08：ポリシーをエクスポート／インポートするには？

今回のテーマ ・・・ ポリシーをエクスポート／インポートするには

Question: やりたいこと

DeviceLockを導入しているクライアントPCをリプレースすることになりました。DeviceLock Serviceのインストール方法はわかるのですが、現在クライアントPCに設定しているDeviceLockの設定情報(ポリシー)がやや複雑で再度設定しなおすのは大変なので、できれば何かの方法でポリシーを移行したいと思っています。

管理はDeviceLock管理コンソールを使用しています。
外部ファイルなどを経由してポリシーを移行する方法はありますか。

Answer: こうすればできる

DeviceLock管理コンソールを使って、クライアントPCに設定されたDeviceLockポリシーをエクスポート(保存)、インポート(ロード)することができます。

Step: 設定方法(エクスポート)

DeviceLockポリシーのエクスポートは、以下の手順で行ないます。

  1. DeviceLock管理コンソールを起動して、対象のクライアントPC(DeviceLock Service)に接続します。
  2. 左ペインで [DeviceLock Service] をマウスで右クリックして、コンテキストメニューを表示させます。
  3. コンテキストメニューから [Service 設定の保存] を選択して [名前を付けて保存] 画面で、DeviceLock Service設定ファイルのエクスポート先を指定します(ファイル拡張子は「.dls」になります)。

以上でDeviceLockポリシーのエクスポートは終了です。

Step: 設定方法(インポート)

DeviceLockポリシーのインポートは、以下の手順で行ないます。

  1. DeviceLock管理コンソールを起動して、対象のクライアントPC(DeviceLock Service)に接続します。
  2. 左ペインで [DeviceLock Service] をマウスで右クリックして、コンテキストメニューを表示させます。
  3. コンテキストメニューから [Service 設定のロード] を選択して [開く] 画面で、移行したい既存のDeviceLock Service設定ファイルを指定します。

以上でDeviceLockポリシーのインポートは終了です。

Reference: 参考

ご注意

  1. エクスポートされたDeviceLock Service設定ファイルは、エディタ等で編集しないでください。
  2. 監査ログやシャドウイングログのログデータは移行できません。
  3. エクスポートしたDeviceLock Service設定ファイルを「DeviceLock」コントロールパネルアプレットから取り込む場合は、DeviceLock Service設定ファイルが署名されている必要があります。(「テクニカルガイド 第3回 スタンドアロンクライアントのポリシーを変更するには」参照)
  4. DeviceLock Service設定ファイルに含まれるポリシーにクライアントPCのローカルユーザー指定が含まれる場合、ユーザー情報は移行できません。特にDeviceLock管理者にローカルユーザーを指定している場合はご注意ください。

（解説）

DeviceLock管理者やアクセス許可、監査／シャドウイングなどでローカルユーザー／ユーザーグループを指定している場合、ユーザーのSIDに注意する必要があります(DeviceLockは内部的には、ユーザー／グループ名ではなく、SIDで管理しています)。

DeviceLockでアクセス制御ポリシーやDeviceLock管理者などを設定すると、指定したユーザー情報はSID(Security Identifier、セキュリティ識別子)で保存されます。SIDはユーザーやユーザーグループなどのセキュリティ要素が作成される都度、Windowsによりほぼランダムな文字列として割り当てられます(したがって、同じPCでも別のPCでも、同じ名前でローカルユーザーを作成しても同じSIDにはなりません)。

このようにSIDがユニークであることはWindowsの仕様であり、DeviceLockの運用においてSIDの扱いおよび留意が必須であることにご注意ください。

DeviceLockの設定情報は「DeviceLock Service設定ファイル」としてエクスポートすることができますが、ユーザー情報を含むDeviceLock Service設定ファイルを別のPCに読み込ませると、ポリシーを作成したPCとDeviceLock Service設定ファイルの適用先PCに同じ名前のユーザーが存在していたとしても、実体はSIDの異なる全く別のユーザーの設定情報となり、ユーザーやユーザーグループを前提としたデバイス制御が機能しない等の現象が起こります。

特に、DeviceLock設定の移行元PCでDeviceLock管理者にローカルユーザーを指定していると、DeviceLock設定の移行先PCに同じ名前のローカルユーザーが存在していたとしても、DeviceLock設定を移行した瞬間から移行先PCでDeviceLock管理者が「不明」の状態になり、誰もDeviceLock Serviceをコントロール(設定変更やアンインストール)できなくなります。

なお、全てのWindows PCでSIDが共通となる「Well Known SID」を持つユーザー／ユーザーグループのみご利用になるのであれば、上記の制限はなくなります。 Well Known SIDは例えば「Everyone」「Administrators」などが該当します(「Administrator」はWell Known SIDではありませんのでご注意ください)。

DeviceLockテクニカルガイドとは？

DeviceLockテクニカルガイドは、組織のシステム管理者やセキュティ担当者の皆さんがDeviceLockをご利用になるうえでの、役に立つテクニカル情報をご提供するものです。

例えば、DeviceLockを使って組織のセキュリティ要件を満たしたいがどういう設定をしたらよいのか、DeviceLockの機能を使いたいが設定の仕方が分からない、DeviceLockでどんなことができるのか知りたい、DeviceLockのこの機能は何のためにあるのか、など、DeviceLockに係るテクニカル相談窓口となることを目指しています。

このガイドでは、無作為に設定した特定の目的に対し、それを実現するための準備や設定方法を順を追って説明します。併せて、関連する情報についても掲載し、ユーザー様のスキルアップを図ります。ぜひご活用ください。

なお、本ガイドはDeviceLockを実際にご利用になっている方を対象としていますので、DeviceLockにおける「普通の」操作についての説明は省略させて頂きます。また、DeviceLockについての体系的な説明よりも、特定の機能に絞ったピンポイントの説明を指向しますので、体系的・包括的な情報を参照したい場合は製品添付の「DeviceLockユーザーマニュアル」をご利用ください。

本ガイドでは、効率的な説明のため、DeviceLockをはじめ、Windows、Macintosh、 コンピューター(ハードウェア)、周辺機器(デバイス)、ネットワーク等についての専門用語が使用されることが多々ありますが、一般的な用語についてはガイド中での説明を省略させていただくことがあります。

テクニカルガイド申し込みフォーム