none
Windows7 USBアクセス制限について RRS feed

 > 

  • 質問

  • Question
    サインインして投票
    0
    サインインして投票

    お世話になります。

    端末のOSはWinodws7 Pro(64bit)です。ActiveDirectoryは使用しておりません。


    1台の端末にadministrator権限を持つアカウントが２つ（AとB）あり、

    AにはUSBの利用を許可する設定を、

    BにはUSBの利用を許可しない設定をしたいのですが、この設定はできなくて困っております。


    試した設定方法は、Microsoft Management Consoleを起動して

    [ファイル]>[スナップインの追加と削除]>[グループポリシーオブジェクトの追加と削除]>[追加]>[グループポリシーオブジェクトの選択]>[参照]>[ユーザー]から

    Aでは

    [ユーザーの構成]>[管理用テンプレート]>[システム]>[リムバーブル記憶域へのアクセス]>[すべてのリムバーブル記憶域クラス：すべてのアクセスを拒否]を無効にしました。

    BはUSBの利用を許可しないので、有効にしました。

    この設定を行ったあと念のため再起動し、USBが使用できるか確認したところ

    Aでは想定通りUSBが使用できましたが、

    Bでは想定と異なりUSBが使用できてしまっております。


    そもそもadministrator権限を持つアカウントにUSBアクセス制限を行うことは可能なのでしょうか

    可能であれば設定方法を教えていただけないでしょうか。

    ご回答よろしくお願いいたします。

    2018年11月8日 1:26
    |

回答

  • Question
    サインインして投票
    2
    サインインして投票

    > ActiveDirectoryは使用しておりません

    でしたね。であれば、ユーザー単位で設定を変えることは（単純なポリシーの構成では）できないかと思います。

    A User も B User も管理者ユーザーであれば、それぞれに別々のスタートアップ プログラム（スクリプト）を

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    に設定して、レジストリを直接書き換えるというような方法なら実現できるかと思います。

    Hebikuzure aka Murachi Akira

    • 回答としてマーク yuyuke 2018年11月8日 2:10
    2018年11月8日 2:05
    |

すべての返信

  • Question
    サインインして投票
    0
    サインインして投票

    たぶんこちらの記事が答えになるかと思います。

    Hebikuzure aka Murachi Akira

    2018年11月8日 1:33
    |
  • Question
    サインインして投票
    0
    サインインして投票

    早々のご回答ありがとうございます。

    そちらの記事は以前読みましたが、以下の設定はActiveDirectory環境下でないと出来ないのではないでしょうか？

    <設定方法例>
    新規で作成した AccessEnableOUに User A を追加し、 新規で作成した AccessDenyOU に全ユーザーを追加します。それぞれの OU に対して以下のように GPO をリンクさせます。
    GPOをリンクさせるとき、AccessEnableOU , AccessDenyOU の順番で行います。

    認識が間違っておりましたら申し訳ありません。

    また、補足情報に関して質問なのですが、「グループ ポリシーのリムーバブル記憶域へのアクセス制御を特定のユーザーに設定する場合は、以下の手順で行うことが出来ます。」の部分の設定方法はユーザを切り替えて設定を行うという認識であっておりますでしょうか。

    • 編集済み yuyuke 2018年11月8日 1:46
    2018年11月8日 1:40
    |
  • Question
    サインインして投票
    2
    サインインして投票

    > ActiveDirectoryは使用しておりません

    でしたね。であれば、ユーザー単位で設定を変えることは（単純なポリシーの構成では）できないかと思います。

    A User も B User も管理者ユーザーであれば、それぞれに別々のスタートアップ プログラム（スクリプト）を

    HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

    に設定して、レジストリを直接書き換えるというような方法なら実現できるかと思います。

    Hebikuzure aka Murachi Akira

    • 回答としてマーク yuyuke 2018年11月8日 2:10
    2018年11月8日 2:05
    |