【小ネタ】WorkSpacesで任意のアプリケーションのインストールを制限する方法

背景

WorkSpacesはデフォルトでは、ユーザ権限が「ローカルアドミン」になっています。

その為、この状態ではどんなアプリケーションでもインストールすることができますが、システム管理者としてアプリケーションの自由なインストールを制限したい、というシーンがあるかもしれません。

そこで今回は、ユーザによるアプリケーションのインストールを抑止する方法についてご紹介します。

ローカルアドミン権限の無効化

一言で言ってしまうと、「ユーザ権限がローカルアドミンであることが原因」なので、これを無効化することで解決します。 この設定は対象のDirectoryサービスの設定で変更することができます。

「Update Detail」をクリックして設定を変更します。

次の画面で「Local Administrator Setting」の項目を開いて、「Disable」を選択します。 「Update and Exit」をクリックして、変更を反映して終了します。

Directoryサービス側の設定は以上になります。

WorkSpacesのリビルド

Directory側の設定を反映させる為に、WorkSpaceをリビルドします。

リビルドすると作成時のバンドルのイメージから復元されることに注意して下さい。データドライブも自動スナップショット時の状態に上書きされる為、スナップショット後に作成、変更したデータは消えてしまうという点にも注意が必要です。（最大12時間以内のデータ）

WorkSpace の再構築 - Amazon WorkSpaces

また、リビルドを行う際は事前に再起動を推奨するメッセージが出るので、必要に応じて再起動して下さい。

アプリケーションのインストール可否を確認

リビルドが完了すれば改めてログインして確認してみます。

ローカルアドミンの権限がなくなったので、下記のようにドメイン管理者のユーザ名とパスワード入力が必要になります。WorkSpacesへのログイン情報ではインストールできないですね。

下記は、ローカルユーザのログイン情報でインストールしようとして失敗している様子です。（Windows7、Windows10のどちらのDesktop Experience環境でも同様です。）

最後に

働き方改革の一環として、WorkSpacesを検討されることも増えてきたのではと思います。一方で、システム管理者の視点で見るとVDI環境のセキュリティ対策は悩みどころだと思います。

グループポリシーやWorkSpacesの機能をうまく使って、適切な対応を取れるようにしていきましょう。

以上です。