複数のWindows Defenderアプリケーション制御ポリシーを使用する

[アーティクル]
04/18/2024
適用対象:

✅ Windows 11, ✅ Windows 10, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016

注

Windows Defender アプリケーションコントロール (WDAC) の一部の機能は、特定の Windows バージョンでのみ使用できます。 Windows Defender アプリケーション制御機能の可用性について詳しくは、こちらをご覧ください。

Windows 10 バージョン 1903 および Windows Server 2022 以降では、複数のWindows Defender アプリケーション制御 (WDAC) ポリシーをデバイスに並列展開できます。 32 を超えるアクティブなポリシーを許可するには、2024 年 4 月 9 日以降にリリースされた Windows セキュリティ更新プログラムをインストールし、デバイスを再起動します。これらの更新プログラムでは、特定のデバイスに一度にデプロイできるポリシーの数に制限はありません。 2024 年 4 月 9 日以降にリリースされた Windows セキュリティ更新プログラムをインストールするまで、デバイスは 32 個のアクティブなポリシーに制限されており、その数を超えてはなりません。

注

ポリシー制限はWindows 11 21H2 では削除されず、32 個のポリシーに制限されます。

複数のサイドバイサイドポリシーが役立つ一般的なシナリオを次に示します。

並べて適用および監査する
- 適用モードで展開する前にポリシーの変更を検証するために、ユーザーは監査モードの基本ポリシーを既存の強制モードの基本ポリシーと並行して展開できるようになりました
複数の基本ポリシー
- ユーザーは、異なるスコープ/意図を持つポリシーのより単純なポリシーターゲットを許可するために、2 つ以上の基本ポリシーを同時に適用できます
- デバイスに 2 つの基本ポリシーが存在する場合、アプリケーションは両方のポリシーを渡して実行する必要があります
補足ポリシー
- ユーザーは、1 つ以上の補足ポリシーを展開して、基本ポリシーを展開できます
- 補助ポリシーは 1 つの基本ポリシーを展開し、複数の補助ポリシーで同じ基本ポリシーを展開できます
- 補足ポリシーの場合、基本ポリシーまたはその補足ポリシーまたはポリシーによって許可されるアプリケーションは実行されます

注

1903 より前のシステムでは、複数のポリシー形式の WDAC ポリシーの使用はサポートされていません。

基本ポリシーと補足ポリシーの相互作用

複数の基本ポリシー: 交差
- 両方のポリシーで許可されているアプリケーションのみが、ブロックイベントを生成せずに実行されます
基本 + 補足ポリシー: 共用体
- 基本ポリシーまたは補足ポリシーの実行によって許可されるファイル

複数のポリシー形式での WDAC ポリシーの作成

複数のポリシーを存在させ、1 つのシステムで有効にするには、新しい複数ポリシー形式を使用してポリシーを作成する必要があります。 New-CIPolicy の "MultiplePolicyFormat" スイッチは、ポリシー ID に対して 1) 一意の値が生成され、2) 基本ポリシーとして設定されたポリシーの種類になります。次の例では、複数のポリシー形式で新しいポリシーを作成するプロセスについて説明します。

New-CIPolicy -MultiplePolicyFormat -ScanPath "<path>" -UserPEs -FilePath ".\policy.xml" -Level FilePublisher -Fallback SignedVersion,Publisher,Hash

必要に応じて、新しい基本ポリシーで補足ポリシーを許可するように選択できます。

Set-RuleOption -FilePath ".\policy.xml" -Option 17

補助ポリシーを許可する署名付き基本ポリシーの場合は、補助署名者が定義されていることを確認します。補足署名者を提供するには、Add-SignerRule の補助スイッチを使用します。

Add-SignerRule -FilePath ".\policy.xml" -CertificatePath <certificate_path_> [-Kernel] [-User] [-Update] [-Supplemental] [-Deny]

補足ポリシーの作成

補足ポリシーを作成するには、前に示したように、複数のポリシー形式で新しいポリシーを作成することから始めます。そこから、Set-CIPolicyIdInfo を使用して補足ポリシーに変換し、展開する基本ポリシーを指定します。ベースポリシーを指定するには、SupplementsBasePolicyID または BasePolicyToSupplementPath を使用できます。

"SupplementsBasePolicyID": 補足ポリシーが適用される基本ポリシーの GUID
"BasePolicyToSupplementPath": 補足ポリシーが適用される基本ポリシーファイルへのパス

Set-CIPolicyIdInfo -FilePath ".\supplemental_policy.xml" [-SupplementsBasePolicyID <BasePolicyGUID>] [-BasePolicyToSupplementPath <basepolicy_path_>] -PolicyId <policy_Id> -PolicyName <PolicyName>

ポリシーのマージ

ポリシーをマージするときは、指定した左端または最初のポリシーのポリシーの種類と ID が使用されます。左端が ID <ID> を持つ基本ポリシーの場合、後続のポリシーの GUID と種類に関係なく、マージされたポリシーは ID <ID> を持つ基本ポリシーです。

複数のポリシーをデプロイする

複数のWindows Defenderアプリケーション制御ポリシーを展開するには、ポリシーファイルを適切なフォルダーにコピー*.cipするか、ApplicationControl CSP を使用してローカルに展開する必要があります。

複数のポリシーをローカルに展開する

新しい複数のポリシー形式を使用してポリシーをローカルに展開するには、次の手順に従います。

バイナリポリシーファイルの名前付け形式 {PolicyGUID}.cipが正しいことを確認します。
- バイナリポリシーファイルの名前が、ポリシーの PolicyID GUID とまったく同じであることを確認します
- たとえば、ポリシー XML にとして <PolicyID>{A6D7FBBF-9F6B-4072-BF37-693741E1D745}</PolicyID>ID がある場合、バイナリポリシーファイルの正しい名前はになります {A6D7FBBF-9F6B-4072-BF37-693741E1D745}.cip。
バイナリポリシーをにコピーします C:\Windows\System32\CodeIntegrity\CiPolicies\Active。
システムを再起動します。

ApplicationControl CSP を使用した複数のポリシーのデプロイ

ApplicationControl 構成サービスプロバイダー (CSP) を使用して、MDM サーバーから複数のWindows Defender アプリケーション制御ポリシーを管理できます。 CSP では、再起動なしのポリシーのデプロイもサポートされます。

ただし、ポリシーが MDM サーバーから登録解除されると、CSP は、CSP によって追加されたポリシーだけでなく、アクティブにデプロイされていないすべてのポリシーを削除しようとします。この動作は、個々のポリシーを適用するために使用された展開方法がシステムで認識されていないために発生します。

Microsoft Intuneのカスタム OMA-URI 機能を使用して、必要に応じて複数のポリシーをデプロイする方法の詳細については、「ApplicationControl CSP」を参照してください。

注

WMI と GP は現在、複数のポリシーをサポートしていません。代わりに、MDM スタックに直接アクセスできないお客様は、MDM Bridge WMI プロバイダー経由で ApplicationControl CSP を使用して、複数のポリシー形式Windows Defenderアプリケーション制御ポリシーを管理する必要があります。