Windows XP Service Pack 2 および Windows Server 2003 Service Pack 1 の DCOM セキュリティ強化

Windows Server XP Service Pack 2 (SP2) と Windows Server 2003 Service Pack 1 (SP1) では、分散コンポーネント オブジェクト モデル (DCOM) の既定のセキュリティ設定が強化されています。 具体的には、管理者が COM サーバーを起動、アクティブ化、およびアクセスするためのローカルおよびリモートのアクセス許可を個別に制御できるようにする、より詳細な権限が導入されています。

DCOM の機能

Microsoft Component Object Model (COM) は、対話可能なバイナリ ソフトウェア コンポーネントを作成するための、プラットフォームに依存しない分散オブジェクト指向システムです。 分散コンポーネント オブジェクト モデル (DCOM) を使用すると、ユーザーとアプリケーションに最も意味のある場所にアプリケーションを分散できます。 DCOM ワイヤ プロトコルは、COM コンポーネント間の信頼性が高く、セキュリティで保護され、効率的な通信を透過的にサポートします。

この機能は誰に適用されますか?

インプロセス COM コンポーネントにのみ COM を使用する場合、この機能は適用されません。

この機能は、次のいずれかの条件を満たす COM サーバー アプリケーションがある場合に適用されます。

• アプリケーションのアクセス許可は、アプリケーションを実行するために必要な起動アクセス許可よりも厳格ではありません。
• 通常、アプリケーションは、管理アカウントを使用せずにリモート COM クライアントによってアクティブ化されます。
• アプリケーションはローカルでのみ使用されます。 つまり、COM サーバー アプリケーションにリモートからアクセスできないように制限できます。

Windows XP Service Pack 2 および Windows Server 2003 Service Pack 1 でこの機能に追加される新機能は何ですか?

コンピューター全体の制限

コンピューター上のすべての呼び出し、アクティブ化、または起動要求へのアクセスを制御するコンピューター全体のアクセス制御を提供する変更が COM で行われました。 これらのアクセス制御について考える最も簡単な方法は、コンピューター上の任意の COM サーバーの呼び出し、アクティブ化、または起動ごとにコンピューター全体のアクセス制御リスト (ACL) に対して実行される追加の AccessCheck 呼び出しです。 AccessCheck が失敗した場合、呼び出し、アクティブ化、または起動要求は拒否されます。 これは、サーバー固有の ACL に対して実行される AccessCheck に加えて行われます。 実際には、コンピューター上の COM サーバーにアクセスするために渡す必要がある最小承認標準が提供されます。 アクティブ化と起動の権限をカバーする起動アクセス許可用のコンピューター全体の ACL と、呼び出し権限をカバーするアクセス許可用のコンピューター全体の ACL があります。 これらは、コンポーネント サービス Microsoft 管理コンソール (MMC) を使用して構成できます。

これらのコンピューター全体の ACL は、CoInitializeSecurityまたはアプリケーション固有のセキュリティ設定使用して、特定のアプリケーションで指定された脆弱なセキュリティ設定をオーバーライドする方法を提供します。 これにより、特定のサーバーの設定に関係なく、渡す必要がある最低限のセキュリティ標準が提供されます。

これらの ACL は、RPCSS によって公開されるインターフェイスにアクセスするときにチェックされます。 これにより、このシステム サービスへのアクセスを制御するメソッドが提供されます。

これらの ACL は、管理者がコンピューター上のすべての COM サーバーに適用される一般的な承認ポリシーを設定できる一元的な場所を提供します。

手記

コンピューター全体のセキュリティ設定を変更すると、すべての COM サーバー アプリケーションが影響を受け、正常に動作しなくなる可能性があります。 コンピューター全体の制限よりも厳しくない制限を持つ COM サーバー アプリケーションがある場合、コンピューター全体の制限を減らすと、これらのアプリケーションが望ましくないアクセスにさらされる可能性があります。 逆に、コンピューター全体の制限を増やすと、一部の COM サーバー アプリケーションは、アプリケーションを呼び出すことによってアクセスできなくなる可能性があります。

既定では、Windows XP SP2 コンピューターの制限設定は次のとおりです。

許可	管理者	皆さん	アノニマス
打ち上げる	ローカル起動 ローカル ライセンス認証 リモート起動 リモート アクティブ化	ローカル起動 ローカル ライセンス認証
アクセス		ローカル アクセス リモート アクセス	ローカル アクセス

既定では、Windows Server 2003 SP 1 コンピューターの制限設定は次のとおりです。

許可	管理者	分散 COM ユーザー (組み込みグループ)	皆さん	アノニマス
打ち上げる	ローカル起動 ローカル ライセンス認証 リモート起動 リモート アクティブ化	ローカル起動 ローカル ライセンス認証 リモート起動 リモート アクティブ化	ローカル起動 ローカル ライセンス認証	N/A
アクセス	N/A	ローカル アクセス リモート アクセス	ローカル アクセス リモート アクセス	ローカル アクセス リモート アクセス

手記

分散 COM ユーザーは、DCOM コンピューターの制限設定にユーザーを追加するプロセスを迅速化するために、Windows Server 2003 SP1 に含まれる新しい組み込みグループです。 このグループは、MachineAccessRestriction および machineLaunchRestriction 設定 使用される ACL の一部であるため、このグループからユーザーを削除すると、それらの設定に影響します。

この変更が重要なのはなぜですか? 軽減に役立つ脅威は何ですか?

多くの COM アプリケーションには、セキュリティ固有のコード (たとえば、CoInitializeSecurityの呼び出し) が含まれていますが、弱い設定を使用して、多くの場合、プロセスへの認証されていないアクセスを許可します。 現在、以前のバージョンの Windows では、管理者がこれらの設定をオーバーライドしてセキュリティを強化する方法はありません。

COM インフラストラクチャには RPCSS が含まれています。RPCSS は、システムの起動時に実行され、その後に常に実行されるシステム サービスです。 COM オブジェクトと実行中のオブジェクト テーブルのアクティブ化を管理し、DCOM リモート処理にヘルパー サービスを提供します。 リモートで呼び出すことができる RPC インターフェイスを公開します。 一部の COM サーバーでは認証されていないリモート アクセスが許可されるため、認証されていないユーザーを含め、すべてのユーザーがこれらのインターフェイスを呼び出すことができます。 その結果、RPCSS は、リモートの認証されていないコンピューター上の悪意のあるユーザーによって攻撃される可能性があります。

以前のバージョンの Windows では、管理者がコンピューター上の COM サーバーの公開レベルを理解する方法はありませんでした。 管理者は、コンピューター上のすべての登録済み COM アプリケーションの構成済みセキュリティ設定を体系的に確認することで、露出レベルを把握しましたが、Windows の既定のインストールには約 150 台の COM サーバーがあることを考えると、そのタスクは困難でした。 ソフトウェアにセキュリティを組み込んだサーバーの設定を表示する方法はありませんでした。そのソフトウェアのソース コードを確認する方法が不足しています。

DCOM コンピューター全体の制限により、これら 3 つの問題が軽減されます。 また、管理者は、着信 DCOM のアクティブ化、起動、および呼び出しを無効にする機能も提供します。

動作の違いは何ですか?

既定では、Everyone グループには、ローカル起動、ローカル アクティブ化、ローカル アクセス呼び出しのアクセス許可が付与されます。 これにより、すべてのローカル シナリオをソフトウェアまたはオペレーティング システムに変更せずに動作できます。

既定では、Windows XP SP2 では、Everyone グループにリモート アクセス呼び出しのアクセス許可が付与されます。 Windows Server 2003 SP1 では、Everyone グループと Anonymous グループにリモート アクセス許可が付与されます。 これにより、COM クライアントがリモート サーバーへのローカル参照を渡す一般的なケースを含め、ほとんどの COM クライアント シナリオが有効になり、実際にはクライアントがサーバーに変換されます。 Windows XP SP2 では、認証されていないリモート アクセス呼び出しを必要とするシナリオが無効になる場合があります。

また、既定では、Administrators グループのメンバーにのみリモート アクティブ化と起動のアクセス許可が付与されます。 これにより、インストールされている COM サーバーに対する管理者以外によるリモート ライセンス認証が無効になります。

これらの問題を解決するにはどうすればよいですか?

COM サーバーを実装し、管理以外の COM クライアントによるリモート ライセンス認証をサポートする場合は、このプロセスの有効化に関連するリスクが許容されるかどうか、または非管理 COM クライアントまたはリモート認証されていない呼び出しによるリモート アクティブ化を必要としないように実装を変更する必要があるかどうかを検討する必要があります。

リスクが許容され、管理以外の COM クライアントまたはリモートの認証されていない呼び出しによるリモート アクティブ化を有効にする場合は、この機能の既定の構成を変更する必要があります。

手記

コンピューター全体のセキュリティ設定を変更すると、すべての COM サーバー アプリケーションが影響を受け、正常に動作しなくなる可能性があります。 コンピューター全体の制限よりも厳しくない制限を持つ COM サーバー アプリケーションがある場合、コンピューター全体の制限を減らすと、これらのアプリケーションが望ましくないアクセスにさらされる可能性があります。 逆に、コンピューター全体の制限を増やすと、一部の COM サーバー アプリケーションは、アプリケーションを呼び出すことによってアクセスできなくなる可能性があります。

構成設定は、コンポーネント サービス Microsoft 管理コンソール (MMC) または Windows レジストリを使用して変更できます。

コンポーネント サービス MMC スナップインを使用する場合、これらの設定は、管理しているコンピューターの [プロパティ] ダイアログ ボックスの [COM セキュリティ] タブで構成できます。 アクセス許可 領域が変更され、COM サーバーの標準の既定の設定に加えて、コンピューター全体の制限を設定できます。 さらに、ローカル アクセスとリモート アクセスに対して、制限と既定値の両方で個別の ACL 設定を指定できます。

[起動とライセンス認証のアクセス許可 領域で、ローカルおよびリモートのアクセス許可、およびコンピューター全体の制限と既定値を制御できます。 ローカルとリモートの両方のアクティブ化と起動のアクセス許可を個別に指定できます。

または、レジストリを使用してこれらの ACL 設定を構成することもできます。

これらの ACL は、次の場所にあるレジストリに格納されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineAccessRestriction=ACL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole\MachineLaunchRestriction=ACL

これらは、コンピューター上の任意の COM クラスまたは COM オブジェクトにアクセスできるプリンシパルの ACL を記述するデータを含むREG_BINARY型の名前付き値です。 ACL のアクセス権は次のとおりです。

COM_RIGHTS_EXECUTE 1
COM_RIGHTS_EXECUTE_LOCAL 2
COM_RIGHTS_EXECUTE_REMOTE 4
COM_RIGHTS_ACTIVATE_LOCAL 8
COM_RIGHTS_ACTIVATE_REMOTE 16

これらの ACL は、通常のセキュリティ関数を使用して作成できます。

手記

下位互換性を提供するために、ACL は、アクセス権のCOM_RIGHTS_EXECUTEのみを使用する Windows XP SP2 および Windows Server 2003 SP1 より前の形式で存在できます。または、COM_RIGHTS_EXECUTE_LOCALの組み合わせと共にCOM_RIGHTS_EXECUTEを使用する Windows XP SP2 および Windows Server 2003 SP1 で使用される新しい形式で存在することもできます。 COM_RIGHTS_EXECUTE_REMOTE、COM_RIGHTS_ACTIVATE_LOCAL、およびCOM_RIGHTS_ACTIVATE_REMOTE。 COM_RIGHTS_EXECUTE>は常に存在する必要があることに注意してください。この権限がない場合、無効なセキュリティ記述子が生成されます。 また、1 つの ACL 内で古い形式と新しい形式を混在させてはならないことに注意してください。すべてのアクセス制御エントリ (ACE) は、COM_RIGHTS_EXECUTEアクセス権のみを付与する必要があります。または、すべてCOM_RIGHTS_EXECUTE_LOCAL、COM_RIGHTS_EXECUTE_REMOTE、COM_RIGHTS_ACTIVATE_LOCAL、およびCOM_RIGHTS_ACTIVATE_REMOTEの組み合わせと共にCOM_RIGHTS_EXECUTEを付与する必要があります。

手記

管理者権限を持つユーザーのみがこれらの設定を変更できます。

Windows XP Service Pack 2 および Windows Server 2003 Service Pack 1 で変更されている既存の機能は何ですか?

RPCSS はネットワーク サービスとして実行されます

RPCSS は、RPC エンドポイント マッパーと DCOM インフラストラクチャの主要なサービスです。 このサービスは、以前のバージョンの Windows でローカル システムとして実行されました。 Windows の攻撃対象領域を減らし、多層防御を提供するために、RPCSS サービス機能は 2 つのサービスに分割されました。 ローカル システム特権を必要としない元のすべての機能を備えた RPCSS サービスが、ネットワーク サービス アカウントで実行されるようになりました。 ローカル システム特権を必要とする機能を含む新しい DCOMLaunch サービスは、ローカル システム アカウントで実行されます。

この変更が重要なのはなぜですか?

この変更により、RPCSS サービスの特権の昇格がネットワーク サービス特権に制限されるようになったため、攻撃対象領域が減少し、RPCSS サービスの防御が強化されます。

動作の違いは何ですか?

RPCSS サービスと DCOMLaunch サービスの組み合わせは、以前のバージョンの Windows で提供されていた以前の RPCSS サービスと同等であるため、この変更はユーザーに対して透過的である必要があります。

より具体的な COM アクセス許可

COM サーバー アプリケーションには、起動アクセス許可とアクセス許可という 2 種類のアクセス許可があります。 サーバーがまだ実行されていない場合は、COM のアクティブ化中に COM サーバーを起動するためのアクセス許可制御承認を起動します。 これらのアクセス許可は、レジストリ設定で指定されるセキュリティ記述子として定義されます。 アクセス許可は、実行中の COM サーバーを呼び出す承認を制御します。 これらのアクセス許可は、CoInitializeSecurity API またはレジストリ設定を使用して COM インフラストラクチャに提供されるセキュリティ記述子として定義されます。 起動とアクセスの両方のアクセス許可は、プリンシパルに基づいてアクセスを許可または拒否し、呼び出し元がサーバーとリモートのどちらに対してローカルであるかは区別されません。

最初の変更では、距離に基づいて COM アクセス権が区別されます。 定義されている 2 つの距離は、ローカルとリモートです。 ローカル COM メッセージはローカル リモート プロシージャ コール (LRPC) プロトコルを使用して到着し、リモート COM メッセージは伝送制御プロトコル (TCP) などのリモート プロシージャ コール (RPC) ホスト プロトコルを使用して到着します。

COM アクティブ化は、CoCreateInstanceまたはそのバリアント呼び出すことによって、クライアントで COM インターフェイス プロキシを取得する動作です。 このアクティブ化プロセスの副作用として、クライアントの要求を満たすために COM サーバーを起動しなければならない場合があります。 起動アクセス許可 ACL は、COM サーバーの起動が許可されているユーザーをアサートします。 アクセス許可 ACL は、COM サーバーが既に実行されている場合に、COM オブジェクトのアクティブ化またはそのオブジェクトの呼び出しを許可されているユーザーをアサートします。

2 つ目の変更は、呼び出しとアクティブ化の権限が分離され、2 つの異なる操作に反映され、アクティブ化をアクセス許可 ACL から起動アクセス許可 ACL に直接移動することです。 アクティブ化と起動はどちらもインターフェイス ポインターの取得に関連するため、アクティブ化と起動アクセス権は論理的に 1 つの ACL に属します。 また、(多くの場合プログラムで指定されるアクセス許可と比較して) 構成を通じて起動アクセス許可を常に指定するため、起動アクセス許可 ACL にアクティブ化権限を設定すると、管理者はアクティブ化を制御できます。

起動アクセス許可アクセス制御エントリ (ACE) は、次の 4 つのアクセス権に分割されます。

• ローカル起動 (LL)
• リモート起動 (RL)
• ローカル アクティブ化 (LA)
• リモート アクティブ化 (RA)

アクセス許可セキュリティ記述子は、次の 2 つのアクセス権に分割されます。

• ローカル アクセス呼び出し (LC)
• リモート アクセス呼び出し (RC)

これにより、管理者は非常に具体的なセキュリティ構成を適用できます。 たとえば、管理者からのリモート アクセス呼び出しのみを受け入れながら、すべてのユーザーからのローカル アクセス呼び出しを受け入れるように COM サーバーを構成できます。 これらの区別は、COM アクセス許可のセキュリティ記述子を変更することで指定できます。

この変更が重要なのはなぜですか? 軽減に役立つ脅威は何ですか?

以前のバージョンの COM サーバー アプリケーションには、アプリケーションを制限する方法がないため、DCOM を使用してネットワーク上のアプリケーションを公開せずにローカルでのみ使用できます。 ユーザーが COM サーバー アプリケーションにアクセスできる場合は、ローカルとリモートの両方で使用できます。

COM サーバー アプリケーションは、認証されていないユーザーに自身を公開して、COM コールバック シナリオを実装する場合があります。 このシナリオでは、アプリケーションは認証されていないユーザーにもアクティブ化を公開する必要があります。これは望ましくない可能性があります。

正確な COM アクセス許可により、管理者はコンピューターの COM アクセス許可ポリシーを柔軟に制御できます。 これらのアクセス許可により、説明されているシナリオのセキュリティが有効になります。

動作の違いは何ですか? 依存関係はありますか?

下位互換性を提供するために、既存の COM セキュリティ記述子は、ローカル アクセスとリモート アクセスの両方を同時に許可または拒否するように解釈されます。 つまり、アクセス制御エントリ (ACE) は、ローカルとリモートの両方を許可するか、ローカルとリモートの両方を拒否します。

呼び出しまたは起動権限の下位互換性の問題はありません。 ただし、ライセンス認証権限の互換性の問題があります。 COM サーバーの既存のセキュリティ記述子で、構成された起動アクセス許可がアクセス許可よりも制限が厳しく、クライアントのアクティブ化シナリオで最低限必要な制限よりも制限が厳しい場合は、承認されたクライアントに適切なアクティブ化アクセス許可を付与するために、起動アクセス許可 ACL を変更する必要があります。

既定のセキュリティ設定を使用する COM アプリケーションの場合、互換性の問題はありません。 COM ライセンス認証を使用して動的に開始されるアプリケーションの場合、起動アクセス許可にはオブジェクトをアクティブ化できるユーザーが既に含まれている必要があるため、互換性の問題はありません。 それ以外の場合、起動アクセス許可のない呼び出し元がオブジェクトをアクティブ化しようとして COM サーバーがまだ実行されていない場合、Windows XP SP2 または Windows Server 2003 SP1 を適用する前でも、このようなアプリケーションでアクティブ化エラーが発生します。

互換性の問題で最も懸念されるアプリケーションは、Windows エクスプローラーや Service Control Manager などの他のメカニズムによって既に起動されている COM アプリケーションです。 これらのアプリケーションは、以前の COM アクティブ化によって開始することもできます。これにより、既定のアクセス許可と起動アクセス許可がオーバーライドされ、呼び出しアクセス許可よりも制限の厳しい起動アクセス許可が指定されます。 この互換性の問題に対処する方法の詳細については、次のセクションの「これらの問題を解決する方法」を参照してください。

Windows XP SP2 または Windows Server 2003 SP1 にアップグレードされたシステムが以前の状態にロールバックされた場合、ローカル アクセス、リモート アクセス、またはその両方を許可するように編集されたすべての ACE は、ローカル アクセスとリモート アクセスの両方を許可するように解釈されます。 ローカル アクセス、リモート アクセス、またはその両方を拒否するように編集されたすべての ACE は、ローカル アクセスとリモート アクセスの両方を拒否するように解釈されます。 Service Pack をアンインストールするたびに、新しく設定された ACE によってアプリケーションが動作を停止しないようにする必要があります。

これらの問題を解決するにはどうすればよいですか?

COM サーバーを実装し、既定のセキュリティ設定をオーバーライドする場合は、アプリケーション固有の起動アクセス許可 ACL が適切なユーザーにアクティブ化アクセス許可を付与していることを確認します。 そうでない場合は、アプリケーション固有の起動アクセス許可 ACL を変更して、DCOM を使用するアプリケーションと Windows コンポーネントが失敗しないように、適切なユーザーのライセンス認証権限を付与する必要があります。 これらのアプリケーション固有の起動アクセス許可は、レジストリに格納されます。

COM ACL は、通常のセキュリティ機能を使用して作成または変更できます。

Windows XP Service Pack 2 で追加または変更される設定

注意

これらの設定を不適切に使用すると、DCOM を使用するアプリケーションや Windows コンポーネントが失敗する可能性があります。

次の表では、これらの省略形が使用されています。

LL - ローカル起動

LA - ローカル ライセンス認証

RL - リモート起動

RA - リモート ライセンス認証

LC - ローカル アクセス呼び出し

RC - リモート アクセス呼び出し

ACL - アクセス制御リスト

設定名	場所	以前の既定値	既定値	使用可能な値
MachineLaunchRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	全員 - LL、LA、RL、RA アノニマス- LL、LA、RL、RA (これは新しいレジストリ キーです。既存の動作に基づいて、これらは有効な値です)。	管理者: LL、LA、RL、RA	ACL
MachineAccessRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	全員 - LC、RC 匿名 - LC、RC (これは新しいレジストリ キーです。既存の動作に基づいて、これらは有効な値です)。	全員: LC、RC 匿名: LC	ACL
CallFailureLoggingLevel の	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	適用されません。	このレジストリ キーは存在しません。ただし、欠落しているキーまたは値は 2 と解釈されます。 このイベントは、既定ではログに記録されません。 この値を 1 に変更して、問題のトラブルシューティングに役立つ情報のログ記録を開始する場合は、イベント ログのサイズを監視してください。これは、多数のエントリを生成できるイベントであるためです。	1 - COM サーバー プロセスの呼び出し中に常にイベント ログエラーをログに記録します。 2 - 呼び出しサーバー プロセスの呼び出し中にイベント ログエラーを記録しないでください。
InvalidSecurityDescriptorLoggingLevel の	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	適用されません。	このレジストリ キーは存在しません。ただし、欠落しているキーまたは値は 1 と解釈されます。 このイベントは既定でログに記録されます。 まれに発生します。	1 - COM インフラストラクチャが無効なセキュリティ記述子を見つけた場合は、常にイベント ログエラーをログに記録します。 2 - COM インフラストラクチャで無効なセキュリティ記述子が見つかると、イベント ログの失敗をログに記録しません。
DCOM:セキュリティ記述子定義言語 (SDDL) 構文でのマシン起動の制限	(グループ ポリシー オブジェクト)コンピューターの構成 \Windows の設定\ローカル ポリシー \セキュリティ オプション	適用されません。	定義されていません	SDDL 形式のアクセス制御リスト。 このポリシーが存在すると、以前は MachineLaunchRestriction の値がオーバーライドされます。
DCOM:セキュリティ記述子定義言語 (SDDL) 構文でのマシン アクセス制限	(グループ ポリシー オブジェクト)コンピューターの構成 \Windows の設定 \ローカル ポリシー \セキュリティ オプション	適用されません。	定義されていません	SDDL 形式のアクセス制御リスト。 このポリシーが存在すると、以前は MachineAccessRestriction の値がオーバーライドされます。

Windows Server 2003 Service Pack 1 で追加または変更される設定

手記

これらの設定を不適切に使用すると、DCOM を使用するアプリケーションや Windows コンポーネントが失敗する可能性があります。

次の表では、これらの省略形が使用されています。

LL - ローカル起動

LA - ローカル ライセンス認証

RL - リモート起動

RA - リモート ライセンス認証

LC - ローカル アクセス呼び出し

RC - リモート アクセス呼び出し

ACL - アクセス制御リスト

設定名	場所	以前の既定値	既定値	使用可能な値
MachineLaunchRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	全員: LL、LA、RL、RA 匿名: LL、LA、RL、RA (これは新しいレジストリ キーです。既存の動作に基づいて、これらは有効な値になります)。	管理者: LL、LA、RL、RA 全員: LL、LA 分散 COM ユーザー: LL、LA、RL、RA	ACL
MachineAccessRestriction	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	全員: LC、RC 匿名: LC、RC (これは新しいレジストリ キーです。既存の動作に基づいて、これらは有効な値になります)。	全員: LC、RC 匿名: LC、RC	ACL
CallFailureLoggingLevel の	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	適用されません。	このレジストリ キーは存在しません。ただし、欠落しているキーまたは値は 2 と解釈されます。 このイベントは、既定ではログに記録されません。 この値を 1 に変更して、問題のトラブルシューティングに役立つ情報のログ記録を開始する場合は、イベント ログのサイズを監視してください。これは、多数のエントリを生成できるイベントであるためです。	1 - COM インフラストラクチャが無効なセキュリティ記述子を見つけた場合は、常にイベント ログエラーをログに記録します。 2 - COM インフラストラクチャで無効なセキュリティ記述子が見つかると、イベント ログの失敗をログに記録しません。
InvalidSecurityDescriptorLoggingLevel の	HKEY_LOCAL_MACHINE\SOFTWARE\ Microsoft\Ole	適用されません。	このレジストリ キーは存在しません。ただし、欠落しているキーまたは値は 1 と解釈されます。 このイベントは既定でログに記録されます。 まれに発生します。	1 - COM インフラストラクチャが無効なセキュリティ記述子を見つけた場合は、常にイベント ログエラーをログに記録します。 2 - COM インフラストラクチャで無効なセキュリティ記述子が見つかると、イベント ログエラーをログに記録しません。
DCOM:セキュリティ記述子定義言語 (SDDL) 構文でのマシン起動の制限	(グループ ポリシー オブジェクト)コンピューターの構成 \Windows の設定 \ローカル ポリシー \セキュリティ オプション	適用されません。	定義されていません。	SDDL 形式のアクセス制御リスト。 このポリシーが存在すると、以前は MachineLaunchRestriction の値がオーバーライドされます。
DCOM:セキュリティ記述子定義言語 (SDDL) 構文でのマシン アクセス制限	(グループ ポリシー オブジェクト)コンピューターの構成 \Windows の設定 \ローカル ポリシー \セキュリティ オプション	適用されません。	定義されていません。	SDDL 形式のアクセス制御リスト。 このポリシーが存在すると、以前は MachineAccessRestriction の値がオーバーライドされます。

関連トピック

COM の セキュリティ