Windows エンドポイント管理ガイド › リソースの管理 › Windows レジストリ保護 › Windows レジストリ エントリの保護

Windows レジストリ エントリの保護

Windows レジストリ エントリを保護できるので、Windows 操作を追加保護することができます。

Windows レジストリ エントリを保護するには、以下の手順に従います。

1. REGKEY クラス レコードと REGVAL クラス レコードを使用する場合は、これらのレコードがアクティブ アクティブなクラスとは、そのクラスのリソースへのアクセス試行がある場合に必ず CA ControlMinder が権限をチェックするクラスです。 クラスがアクティブでない場合、CA ControlMinder によるチェックは行われず、アクセスが許可されます。 リソース クラスの状態は手動でアクティブまたは非アクティブに設定できます。 であることを確認します （デフォルトでアクティブになっています）。
2. 保護するレジストリ キーまたは値の名前で、REGKEY レコードまたは REGVAL レコードを作成します。

   注： キーまたは値を指定する場合は、完全なレジストリ パス名を使用してください。 ワイルドカードを使用してキーにネストされているすべてのサブキーまたはサブキーの値を指定することができます。

   これで、レジストリ エントリは、CA ControlMinder がレコードに提供するデフォルトのアクセス権で保護されます。

3. （オプション）ユーザおよびグループと、そのアクセス権限を、REGKEY レコードまたは REGVAL レコードに含まれる適切なアクセス制御リストに割り当てます。

例： レジストリ キーに対するデフォルトのアクセス権を NONE に設定する

以下の selang コマンドは、レジストリ キーに対するデフォルトのアクセス権を NONE に設定します。

er REGKEY HKEY_LOCAL_MACHINE¥SOFTWARE¥Test¥Key1 defacc(NONE) owner(nobody)

この結果、key1 に対するデフォルトのアクセス権は以下のようになります。

例： レジストリ キーに対するデフォルトのアクセス権を READ に設定する

以下の selang コマンドは、レジストリ キーに対するデフォルトのアクセス権を READ に設定します。

er REGKEY HKEY_LOCAL_MACHINE¥SOFTWARE¥Test¥Key1 defacc(READ) owner(nobody)

この結果、key1 に対するデフォルトのアクセス権は以下のようになります。

例： レジストリ キーのワイルドカードに対するデフォルトのアクセス権を NONE に設定する

以下の selang コマンドは、レジストリ キー内のすべてのサブキーに対するデフォルトのアクセス権を NONE に設定します。

er REGKEY HKEY_LOCAL_MACHINE¥SOFTWARE¥Test¥Key1¥* defacc(NONE) owner(nobody)

ワイルドカード（*）は Key1 に適用されませんが、Key1 のすべてのサブキーに適用されます。これは、Key1 のすべてのサブキーに対してあらゆる形式のアクセスが拒否されるという意味です。 また、親保護のルールにより、Key1 の名前変更または削除も拒否されます。

このコマンドは、Key1 の値へのアクセスを許可します。 Key1 のサブキーの値（たとえば、Key1¥subkey1¥ の値）に対するアクセスは、Windows システム間で異なります。

• Windows Server 2003 以降のシステムでは、このコマンドは、Key1 のサブキーの値を列挙するためのアクセスは拒否しますが、値を作成、名前変更、削除、および読み取るためのアクセスは許可します。
• Windows Server 2003 より前のシステムでは、このコマンドは、Key1 のサブキーの値に対するすべてのアクセスを拒否します。

例： レジストリ値に対するデフォルトのアクセス権を NONE に設定する

Windows Server 2003 以降のシステムでは、以下の selang コマンドで、アクセス権を NONE に設定して特定のレジストリ値を保護します。

er REGVAL HKEY_LOCAL_MACHINE¥SOFTWARE¥TestKey¥value1 defacc(NONE) owner(nobody)

注： Windows Server 2008 以降のシステムでは、アクセサがアクセス権が NONE の保護されたレジストリ値にアクセスしようとした場合、CA ControlMinder は REG_NONE の値を返します。 REG_NONE の値は、値は存在するけれども値が指定されていないことを確認します。