Windows サンドボックス構成

[アーティクル]
03/29/2024
適用対象:

✅ Windows 11, ✅ Windows 10

Windows サンドボックスではシンプルな構成ファイルがサポートされており、サンドボックス用のカスタマイズパラメーターの最小セットを提供しています。この機能は、Windows 10 ビルド 18342 または Windows 11 で使用できます。 Windows サンドボックスの構成ファイルは XML 形式で、.wsb ファイル拡張子を介してサンドボックスに関連付けられています。

構成ファイルを使用して、ユーザーは Windows サンドボックスの次の側面を制御できます:

vGPU (仮想 GPU): 仮想化された GPU を有効または無効にします。 vGPU が無効になっている場合、サンドボックスでは Windows Advanced Rasterization Platform (WARP) が使用されます。
ネットワーク: サンドボックス内でネットワークアクセスを有効または無効にします。
マップ済みフォルダー: "読み取り" または "書き込み" アクセス許可を持つホストからフォルダーを共有します。ホストディレクトリを公開すると、悪意のあるソフトウェアがシステムに影響を与えたり、データを盗んだりする可能性があります。
Logon コマンド: Windows サンドボックスの起動時に実行されるコマンドです。
オーディオ入力: ホストのマイク入力をサンドボックスに共有します。
ビデオ入力: ホストの Web カメラ入力をサンドボックスに共有します。
保護されたクライアント: リモートデスクトッププロトコル (RDP) セッションのセキュリティ設定をサンドボックスにPlacesします。
プリンターリダイレクト: プリンターをホストからサンドボックスに共有します。
クリップボードリダイレクト: ホストクリップボードをサンドボックスと共有して、相互にテキストとファイルを貼り付けることができるようになります。
メモリ (MB 単位): サンドボックスに割り当てるメガバイト単位のメモリの量です。

注

現在、サンドボックスウィンドウのサイズは構成できません。

構成ファイルを作成する

構成ファイルを作成するには、次の操作を行います。

プレーンテキストエディターまたはソースコードエディター (メモ帳、Visual Studio Code など) を開きます
次の行を挿入します:
```
<Configuration>
</Configuration>
```
2 つの行の間に適切な構成テキストを追加します。詳細については、例を参照してください。
ファイルを任意の名前で保存します。ただし、ファイル名の拡張子が .wsb であることを確認します。メモ帳では、ファイル名と拡張子を二重引用符で囲む (例: "My config file.wsb") 必要があります。

構成ファイルを使用する

構成ファイルを使用するには、それをダブルクリックして、その設定に従って Windows サンドボックスを開始します。次に示すように、コマンドラインを使用して呼び出すこともできます。

C:\Temp> MyConfigFile.wsb

キーワード、値、制限

vGPU

GPU 共有を有効または無効にします。

<vGPU>value</vGPU>

サポートされている値:

Enable: サンドボックス内で vGPU のサポートを有効にします。
Disable: サンドボックス内で vGPU のサポートを無効にします。この値が設定されている場合、サンドボックスはソフトウェアレンダリングを使用します。これは仮想化された GPU よりも遅くなる可能性があります。
Default この値は vGPU サポートの既定値です。現時点では、この既定値は vGPU が無効になっていることを示します。

注

仮想化された GPU を有効にすると、サンドボックスの攻撃面が増加する可能性があります。

ネットワーク

サンドボックス内でネットワークを有効または無効にします。ネットワークアクセスを無効にして、サンドボックスによってさらされる攻撃面を減らすことができます。

<Networking>value</Networking>

サポートされている値:

Enable: サンドボックス内でネットワークを有効にします。
Disable: サンドボックス内でネットワークを無効にします。
Default: この値はネットワークサポートの既定値です。この値は、ホストに仮想スイッチを作成してネットワークを有効にし、仮想 NIC を介してサンドボックスをそれに接続します。

注

ネットワークを有効にすると、信頼されていないアプリケーションが内部ネットワークにさら公開される可能性があります。

マップ済みフォルダー

フォルダーの配列。それぞれが、指定されたパスにあるサンドボックスと共有されるホストコンピューター上の場所を表します。現時点では、相対パスはサポートされていません。パスが指定されていない場合、フォルダーはコンテナーユーザーのデスクトップにマップされます。

<MappedFolders>
  <MappedFolder>
    <HostFolder>absolute path to the host folder</HostFolder>
    <SandboxFolder>absolute path to the sandbox folder</SandboxFolder>
    <ReadOnly>value</ReadOnly>
  </MappedFolder>
  <MappedFolder>
    ...
  </MappedFolder>
</MappedFolders>

HostFolder: サンドボックスに共有するホストコンピューター上のフォルダーを指定します。フォルダーはホスト上に既に存在している必要があります。または、コンテナーの起動に失敗します。
SandboxFolder: フォルダーをマップするサンドボックス内のマップ先を指定します。フォルダーが存在しない場合は、作成されます。サンドボックスフォルダーが指定されていない場合、フォルダーはコンテナーデスクトップにマップされます。
ReadOnly: true の場合、コンテナー内から共有フォルダーへの読み取り専用アクセスが適用されます。サポートされる値: true/false。既定値は false です。

注

ホストからマップされたファイルとフォルダーは、サンドボックス内のアプリによるセキュリティ侵害を受けたり、ホストに影響を与えたりする可能性があります。

Logon コマンド

サンドボックスのログオン後に自動的に呼び出される単一のコマンドを指定します。サンドボックス内のアプリは、コンテナーユーザーのアカウントで実行されます。コンテナーユーザーのアカウントは管理者アカウントである必要があります。

<LogonCommand>
  <Command>command to be invoked</Command>
</LogonCommand>

Command: サインイン後に実行されるコンテナー内の実行可能ファイルまたはスクリプトへのパスです。

注

非常に単純なコマンド (実行可能ファイルやスクリプトの起動など) も機能しますが、複数の手順が含まれたより複雑なシナリオをスクリプトファイルに配置する必要があります。このスクリプトファイルは、共有フォルダーを介してコンテナーにマップし、その後 LogonCommand ディレクティブを使用して実行できます。

オーディオ入力

サンドボックスへのオーディオ入力を有効または無効にします。

<AudioInput>value</AudioInput>

サポートされている値:

Enable: サンドボックス内でオーディオ入力を有効にします。この値が設定されている場合、サンドボックスはユーザーからオーディオ入力を受け取ることができます。マイクを使用するアプリケーションでは、この機能が必要な場合があります。
Disable: サンドボックス内でオーディオ入力を無効にします。この値が設定されている場合、サンドボックスはユーザーからオーディオ入力を受信できません。マイクを使用するアプリケーションは、この設定では正しく機能しない場合があります。
Default: この値は、オーディオ入力のサポートの既定値です。現時点では、この既定値はオーディオ入力が有効になっていることを示します。

注

ホストオーディオ入力をコンテナーに公開すると、セキュリティへの影響が生じる可能性があります。

ビデオ入力

サンドボックスへのビデオ入力を有効または無効にします。

<VideoInput>value</VideoInput>

サポートされている値:

Enable: サンドボックス内でビデオ入力を有効にします。
Disable: サンドボックス内でビデオ入力を無効にします。ビデオ入力を使用するアプリケーションがサンドボックスで正しく機能しない場合があります。
Default: この値は、ビデオ入力サポートの既定値です。現時点では、この既定値はビデオ入力が無効になっていることを示します。ビデオ入力を使用するアプリケーションがサンドボックスで正しく機能しない場合があります。

注

ホストビデオ入力をコンテナーに公開すると、セキュリティへの影響が生じる可能性があります。

保護されたクライアント

保護されたクライアントモードが有効になっている場合、サンドボックスは AppContainer 分離実行環境内で実行することで、セキュリティ境界の新しいレイヤーを追加します。

AppContainer 分離では、資格情報、デバイス、ファイル、ネットワーク、プロセス、ウィンドウの分離が提供されます。

<ProtectedClient>value</ProtectedClient>

サポートされている値:

Enable: Windows サンドボックスを保護されたクライアントモードで実行します。この値が設定されている場合、サンドボックスは AppContainer 分離で実行されます。
Disable: 追加のセキュリティ軽減策を適用せずに、サンドボックスを標準モードで実行します。
Default: この値は、保護されたクライアントモードの既定値です。現時点では、この既定値はサンドボックスが保護されたクライアントモードで実行されないことを示します。

注

この設定により、ユーザーがサンドボックスへ、またサンドボックスからファイルをコピー/貼り付ける能力が制限される可能性があります。

プリンターのリダイレクト

ホストからサンドボックスへのプリンター共有を有効または無効にします。

<PrinterRedirection>value</PrinterRedirection>

サポートされている値:

Enable: サンドボックスとのホストプリンターの共有を有効にします。
Enable: サンドボックス内でプリンターリダイレクトを無効にします。この値が設定されている場合、サンドボックスはホストからプリンターを表示できません。
Default: この値は、プリンターリダイレクトサポートの既定値です。現時点では、この既定値はプリンターのリダイレクトが無効になっていることを示します。

クリップボードのリダイレクト

サンドボックスとのホストクリップボードの共有を有効または無効にします。

<ClipboardRedirection>value</ClipboardRedirection>

サポートされている値:

Enable: サンドボックスとのホストクリップボードの共有を有効にします。
Disable: サンドボックス内でクリップボードのリダイレクトを無効にします。この値が設定されている場合、サンドボックスのコピー/貼り付けとサンドボックス外へのコピー/貼り付けは制限されます。
Default: この値は、クリップボードリダイレクトの既定値です。現時点では、ホストとサンドボックスの間のコピー/貼り付けは Default で許可されています。

メモリ (MB 単位)

サンドボックスが使用できるメモリの量をメガバイト (MB) 単位で指定します。

<MemoryInMB>value</MemoryInMB>

指定されたメモリ値がサンドボックスを起動するのに不十分な場合は、必要な最小量に自動的に増加します。

例

例 1

次の構成ファイルを使用すると、ダウンロードしたファイルをサンドボックス内で簡単にテストできます。このテストを実行できるよう、ネットワークと vGPU は無効化され、サンドボックスには共有ダウンロードフォルダーへの読み取り専用アクセスが許可されます。便宜上、logon コマンドは、サンドボックスの起動時にサンドボックス内のダウンロードフォルダーを開きます。

Downloads.wsb

<Configuration>
  <VGpu>Disable</VGpu>
  <Networking>Disable</Networking>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\Users\Public\Downloads</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Downloads</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>explorer.exe C:\users\WDAGUtilityAccount\Downloads</Command>
  </LogonCommand>
</Configuration>

例 2

次の構成ファイルは、Visual Studio Code をサンドボックスにインストールし、これは少し複雑な LogonCommand セットアップを必要とします。

2 つのフォルダーがサンドボックスにマップされます。最初の (SandboxScripts) には、Visual Studio Code をインストールして実行するVSCodeInstall.cmdが含まれています。 2 つ目のフォルダー (CodingProjects) には、開発者が Visual Studio Code を使用して変更するプロジェクトファイルが含まれていることが想定されます。

Visual Studio Code インストーラースクリプトが既にサンドボックスにマップされている場合、LogonCommand はそれを参照できます。

VSCodeInstall.cmd

VS Code をフォルダーに downloads ダウンロードし、フォルダーから downloads インストールを実行します。

REM Download Visual Studio Code
curl -L "https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:\users\WDAGUtilityAccount\Downloads\vscode.exe

REM Install and run Visual Studio Code
C:\users\WDAGUtilityAccount\Downloads\vscode.exe /verysilent /suppressmsgboxes

VSCode.wsb

<Configuration>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\SandboxScripts</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Downloads\sandbox</SandboxFolder>
      <ReadOnly>true</ReadOnly>
    </MappedFolder>
    <MappedFolder>
      <HostFolder>C:\CodingProjects</HostFolder>
      <SandboxFolder>C:\Users\WDAGUtilityAccount\Documents\Projects</SandboxFolder>
      <ReadOnly>false</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>C:\Users\WDAGUtilityAccount\Downloads\sandbox\VSCodeInstall.cmd</Command>
  </LogonCommand>
</Configuration>

例 3

次の構成ファイルは、PowerShell スクリプトを logon コマンドとして実行し、左利きのユーザーのためにマウスの主ボタンを入れ替えます。

ホスト上の C:\sandbox フォルダーがサンドボックス内の C:\sandbox フォルダーにマップされるため、SwapMouse.ps1 スクリプトがサンドボックス構成ファイルで参照できるようになります。

SwapMouse.ps1

次のコードを使用して PowerShell スクリプトを作成し、ディレクトリに C:\sandbox として SwapMouse.ps1保存します。

[Reflection.Assembly]::LoadWithPartialName("System.Windows.Forms") | Out-Null

$SwapButtons = Add-Type -MemberDefinition @'
[DllImport("user32.dll")]
public static extern bool SwapMouseButton(bool swap);
'@ -Name "NativeMethods" -Namespace "PInvoke" -PassThru

$SwapButtons::SwapMouseButton(!([System.Windows.Forms.SystemInformation]::MouseButtonsSwapped))

SwapMouse.wsb

<Configuration>
  <MappedFolders>
    <MappedFolder>
      <HostFolder>C:\sandbox</HostFolder>
      <SandboxFolder>C:\sandbox</SandboxFolder>
      <ReadOnly>True</ReadOnly>
    </MappedFolder>
  </MappedFolders>
  <LogonCommand>
    <Command>powershell.exe -ExecutionPolicy Bypass -File C:\sandbox\SwapMouse.ps1</Command>
  </LogonCommand>
</Configuration>

Windows サンドボックス構成

構成ファイルを作成する

構成ファイルを使用する

キーワード、値、制限

vGPU

ネットワーク

マップ済みフォルダー

Logon コマンド

オーディオ入力

ビデオ入力

保護されたクライアント

プリンターのリダイレクト

クリップボードのリダイレクト

メモリ (MB 単位)

例

例 1

Downloads.wsb

例 2

VSCodeInstall.cmd

VSCode.wsb

例 3

SwapMouse.ps1

SwapMouse.wsb

フィードバック

フィードバック

その他のリソース