S モード デバイスで Win32 アプリを有効にする

  • [アーティクル]

Windows 10 S モード は、ストア アプリのみを実行するロックダウン オペレーティング システムです。 既定では、Windows S モード デバイスでは、Win32 アプリのインストールと実行は許可されません。 これらのデバイスには、単一の Win 10S 基本ポリシーが含まれており、S モード デバイスで Win32 アプリが実行されないようにロックされます。 ただし、Intune で S モード補足ポリシー を作成して使用することで、Windows 10 S モードの管理対象デバイスに Win32 アプリをインストールして実行できます。 Microsoft Defender アプリケーション制御 (WDAC) PowerShell ツールを使用すると、Windows S モードの 1 つ以上の補足ポリシーを作成できます。 Device Guard 署名サービス (DGSS) または SignTool.exe を使用して補足ポリシーに署名し、Intune 経由でポリシーをアップロードして配布する必要があります。 別の方法として、組織のコード署名証明書を使用して補足ポリシーに署名することもできますが、推奨される方法は DGSS を使用することです。 組織のコード署名証明書を使用するインスタンスでは、コード署名証明書がチェーンアップするルート証明書がデバイスに存在する必要があります。

Intune で S モード補足ポリシーを割り当てることで、デバイスがデバイスの既存の S モード ポリシーに対して例外を作成できるようにします。これにより、アップロードされた対応する署名済みアプリ カタログが許可されます。 このポリシーは、S モード デバイスで使用できるアプリ (アプリ カタログ) の許可リストを設定します。

注:

S モード デバイス上の Win32 アプリは、Windows 10 November 2019 Update (ビルド 18363) 以降のバージョンでのみサポートされます。

Windows 10 デバイスで S モードで Win32 アプリを実行できるようにする手順は次のとおりです。

  1. Windows 10 S 登録プロセスの一環として、Intune を介して S モード デバイスを有効にします。
  2. Win32 アプリを許可する補足ポリシーを作成します。
    • Microsoft Defender アプリケーション制御 (WDAC) ツールを使用して、補足ポリシーを作成できます。 ポリシー内の基本ポリシー ID は、S モードの基本ポリシー ID (クライアントでハードコーディング) と一致する必要があります。 また、ポリシーのバージョンが以前のバージョンよりも高いことを確認します。
    • DGSS を使用して補足ポリシーに署名します。 詳細については、「 Device Guard 署名を使用してコード整合性ポリシーに署名する」を参照してください。
    • Windows 10 S モードの補足ポリシーを作成して、署名済みの補足ポリシーを Intune にアップロードします (以下を参照)。
  3. Intune を使用して Win32 アプリ カタログを許可します。

注:

アプリの S モード補助ポリシーは、Intune 管理拡張機能を介して配信する必要があります。

S モード ポリシーは、デバイス レベルで適用されます。 複数のターゲット ポリシーがデバイスにマージされます。 マージされたポリシーは、デバイスに適用されます。

Windows 10 S モード補助ポリシーを作成するには、次の手順に従います。

  1. Microsoft Intune 管理センターにサインインします。

  2. [ アプリ>S モードの補足ポリシー>ポリシーの作成] を選択します。

  3. ポリシー ファイルを追加する前に、作成して署名する必要があります。 詳細については、以下を参照してください:

  4. [基本] ページで、次の値を追加します。

    値 説明
    ポリシー ファイル WDAC ポリシーを含むファイル。
    名前 このポリシーの名前。
    説明 [省略可能]このポリシーの説明。

  5. [ 次へ: スコープ タグ] を選択します。
    [ スコープ タグ] ページで、必要に応じてスコープ タグを構成して、Intune でアプリ ポリシーを表示できるユーザーを決定できます。 スコープ タグの詳細については、「分散 IT のためのロールベースのアクセス制御とスコープのタグの使用」をご覧ください。

  6. [次へ: 割り当て] を選択します。
    [ 割り当て] ページでは、ユーザーとデバイスにポリシーを割り当てることができます。 デバイスが Intune によって管理されているかどうかに関係なく、デバイスにポリシーを割り当てることができることに注意してください。

  7. [ 次へ: 確認と作成 ] を選択して、プロファイルに入力した値を確認します。

  8. 完了したら、[ 作成 ] を選択して、Intune で S モード補助ポリシーを作成します。

ポリシーが作成されると、Intune の S モード補足ポリシーの一覧に追加されます。 ポリシーが割り当てられると、ポリシーはデバイスに展開されます。 補足ポリシーと同じセキュリティ グループにアプリをデプロイする必要があることに注意してください。 ターゲット設定を開始し、それらのデバイスにアプリを割り当てることができます。 これにより、エンド ユーザーは S モード デバイスにアプリをインストールして実行できます。

S モード ポリシーの削除

現在、デバイスから S モード補足ポリシーを削除するには、空のポリシーを割り当てて展開して、既存の S モード補助ポリシーを上書きする必要があります。

ポリシー レポート

デバイス レベルで適用される S モード補足ポリシーには、デバイス レベルのレポートのみが含まれます。 デバイス レベルのレポートは、成功とエラーの条件で使用できます。

S モード レポート ポリシーの Microsoft Intune 管理センターに表示されるレポート値:

  • 成功: S モードの補足ポリシーが有効です。
  • 不明: S モード補足ポリシーの状態が不明です。
  • TokenError: S モードの補足ポリシーは構造的には問題ありませんが、トークンを承認するとエラーが発生します。
  • NotAuthorizedByToken: トークンは、この S モード補足ポリシーを承認しません。
  • PolicyNotFound: S モードの補足ポリシーが見つかりません。

次の手順