カスタム設定を使用して Windows 10 または 11 デバイスでアプリをブロックする

1. オンラインの GUID 生成ツールを使用して、ランダムな GUID を取得します。ヒント: 検索エンジンで「online GUID generator」を検索します。
2. 特定のアプリをブロックする場合は、そのアプリの情報を取得します。特定のファイル形式のアプリをすべてブロックする場合、この手順は省略できます。
   1. Windows デバイスで、ブロックまたは許可するアプリの実行可能ファイル（末尾が .exe のファイル）をダウンロードします。
   2. PowerShell を開きます。
   3. コマンド Get-AppLockerFileInformation -path PathToExe | format-list を実行します。PathToExe は、実行可能ファイルのパスです。
   4. コマンドの応答で Publisher の行を見つけて、値を記録します。値は次の形式を持ち、XML で使用する値に対応します。

      PublisherName\ProductName\BinaryName,BinaryVersion

      発行元の名前は長い文字列（O=MICROSOFT CORPORATION, L=REDWOOD, S=WASHINGTON, C=US など）ですが、文字列全体を含める必要があります。

3. 次の XML をテキスト エディタにコピーします。

   <RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name=PolicyName Description=PolicyDescription UserOrGroupSid=UserOrGroupSid Action=[Allow|Deny]>
     <Conditions>
       <FilePublisherCondition PublisherName=PublisherName BinaryName=BinaryName ProductName=ProductName>
         <BinaryVersionRange HighSection=latestVersion LowSection=earliestVersion />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>
</RuleCollection>

4. XML を編集して、プレースホルダをそれぞれの値に置き換えます。複数のポリシーを 1 つのファイルにまとめるなど、特定のユースケースについては、例をご覧ください。

   プレースホルダ	値
   Type	アプリのファイル形式（OMA-URI と一致する必要があります）: 実行可能（EXE）ファイルの場合は「"Exe"」と入力します。 Windows インストーラ（MSI）ファイルの場合は、「"Msi"」と入力します。 スクリプト ファイルの場合は、「"Script"」と入力します。 DLL ファイルの場合は「"Dll"」と入力します。 Microsoft Store アプリの場合は「"Appx"」と入力します。
   GUID	手順 1 で生成した GUID。
   PolicyName	ポリシーの名前。任意の文字列を使用できます。
   PolicyDescription	ポリシーの説明。
   UserOrGroupSid	ポリシーの適用先となるユーザーまたはグループ: デバイスを使用しているすべてのユーザーにポリシーを適用するには、「S-1-1-0」と入力します。 特定のユーザーにポリシーを適用するには、そのユーザーの SID を入力します。SID を取得するには、コマンドラインで次のコマンドを実行します。 wmic username get name,sid username はデバイスを使用しているユーザーのユーザー名です。ユーザー名がわからない場合は、次のコマンドを実行して、デバイスを使用しているすべてのユーザーのリストを取得します。 wmic useraccount get name,sid 入力できるユーザー名は 1 つのみです。複数のユーザーにポリシーを適用するには、対象のユーザーをグループに追加するか、ポリシーをコピーして名前を更新します。 特定のグループにポリシーを適用するには、そのグループの SID を入力します。グループの SID を取得するには、コマンドラインで次のコマンドを実行します。 wmic groupName get name,sid groupName はデバイスを使用しているグループの名前です。グループの名前がわからない場合は、次のコマンドを実行して、デバイスを使用しているすべてのグループのリストを取得します。 wmic group get name,sid
   Allow|Deny	このポリシーでのアクション（指定したアプリを許可またはブロックする）を選択します。
   PublisherName	アプリの発行元の名前（手順 2 の PublisherName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。
   BinaryName	バイナリのファイル名（手順 2 の BinaryName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。 たとえば、EXE ファイルをすべてブロックするには、「*」と入力し、カスタム設定を追加するときは /EXE/Policy で終わる OMA-URI を選択します。
   ProductName	サービスの名前（手順 2 の ProductName）。ワイルドカード（*）を使用できますが、正規表現での一致および接頭辞または接尾辞でのワイルドカードの使用はサポートされていません。
   latestVersion	このポリシーの適用先となるアプリの最新バージョン番号。アプリのすべてのバージョンをブロックするには、「*」と入力します。
   earliestVersion	このポリシーの適用先となるアプリの最も古いバージョン番号。アプリのすべてのバージョンをブロックするには、「*」と入力します。

5. ファイルを保存します。

1. Microsoft の記事で「Generating the XML（XML の生成）」に記載されている手順に沿って操作します。「Creating the Policy（ポリシーの作成）」の節に到達したら、操作を中止します。

   注: XML の生成手順では、デバイスにインストールされているアプリ用のポリシーの作成方法について説明しています。デバイスにインストールされていないアプリ用のポリシーを作成するには、この節の手順 6 で [Use a packaged app installer as a reference] を選択します。

2. XML ファイルを書き出したら、作成したポリシーをグループ ポリシー エディタで削除します。削除しない場合、そのポリシーがデバイスで適用されます。

このポリシーを使用すると、ユーザーは署名付きのアプリのみをインストールできるようになります。同時に、OMA-URI で指定されたファイル形式を持つ、無署名のアプリをインストールできなくなります。

任意のファイル形式を持つ無署名のアプリをすべてブロックするには、各ファイル形式のカスタム設定を追加し、値に次の XML を使用します。

注: RuleCollection に続く Type の値は、アプリのファイル形式と一致している必要があります。つまり、EXE ファイルの場合は "Exe"、MSI ファイルの場合は "Msi"、スクリプト ファイルの場合は "Script"、DLL ファイルの場合は "Dll"、Microsoft Store アプリファイルの場合は "Appx" となります。FilePublisherRule の GUID は、オンラインの GID 生成ツールから取得したランダムな GUID に置き換えてください。

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
     <Conditions>
       <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">   
         <BinaryVersionRange LowSection="*" HighSection="*" />
       </FilePublisherCondition>
     </Conditions>
   </FilePublisherRule>      
</RuleCollection> 

アプリをブロックするには、アプリを許可する <FilePublisherRule> セクションと、ブロックするアプリごとに <FilePublisherRule> ブロックを指定する必要があります。

一般的な形式を次に示します。

<RuleCollection Type="Type" EnforcementMode="Enabled">
  <FilePublisherRule...>
    ...アプリを許可...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...1 番目のアプリをブロックする条件...
  </FilePublisherRule>
  <FilePublisherRule...>
    ...2 番目のアプリをブロックする条件...
  </FilePublisherRule>
</RuleCollection>

注: RuleCollection に続く Type の値は、アプリのファイル形式と一致している必要があります。つまり、EXE ファイルの場合は "Exe"、MSI ファイルの場合は "Msi"、スクリプト ファイルの場合は "Script"、DLL ファイルの場合は "Dll"、Microsoft Store アプリファイルの場合は "Appx" となります。FilePublisherRule の GUID は、オンラインの GID 生成ツールから取得したランダムな GUID に置き換えてください。

たとえば次のポリシーの場合、ユーザーは「アプリ A」と「アプリ B」のどちらも実行できなくなります。どちらのアプリも EXE 形式です。

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id=GUID Name="Allow all signed apps" Description="Allows all users to run signed apps" UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
  <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app A" Description="Blocks app A for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Software Company, L=London, C=GB" ProductName="APPLICATION A" BinaryName="APPA.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id=GUID Name="Block app B" Description="Blocks app B for all users" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=Solarmora Inc, L=Mountain View, S=California, C=US" ProductName="APPLICATION B" BinaryName="APPB.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" /> 
      </FilePublisherCondition> 
    </Conditions>
 </FilePublisherRule>
</RuleCollection>

_{Google、Google Workspace、および関連するマークとロゴは、Google LLC の商標です。その他すべての企業名および商品名は、関連各社の商標または登録商標です。}