【Windows】会社PCでPowerShellスクリプトの実行が止められる時の確認手順

会社で使っているWindows PCでPowerShellスクリプトを実行しようとしたところ、「このスクリプトはこのシステムでは無効になっています」というエラーや、セキュリティソフトウェアによるブロック通知が表示され、作業が止まってしまうことがあります。この問題は、主にMicrosoft Defenderや組織で導入しているEDR(Endpoint Detection and Response)、SmartScreen、ランサムウェア保護などのセキュリティ機能が原因です。会社PCでは自己判断で検知を無効にしたり除外設定を変更したりすることは推奨されません。本記事では、スクリプト実行が止められる原因を切り分け、業務への影響を最小限に抑えながら管理者へ報告するための具体的な手順を解説します。

PowerShellスクリプトが実行できない根本的な原因

PowerShellスクリプトの実行がブロックされる原因は、大きく分けて以下の3つに分類できます。それぞれの仕組みを理解することで、適切な対処方法が明確になります。

1. 実行ポリシー(ExecutionPolicy)による制限

PowerShellにはスクリプトの実行を制御する実行ポリシーが用意されています。会社PCではデフォルトで「Restricted」(制限付き)や「RemoteSigned」(リモート署名済みスクリプトのみ許可)に設定されていることが多く、ダウンロードしたスクリプトや未署名のスクリプトを実行できません。実行ポリシーはグループポリシーで強制されている場合、ローカルの変更ができないか、一時的にも無効にできません。

2. セキュリティソフト(Microsoft Defender、EDRなど)による検知

組織で導入しているMicrosoft Defenderや他のEDR製品は、スクリプトの内容を分析し、悪意のある動作(不明なダウンロード、不審なネットワーク接続、ファイル改ざんなど)を検知すると即座にブロックします。特にランサムウェア保護機能は、スクリプトによる暗号化動作を警戒し、高い確率で停止させます。SmartScreenはスクリプトをダウンロードする前の段階でブロックすることもあります。

3. Windows Defender Firewall / ネットワーク保護

スクリプトが外部サーバーに接続しようとする場合、Windows Defender Firewallやネットワーク保護機能が通信を遮断し、スクリプト全体が異常終了することがあります。この場合、スクリプトの起動自体は成功しても、後続の通信でエラーが発生します。

原因を切り分けるための具体的な確認手順

以下の手順を順に実施することで、どの段階でブロックされているのかを特定できます。各手順の結果は管理者に報告する際の重要な情報となります。

1. 実行ポリシーの確認
   PowerShellを管理者として開き、Get-ExecutionPolicy コマンドを実行します。結果が「Restricted」または「AllSigned」の場合、ローカルで署名がないスクリプトは実行できません。ただし、ユーザー権限でPowerShellを開いている場合はAdministrator権限が必要な設定が見えないこともあります。グループポリシーで強制されているかどうかは、Get-ExecutionPolicy -List でスコープごとの設定を確認してください。MachinePolicyやUserPolicyに値が設定されている場合、グループポリシーによる制限がかかっています。
2. イベントビューアーでブロックログを確認
   「イベントビューアー」→「Windowsログ」→「セキュリティ」または「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「PowerShell」→「Operational」を開きます。スクリプト実行時にイベントID 4104(スクリプトブロック)や4105(スクリプト実行)が記録されているか確認します。また、Windows Defenderのブロックは「イベントビューアー」→「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「Windows Defender」→「Operational」で確認できます。
3. Windows セキュリティの保護履歴を確認
   「Windows セキュリティ」→「ウイルスと脅威の防止」→「保護履歴」を開きます。ブロックされた脅威の一覧が表示されます。各項目をクリックすると、検出された脅威の種類、影響を受けたファイル、実行された操作(隔離、削除など)が表示されます。スクリプトがここに記録されている場合、Defenderが原因です。
4. Microsoft Defender for Endpoint(組織が導入している場合)のポータル確認
   会社がEDRソリューション(Microsoft Defender for Endpointなど)を利用している場合、管理者はクラウドポータルで検知の詳細を確認できます。ユーザーは直接アクセスできませんが、スクリプト実行時に表示されたエラーメッセージやポップアップのスクリーンショットを管理者に送ることで調査が進みます。
5. スクリプト自体のデジタル署名と発行元を確認
   スクリプトファイル(.ps1)を右クリック→「プロパティ」→「デジタル署名」タブで署名が存在するか確認します。署名がない場合、組織のポリシーで「RemoteSigned」以上の設定になっていれば実行できません。また、SmartScreenがブロックした場合、ファイルのプロパティに「このファイルは他のコンピューターから送信された可能性があります」というセキュリティ警告が表示されます。

失敗パターンと判断基準

実際に起こりやすい失敗パターンを把握し、自分の状況がどれに該当するかを判断してください。

パターン	現象とエラーメッセージ	主な原因	ユーザー側でできること
実行ポリシー制限	「このシステムではスクリプトの実行が無効になっています」というエラーが表示され、スクリプトが起動しない	ExecutionPolicyがRestricted、あるいはグループポリシーで強制	管理者に連絡し、スクリプトの署名承認やポリシーの一時緩和を依頼する。自分で変更しない
Defender/EDRによるリアルタイム保護	実行中に突然スクリプトが終了し、Windowsセキュリティの通知に「脅威が検出されました」と表示される。またはスクリプトが隔離される	スクリプトの動作がマルウェアパターンと一致(例:ファイル暗号化、PowerShellのInvoke-Expressionなど)	イベントログや保護履歴から検出詳細を記録し、管理者にスクリプトの正当性を説明する。除外申請が必要
SmartScreenによるダウンロードブロック	.ps1ファイルをダウンロードしようとすると「Microsoft Defender SmartScreenにより認識されないアプリの起動がブロックされました」と表示される	ファイルに署名がなく、ダウンロード元が信頼されていない	ファイルを保存するか、管理者に署名済みのスクリプトを共有してもらう。「詳細情報」から実行を許可することもできるが、組織ポリシーで禁止されている場合があるので注意
ランサムウェア保護によるスクリプトの隔離	フォルダーアクセス制御が有効で、スクリプトが保護されたフォルダーへの変更を試みると「許可されていない変更がブロックされました」と通知	ランサムウェア対策の制御されたフォルダーアクセスが原因	スクリプトがアクセスするフォルダーを管理者に伝え、許可リストへの追加を依頼する

管理者へ報告すべき情報と連絡のポイント

自己判断でセキュリティ設定を変更せず、管理者に状況を伝えることが重要です。以下の情報を整理して報告すると、問題が迅速に解決します。

1. スクリプトの入手元と目的:どのような業務で使用するのか、スクリプトの出所(社内共有フォルダ、インターネットダウンロード、メール添付など)、実行するコマンドの内容(可能であればスクリプトファイルそのもの)
2. エラーメッセージのスクリーンショット:エラーダイアログやWindowsセキュリティの通知画面をキャプチャして添付
3. イベントビューアーのログ:手順2で確認したPowerShellのOperationalログやWindows DefenderのOperationalログから、関連するイベントIDと日時をコピー
4. 保護履歴の詳細:「Windows セキュリティ」の保護履歴から、検出された脅威の名前、重大度、日時、実行されたアクションを記録
5. 実行ポリシーの設定値:Get-ExecutionPolicy -List の出力結果

管理者はこれらの情報をもとに、スクリプトの安全を確認した上で、グループポリシーの一時的な許可、Defenderの除外設定、または署名付きスクリプトの配布などの対応を取ります。

よくある質問(Q&A)

Q1: 実行ポリシーを「Bypass」に一時的に変更しても問題ありませんか?

A: 会社PCでは管理者権限が必要であり、かつグループポリシーで上書きされる可能性が高いです。また、セキュリティポリシー違反として懲戒対象になることもあります。絶対に行わないでください。管理者に依頼して承認を得た上で、必要な場合のみ一時的に変更してもらうのが正しい手順です。

Q2: スクリプトを右クリックから「PowerShellで実行」できないのはなぜですか?

A: これは実行ポリシー「Restricted」の場合に発生します。スクリプトファイルを右クリックしても「PowerShell で実行」が表示されない、またはクリックしてもエラーになります。Windows 10以降では、デフォルトで「.ps1」ファイルはメモ帳で開くようになっており、実行には明示的なPowerShell起動が必要です。

Q3: スクリプトが会社のEDRに誤検知されている疑いがあります。どうすればよいですか?

A: 誤検知の可能性がある場合、スクリプトのハッシュ値(SHA256)やファイルパスを管理者に伝え、ベンダーへの誤検知報告を依頼してください。Microsoft Defender for Endpointの場合、ポータルから「誤検知として報告」する機能がありますが、ユーザーは操作できません。勝手に除外リストに追加せず、必ず管理者経由で対応してください。

再発防止のためにできること

一度ブロックが解除された後も、同様のトラブルを避けるために以下の点に注意してください。

• スクリプトは社内の承認されたリポジトリから入手する:社内の共有フォルダや承認済みのGitリポジトリから取得することで、セキュリティソフトによる誤検知を減らせます。インターネットから直接ダウンロードしたスクリプトは特にブロックされやすいです。
• スクリプトにデジタル署名を付与してもらう:組織のコードサイニング証明書で署名されたスクリプトは、実行ポリシーがAllSignedでも実行可能になります。管理者に署名を依頼しましょう。
• スクリプトの内容を管理者に事前レビューしてもらう:スクリプトが安全であることを評価してもらい、必要に応じて例外ルールを設定してもらうことで、スムーズな運用が可能です。

これらの対策を講じてもトラブルが発生した場合は、本記事で紹介した手順に従って原因を切り分け、管理者へ正確な情報を伝えてください。

まとめとして、会社PCでPowerShellスクリプトが実行できない原因は、実行ポリシー、セキュリティソフトの検知、ネットワーク保護の3つが主です。自己判断で設定を変更せず、イベントログや保護履歴を確認した上で管理者に報告することが、業務を安全に進める最善の方法です。適切な報告により、管理者は誤検知の調整やポリシーの見直しを迅速に行えます。日頃からスクリプトの入手経路や署名状態に気を配ることで、再発を予防できます。

まとめ

PowerShellの実行制限は、スクリプトそのものの危険性だけでなく、署名、配布元、会社の実行ポリシーによって判断されます。実行を急いで制限を緩めず、表示されたエラー、対象ファイル、業務上の必要性を管理者へ伝えて、許可済みの配布方法を確認してください。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。