ＳＢＣステップアップ導入シュミレーション�気虜埜紊蓮∈２鸛枋蠅靴慎蚕儔鮴發任后�
��MicrosoftSharedComputerToolkitによる簡易的なSBCクライアントの方法
MicrosoftSharedComputerToolkitは、マイクロソフト社がWindowsXPを正規に利用する場合に限り利用することができるフリーのツールである。
主な機能は、２つに分けられる。
プロファイル制限機能とディスク保護機能である。
前者は、ユーザに利用させるアプリケーションを制限したり、アプリケーションの設定変更を制限することができる。後者は、ユーザが物理ディスクに対して変更を加えても再起動することによって元に戻すことができる機能である。
私が言う簡易SBCクライアントとは、
シンクライアントのようにするために、次のような設定をしたWindowsXPクライアントである。
１．必要最小限のアプリケーションしか利用させない
２．利用ユーザによる設定変更を禁止
３．物理・論理ドライブをすべて隠匿
４．外部記憶媒体の接続禁止
５．WindowsXPが利用するリソースを最低限にするために、必要最小限のインストールを行う。
→起動速度を向上させることで、ユーザのストレスを軽減
MicrosoftSharedComputerToolkitのプロファイル制限機能とディスク保護機能を最適に設定し、ローカルのグループポリシーを設定することでシンクライアントに近い利用をすることができる。
＜具体的な設定例＞
この設定は、私の最低限の推奨値です。
WindowsXPクライアントは、ドメインのメンバに入れずに、ローカルのユーザを共用する
ユーザ制限
◎ドライブの制限 すべてのドライブ
◎アイドル時間 運用にあわせて最低な時間に設定
◎プロファイルをロック
共有アカウントの推奨制限
◎[スタート]メニューの制限-クラッシック[スタート]メニューから[コントロールパネル]、[プリンタ]、[ネットワーク設定]を削除する
その他スタートメニューの制限
◎[AllUser]フォルダを[スタート]メニューに表示させない
◎[ヘルプとサポートアイコン]を削除
ディスク保護
有効にする
ローカルのグループポリシーの設定
グループポリシー（gpedit.msc）で設定する。
●ローカルコンピュータのポリシー−コンピュータの構成−Windowsの設定−ローカルポリシー−ユーザ権利
◎デバイスドライバのロードとアンロード→ローカルのAdministrator 以外は設定しない
●ローカルコンピュータのポリシー−ユーザの構成−管理テンプレート-Windowsコンポーネント−ターミナルサービス
◎スタートメニューからWindowsセキュリティ項目を削除→有効
◎[シャットダウン]ダイアログから[切断]オプションを削除する
●ローカルコンピュータのポリシー−コンピュータの構成−Windowsの設定−ローカルポリシー−セキュリティオプション
◎対話型ログオン：最後のユーザ名を表示しない→有効
●ローカルコンピュータのポリシー−ユーザの構成−管理テンプレート-デスクトップ
◎デスクトップ上のすべてのアイコンを非表示にし無効にする→有効
●ローカルコンピュータのポリシー−ユーザーの構成−管理用テンプレート−Windows コンポーネント−エクスプローラ
◎エクスプローラの既定のコンテキストメニューを削除する→有効
そのほか
●スタートメニューを必要に応じてカスタムする。
●フロッピーディスクドライブやCD-ROMドライブはデバイスマネージャで使用不可にすることを強くお勧めします。
最低限必要なものは、CPSにつなげるためのアプリケーションだけです。
�▲ぅ鵐拭璽優奪叛賤�SBCサーバの説解
インターネットに接続するSBCサーバを１台にし、イントラで利用するSBCサーバを隔離する。
→イントラで利用するSBCサーバは、外部との接続点がないため、よりセキュアな環境となる。
公開ディスクトップ上でインターネット接続アプリケーションを利用させるが、論理的に分離されているため、インターネットに接続するSBCサーバとイントラネットで利用するSBCサーバは相互にデータが行き交うことはない。また、それぞれに違うグループポリシーを設定することでインターネットの接続のみセキュリティを強力にすることができる。
�８�開デスクトップの概要
セキュアな環境を実現する設定方法の一例
１．デスクトップは、すべてのユーザ共通で個別の設定を許可しない。
→ユーザ共通化することによって、デスクトップにかかるリソースを最小限に抑える。
２．公開デスクトップでは、共用のネットワークドライブのみを利用させる。
→各ユーザ個別でファイルを保存させるのではなく、一定の場所に保存させることで情報統括を行う。
３．スタートメニューは、すべてのユーザ共通で個別の設定を許可しない。
→ユーザ共通化することによって、デスクトップにかかるリソースを最小限に抑える。
４．インターネットの接続は、許可しない。
→インターネットは、セキュリティを確保するため、公開デスクトップでは接続できないようにする。ただし、イントラで利用するIEを利用したグループウェアは許可する。インターネットの接続は、インターネット接続専用サーバを利用し、公開デスクトップ上でインターネットエクスプローラを公開して利用する。（イントラ用のIEとインターネット用のIEを区別して利用する。）
