は「レジストリ」によって基本的に一元管理されることとなった。したがってレジストリを書き換えることで、Windowsコンピュータの挙動を管理することができる。グループポリシーとは、サーバー側で一括してクライアントコンピュータのレジストリを管理することだ、と言い換えてもいい。グループポリシー管理テンプレートは、クライアントコンピュータのレジストリとグループポリシーを結びつけカスタマイズするものである。
まずWindows XPのレジストリからみて、USBリムーバブルディスクの使用を禁止するにはどうすればよいか。これは多くの技術資料がWebでも手に入り、コンピューターに USB 記憶装置がインストールされている場合は、次のレジストリ キーにある Start 値を 4 に設定するとよい。この値を4にすると、ユーザーがコンピューターに USB 記憶装置を接続しても、その記憶装置は動作しなくなる。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UsbStor
では実際にレジストリの値がどうなっているか見てみよう。レジストリの値を見るには、クライアントコンピュータに管理者権限のあるアカウントでログオンし、「ファイル名を指定して実行」でRegeditコマンドによりレジストリエディタを実行する。
＜Fig 3 : クライアントPCでRegeditを実行しレジストリの値を確認する＞
このように「USBStor」の「Start」値が「3」になっていることがわかる。
ではこの値を4に変えることができるグループポリシー管理テンプレートを作ってみよう。グループポリシー管理テンプレートはテキストファイルなので「メモ帳」などで作ることができる。メモ帳で次のようなファイルを作り、適当な名前で保存する。保存は拡張子.admとする。
—————————————————————-
CLASS MACHINE
CATEGORY !!categorytext
CATEGORY !!subcategorytext
POLICY !!policytext
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN !!explaintext
PART !!label DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME !!Disabled VALUE NUMERIC 3 DEFAULT
NAME !!Enabled VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY
[strings]
categorytext="管理テンプレートによるポリシー"
subcategorytext="リムーバブルドライブの使用制限"
policytext="ＵＳＢリムーバブルドライブの使用禁止"
explaintext="usbstor.sysドライバーを無効にしてＵＳＢリムーバブルドライブを使用できないようにします"
label="ＵＳＢリムーバブルドライブの使用禁止"
Enabled="有効（使用禁止）"
Disabled="無効（使用可）"
—————————————————————-
このグループポリシーテンプレートはMicrosoftの英文の技術資料「Using Administrative Template Files with Registry-Based Group Policy Subscribe regpolicy」を見て書いたものだが、記述方法を少し説明すると、まず「CLASS MACHINE」でポリシーの対象がMACHINEポリシーであることを指定する。そしてCATEGORY – END CATEGORYでカテゴリを指定する。この例では2階層のカテゴリを指定している。POLICY – END POLICYでポリシーの名前、対照レジストリ値、説明文などを決める。さらにPARTとITEMLISTでレジストリ値を設定できるようにする。最後の[strings]以降は、説明文など文字列のエイリアスを記述するところだ。
KEYNAMEで対象のレジストリキーを記述し、VALUENAMEでStart値を指定、キーの値はNAME !!Disabled VALUE NUMERIC 3 DEFAULTでデフォルトで値3によって「無効」つまり制限がなくUSBリムーバブルドライブが使用できる、NAME !!Enabled VALUE NUMERIC 4で「有効」つまりUSBリムーバブルドライブの使用が禁止されることになる。「有効」、「無効」という言葉は、「使用を禁止する」というポリシーに対する言葉である。
ちなみにこの技術資料の例では、テキスト部分を[strings]に書き出す書式になっているが、これは直接文字を""で囲って記述してもいい。たとえば次のようにだ。
—————————————————————-
CLASS MACHINE
CATEGORY "管理テンプレートによるポリシー"
CATEGORY "リムーバブルドライブの使用制限"
POLICY "ＵＳＢリムーバブルドライブの使用禁止"
KEYNAME "SYSTEM\CurrentControlSet\Services\USBSTOR"
EXPLAIN "ドライバーを無効にして使用できないようにします"
PART "ＵＳＢリムーバブルドライブの使用禁止" DROPDOWNLIST REQUIRED
VALUENAME "Start"
ITEMLIST
NAME "無効（使用可）" VALUE NUMERIC 3 DEFAULT
NAME "有効（使用禁止）" VALUE NUMERIC 4
END ITEMLIST
END PART
END POLICY
END CATEGORY
END CATEGORY
—————————————————————-
このグループポリシー管理テンプレートを読み込むには、適当な新しいグループポリシーを作り、「管理用テンプレート」をポイントして右クリック「テンプレートの追加と削除」を行う。
＜Fig.4 : グループポリシーテンプレートの追加と削除＞
＜Fig.5 : グループポリシー管理テンプレートのファイルを開く＞
＜Fig.6 : グループポリシー管理テンプレートを追加した＞
＜Fig.6 : グループポリシー管理エディターで「従来の管理用テンプレート」が表示された＞
作成したグループポリシー管理テンプレートを読み込むと、上図のように「管理用テンプレート」の下に「従来の管理用テンプレート」の項目が表示される。この中に作成したポリシーが記述されている。フォルダを展開すると次のようになっているはずだ。
＜Fig.7 : グループポリシー管理エディタで「従来の管理用テンプレート」項目を展開した＞
「従来の管理用テンプレート」－「管理用テンプレートによるポリシー」－「リムーバブルドライブの使用制限」のカテゴリは、インポートした管理用テンプレートに記述した項目である。そしてその中に「ＵＳＢリムーバブルドライブの使用禁止」ポリシーができていることがわかる。このポリシーを開くと、次のようになる。作成したグループポリシー管理テンプレートの記述したテキストと、このグループポリシー管理エディター上の表示を比べるとよいだろう。
＜Fig.8 : グループポリシー管理テンプレートの追加によってできて「USBリムーバブルドライブの使用禁止」ポリシー＞
「無効（使用可）」となっているオプションを「有効（使用禁止）」にして「適用」しよう。
＜Fig.9 : 「USBリムーバブルドライブの使用禁止」ポリシーを「有効（使用禁止）」にした＞
対象のWindows XPクライアントコンピュータをこのグループポリシーを設定したOUに入れ、グループポリシーを強制的に適用してみよう。グループポリシーの強制的な適用は、コマンドラインでgpupdate /forceコマンドを実行する。
＜Fig.10 : Windows XPクライアントのコマンドラインでgpupdate /forceを実行した＞
そしてレジストリエディタregeditで「表示」－「最新の情報に更新」でレジストリの値を確認する。
＜Fig.11 : レジストリエディタで表示を最新の情報に更新する＞
＜Fig.12 : レジストリStart値が3から4に変わった＞
レジストリの値が3から4に変わったことが確認できた。
このように、グループポリシー管理用テンプレートを自作し、追加することで任意のレジストリ値をグループポリシーによって管理することができる。したがってクライアントコンピュータのどのレジストリ値をどう変えるとよいかがわかれば、Active Directoryによって一元管理することができる。このレジストリとグループポリシーの関係は、Windows XPだけでなくWindopws VistaやWindows 7でも同様である。グループポリシー管理テンプレートを自作し、グループポリシーをカスタマイズしてうまくクライアントコンピュータを管理しよう。
もしこのやり方でうまくいかない場合は、Active Directoryの構成が間違っていないか、あるいはグループポリシーの作り方が間違っていないか確認しよう。グループポリシーは階層構造に適用されるので、より上位で別のポリシーが効いていれば適用されない場合がある。自分の作ったグループポリシー管理用テンプレートの挙動を確認するためには、既存のポリシー追加するのではなく、まずは新しいポリシーを作って試すことを奨める。
Hello world!
Welcome to WordPress.com. This is your first post. Edit or delete it and start blogging!
Kindle2利用レポート（５）図や写真を含んだPDFファイルを作ってKindleで表示してみる。
Kindleで図は表示できるのか、という質問をいただいた。KindleはPDFファイルを表示できるので、何らかの方法でPDFファイルさえできればKindleで表示できるはずだ。これは日本語フォントの問題ではなく、Kindle本体に日本語フォントがあろうがなかろうが、PDFは表示できる。それがPDFだからだ。
試しにMicrosoft Word 2007で新規文書を作成し、SmartArtの図を作る。Microsoft Office 2007には魅力的な機能がたくさんあるが、その中でも俺が気に入っているのが、このSmartArtだ。概念を視覚化するために、SmartArtの図はとても役に立つ。またSmartArtの図をあれこれ見ながら、自分の考えをどうまとめれば良いかを考えたりする。
(Fig.1 Microsoft Word 2007でSmartArtの図を作る)
もうひとつやってみたのが写真だ。Microsoft Zune HD 32の写真をWord文書に貼り付けてみた。
(Fig.2 Microsoft Word 2007でZune HD 32の写真を貼り付ける)
これをPDFファイルとしてKindleに入れて表示してみる。SmartArtの図もZuneの写真もともにカラーだが、Kindleはモノクロだ。だが実際にKindleで表示してみると、モノクロであっても、とてもいい感じで表示される。PDFであることから当然なのだが、図であれ写真であれ、PDF文書をKindleはモノクロではあるがちゃんと表示してくれるのだ。
(Fig.3 Kindle2に表示したMicrosoft Word 2007のSmartArtの図)
(Fig.4 Kindle2に表示したMicrosoft Zune HD 32の写真)
