Windows で必須（読み取り専用）ユーザープロファイルを使用する方法

Windowsで実際に機能する必須プロファイルを設定する方法

Windows の固定プロファイルの扱いは、特に共有ステーションやキオスク ステーションをロックダウンしようとする場合は、必ずしも簡単ではありません。設定しても、ユーザーが変更を加えてしまい、それがそのまま残ってしまう場合や、最悪の場合、権限が適切でないためにプロファイルが破損してしまう場合もあります。Windows のこうした処理方法は少し奇妙ですが、少し調整するだけで、読み取り専用でも堅牢なエクスペリエンスを実現できます。このガイドでは、読み取り専用のローカル固定プロファイルの作成方法、および必要な権限とレジストリ マジックをすべて解説します。少し面倒かもしれませんが、一度設定すれば、プロファイルは不要な変更を保存しないため、パブリック セットアップ、ラボ、情報キオスクなどに最適です。

Windows の必須ユーザー プロファイルの種類

固定プロファイルとは、基本的に管理者によって事前に設定されたプロファイルで、ユーザーはログインできますが、変更することはできません。テンプレートのようなものだと考えてください。ユーザーがログオフすると、そのセッション中に実行したすべての操作が消去されます。Windowsはこれらのプロファイルをローカルまたはネットワークに保存できるため、必要に応じて複数のマシンで利用できます。

フレーバーの種類は主に 2 つあります。

• 通常の固定ユーザープロファイル— WindowsにNTuser.datファイルのコピーを提供し、名前をNTuser.manに変更すると、Windowsはそれを読み取り専用として認識します。ユーザーがログインすると、そのセッション中は何でもできますが、ログオフ後は変更内容が保存されません。共有ネットワークフォルダに保存されている場合、ネットワークがダウンしてもキャッシュされたバージョンは保持されますが、プロファイル自体は変更されません。
• 超強制ユーザープロファイル— ここでは、プロファイルフォルダ全体に.man拡張子を追加して名前を変更し、完全にロックダウンします。プロファイルサーバーが利用できない場合、ユーザーはログインできないため、よりハードコアなアプローチです。通常、非常に厳重にロックダウンされた環境で使用されます。

Windowsで必須プロファイルを作成する方法

これを行う方法はたくさんありますが、最も簡単（かつ信頼性が高い）なのは、デフォルトのプロファイルをコピーし、微調整して読み取り専用に設定することです。ここでは、落とし穴に陥ることなく実際にこれを行う方法を説明します。

読み取り専用プロファイルフォルダの作成

• 管理者としてログインし（そう、これは必須です）、lusrmgr.msc（ローカルユーザーとグループコンソール）を開きます。テスト用に、例えばConfRoomという新しいユーザーを作成します。
• ログアウトしてから、この管理者ユーザーとして再度ログインしてください。環境を微調整します（背景やショートカットなどを設定します）。満足したらログアウトしてください。
• デフォルトプロファイルをカスタムフォルダにコピーします。フォルダをそのままコピーするのではなく、「システムのプロパティ」>「詳細設定」>「ユーザープロファイル」からコピーすることをお勧めします。 「設定」を開き、「デフォルトプロファイル」を選択して「コピー先」をクリックし、新しいディレクトリ（例： ）を指定します。新しいバージョンのWindowsでは、 .V6C:\ReadOnlyProfile. V6という拡張子を付けて区別することが重要です。
• この時点で、エクスプローラーで新しいフォルダーを右クリックし、[プロパティ]に移動して、[セキュリティ]で適切な権限を付与します。
  • NT AUTHORITY\Authenticated Users に フルコントロールを許可します。 「Mandatory Profile」のチェックボックスはチェックしないでください。これは別の設定です。
  • Everyoneまたは関連グループに少なくとも読み取りと実行の権限があることを確認します。
• オプション：Windows 10 1709以降では、プロファイルのコピー中に「プロファイルを読み取り専用にする」チェックボックスが表示される場合があります。有効になっている場合は有効にしてください。これにより、フォルダーの属性が自動的に設定されます。

NTUSER. MAN を永続的に構成する

• 管理者として再度ログインし、 に移動しますC:\ReadOnlyProfile. V6。
• NTUSER. DATファイルの名前をNTUSER. MANに変更します。コマンドラインから簡単に実行できます。

  ren C:\ReadOnlyProfile. V6\NTUSER. DAT NTUSER. MAN

• これは重要なステップです。Windows はNTUSER. MAN を、セッション中に変更されない読み取り専用プロファイルとして認識します。

ユーザーに読み取り専用プロファイルを割り当てる

プロファイル フォルダーの準備ができたので、次の手順ではそれをユーザー アカウントにリンクします。

ローカルユーザーまたはドメインアカウントの使用

• 「システム プロパティ」に移動します— を押しWin + R、 と入力しsysdm.cpl、 を押しますEnter。
• 「詳細設定」をクリックし、「プロファイル」をクリックして、「設定」をクリックします。
• プロファイルを割り当てるユーザー アカウントを選択し、[コピー先]をクリックします。
• C:\ReadOnlyProfile. V6プロファイルの場所を指定して保存します。

あるいは、Active Directory 環境で作業している場合は、Active Directory ユーザーとコンピューター (ADUC) に移動し、ユーザーのプロパティを開いて、プロファイル パス をフォルダーを指す UNC 共有に設定します。

安全に使用するための権限の設定

• エクスプローラーでプロファイル フォルダーを右クリックし、[プロパティ] > [セキュリティ]に移動します。
• 次のように権限を設定します。
  • すべてのアプリケーション パッケージ– フル コントロール (これはスタート メニューとアプリの互換性にとって非常に重要です)
  • 認証されたユーザー– 読み取りと実行
  • システム— フルコントロール
  • 管理者– フルコントロール
• レジストリで、ユーザーのハイブをロードします（ファイル > ハイブのロード）C:\ReadOnlyProfile. V6\NTUSER. MAN。適切な権限（特に認証済みユーザーとアプリケーションパッケージにフルコントロール）を付与してから、ハイブをアンロードします。

最終的な調整とグループポリシー設定

• gpedit.mscを開き、次の場所に移動します。
  • コンピューターの構成 > ポリシー > 管理用テンプレート > システム > ユーザー プロファイル–移動プロファイルのキャッシュされたコピーを削除するを有効にします。
  • システム > 最初のサインインアニメーションを表示する— よりクリーンなログインのためにこれを無効にします。
  • OOBE > プライバシー設定を起動しない– 有効にします。
• 移動プロファイルを使用する場合は、移動ユーザーのシナリオでスタート メニューを正しく表示するために、SpecialRoamingOverrideAllowedという DWORD を作成し、値を 1 に設定します。HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer

プロファイルをテストする

このプロファイルを持つユーザーとしてログインし、背景、ショートカット、ソフトウェア設定などを変更してからログアウトします。すべての変更が消え、プロファイルが読み取り専用になっていることを確認してください。以下のPowerShellコマンドを使用して、プロファイルのモードを確認してください。

gwmi win32_userprofile | select localpath, roamingpath, status

予想される出力: Status=4は必須プロファイルを示します。

一つ確かなことは、権限設定が最も面倒なので、念のため確認しておきましょう。また、後で環境変更が必要になった場合は、NTUSER. MANファイルをいつでも変更できることを覚えておいてください。NTUSER. DATに名前を戻して調整を行い、元に戻すだけです。

まとめ

キオスク、ラボ、または公共のPCをセットアップする場合、このプロセスにより、ユーザープロファイルがシステムを混乱させるのを防ぐことができます。権限、レジストリの調整、フォルダの魔法を駆使した操作ですが、一度ロックされると、ユーザーはプロファイルに痕跡を残すことができなくなります。ただし、権限の問題には注意してください。プロファイルが不安定になる原因は、多くの場合、権限の問題です。

まとめ

• デフォルトをコピーし、NTUSER. DAT の名前をNTUSER. MANに変更することで、読み取り専用の必須プロファイルを作成できます。
• ユーザーが変更できないように、プロファイルフォルダに適切な権限を設定します。
• システムプロパティまたはActive Directory経由でプロファイルをリンクする
• 奇妙なログイン問題を避けるために、定期的に権限を再確認してください
• グループポリシーの調整で、よりクリーンで優れたエクスペリエンスを実現

誰かの時間を少しでも節約できればいいなと思っています。少しでもお役に立てれば幸いです。