知識マップ: PowerShellの実行ポリシーとスクリプト署名 ── 「Bypassで蓋をする」運用から卒業する実務ガイド

記事「PowerShellの実行ポリシーとスクリプト署名 ── 「Bypassで蓋をする」運用から卒業する実務ガイド」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

PowerShellの実行ポリシーはセキュリティ境界ではなく安全装置で、複数のスコープを持ち、グループポリシーの設定がすべてに優先します。RemoteSignedはインターネット由来を示すZone.Identifier(Mark of the Web)が付いた未署名スクリプトだけをブロックし、内容を確認できればUnblock-Fileで印を除去して通せます。より厳格なAllSignedやスクリプト配布時の署名にはコード署名証明書が必要で、Set-AuthenticodeSignatureとタイムスタンプサーバーの指定により、証明書の期限切れ後も署名を有効に保てます。自己署名証明書を各端末の信頼ストアへ配れば配布は可能ですが、その証明書自体が信頼の起点になるため秘密鍵の漏えいリスクを引き受けることになり、常用のBypass指定はグループポリシー管理下では効かず安全装置を放棄する運用になります。

flowchart LR
    accTitle: PowerShellの実行ポリシーとスクリプト署名の知識マップ
    accDescr: 実行ポリシーのグループポリシーによる優先、RemoteSignedとZone.Identifier(Mark of the Web)の関係、Unblock-Fileによるブロック解除、コード署名証明書によるSet-AuthenticodeSignatureとタイムスタンプ、自己署名証明書配布のリスクの関係を示す図
    execution_policy["PowerShell実行ポリシー"]
    code_signing_cert["コード署名証明書"]
    powershell["PowerShell"]
    group_policy["グループポリシー"]
    bypass_policy["Bypassポリシー"]
    remotesigned_policy["RemoteSignedポリシー"]
    zone_identifier["Zone.Identifier(Mark of the Web)"]
    alternate_data_stream["代替データストリーム(ADS)"]
    unblock_file["Unblock-File"]
    admin_rights["管理者権限"]
    allsigned_execution_policy["実行ポリシーAllSigned"]
    set_authenticodesignature["Set-AuthenticodeSignature"]
    code_signing_timestamp["コード署名のタイムスタンプ"]
    cert_drive["Cert:ドライブ"]
    self_signed_cert["アドホックな自己署名証明書"]
    trusted_publisher_store["信頼された発行元ストア"]
    trust_anchor_risk["信頼の起点の悪用リスク"]
    task_scheduler["タスクスケジューラの無人実行"]
    powershell -->|"利用する"| execution_policy
    execution_policy -.->|"で構成できる"| group_policy
    bypass_policy -.->|"両立しない"| group_policy
    remotesigned_policy -->|"利用する"| zone_identifier
    zone_identifier -->|"に保存される"| alternate_data_stream
    unblock_file -->|"防止する"| zone_identifier
    execution_policy -.->|"前提とする"| admin_rights
    allsigned_execution_policy -->|"前提とする"| code_signing_cert
    remotesigned_policy -.->|"前提とする"| code_signing_cert
    set_authenticodesignature -->|"利用する"| code_signing_cert
    set_authenticodesignature -.->|"利用する"| code_signing_timestamp
    code_signing_cert -.->|"に保存される"| cert_drive
    self_signed_cert -.->|"前提とする"| trusted_publisher_store
    self_signed_cert -.->|"原因になり得る"| trust_anchor_risk
    self_signed_cert -->|"に保存される"| cert_drive
    powershell -->|"利用する"| unblock_file
    powershell -->|"利用する"| set_authenticodesignature
    bypass_policy -->|"用いるのは非推奨"| task_scheduler

概念間の関係(全18件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

• PowerShellはPowerShell実行ポリシーを利用します。PowerShellはスクリプトの実行可否を実行ポリシーで制御する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PowerShell実行ポリシーはグループポリシーで構成できます。組織で実行ポリシーを統制するグループポリシーの「スクリプトの実行を有効にする」設定は、PowerShell側のすべてのスコープの設定に優先する。ドメイン参加環境でグループポリシーを配布している場合に限る / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Bypassポリシーはグループポリシーと両立しません。Processスコープの-ExecutionPolicy指定を含むBypassの指定は、グループポリシーで実行ポリシーが管理されている環境では効かない / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• RemoteSignedポリシーはZone.Identifier(Mark of the Web)を利用します。RemoteSignedは、ファイルに付くZone.Identifier(Mark of the Web)の有無でインターネット由来かどうかを判定し、印付きの未署名スクリプトの実行を止める / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• Zone.Identifier(Mark of the Web)は代替データストリーム(ADS)に保存されます。Zone.Identifierはインターネットゾーンを示す値3を持つ、NTFSの代替データストリームとして保存される / 確度: 確立した関係 / 確認日: 2026-08-01 出典 出典
• Unblock-FileはZone.Identifier(Mark of the Web)を防ぎます。Unblock-FileはZone.Identifier代替データストリームを除去し、その印によるRemoteSigned環境での実行ブロックを解除する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PowerShell実行ポリシーは管理者権限を前提とします。既定のLocalMachineスコープでSet-ExecutionPolicyを実行するには管理者権限が必要だが、CurrentUserスコープなら一般ユーザーでも変更できる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• 実行ポリシーAllSignedはコード署名証明書を前提とします。AllSignedはローカル作成分を含むすべてのスクリプトに信頼された発行元の署名を要求するため、コード署名証明書が前提になる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• RemoteSignedポリシーはコード署名証明書を前提とします。RemoteSigned環境でインターネット由来のスクリプトを配布用に署名するなら、コード署名証明書が必要になる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• Set-AuthenticodeSignatureはコード署名証明書を利用します。Set-AuthenticodeSignatureはCert:ドライブなどから取得したコード署名証明書で署名を付与する / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Set-AuthenticodeSignatureはコード署名のタイムスタンプを利用します。証明書の有効期限が切れても署名を有効に保ちたい場合、署名時に-TimestampServerでタイムスタンプを付けると、証明書の有効期限が切れてもスクリプトの署名が有効であり続ける / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典 出典
• コード署名証明書はCert:ドライブに保存されます。Windowsの証明書ストアで管理する場合、コード署名証明書はCert:ドライブ経由でCert:\CurrentUser\Myなどのストアから取得できる / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• アドホックな自己署名証明書は信頼された発行元ストアを前提とします。自己署名証明書をワークグループの他端末でも通すには、公開部分を各端末の「信頼されたルート証明機関」と「信頼された発行元」ストアへインポートする必要がある / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典 出典
• アドホックな自己署名証明書は信頼の起点の悪用リスクの原因になることがあります。自己署名証明書を各端末の信頼されたルート証明機関ストアへ配ると、その証明書自体が端末にとっての信頼の起点になるため、秘密鍵が漏れれば任意のコードへの署名に悪用され得る。鍵管理のないアドホックな自己署名を本番の信頼ストアへ配布した場合に限る / 確度: 条件付きの関係 / 確認日: 2026-08-01 出典
• アドホックな自己署名証明書はCert:ドライブに保存されます。New-SelfSignedCertificateで作成する自己署名証明書も、-CertStoreLocationで指定したCert:ドライブ配下のストア(例: Cert:\CurrentUser\My)に格納される / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PowerShellはUnblock-Fileを利用します。PowerShellはUnblock-Fileでダウンロードファイルの実行ブロックを解除できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• PowerShellはSet-AuthenticodeSignatureを利用します。PowerShellはSet-AuthenticodeSignatureでスクリプトにAuthenticode署名を付与できる / 確度: 確立した関係 / 確認日: 2026-08-01 出典
• Bypassポリシーをタスクスケジューラの無人実行に用いることは推奨されません。グループポリシー管理下ではそもそも効かず、うっかり事故を防ぐ安全装置を恒久的に外す運用になるため、タスクスケジューラでのBypass常用は推奨されない / 確度: 確立した関係 / 確認日: 2026-08-01 出典

主要概念の定義

PowerShell実行ポリシー

PowerShellスクリプトの実行可否と署名要求を制御する設定。既定はクライアントOSでRestricted、Windows ServerとPowerShell 7ではRemoteSigned。

コード署名証明書

ソフトウェアの発行元を証明し、改ざんを検出するための証明書。

PowerShell

オブジェクトパイプラインとエラー処理機構を持つ、Microsoftが最も堅牢で最新のWindows自動化に推奨するコマンドラインシェル兼スクリプト言語。

Bypassポリシー

警告もプロンプトも出さず、あらゆるスクリプトを実行できる実行ポリシーの値。PowerShellを組み込んだ独自のセキュリティモデルを持つアプリケーション向けに用意されている。

RemoteSignedポリシー

インターネット由来(Zone.Identifier付き)のスクリプトにのみ信頼された発行元の署名を要求し、ローカルで作成したスクリプトは署名なしで実行できる実行ポリシーの値。PowerShell 7の既定。

Zone.Identifier(Mark of the Web)

ブラウザーなどでダウンロードしたファイルに付与される代替データストリーム。ファイルの出所(インターネット由来など)を記録し、SmartScreenや保護ビューの判定材料になる。

Unblock-File

ファイルに付いたZone.Identifier代替データストリームを除去し、実行ポリシーを変更せずにブロックを解除するコマンドレット。エクスプローラーのプロパティの「許可する」ボタンと同じ操作。

実行ポリシーAllSigned

ローカル作成分も含むすべてのスクリプトと構成ファイルに、信頼された発行元によるAuthenticode署名を要求する実行ポリシーの値。未分類の発行元は実行前に確認を求める。

Set-AuthenticodeSignature

コード署名証明書でファイルにAuthenticode署名を付与するコマンドレット。署名はファイル末尾に# SIG #コメントブロックとして埋め込まれ、既存の署名があれば置き換える。

アドホックな自己署名証明書

検証用にツールで自前発行したサーバー/クライアント証明書。鍵管理の仕組みを持たず、検証環境限定・期限つきでの利用が原則。適切に運用される社内CAのルート証明書(これも技術的には自己署名)とは区別する。

機械可読データ

• JSON-LD / Turtle ── この記事の知識グラフ全体
• 概念一覧 / 語彙(述語)の定義

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。