> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# App Blocking Library Item を構成する
> App Blocking Library Item のリストと強制ルールを構成して、管理対象の Mac コンピュータ、Windows コンピュータ、Android デバイスで特定のアプリケーションの実行をブロックします。
この Library Item は Mac コンピュータ、Windows コンピュータ、Android デバイスで利用できます
**App Blocking** Library Item を使用すると、**macOS**、**Windows**、**Android** デバイスでアプリケーションの実行をブロックできます。ユーザーがブロックされたアプリケーションを開こうとすると、起動が阻止されます。macOS では、アプリはただちに終了し、ブロックメッセージが表示されます。Windows では、ブロックは **AppLocker** によって実行されます。**Android Work Profile** 登録では、App Blocking は**個人用プロファイル**にのみ適用されます。ブロックされたパッケージ名がインストールされている場合、Android はそのプロファイルからそれらを削除します。管理対象の **Work Profile** は別途処理されます。仕事用アプリは、App Blocking ではなく **Managed Google Play** を通じて展開および更新してください。
**iOS** または **iPadOS** デバイスでアプリをブロックするには、代わりに [Apple Restrictions Library Item](/ja/endpoint/library/library-items-profiles/configure-the-restrictions-library-item) を使用してください。
2025 年 1 月 8 日以降、App Blocking は **App Blocking** Library Item を使用して構成します。これは、**macOS** 向けの以前の Application Blocking Parameter に代わるものです。すでにこの Parameter を含む Blueprint は引き続き編集できますが、まだこの Parameter を含まない Blueprint に追加することはできません。
## App Blocking Library Item を作成する
この Library Item を Iru Endpoint Library に追加するには、[Library の概要](/ja/endpoint/library/library-items-profiles/library-overview)の記事に記載されている手順に従ってください。
**Library** に移動し、**Library Item を追加** を選択します。
**App Blocking** を検索して選択します。
Library Item に **名前** を付けます。
**インストール先** で、1 つ以上のプラットフォーム(**Apple**、**Windows**、**Android**)を選択します。
Library Item を 1 つ以上の **Blueprints** に割り当てます。
Library Item では、ブロックの設定は **Apple only settings**、**Windows only settings**、**Android only settings** のセクションに分かれているため、各プラットフォームをそれぞれの領域で構成します。
## プラットフォーム別の構成
### Mac の設定
**macOS** では、App Blocking は構成した識別子に照らして実行中のアプリケーションを評価します。起動がブロックルールに一致すると、アプリはただちに停止し、ユーザーには Library Item のブロックメッセージ(およびオプションの **Learn More** リンク)が表示されます。
**Apple only settings** を展開し、ネストされた **Mac only settings** セクションを開いて、プロセス識別子、一致タイプ、オプションのブロック通知を構成します。
ブロックするプロセス、パス、デベロッパ ID、またはバンドル ID を構成します。
目的の **Match type** を選択します。
* **Contains:** 文字列を含むものに一致します。
* **Exact:** 指定した文字列と完全に一致するものに一致します。
* **Regex:** [Swift regex](https://developer.apple.com/documentation/swift/regex) 構文を使用した正規表現に基づいて一致します。
正規表現は慎重に使用してください。広く展開する前に実装をテストしてください。
必要に応じて、アプリケーションがブロックされたときにユーザーに表示されるメッセージ、ボタンのタイトル、ボタンの URL をカスタマイズします。
**保存** を選択します。
### デバイスレコードからアプリケーションをブロックする(macOS)
ブロックリストへの項目の追加は、個々の **macOS** デバイスレコードから実行することもできます。これらの更新は、既存の App Blocking Library Item に追加することも、新しく作成することもできます。
Iru Endpoint にログインし、ブロックしたいアプリケーションがインストールされている**デバイスレコード**を開きます。
**アプリ** **タブ**を選択し、対象の**アプリケーション**を探します。
アプリケーションの右側にある **More (...)** ボタンを選択し、"**Block Application**" を選択します。
**Add rule** **to the following Library Item(s)** ドロップダウンを選択し、Library Item を選択するか、入力して新しく作成します。
ブロックルールを受け取る目的の **Blueprint** を選択し、必要に応じて**識別子をカスタマイズ**します。
**作成** を選択します。
### 例:macOS アプリのバンドル ID を確認する
macOS アプリのバンドル ID を確認するには、ターミナルで **codesign** コマンドを使用し、`/path/to/yourapp.app` を目的のアプリケーションのパスに置き換えます。
```bash theme={null}
codesign -dr - /path/to/yourapp.app
```
このコマンドの出力には、Team ID、Bundle ID、Code Requirement などのアプリに関する情報が含まれており、[Privacy Library Item](/ja/endpoint/library/library-items-profiles/configure-the-privacy-library-item) を作成する際に役立ちます。Bundle ID は通常、出力の末尾の **identifier** という語の後にあります。以下の出力例では、Keynote の Bundle ID は **com.apple.iWork.Keynote** です。
```text theme={null}
identifier=com.apple.iWork.Keynote
```
### ユーザーエクスペリエンス
* Mac では、ブロックされたアプリを開こうとしたユーザーに、構成したブロックメッセージが表示されます。
* **Learn More** ボタンを構成した場合、ユーザーはそれを選択して指定した URL に移動できます。詳細については、[アプリケーションブロックのユーザーエクスペリエンス](/ja/endpoint/library/library-items-profiles/application-blocking-user-experience)の記事を参照してください。
### Windows の設定
**Windows** では、App Blocking は **AppLocker** を使用してルールを強制します。実行可能ファイルがブロックルールに一致すると起動できなくなります。動作は、構成したルールタイプについての AppLocker の動作に従います。
**Windows only settings** で、AppLocker を使用してアプリケーションのブロックを構成できます。
* **署名されていないすべてのアプリをブロック**
署名されていないすべてのアプリケーションの実行を防止します。必要に応じて例外を追加できます。
* **ブロックするアプリを構成**
名前、ファイルパス、または発行元でブロックする特定のアプリを追加します。
* **App name**:参照用のわかりやすい名前。
* **Block**:ブロックするファイルの種類を選択します。
* EXEs
* スクリプト
* MSIs
* Store アプリ
* すべての種類
* **Block method**:Iru Endpoint がルールを評価する方法(発行元、パス、または SHA256 ファイルハッシュ)を定義します。
AppLocker の詳細については、Microsoft の [AppLocker ドキュメント](https://learn.microsoft.com/en-us/windows/security/application-security/application-control/app-control-for-business/applocker/applocker-overview)を参照してください。
### ブロックルール用のファイル詳細を収集する
**Configure apps to block** でルールを追加する場合、**発行元**、**パス**、**SHA256 file hash** のブロック方式には、AppLocker が想定する値と一致する値が必要です。最も確実な方法は、アプリケーションがすでにインストールされている参照用コンピュータで、ブロックする実行可能ファイルのフルパスを使用して PowerShell コマンドレットを実行することです。
PowerShell を開き、次を実行します。
```powershell get-applocker-file-information.ps1 theme={null}
Get-AppLockerFileInformation -Path "C:\Full\Path\To\application.exe" | Format-List
```
引用符内のパスを、調べたいファイルのフルパスに置き換えます。
このコマンドは、**パス**(`%PROGRAMFILES%` などの環境変数で表されることが多い)、**発行元**、**Hash**(SHA256)、および **AppX**(Microsoft Store 形式のパッケージの場合は `True` または `False`)を返します。
たとえば、`C:\Program Files\FooDev\Foo\Application\foo.exe` にインストールされている架空のアプリを調べるには、次のようにします。
```powershell get-applocker-file-information-foo.ps1 theme={null}
Get-AppLockerFileInformation -Path "C:\Program Files\FooDev\Foo\Application\foo.exe" | Format-List
```
出力例:
```text applocker-file-information-foo.txt lines theme={null}
Path : %PROGRAMFILES%\FOODEV\FOO\APPLICATION\FOO.EXE
Publisher : O=FOO DEV, L=MIAMI, S=FLORIDA, C=US\FOO\FOO.EXE,1.2.3.4
Hash : SHA256 0x637694332FEA4D87154635D02D7EE525F734D2B20AA1DB686B357A2511C2D4CE
AppX : False
```
### 発行元ブロック方式を使用してアプリケーションをブロックする
App Blocking Library Item で **発行元** ルールを作成するには、コマンドレットの出力から **発行元** の値をコピーし、AppLocker が証明書のサブジェクトと場所のフィールドのみ(最初のバックスラッシュより前のすべて)に一致するように切り詰めます。
1. [ブロックルール用のファイル詳細を収集する](#gather-file-details-for-block-rules)と同様に、実行可能ファイルのフルパスを指定して `Get-AppLockerFileInformation` を実行し、`Format-List` にパイプします。
2. 出力の **発行元** 行を探します。先頭から最初のバックスラッシュ(`\`)の**前**の文字までの文字列をコピーします。
3. Iru Endpoint で App Blocking Library Item を開きます。
4. **Windows only settings** を展開し、**Configure apps to block** を有効にします。
5. ルールを追加または編集し、**Block method** を **発行元** に設定して、切り詰めた値を **発行元** に貼り付けます。
上記のサンプルの **発行元** の値の場合:
```text theme={null}
O=FOO DEV, L=MIAMI, S=FLORIDA, C=US\FOO\FOO.EXE,1.2.3.4
```
最初のバックスラッシュより前の部分のみを使用します。
```text theme={null}
O=FOO DEV, L=MIAMI, S=FLORIDA, C=US
```
切り詰めた文字列をルールの **発行元** フィールドに入力します(たとえば、**発行元** がその値に一致する場合に **All types** をブロックするルール)。
**発行元** ルールは、調べた実行可能ファイルだけでなく、同じ発行元情報を持つすべてのアプリケーションをブロックします。たとえば、発行元 **Foo Dev** のある製品をブロックすると、同じ発行元文字列を共有している場合、関連する同期クライアントなど、同じ発行元の別の製品もブロックされる可能性があります。
### ユーザーエクスペリエンス
* Windows では、ブロックされたアプリは AppLocker の動作に従って起動に失敗します。
### Android の設定
**Android only settings** で、パッケージ名でアプリケーションをブロックできます。
* **Blocked app name**:参照用のオプションの表示名。
* **Package Name**:Android アプリの必須の一意識別子。
アプリがすでに**個人用プロファイル**にインストールされている場合、ポリシーが適用されると Android はそれを削除します。
Android Enterprise では、[Work Profile のある会社所有デバイス](https://developers.google.com/android/management/provision-device#company-owned_devices_for_work_and_personal_use)で特定の**個人使用**コントロールが許可されています。これには、ほとんどのポリシーが **Work Profile** にスコープされたまま、**個人用プロファイル**で指定したアプリをブロックすることが含まれます([個人使用ポリシー](https://developers.google.com/android/management/policies/work-profile#personal_usage_policies))。App Blocking Library Item はこのパターンを使用しており、Work Profile ではなく個人用プロファイルを対象とします。仕事用アプリは、**Managed Google Play** を通じてインストール、更新、削除されます。
Android アプリのパッケージ名(例:Google Chrome の場合は `com.android.chrome`)を確認するには:
* Web で `[app name] package name` を検索する
* アプリの Google Play URL を使用する(パッケージ名は `id` クエリパラメータです)
* Iru Endpoint のデバイスレコードの **アプリ** タブでアプリの詳細を確認する
* 接続された Android デバイスで `adb shell pm list packages` を実行する
### ユーザーエクスペリエンス
* Android では、ブロックされたアプリが**個人用プロファイル**にインストールされている場合は削除されます。**Work Profile** は App Blocking によって変更されません。
## 考慮事項
* **クロスプラットフォーム:** App Blocking Library Item は macOS、Windows、Android で動作します。**インストール先** で対象とするプラットフォームを選択します。
* **Parameter からのインポート:** **macOS** では、Blueprint のレガシー Application Blocking Parameter から App Blocking Library Item に設定をインポートできます。
* **複数の Library Item:** 同じ Blueprint に複数の App Blocking Library Item を割り当てることができます。すべてのブロックルールが結合されます。
* **Assignment Maps:** Assignment Map に複数の App Blocking Library Item を追加できます。評価時にすべての App Blocking ルールが結合されます。
* **Parameter と Library Item:** Blueprint に両方が存在する場合、Iru Endpoint は Library Item の設定を使用します。
* **アクティビティ:** ブロックされたアクションは、デバイスと Blueprint の両方のアクティビティストリームに記録されます。
## ベストプラクティス
フリート全体に展開する前に、少数のデバイスでアプリケーションブロックルールをテストします。
監査とトラブルシューティングのために、どのアプリケーションがなぜブロックされているかの文書を管理します。
適切な期待値を設定するために、アプリケーションブロックポリシーについてユーザーに通知します。
ブロックアクティビティのログを定期的に確認し、ポリシーが意図どおりに機能していることを確認します。
## トラブルシューティング
**考えられる原因:**
* ブロック構成がまだデバイスに展開されていない
* アプリケーションがブロック対象アプリケーションのリストに含まれていない
* デバイスが登録されていないか、エージェントがインストールされていない
**解決策:**
* App Blocking Library Item がデバイスの Blueprint に割り当てられていることを確認する
* ブロックリストでアプリケーションが正しく識別されていることを確認する
* デバイスが正しく登録され、エージェントが実行されていることを確認する
**考えられる原因:**
* カスタムメッセージが構成されていない
* エージェントがインストールされていないか、実行されていない
* アプリケーションが正しく識別されていない
**解決策:**
* App Blocking Library Item でカスタムメッセージを構成する
* デバイスに Iru Agent がインストールされ、実行されていることを確認する
* ブロック対象アプリケーションのリストでアプリケーションの識別を確認する
**考えられる原因:**
* AppLocker サービスが実行されていない
* グループポリシーが適用されていない
* デバイスがドメインに参加していない(一部の機能の場合)
* **発行元**、**パス**、または **SHA256 file hash** の値が、実行可能ファイルについて AppLocker が想定する値と一致しない
**解決策:**
* AppLocker サービスが実行されていることを確認する
* グループポリシーが正しく適用されていることを確認する
* デバイスが AppLocker の要件を満たしていることを確認する
* 各ブロックルールについて、構成した **発行元**、**パス**、または **SHA256 file hash** が実行可能ファイルおよび AppLocker が想定する値と一致することを確認する。値の検証には [ブロックルール用のファイル詳細を収集する](#gather-file-details-for-block-rules)を使用する
**考えられる原因:**
* アプリが個人用プロファイルにない
* デバイスが正しく登録されていない
* パッケージ名が正しくない
**解決策:**
* アプリが個人用プロファイルにインストールされていることを確認する
* デバイスの登録状況を確認する
* パッケージ名が正しいことを確認する
## セキュリティに関する考慮事項
ブロックされたアプリケーションを定期的に確認し、セキュリティポリシーに引き続き適合していることを確認します。
ビジネス上の必要性がある場合に、ブロックルールの例外を管理するプロセスを確立します。
ブロックアクティビティのログを監視して、潜在的なセキュリティ問題やポリシー違反を検出します。
アプリケーションブロックポリシーと承認された代替手段についてユーザーを教育します。