【Windows】AppLockerにより業務ソフトが起動しない時の確認手順

会社用のWindows PCで、ある日突然、使っていた業務ソフトが起動しなくなったことはありませんか。エラーメッセージに「このアプリはシステム管理者によってブロックされました」と表示されると、戸惑ってしまうでしょう。その原因として多く見られるのが、AppLockerやWindows Defender Application Control(WDAC)といったアプリケーション制御機能によるブロックです。これらの機能は、許可されていないソフトウェアの実行を防ぐために導入されていますが、新しいソフトや更新プログラムが正しく許可されていない場合に、業務に支障をきたすことがあります。本記事では、AppLockerが原因で業務ソフトが起動しない場合に、ユーザー自身で確認すべきことと、管理者へ連絡する前に準備すべき情報を整理します。

AppLockerとは何か、なぜブロックされるのか

AppLockerは、Windows 10/11のEnterpriseエディションやEducationエディションで利用できるアプリケーション制御機能です。実行ファイル(.exe、.com)、スクリプト(.ps1、.vbsなど)、インストーラーファイル(.msi、.msp)、パッケージアプリ(.appx)を、許可リストまたは拒否リストで制御します。企業のIT管理者は、許可されていないソフトウェアの実行を防ぎ、セキュリティを強化するためにAppLockerをグループポリシーで配布することが一般的です。

業務ソフトが起動しない場合、考えられる理由は次のとおりです。

• そのソフトがAppLockerの許可ルールに含まれていない、または明示的に拒否ルールに該当している。
• ソフトのバージョンアップやパッチ適用により、ファイルのハッシュ値や発行元証明書が変わったため、既存のルールと合致しなくなった。
• ソフトがユーザーの一時フォルダやダウンロードフォルダなど、許可されていないパスに展開されている。
• WDAC(Windows Defender Application Control)が併用されており、そちらのポリシーでブロックされている。

特に、社内で標準配布されていないフリーソフトや、ベンダーから直接ダウンロードした試用版などは、AppLockerの対象外となりがちです。

確認手順:自分でできること

管理者に連絡する前に、以下の手順で原因を特定しましょう。これにより、管理者への報告を迅速かつ正確に行えます。

1. エラーメッセージを確認する。 起動しようとしたときに表示されるメッセージをよく読みます。「このアプリはシステム管理者によってブロックされました」という文言が表示される場合、AppLockerまたはWDACが原因です。スクリーンショットを撮っておくと便利です。
2. イベントビューアーでAppLockerのログを確認する。 イベントビューアーを開き(「スタート」→「イベントビューアー」と入力)、「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「AppLocker」→「EXE and DLL」等のログを表示します。ブロックされたイベントIDは8003(アプリがブロックされた)、8004(スクリプトがブロックされた)などがあります。イベントの詳細欄に、ブロックされたファイルのパス、ファイルハッシュ、発行元情報が記録されています。
3. gpresultコマンドで適用ポリシーを確認する。 コマンドプロンプトを管理者として開き、gpresult /h gpresult.html を実行します。生成されたHTMLファイルをブラウザで開き、「Windows 設定」→「セキュリティ設定」→「アプリケーション制御ポリシー」→「AppLocker」のセクションを探します。ここで適用されているルールの一覧を確認できます。
4. PowerShellでAppLockerポリシーをエクスポートする。 管理者権限のPowerShellで Get-AppLockerPolicy -Effective -Xml > policy.xml を実行し、現在有効なポリシーをXMLファイルとして保存します。このファイルを管理者に送付することで、正確なルールセットを共有できます。
5. ブロックされたソフトの詳細情報を収集する。 ソフトの実行ファイルのプロパティを開き(右クリック→プロパティ)、「詳細」タブで製品名、ファイルのバージョン、デジタル署名の有無を確認します。特にデジタル署名がある場合は、発行元情報をメモします。

原因の切り分け:ローカルポリシーとグループポリシーの違い

AppLockerの設定は、ローカルセキュリティポリシーまたはグループポリシー(GPO)から配布されます。どちらが原因かを切り分けることで、管理者が修正すべき対象が明確になります。

比較項目	ローカルポリシー	グループポリシー(GPO)
設定場所	ローカルコンピューターのセキュリティポリシー(secpol.msc)	Active Directoryのグループポリシー管理(GPMC)
影響範囲	そのPCのみ	OUに所属するすべてのPC/ユーザー
変更方法	ローカル管理者が手動で変更可能	管理者がGPOを編集し、クライアントに反映
確認コマンド	Get-AppLockerPolicy -Local	Get-AppLockerPolicy -Domain

ユーザー自身がローカルポリシーを編集することは推奨されません。変更が必要な場合は、管理者に依頼してください。GPO由来のルールは、管理者が社内のポリシーとして一元管理しているため、変更には申請プロセスが必要です。

失敗パターン:やってはいけない回避策

AppLockerによるブロックを自分で解除しようとすると、セキュリティポリシーに違反したり、PCが不安定になったりする恐れがあります。以下の行為は絶対に行わないでください。

• 管理者権限の不正取得: 社内のローカル管理者パスワードを共有したり、既知の脆弱性を使って権限昇格を試みる行為は、就業規則違反となるだけでなく、重大なセキュリティインシデントを引き起こします。
• レジストリの直接編集: AppLockerのルールはレジストリ(HKLM\Software\Policies\Microsoft\Windows\Srp\)に保存されていますが、勝手に変更するとポリシーの不整合が生じ、PCが正常に動作しなくなる可能性があります。
• AppLockerサービスの停止: 「Application Identity」サービスを無効にすると、AppLockerが機能しなくなりますが、管理者によって監視されている場合があり、発覚した場合にペナルティの対象となります。
• 非公式ツールの使用: AppLockerをバイパスするために「スポイラー」や「パッチ」と呼ばれるツールをダウンロードすることは、マルウェア感染のリスクが非常に高く、絶対に避けるべきです。
• 別のPCからのソフトのコピー: 同じソフトが他のPCで動いているからといって、そのフォルダを丸ごとコピーしても、AppLockerのルールが違うためブロックされる可能性があります。また、ライセンス違反になる場合もあります。

管理者へ連絡する前に準備すべき情報

管理者が速やかに対応できるよう、以下の情報を整理したうえで問い合わせてください。

• ブロックされたソフトの名称とバージョン: 製品名、バージョン番号、ベンダー名。
• エラーメッセージの正確な文言: スクリーンショットまたはメモ。
• イベントビューアーのログ: イベントIDと詳細情報(ファイルパス、ハッシュ、発行元)。
• 利用目的: そのソフトを何の業務で使うのか、代替ソフトが存在するかどうか。
• インストール元: 社内のソフトウェア配布システムからインストールしたのか、ベンダーのサイトからダウンロードしたのか。
• クライアントの情報: Windowsのエディションとバージョン(例:Windows 10 Enterprise 22H2)、ドメイン参加状況。

これらの情報をあらかじめ準備しておくことで、管理者はルールの追加や修正を迅速に行えます。多くの場合、管理者は許可リストにソフトのパスや発行元を追加するか、特定のユーザーやコンピューターに対して一時的な例外ルールを作成します。

よくある質問(FAQ)

Q1. AppLockerを無効にしてもらうことはできますか?

A. 基本的に、社内セキュリティポリシーとしてAppLockerが有効になっている場合、無効化は認められません。代わりに、必要なソフトを許可リストに追加してもらうよう申請してください。無効化は組織全体のセキュリティレベルを低下させるため、特別な理由がない限り行われません。

Q2. WDACとAppLockerの違いは何ですか?

A. WDAC(Windows Defender Application Control)は、より強力なカーネルレベルのアプリケーション制御です。AppLockerはユーザーモードで動作し、比較的柔軟にルール設定が可能ですが、WDACはバイナリの信頼性を厳密にチェックします。両方が有効な場合、両方のポリシーに違反するとブロックされます。通常、WDACの方が優先されます。エラーメッセージが「このアプリはシステム管理者によってブロックされました」で共通しているため、どちらが原因かはイベントビューアーのログを確認する必要があります。

Q3. ブロックされたソフトが業務上どうしても必要な場合、どうすればいいですか?

A. 上司やIT部門に連絡し、正式な申請手続きを行ってください。その際、上記で挙げた準備情報を提示するとスムーズです。また、代替となる許可済みのソフトがないか事前に確認しておくとよいでしょう。

Q4. 自分で一時的にAppLockerをバイパスする方法はありますか?

A. ありません。もし何らかの方法でバイパスできたとしても、それはセキュリティポリシー違反であり、懲戒対象となる可能性があります。必ず管理者を介して対処してください。

まとめ

AppLockerが原因で業務ソフトが起動しない場合、まずはエラーメッセージとイベントビューアーのログを確認し、ブロックされたファイルの詳細を特定しましょう。その情報をもとに管理者へ適切に連絡することで、許可ルールの追加や修正が迅速に行われます。自分でポリシーを変更しようとする行為は絶対に避け、必ず正式な申請ルートを利用してください。セキュリティと業務効率のバランスを保つためにも、組織のポリシーに従った対応を心がけましょう。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。