【Windows】WDACで署名のない社内ツールが開けない時の対処法

会社のWindows PCで、普段使っている社内ツールが突然「このアプリはシステム管理者によってブロックされました」と表示されて起動できなくなった経験はありませんか。この現象は、Windows Defender Application Control(WDAC)によるアプリケーション制御が原因であることが多いです。WDACは、企業のセキュリティポリシーに基づいて署名のないアプリや未承認のツールの実行を防ぐ機能ですが、正規の社内ツールであっても署名が不足しているとブロックされてしまいます。本記事では、WDACによって署名のない社内ツールが開けない時の原因の切り分け方と、管理者に適切に依頼するための具体的な手順を解説します。

1. WDACとは何か – AppLockerとの違い

WDACはWindows 10/11 EnterpriseやEducationエディションで利用できるセキュリティ機能で、カーネルレベルでアプリケーションの実行を制御します。一方、AppLockerは従来からあるアプリケーション制御機能で、ユーザーモードで動作します。両者は併用されることもありますが、WDACの方がより強固な制御が可能です。

WDACとAppLockerの比較

項目	WDAC	AppLocker
制御の深さ	カーネルレベル(ブート時から適用)	ユーザーモード(ログオン後)
ポリシー形式	XMLバイナリ(.p7b)	GPO / ローカルセキュリティポリシー
署名要件	EFI / SHA-256 ハッシュ / 発行元証明書	パス / ハッシュ / 発行元証明書
ブロック対象	実行可能ファイル、DLL、スクリプト、インストーラー	実行可能ファイル、スクリプト、インストーラー(DLLは非対応)
主なエラーメッセージ	「このアプリはシステム管理者によってブロックされました」	「このプログラムはグループポリシーによりブロックされています」

両者とも署名のないアプリをブロックしますが、WDACの方が厳格で、特にカーネルドライバやシステムコンポーネントにも影響します。そのため、署名のない社内ツールがWDACでブロックされるケースが増えています。

2. ツールが開けない原因を切り分ける手順

まずは、現象が本当にWDACによるものかどうかを確認します。以下の手順で切り分けてください。

1. イベントビューアーを開きます(Windowsキー + R → eventvwr.msc)。
2. 「アプリケーションとサービス ログ」→「Microsoft」→「Windows」→「CodeIntegrity」→「Operational」を選択します。
3. 直近のエラーイベント(レベル:エラー、ID:3076 または 3077)をダブルクリックします。
4. イベントの詳細から「ファイル名」や「ハッシュ値」を確認します。ブロックされたツールのパスが表示されていれば、WDACによるブロックです。
5. もし上記のログが見つからない場合、AppLockerのログ(Applications and Services Logs/Microsoft/Windows/AppLocker/EXE and DLL)も確認します。

また、タスクマネージャーで該当ツールのプロセスが一瞬表示されて消える場合もWDACによるブロックの可能性があります。

エラーメッセージの種類

ブロック時に表示されるエラーメッセージはWDACとAppLockerで異なります。WDACの場合は「このアプリはシステム管理者によってブロックされました」というタイトルのダイアログが表示され、詳細ボタンを押すと「Windows Defender Application Control によってブロックされました」と表示されます。AppLockerの場合は「このプログラムはグループポリシーによりブロックされています」というメッセージが一般的です。

3. 管理者に依頼する前に確認すべきこと

管理者に連絡する前に、以下の情報を自分で確認しておくとスムーズです。

• ツールの提供元と署名の有無: ツールのプロパティ → デジタル署名タブで署名が表示されるか確認します。署名がない場合、WDACの「署名済みのみ許可」ポリシーでブロックされます。
• イベントログのスクリーンショット: 手順2で確認したイベントIDと詳細をキャプチャしておきます。
• ツールのバージョンとインストール場所: 通常はProgram Filesやカスタムフォルダにインストールされているはずです。
• 使用しているWindowsのエディション: Win + Pause で「システム」を開き、エディションを確認します。WDACはEnterprise/Education限定の機能ですが、最近ではProでも一部利用可能です。

これらの情報をまとめて管理者に伝えることで、ポリシーの調整が迅速に行われます。

4. 許可を得るための具体的な申請フロー

管理者にWDACの許可を依頼する際の一般的な流れを紹介します。自社のルールに合わせて調整してください。

1. 情報システム部門の問い合わせ窓口を確認します(社内ポータル、ヘルプデスク、チケットシステムなど)。
2. 「WDACでアプリがブロックされている」と明記し、以下の情報を添えて依頼します。
   – ツールの正式名称
   – ファイルの完全パス(例:C:\Program Files\MyTool\mytool.exe)
   – イベントログのスクリーンショット(イベントIDとファイルハッシュ)
   – ツールのベンダーまたは開発元(署名がない場合はその旨)
3. 管理者がポリシーにハッシュ許可ルールまたは署名者ルールを追加するのを待ちます。
4. ポリシーが適用されたら、PCを再起動してツールが起動できるか確認します。
5. もしそれでもブロックされる場合、再度イベントログを確認し、管理者に連絡します。

申請時に必要な情報の例

項目	内容例
アプリ名	社内経理ツール v3.2
ファイルパス	C:\Program Files (x86)\FinanceApp\finance.exe
発行元	(署名なし)
SHA-256ハッシュ	A1B2C3D4E5F6…
イベントID	3076

5. よくある失敗パターンと注意点

自分で解決しようとして陥りがちな失敗例を紹介します。

失敗パターン1: 管理者権限で実行する

「管理者として実行」してもWDACはカーネルレベルでブロックするため、回避できません。むしろ、管理者権限を悪用したとみなされてセキュリティ監査の対象になる可能性があります。

失敗パターン2: ファイルを別の場所にコピーする

WDACはハッシュベースでブロックするため、コピーしてもハッシュは同じなのでブロックされます。また、ポリシーが「許可されたパスのみ」というルールの場合、コピー先のパスが許可されていなければ同様にブロックされます。

失敗パターン3: 互換性モードや以前のバージョンを使う

互換性設定や古いバージョンも、同じハッシュまたは署名がない限りブロックされます。むしろ、古いツールは脆弱性があるため、セキュリティポリシーで厳しく制限される傾向があります。

注意点: 自己署名証明書を発行して署名する

技術的に可能ですが、エンタープライズCAが発行した証明書でなければWDACの信頼ルートに追加されていないため、ブロックされます。勝手に証明書をインストールするとセキュリティリスクになるので、必ず管理者に相談してください。

6. よくある質問(FAQ)

Q1: WDACとAppLockerが両方有効な場合、どちらのルールが優先されますか?

通常、WDACのポリシーが先に評価されます。WDACで許可されていないアプリはAppLockerまで到達する前にブロックされるため、AppLockerの許可ルールは無視されます。両方を管理している場合は、WDACとAppLockerの両方で許可設定が必要になることがあります。

Q2: 社内ツールに署名を追加してもらえばブロックされなくなりますか?

はい、可能性があります。ただし、その署名がWDACの信頼された署名者リストに含まれている必要があります。通常はマイクロソフトのコードサイニング証明書や、組織の内部CAが発行した証明書が信頼されます。ベンダーに依頼してコードサイニング証明書で署名してもらうか、管理者がポリシーでその署名者を許可する必要があります。

Q3: イベントログに3076が表示されない場合、原因は何ですか?

AppLockerが原因である可能性があります。AppLockerのログ(Applications and Services Logs/Microsoft/Windows/AppLocker)を確認してください。また、そもそもWDACが有効でない場合もあります。PowerShellで「Get-CIPolicy」を実行してポリシーが存在するか確認できます。

Q4: 自宅のPCでは動くのに会社PCで動かないのはなぜですか?

自宅PCにはWDACが適用されていないためです。会社PCにはセキュリティポリシーとしてWDACが設定されており、署名のないアプリは実行できません。逆に、自宅PCで動くからといって会社PCでも動くとは限りません。

7. まとめ

WDACで署名のない社内ツールがブロックされた場合、自分で回避しようとせず、まずはイベントログで原因を特定し、管理者に正確な情報を伝えて許可を依頼することが最も確実な対処法です。自己流の回避策はセキュリティポリシー違反になるリスクがあるため、絶対に行わないでください。正しい手順を踏めば、ツールの利用が再開されるまでの時間も短縮できます。永続的な解決には、社内ツールにコードサイニング署名を付与することを検討するとよいでしょう。

💻

Windowsトラブル完全解決データベース 起動不能、更新の不具合、動作が重い、設定の消失など、Windows 10/11のあらゆるトラブル解決手順を網羅しています。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。