ユーザーアカウント制御

ユーザーアカウント制御( UAC ) は、MicrosoftのWindows Vista ^[1]およびWindows Server 2008オペレーティングシステムで導入された強制的なアクセス制御強制機能であり、より緩和された^[2]バージョンがWindows 7、Windows Server 2008 R2、Windows 8、Windows Server 2012、Windows 8.1、Windows Server 2012 R2、Windows 10、およびWindows 11にも存在します。これは、管理者が権限の引き上げまたは昇格を許可するまでアプリケーションソフトウェアを標準ユーザー権限に制限することにより、 Microsoft Windowsのセキュリティを向上させることを目的としています。この方法では、ユーザーが信頼するアプリケーションのみが管理者権限を受け取ることができ、マルウェアがオペレーティングシステムを侵害するのを防ぎます。言い換えると、ユーザーアカウントに管理者権限が割り当てられている場合でも、事前に承認されるかユーザーが明示的に許可しない限り、ユーザーが実行するアプリケーションにはその権限が継承されません。

UAC は、強制整合性制御を使用して、異なる権限を持つ実行中のプロセスを分離します。権限の低いアプリケーションが権限の高いアプリケーションと通信する可能性を減らすために、別の新しいテクノロジであるユーザー インターフェイス権限分離がユーザー アカウント制御と組み合わせて使用​​され、これらのプロセスを互いに分離します。^{[3]このテクノロジの代表的な使用法の 1 つは、} Internet Explorer 7の「保護モード」です。 ^[4]

メインフレームやサーバーのオペレーティング システムでは、何十年も前からスーパーユーザーとユーザーランドが区別されてきました。これには明らかにセキュリティ コンポーネントがありますが、ユーザーが誤ってシステム設定を変更するのを防ぐという管理コンポーネントもあります。

初期の Microsoftホーム オペレーティング システム( MS-DOSやWindows 9xなど) には、同じマシン上で異なるユーザー アカウントを使用するという概念はありませんでした。Windows および Microsoft アプリケーションのその後のバージョンでは、管理者以外のユーザー ログオンの使用が推奨されましたが、一部のアプリケーションでは管理者権限が引き続き必要でした。管理者権限が必要なアプリケーションは、Microsoft では Windows 準拠として認定されません。このようなアプリケーションは、パッケージに Windows 準拠のロゴを使用できない場合があります。

• Windows 1.0～3.11およびWindows 9x :すべてのアプリケーションはオペレーティング システムと同等の権限を持っていました。
• Windows NTのすべてのバージョン( Windows XPおよびWindows Server 2003を含む) では、複数のユーザー アカウントが導入されましたが、実際にはほとんどのユーザーは通常の操作では管理者として機能し続けました。さらに、一部のアプリケーションでは、一部またはすべての機能が動作するためにユーザーが管理者である必要があります。^[5]
• Windows VistaおよびWindows Server 2008 : Microsoft は、まず制限付きユーザー アカウント(LUA) から Vista のセキュリティを開発し、その後、概念をユーザー アカウント保護(UAP) に改名し、最終的にユーザー アカウント制御 (UAC) をリリースしました。 ^[6] Windows Vistaで導入されたユーザー アカウント制御 (UAC) は、「必要な場合のスーパー ユーザー」を奨励するアプローチを提供します。UAC の鍵は、ユーザー コンテキストを変更せずに権限を昇格できることにあります (ユーザー「Bob」は依然としてユーザー「Bob」です)。常に、既存のアプリケーションとの互換性を損なわずに新しいセキュリティ機能を導入することは困難です。
  • 誰かが標準ユーザーとして Vista にログインすると、システムはログオン セッションを設定し、最も基本的な権限のみを含むトークンを割り当てます。このように、新しいログオン セッションでは、システム全体に影響するような変更を行うことはできません。
  • 管理者グループのメンバーシップを持つユーザーとしてログインすると、システムによって 2 つの個別のトークンが割り当てられます。最初のトークンには、通常管理者に付与されるすべての権限が含まれ、2 つ目のトークンは標準ユーザーが受け取るものと同様の制限付きトークンです。
    • Windows シェルを含むユーザー アプリケーションは、制限されたトークンで起動するため、管理者アカウントで実行している場合でも、権限が低下した環境になります。
    • アプリケーションがより高い権限を要求するか、ユーザーが「管理者として実行」オプションを選択すると、UAC は標準ユーザーに管理者アカウントの資格情報を入力するよう求め、管理者に確認を求め、同意が得られれば、無制限のトークンを使用してプロセスを続行または開始します。^[7]
• Windows 7およびWindows Server 2008 R2 : Microsoft は、ユーザー アカウント制御設定を変更するためのユーザー インターフェイスを組み込み、新しい通知モードである既定の設定を導入しました。既定で​​は、 %SystemRoot%に保存され、Microsoft によってデジタル署名されたプログラムを通じて、昇格されたアクセス許可を必要とする Windows 設定を変更する場合、UAC は同意を求めません。実行にアクセス許可を必要とするプログラムでは、引き続きプロンプトが表示されます。新しい UI で変更できるその他のユーザー アカウント制御設定は、 Windows Vista のレジストリからアクセスできた可能性があります。 ^[8]
• Windows 8 / 8.1およびWindows Server 2012 / R2 :デザイン変更を追加します。UAC がトリガーされると、デスクトップが暗くなると、すべてのアプリケーションとタスクバーが非表示になります。
• Windows 10およびWindows Server 2016 - 2022 :初期バージョンは、 Windows 8および8.1と同じレイアウトです。Anniversary Update (このアップデートに基づく Windows Server 2016 を含む) では、よりモダンな外観が追加され、ダーク モードもサポートされます。また、Windows 10では、ユーザー アカウント制御ダイアログ ボックスでWindows Helloのサポートが追加されます
• Windows 11およびWindows Server 2025 : Windows 10の以降のバージョンとほぼ同じレイアウトですが、オペレーティング システムの他の部分の新しい外観と操作感に合わせて視覚的な変更が加えられています。

管理者権限を必要とするタスクは、UAC プロンプトをトリガーします (UAC が有効になっている場合)。通常、これらのタスクは、Windows ロゴの 4 色のセキュリティ シールド アイコン (Vista および Windows Server 2008) または黄色と青の 2 つのパネル (Windows 7、Windows Server 2008 R2 以降) でマークされます。実行可能ファイルの場合、アイコンにはセキュリティ シールド オーバーレイが表示されます。次のタスクには管理者権限が必要です: ^{[9] [10]}

• 管理者としてアプリケーションを実行する
• システム全体の設定の変更
• 標準ユーザーに権限がないフォルダー内のファイルの変更 (ほとんどの場合、%SystemRoot% や %ProgramFiles% など)
• アクセス制御リスト（ACL）の変更（一般的にファイルまたはフォルダのアクセス許可と呼ばれる）
• 次の外部でのアプリケーションのインストールとアンインストール:
  • % USERPROFILE% (例: C:\Users\{ログインしているユーザー}) フォルダーとそのサブフォルダー。
    • ほとんどの場合、これは %APPDATA% にあります。(例: C:\Users\{ログインしているユーザー}\AppData) デフォルトでは、これは隠しフォルダーです。
      • ChromeとFirefoxのインストーラーはインストール中に管理者権限を要求します。管理者権限が付与された場合、Chrome は Program Files フォルダーにインストールされ、すべてのユーザーが使用できるようになります。管理者権限が付与されなかった場合、Chrome は %APPDATA% フォルダーにインストールされ、現在のユーザーのみが使用できるようになります。
  • Microsoftストア。
  • インストーラーのフォルダーとそのサブフォルダー。
    • Steam はゲームを /steamapps/ サブフォルダにインストールするため、UAC は表示されません。一部のゲームでは前提条件のインストールが必要であり、UAC が表示される場合があります。
• デバイスドライバーのインストール
• ActiveXコントロールのインストール
• Windows ファイアウォールの設定の変更
• UAC設定の変更
• Windows Updateの構成
• ユーザーアカウントの追加または削除
• ユーザーのアカウント名または種類の変更
• ゲスト アカウントを有効にする (Windows 7 から 8.1)
• ネットワーク探索、ファイルとプリンターの共有、パブリックフォルダーの共有をオンにする、パスワード保護された共有をオフにする、またはメディアストリーミングをオンにする
• ペアレンタルコントロール（Windows 7）またはファミリーセーフティ（Windows 8.1）の設定
• タスクスケジューラの実行
• フォルダとファイルのバックアップと復元
• ネットワークロケーションの結合と削除
• リモート アクセス設定でログをオンまたは消去する
• 色補正の実行
• リモート、システム保護、または高度なシステム設定の変更
• バックアップしたシステムファイルの復元
• 他のユーザーのフォルダやファイルの表示または変更
• ディスク デフラグ、システムの復元、またはWindows 転送ツールの実行(Windows 7 から 8.1)
• レジストリエディターの実行
• Windows エクスペリエンス インデックス評価の実行
• オーディオの録音と再生、ハードウェア/デバイス、電力使用のトラブルシューティング
• 電源設定を変更し、Windows の機能をオフにし、プログラムをアンインストール、変更、修復する
• 日付と時刻を変更し、インターネットタイムサーバーと同期する
• 表示言語のインストールとアンインストール
• 簡単操作の管理設定を変更する

タイムゾーンの変更などの一般的なタスクには管理者権限は必要ありません^[11] (ただし、システム時刻の変更自体は、Kerberosなどのセキュリティプロトコルで一般的に使用されているため、必要です)。重要な Windows 更新プログラムのインストールなど、以前のバージョンの Windows で管理者権限が必要だった多くのタスクは、Vista では管理者権限を必要としません^[12] 。MSI または MSU パッケージを除き、アイコンを右クリックして [管理者として実行] をクリックすることで、すべてのプログラムを管理者として実行できます。MSI または MSU パッケージは、その性質上、管理者権限が必要な場合は通常プロンプトが表示されます。これが失敗した場合、唯一の回避策は、管理者としてコマンドプロンプトを実行し、そこから MSI または MSP パッケージを起動することです。

ユーザー アカウント制御は、セキュア デスクトップモードで資格情報を要求します。このモードでは、画面全体が一時的に暗くなり、Windows Aero が無効になり、認証ウィンドウのみが最大輝度になり、昇格ユーザー インターフェイス (UI) のみが表示されます。通常のアプリケーションは、セキュア デスクトップと対話できません。これにより、昇格要求の上に別のテキストやグラフィックを重ねたり、マウス ポインターを調整してユーザーが意図していない確認ボタンをクリックしたりするなどのなりすましを防ぐことができます。^[13]最小化されたアプリケーションから管理アクティビティが発生した場合、セキュア デスクトップ要求も最小化され、フォーカスが失われるのを防ぎます。セキュア デスクトップを無効にすることは可能ですが、セキュリティの観点からはお勧めできません。^[14]

以前のバージョンの Windows では、ユーザーが管理者権限で実行されることを前提として作成されたアプリケーションは、制限されたユーザー アカウントから実行すると問題が発生していました。これは、多くの場合、マシン全体またはシステム ディレクトリ ( Program Filesなど) やレジストリ キー (特にHKLM ) への書き込みを試行したためです。^{[5] UAC は}、ファイルとレジストリの仮想化を使用してこの問題を軽減しようとします。これは、書き込み (およびそれに続く読み取り) をユーザー プロファイル内のユーザーごとの場所にリダイレクトします。たとえば、アプリケーションが、ユーザーが書き込み権限を持たない "C:\Program Files\appname\settings.ini" などのディレクトリに書き込もうとすると、書き込みは "C:\Users\username\AppData\Local\VirtualStore\Program Files\appname\settings.ini" にリダイレクトされます。リダイレクト機能は、昇格されていない 32 ビット アプリケーションにのみ提供され、特定の権限を要求するマニフェストが含まれていない場合に限ります。^[15]

UACには設定可能な項目が多数あり、以下のことが可能です。^[16]

• セキュリティ強化のため、管理者にパスワードの再入力を要求する。
• セキュリティを強化するために、認証プロセスの一環としてユーザーにCtrl + Alt + Del キーを押すように要求します。
• ファイルとレジストリの仮想化のみを無効にする^[17]
• 管理者承認モード(管理者向けの UAC プロンプト) を完全に無効にします。これにより UAC 確認ダイアログは無効になりますが、Windows の組み込みLUA機能は無効にならないことに注意してください。つまり、管理者としてマークされているユーザーであっても、実際の管理者アクセス権を持たない制限付きユーザーのままです。

管理者権限で実行されているコマンドプロンプトウィンドウのタイトルには「管理者」という単語が付けられ、ユーザーはどのインスタンスが管理者権限で実行されているかを識別できます。^[18]

署名された実行ファイルと署名されていない実行ファイルからの昇格要求は区別され、前者の場合は発行元が「Windows Vista」であるかどうかが区別されます。プロンプトの色、アイコン、および文言はそれぞれの場合で異なります。たとえば、実行ファイルが署名されていない場合は、署名されていない場合よりも強い警告を伝えるように努めます。^[19]

Internet Explorer 7の「保護モード」機能は、UAC を使用して「低」の整合性レベルで実行します (標準ユーザー トークンの整合性レベルは「中」、昇格された (管理者) トークンの整合性レベルは「高」です)。そのため、実質的にはサンドボックス内で実行され、UAC による昇格なしではシステムのほとんどの部分 (Temporary Internet Files フォルダーを除く) に書き込むことができません。^{[7] [20]} ツールバーと ActiveX コントロールは Internet Explorer プロセス内で実行されるため、同様に低い権限で実行され、システムに与えることができる損害は大幅に制限されます。^[21]

プログラムは、さまざまな方法で昇格を要求できます。プログラム開発者が行う方法の 1 つは、manifestと呼ばれる XML ドキュメントに、requestedPrivileges セクションを追加し、それをアプリケーションに埋め込むことです。manifest では、依存関係、ビジュアル スタイル、適切なセキュリティ コンテキストを指定できます。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?> 
<assembly xmlns= "urn:schemas-microsoft-com:asm.v1" manifestVersion= "1.0" > <trustInfo xmlns= "urn:schemas-microsoft-com:asm.v2" > <security> <requestedPrivileges> <requestedExecutionLevel level= "highestAvailable" /> </requestedPrivileges> </security> </trustInfo> </assembly>  
   
    
      
          
      
    
  

requestedExecutionLevel のレベル属性を「asInvoker」に設定すると、アプリケーションは起動したトークンで実行され、「highestAvailable」に設定すると管理者に対して UAC プロンプトが表示され、標準ユーザーに対しては通常の制限された権限で実行され、「requireAdministrator」に設定すると昇格が必要になります。^[22] highestAvailable モードと requireAdministrator モードの両方で、確認を行わないとプログラムは起動されません。

マニフェストで" " としてマークされている実行可能ファイルはrequireAdministrator、 を使用して非昇格プロセスから起動することはできませんCreateProcess()。 代わりに、ERROR_ELEVATION_REQUIREDが返されます。ShellExecute()または をShellExecuteEx()代わりに使用する必要があります。 がHWND指定されていない場合、ダイアログはタスクバーに点滅する項目として表示されます。

実行可能ファイルのマニフェストを調べて昇格が必要かどうかを判断することは推奨されません。他の理由（セットアップ実行可能ファイル、アプリケーションの互換性）で昇格が必要になる場合があるためです。ただし、 を使用してパラメータを にCreateProcess()設定することで、実行可能ファイルに昇格が必要かどうかをプログラムで検出することは可能です。昇格が必要な場合は、が返されます。^[23]昇格が不要な場合は、成功の戻りコードが返され、その時点で新しく作成され中断されたプロセスで を使用できます。ただし、実行可能ファイルが既に昇格されたプロセスで実行されている場合は、これによって実行可能ファイルに昇格が必要であることを検出することはできません。 dwCreationFlagsCREATE_SUSPENDEDERROR_ELEVATION_REQUIREDTerminateProcess()

昇格された権限を持つ新しいプロセスは、" " 動詞を使用して .NET アプリケーション内から生成できます。C #runasを使用した例:

System . Diagnostics . Process proc = new System . Diagnostics . Process (); proc . StartInfo . FileName = "C:\\Windows\\system32\\notepad.exe" ; proc . StartInfo . Verb = "runas" ; // アプリケーションを昇格しますproc . StartInfo . UseShellExecute = true ; proc . Start ();    
  
   
  

ネイティブWin32アプリケーションでは、同じ「 」動詞をor呼び出しrunasに追加することができます: ^[7]ShellExecute()ShellExecuteEx()

ShellExecute ( hwnd 、"runas" 、"C: \\ Windows \\ Notepad.exe" 、0 、0 、SW_SHOWNORMAL );     

アプリケーションが要求する権限を指定した特定の指示がない場合、UAC はヒューリスティックを適用して、アプリケーションに管理者権限が必要かどうかを判断します。たとえば、ファイル名、バージョン管理フィールド、実行可能ファイル内の特定のバイトシーケンスの存在などの手がかりから、UAC がアプリケーションがセットアッププログラムであることを検出した場合、マニフェストがない場合、アプリケーションには管理者権限が必要であると想定します。^[24]

UACは便利な機能であり、セキュリティ境界を導入したり、マルウェアの実行を防いだりするものではありません。^{[25] [26] [27] [28]}

レオ・デイビッドソンは、マイクロソフトがWindows 7で約70のWindowsプログラムをUACプロンプトの表示から除外することでUACを弱体化させたことを発見し、権限昇格の概念実証を提示した。^[29]

Stefan Kanthakは、UACのインストーラー検出とIExpressインストーラーを介した権限昇格の概念実証を発表しました。^[30]

ステファン・カンタック氏は、UACの自動昇格とバイナリプランティングによる任意のコード実行と権限昇格の概念実証を発表しました。 ^[31]

UAC 通知により、 Windows Vistaへのソフトウェアの初期インストールなど、コンピュータ上のさまざまなタスクが遅くなるという苦情がありました。^[32] ソフトウェアのインストール中に UAC をオフにして、後で再度有効にすることができます。^[33] ただし、ファイルとレジストリの仮想化はUAC がオンの場合にのみアクティブになるため、UAC をオフにすると、ユーザー設定と構成ファイルが別の場所 (ユーザー固有のディレクトリではなくシステム ディレクトリ) にインストールされる可能性があるため、これはお勧めできません。^[14] また、Internet Explorer 7の「保護モード」は、ブラウザーが標準ユーザーよりも低い権限でサンドボックス内で実行されるもので、UAC に依存しており、UAC が無効になっていると機能しません。^[20]

ヤンキー グループのアナリスト、アンドリュー ジャキスは、Vista がリリースされる 6 か月前に、「新しいセキュリティ システムは有望ではあるが、あまりにもおしゃべりで迷惑だ」と発言しました。^[34] 2006 年 11 月に Windows Vista がリリースされるまでに、マイクロソフトはUAC プロンプトをトリガーするオペレーティング システムタスクの数を大幅に削減し、ファイルとレジストリの仮想化を追加して、 UAC プロンプトをトリガーするレガシーアプリケーションの数を減らしました。^[5]しかし、マイクロソフトの製品ユニット マネージャーであるデビッド クロスは、RSA カンファレンス2008 で、UAC は実際には「ユーザーを困らせる」ために設計されており、独立系ソフトウェア ベンダーは UAC プロンプトがトリガーされないようにプログラムをより安全にするよう強いられると述べました。^[35] Windows XP用に作成されたソフトウェアや多くの周辺機器は、UAC の導入で行われた大幅な変更により、Windows Vista や 7 では動作しなくなりました。互換性オプションも不十分でした。これらの批判に応えて、マイクロソフトはWindows 7で UAC の動作を変更しました。たとえば、デフォルトでは、コントロール パネル アプレットの操作など、マウスとキーボードのみで開始される多くのアクションについて、ユーザーに確認を求めるプロンプトは表示されません。

ニューヨークタイムズのガジェットワイズライター、ポール・ブーティンは、物議を醸した記事の中で「Vistaの過保護なユーザーアカウント制御をオフにしてください。これらのポップアップは、あなたが仕事をしている間、母親が肩越しに見ているようなものです」と述べている。 ^[36]コンピュータワールドのジャーナリスト、プレストン・グララは、ニューヨークタイムズの記事を「...これまでに発行された最悪の技術アドバイスの1つ」と評した。^[37]

• 権限認証機能の比較
• Windows Vista の新機能
• ポルキット
• ルナス
• セキュア アテンション キー(SAK)
• Windows Vista の新機能であるセキュリティと安全性の機能
• sudo – UNIX系オペレーティングシステムの同様の機能

• Windows 7 で UAC をオンまたはオフにする
• Windows 7、Windows Server 2008、Windows Server 2008 R2、Windows Vista の UAC に関するドキュメント
• UAC の理解と構成の詳細については、Microsoft Technet をご覧ください。
• ユーザー アカウント制御の互換性に関する開発要件の詳細については、Microsoft Developer Network を参照してください。
• UAC チームブログ