DCOM: セキュリティ記述子定義言語 (SDDL) 構文でのコンピューター アクセス制限 このポリシー設定は どのユーザーまたはグループが リモートまたはローカルで DCOM アプリケーションにアクセスできるかを決定します この設定は DCOM ...

DCOM: セキュリティ記述子定義言語 (SDDL) 構文でのコンピューター アクセス制限

このポリシー設定は、どのユーザーまたはグループが、リモートまたはローカルで DCOM アプリケーションにアクセスできるかを決定します。この設定は、DCOM アプリケーションに使用するコンピューターが危険にさらされる可能性を低減するために使用されます。

この設定を使用して、すべてのコンピューターに対するアクセス許可を、エンタープライズ内の DCOM アプリケーションの特定のユーザーに指定することができます。アクセス許可を付与されるユーザーまたはグループを指定すると、セキュリティ記述子フィールドに、それらのグループと特権の SDDL 表記が入力されます。セキュリティ記述子フィールドが空白のままにされた場合、ポリシー設定はテンプレートで定義されますが、強制はされません。ユーザーおよびグループには、ローカル アクセスとリモート アクセスの両方で、明示的な [許可] または [拒否] 特権を付与することができます。

DCOM を有効化することにより作成される "レジストリ設定: セキュリティ記述子定義言語 (SDDL) 構文でのコンピューター アクセス制限" ポリシーは、この領域の以前の設定より優先されます (高い優先順位を持ちます)。リモート プロシージャ コール サービス (RpcSs) は、コンピューター制限のポリシー セクションの新しいレジストリ キーを調べ、これらのレジストリのエントリは OLE 下の既存のレジストリ キーよりも優先されます。つまり、既存のレジストリ設定は有効ではないことを意味し、既存の設定に変更を行っても、ユーザーのコンピューター アクセス許可は変更されません。ユーザーおよびグループの一覧を構成する際には注意が必要です。

このポリシー設定で指定できる値は次のとおりです。

ò 空白。これは、ローカル セキュリティ ポリシーでポリシー強制キーを削除することを表します。この値はポリシーを削除し、それを未定義の状態として設定します。空白値は、ACL エディターを使用してリストを空にし、[OK] をクリックすることによって設定できます。

ò SDDL。これは、このポリシーを有効にするときに指定するグループおよび特権のセキュリティ記述子定義言語の表記です。

ò 未定義。これが既定値です。

注
Windows の DCOM に行われた変更によって、管理者が DCOM アプリケーションへのアクセス権を拒否された場合、管理者は "DCOM: セキュリティ記述子定義言語 (SDDL) 構文でのコンピューター アクセス制限" ポリシー設定を使用して、コンピューターへの DCOM アクセスを管理できます。管理者は、この設定を使用して、どのユーザーおよびグループが、ローカルおよびリモートでコンピューター上の DCOM アプリケーションにアクセスできるかを指定できます。これにより、DCOM アプリケーションの制御が、管理者およびユーザーに戻されます。これを実行するには、"DCOM: セキュリティ記述子定義言語 (SDDL) 構文でのコンピューター アクセス制限" 設定を開き、[セキュリティの編集] をクリックします。含めるグループと、それらのグループに対するコンピューター アクセス許可を指定します。これにより設定が定義され、適切な SDDL 値が設定されます。