Intune配布したアプリのアップデーターだけUACが出る問題 — 自己解凍書庫とインストーラー検出ヒューリスティックの罠
Intuneで正常に配布・インストールできているはずの業務アプリで、「アップデーター実行時だけUAC(ユーザーアカウント制御)の確認画面が出て、一般ユーザーが自力で更新できない」という相談に遭遇することがあります。この記事では、その原因究明から解決までの流れをまとめます。
症状
アプリ本体のIntune配布・インストール自体は正常に動作しているにもかかわらず、アプリ内蔵のアップデート機構(実行中のプログラムがサーバーから最新ファイルを取得し、自分自身のインストールフォルダを上書きする方式)を実行すると、毎回UACの昇格確認が表示されてしまいます。フォルダの書き込み権限は事前に緩和済みであるにもかかわらず、症状は解消しませんでした。
原因: Windowsの「インストーラー検出ヒューリスティック」
Windowsには、実行ファイルの特徴(ファイル名にinstall/update/setupを含む、特定の自己解凍形式である、など)から「これはインストーラーだろう」と自動的に推測し、管理者権限を要求するUACプロンプトを出す仕組み(インストーラー検出ヒューリスティック)があります。ベンダーに確認したところ、問題のアップデーターはWinRARの自己解凍書庫(SFX)形式で、マニフェストファイル(実行ファイルの権限要求レベルを明示する情報)を持っていませんでした。マニフェストがない実行ファイルは、Windowsのヒューリスティックによる推測の対象になりやすく、今回のケースではこれがUACの原因でした。
対処: ヒューリスティックそのものを無効化する
フォルダの書き込み権限を緩和するだけでは不十分で、このヒューリスティック機能自体をポリシーで無効化する必要があります。Intuneの設定カタログから「User Account Control: Detect Application Installations And Prompt For Elevation」をDisableに設定するプロファイルを作成し、対象デバイスへ配信します。
なお、Microsoftはこのポリシーの既定を「有効」とし、標準ユーザーがソフトを入れるときに管理者の資格情報を求める仕組みだと説明しています。無効化できるのは、GPSIやConfiguration Managerなど、管理者側の配布手段でインストールを行う環境が前提です(Microsoft Learnの同ポリシーの説明より)。無効にすると、その端末ではインストーラーの自動検出による昇格確認が出なくなるため、全端末に一律で配るのではなく、対象のデバイスグループを絞り、セキュリティ面の影響を理解したうえで適用してください。
見落としがちなポイント: レジストリ変更だけでは効かないことがある
Microsoftのドキュメントでは、このポリシーは「再起動なしで有効になる」とされています。一方、今回の環境ではポリシー配信直後はUACが出続け、端末を再起動したところ出なくなりました。再起動が必要な仕様というより、ポリシーの反映タイミングや、実行中のプロセスが古い設定を保持していたことが原因と考えられます(推測)。ポリシーを配信しただけで「直らない」と判断せず、反映状況を確認し、必要なら再起動を挟んでから再検証してください。
既存導入済み端末への再配布に注意
Intuneのアプリ検出規則が「特定ファイルの存在」だけを条件にしている場合、アップデーター自体が古いバージョンのまま残っていても「インストール済み」と判定され、新しいパッケージが自動的には再配布されないことがあります。ポリシー適用後も一部の端末で症状が残る場合は、検出規則の設計自体も見直す必要があります。
まとめ
「フォルダの書き込み権限を渡したのにUACが消えない」場合は、権限の問題ではなく、Windowsのインストーラー検出ヒューリスティックを疑ってください。自己解凍書庫形式でマニフェストのない実行ファイルは特に該当しやすく、ポリシーでヒューリスティックを無効化し、端末再起動を挟んで確認するところまでがワンセットです。
■ この記事に関連するテンプレート
配布するアプリやセキュリティ設定の判断は、基準を一覧にしておくと、毎回迷わず運用できます。セキュリティの基本設定をNotionで点検するテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。
コメント