GPOの「レジストリ編集ツールへアクセスできないようにする」は、Regedit.exeの利用を制限するユーザーポリシーです。レジストリへのあらゆる書き込みを禁止する設定ではありません。アプリ、サービス、別の管理ツールによる変更権限は、レジストリキーのアクセス権などと分けて考える必要があります。
この記事では対象ユーザーへの設定、サイレント実行オプションの意味、反映確認と戻し方を説明します。既存の画像は2019年当時の画面です。今回の改訂でAD環境への実適用テストを行ったものではありません。
導入前：誤操作防止とアクセス権保護を区別する
Regeditの起動禁止は利用者の誤操作を減らすための一つの制御です。レジストリキーのACLを変更したり、書き込み可能なアプリをすべて禁止したりする機能ではありません。HKCUに通常アプリが設定を保存することもあるため、「レジストリ全体を書き込み不可」にすることを代替目標にしないでください。
業務用スクリプト、インストーラー、ヘルプデスクの保守への影響を先に確認し、専用のテストOUと少数の対象ユーザーから検証します。GPOの変更前の状態、リンク先、セキュリティフィルター、除外する管理用アカウントと復旧手順を記録してください。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
GPOの設定
グループポリシー管理エディターで対象GPOを開き、「レジストリ編集ツールへアクセスできないようにする」を確認します。これはユーザー構成の設定なので、通常は対象ユーザーが属するOU等へのリンクと適用権限を確認します。コンピューターOUへリンクしただけで全ユーザーへ適用されると考えず、ループバックを使う場合も既存の設計を確認してください。
・ユーザーの構成
・・ポリシー
・・・管理用テンプレート
・・・・システム
１．未構成を有効にしてください。
２．「regeditのサイレント実行を無効にしますか？」の選択枠は以下の通り
この追加オプションはRegeditのサイレント実行（regedit /sによるインポート）を許可するかどうかの指定です。「はい」はそのサイレント実行も制限し、「いいえ」は対話的な起動を制限したままサイレント実行を許す設定として扱います。対象ADMXと画面の説明を確認してください。
「はいならコマンドプロンプト経由のレジストリ変更がすべて禁止される」という意味ではありません。reg.exe、PowerShell、アプリのレジストリAPIなどの別経路について、これだけで同じ禁止が成立すると解釈しないでください。保護したいキーのアクセス権と、実行を許可する管理ツールは別の設計です。
Microsoftの公式説明では、有効にするとRegeditの起動時にポリシーによる制限が通知され、無効または未構成ではこの設定による禁止が行われないとされています。ただし、別のGPOやアプリ制御による制限がある場合は、1つの設定を戻すだけで起動可能になるとは限りません。
対象ユーザーで反映を確認する
管理者用ではなく、実際に適用したいテストユーザーでサインインして確認します。ユーザーポリシーを更新する必要がある場合の例は次の通りです。
gpupdate /target:user
gpresult /scope user /r適用されたGPO、対象ユーザー、除外や拒否の理由を確認します。更新の案内に応じてサインアウト等を行う場合は作業を保存してください。コマンドの成功だけでRegeditの制限が確認できたとは判断しません。
Regeditを起動し、制限メッセージが出るか確認します。サイレント実行を検証する必要がある場合は、管理者が無害なテスト内容と後片付けを用意した隔離環境で実施し、本番のレジストリを試し書きしないでください。
下図は当時の制限メッセージの例です。画面の文言はOS等で異なります。起動が止まったことと、全レジストリ書き込みが防がれたことを分けて記録します。
効かない場合と戻す場合
効かない場合は、ユーザー側の適用OU、GPOリンク、セキュリティフィルター、WMIフィルター、他GPOとの優先関係、ループバック、管理元の違いを確認します。別ユーザーで管理ツールを起動していないかも確認してください。
戻す場合は、管理元の同じGPOで変更前の「未構成」「無効」等へ戻し、対象ユーザーの適用結果と起動を再確認します。別のGPOを優先させたり、端末のレジストリ値を直接消して回避したりする方法を通常の復旧手順にしません。
他のツールの制限は別途影響を確認する
コマンドプロンプトの禁止は別ポリシーです。バッチファイルまで制限するとログオン処理や業務の自動化へ影響することがあります。また「指定されたWindowsアプリケーションだけを実行する」には起動経路による適用範囲の限界があり、完全なアプリ実行制御の代わりにはなりません。必要な防御を管理者が設計してください。
コマンドプロンプトを使用不可にする方法は以下の記事をご参照ください。
GPOでコマンドプロンプトを利用不可にする方法（ITオタクを戦意喪失させよう）
コメント