ファームウェアの環境値の修正

[ファームウェアの環境値の修正] セキュリティ ポリシー設定のベスト プラクティス、場所、値、ポリシー管理、およびセキュリティに関する考慮事項について説明します。

リファレンス

このセキュリティ設定は、ファームウェアの環境値を変更できるユーザーを決定します。ファームウェア環境値は、非 x86 ベースのコンピューターの不揮発性 RAM に格納される設定です。設定の影響は、プロセッサによって異なります。

x86 ベースのコンピューターでは、このユーザーの権利を割り当てることで変更できる唯一のファームウェア環境値は、[前回正常起動時の構成] です。これは、システムによってのみ変更する構成です。

Itanium ベースのコンピューターでは、起動情報が不揮発性 RAM に格納されます。bootcfg.exe を実行し、[システムのプロパティ] の [詳細設定] タブにある [起動と回復] 機能を使って [既定のオペレーティング システム] 設定を変更するには、ユーザーにこのユーザーの権利を割り当てる必要があります。

ファームウェア環境値の正確な設定については、ブート ファームウェアによって決まります。これらの値の場所もファームウェアで指定されています。たとえば、UEFI ベースのシステムでは、NVRAM にシステム ブート設定を指定したファームウェア環境値が含まれます。

すべてのコンピューターにおいて、Windows をインストールまたはアップグレードするにはこのユーザーの権利が必要です。

定数: SeSystemEnvironmentPrivilege

設定可能な値

• アカウントのユーザー定義一覧

• Administrators

• 未定義

ベスト プラクティス

• ローカルの Administrators グループのみに [ファームウェアの環境値の修正] ユーザー権利が割り当てられていることを確認します。

場所

コンピューターの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\ユーザー権利の割り当て

既定値

既定では、この設定は、ドメイン コントローラー上およびスタンドアロン サーバー上では Administrators です。

次の表に、実際のポリシー値と有効な既定のポリシー値を示します。既定値はポリシーのプロパティ ページにも表示されます。

ポリシー管理

このセクションでは、このポリシーの管理をサポートする機能、ツール、およびガイダンスについて説明します。

このポリシー設定を有効にするために、デバイスを再起動する必要はありません。

アカウントのユーザー権利の割り当てに対する変更はすべて、アカウントの所有者が次にログオンしたときに有効になります。

このセキュリティ設定は、[システムのプロパティ] の [詳細設定] タブに表示されるシステム環境値およびユーザー環境値を変更できるユーザーには影響しません。

グループ ポリシー

設定は、グループ ポリシー オブジェクト (GPO) を使って次の順番で適用されます。これにより、次回のグループ ポリシーの更新時にローカル コンピューターの設定が上書きされます。

1. ローカル ポリシー設定

2. サイト ポリシー設定

3. ドメイン ポリシー設定

4. OU ポリシー設定

ローカル設定が灰色表示されている場合は、GPO が現在その設定を制御していることを示します。

セキュリティに関する考慮事項

このセクションでは、機能やその構成が攻撃者によってどのように悪用される可能性があるかと、対策を実装する方法、対策の実装に伴う可能性のある悪影響について説明します。

脆弱性

[ファームウェアの環境値の修正] ユーザー権利が割り当てられているユーザーは、ハードウェア コンポーネントの設定を不具合を引き起こすように構成できるため、データの破損やサービス拒否状態につながる可能性があります。

対策

ローカルの Administrators グループのみに [ファームウェアの環境値の修正] ユーザー権利が割り当てられていることを確認します。

潜在的な影響

なし。[ファームウェアの環境値の修正] ユーザー権利をローカルの Administrators グループのメンバーに制限する構成が既定の構成です。

関連トピック

ユーザー権利の割り当て