> For the complete documentation index, see [llms.txt](https://docs.keeper.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/file-access-policy-type.md).

# ファイルアクセスポリシー

<figure><img src="/files/YjOFJgahl76mCtO0MYT5" alt=""><figcaption></figcaption></figure>

## 概要 <a href="#overview" id="overview"></a>

ファイルアクセスポリシーは、特定のファイルへのアクセスを制御し、機密データ、構成ファイル、システムファイルに対してきめ細かなアクセス制御を実現します。

このポリシーは、**実行可能ファイル**および**非実行ファイル**の両方へのアクセスを制限します。

ファイルアクセスポリシーは、より広いデフォルト拒否の適用モデルの中で運用することもでき、その場合は機密ファイルへのアクセスまたは実行に先立ち、明示的な承認またはポリシーによる承認が必要になります。

## 動作の仕組み <a href="#how-it-works" id="how-it-works"></a>

* **実行可能ファイル:** 昇格ポリシーと同様に、実行時点でアクセスが制限されます。
* **非実行ファイル (テキストファイル、データベースファイル、構成ファイルなど):** OSのネイティブACLを利用した制御により、MFA、理由入力、承認などの実行要件を満たさない場合、ファイルに対する `READ` / `WRITE` / `DELETE` が拒否されます。
* ファイルアクセスポリシーは標準ユーザーだけでなく、システム上のすべてのユーザーに適用されます。
* ファイルアクセスのリクエストは、Keeperクライアントとコマンドラインの両方から開始でき、ユーザー操作のパターン間で一貫した制御とワークフローの整合性が確保されます。

### 特記事項 <a href="#special-considerations" id="special-considerations"></a>

* 同じ実行ファイルにファイルアクセスと特権昇格ポリシーが両方設定されている場合、ファイルアクセスポリシーは適用されず、特権昇格ポリシーのみが評価されます。
* ファイルアクセスポリシーの評価では、適用判断の一環としてコンテキストに応じたリスクシグナルを取り込む場合があり、ファイルのガバナンスをより広範なリスク管理施策と整合させやすくなります。
* エンドポイント上の共通フォルダやパスにポリシーを割り当てる際には、[パス変数](#path-variables)を利用できます。
* Keeperは、ポリシーが適用される対象ユーザーに対して、明示的にターゲットファイルのACLを変更します。対象ユーザーを明示的にACLに追加し、アクセス許可を設定します。ユーザーがファイルアクセスをリクエストし、承認されると、Keeperはそのユーザーに対して読み取り/書き込み権限を「許可」に変更します。
* Linuxシステムでは、ユーザーがすでに「allow」権限を持つグループに所属している場合、Keeperの設定に関係なく、グループ権限に基づいてファイルへアクセスできます。

***

{% stepper %}
{% step %}
**アプリケーションコレクションを作成**

ポリシーを作成する前に、対象ファイルを **アプリケーションコレクション** にまとめる必要があります。**\[コレクション]** → **\[アプリケーション]** に移動し、<mark style="color:blue;">**\[新しいコレクション]**</mark> をクリックします。**\[新しいコレクション]** のモーダルが開きます。**\[種類]** の選択欄で **\[アプリケーション]** を選び、識別しやすい名前を付け、<mark style="color:blue;">**\[次へ]**</mark> をクリックします。

<figure><img src="/files/G8khhNXuHPGCExkHoCZx" alt="" width="375"><figcaption></figcaption></figure>

**\[アイテムをコレクションに追加]** のモーダルが表示されます。追加するオブジェクト名を入力して候補から選ぶか、**\[リソースを手動で定義する]** にチェックを入れてリソースを手動で定義します。

各対象ファイルをカスタムリソースとして追加します。パスをハードコードしないよう、該当する箇所では [パス変数](broken://pages/E3BQ3kP4uECttGaKgOlA)を使います (例: `{system32}\powershell.exe`)。追加するリソースを選択または入力したら **\[追加]** をクリックし、必要なリソースがすべてアプリケーションコレクションに入るまで繰り返します。

<div><figure><img src="/files/CElqLMj0kDZfu20KRrYO" alt="" width="375"><figcaption></figcaption></figure> <figure><img src="/files/XRJtWvdoDkBOdJHf3uzs" alt="" width="375"><figcaption></figcaption></figure></div>

{% hint style="info" %}
**ヒント:** ポリシーに割り当てたときに用途が分かるよう、「Restricted System Tools」や「Protected Config Files」など、目的が伝わる名前を付けます。
{% endhint %}

<figure><img src="/files/JPgVCeWTCutjIn2ej5VL" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
**ポリシーフォームを開く**

Keeper管理コンソールで **\[エンドポイント特権マネージャー]** → **\[ポリシー]** に移動し、<mark style="color:blue;">**\[ポリシーの作成]**</mark> をクリックします。**\[ポリシーの作成]** のモーダルが開きます。

<figure><img src="/files/FM1lDmX4N521JuGqqeFY" alt="" width="375"><figcaption></figcaption></figure>
{% endstep %}

{% step %}
**ポリシーを設定**

以下の項目を入力します。

* **ポリシー名:** わかりやすい名前 (例: `File Access – Restricted System Tools`、`File Access – Protected Config Files`)
* **ポリシータイプ:** ファイルアクセス
* **ステータス:** 適用

<figure><img src="/files/YHWlyOsfVhfrHqQPtAlG" alt="" width="375"><figcaption></figcaption></figure>

{% hint style="info" %}
**ヒント:** 適用前に **\[監視]** でどの程度マッチするか確認することをおすすめします。
{% endhint %}
{% endstep %}

{% step %}
**コントロールを選択**

**\[コントロールを追加]** をクリックし、ユーザーが該当する操作を行ったときに適用するコントロールを選択します。

* **\[承認が必要]:** 指定した承認者がリクエストを承認するまでブロックされます
* **\[MFA必須]:** 続行する前に TOTP コードで本人確認が必要です
* **\[正当な理由が必要]:** 続行する前に理由の入力が必要です

<figure><img src="/files/1FF2FdIHGbszs02X4Qep" alt="" width="375"><figcaption></figcaption></figure>

1つのポリシーに複数のコントロールを追加できます。複数を重ねる場合、操作が許可されるまですべての要件を満たす必要があります。
{% endstep %}

{% step %}
**ポリシーフィルターを設定**

**\[コントロールを追加]** の下で、フィルターを指定してポリシーの適用範囲を定義します。

* **ユーザーグループ:** 対象とするユーザーグループのコレクションを選ぶか、**\[すべてを選択]** で全ユーザーを対象にします
* **マシン:** 対象とするマシンのコレクションを選ぶか、**\[すべてを選択]** で登録済みの全エンドポイントを対象にします
* **アプリケーション:** 手順1で作成したアプリケーションコレクションを選択します
* **日時ウィンドウ:** 必要に応じて、特定の日付、曜日、または時間帯に限定します

<figure><img src="/files/lTYs3da2bkuFucWMXR7Z" alt="" width="375"><figcaption></figcaption></figure>

{% hint style="info" %}
ユーザーグループ、マシン、アプリケーションなどのフィルターのいずれかで **\[すべてを選択]** を指定するとワイルドカードとなり、将来コレクションに追加される新しいユーザー、マシン、またはアプリケーションが自動的に対象に含まれます。
{% endhint %}
{% endstep %}

{% step %}
**保存して展開**

上記の手順どおりに入力すると、<mark style="color:blue;">**\[保存]**</mark> が有効になります。<mark style="color:blue;">**\[保存]**</mark> をクリックします。

<div align="right"><figure><img src="/files/kv1gnUCvaITAmc4jCG00" alt="" width="44"><figcaption></figcaption></figure></div>

ポリシーは、およそ **30分** 以内に適用範囲内のすべてのエンドポイントに配信されます。対象エンドポイントのユーザーは、Keeperエージェントの **\[ポリシーを更新]** から即時同期を実行することもできます。

ポリシーが適用されると、対象ユーザーにはローカルの管理者グループから削除された旨を知らせる画面通知が表示されます。
{% endstep %}
{% endstepper %}

## 例1: 実行ファイルに対するファイルアクセスポリシー <a href="#example-1-file-access-policy-on-executables" id="example-1-file-access-policy-on-executables"></a>

たとえば、ITチームのメンバーのみが使用する特定のアプリケーションの実行を制限したい場合があります。このような制御を行うことで、「Living off the Land (LoL)」と呼ばれる、一般的な管理ツールを悪用するマルウェアによる攻撃を防ぐことができます。このカテゴリに該当するツールの例としては、以下のようなものがあります。

```
{system32}\cmd.exe
{system32}\certutil.exe
{system32}\cscript.exe
{system32}\PATHPING.EXE
{system32}\PING.EXE
{system32}\NDKPing.exe
{system32}\RpcPing.exe
{system32}\WMIC.exe
{system32}\WindowsPowerShell\v1.0\powershell.exe
{system32}\WindowsPowerShell\v1.0\powershell_ise.exe
```

{% stepper %}
{% step %}
**コレクションを作成**

**\[コレクション]** > **\[アプリケーション]** に移動し、新しいコレクションを作成します。たとえば、このコレクションを「Restricted Files on Windows」と名付け、対象ファイルをカスタムリソースとして追加します。

**注:** `{system32}` 変数は、Keeperで定義されている[パス変数](#path-variables)の1つです。

<figure><img src="/files/f5QHTwbLnG0FuiYBGHbj" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
**ファイルアクセスポリシーを作成**

ポリシー画面からファイルアクセスポリシーを作成し、必要な制御を設定します。適用するアプリケーションコレクションには、「Restricted Files on Windows」コレクションを指定します。

<figure><img src="/files/OY3s8sFgCixps7cNmILU" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
**ユーザー体験**

ユーザー (この場合は「標準ユーザー」) がリスト内のいずれかのアプリケーションを実行しようとすると、Keeperから理由の入力と承認を求めるプロンプトが表示されます。

<figure><img src="/files/YrzyKGfxHOvst8a60Avq" alt="" width="184"><figcaption></figcaption></figure>

リクエストが承認されると、Keeperクライアントアプリケーションにそのリクエストが表示されます。ユーザーは、その画面から直接アプリケーションを起動できます。

<figure><img src="/files/xIrN69WHbQaMZ7XS3CmZ" alt="" width="180"><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

## 例2: システムファイルの保護 <a href="#example-2-protection-of-a-system-file" id="example-2-protection-of-a-system-file"></a>

この例では、すべてのWindowsマシンで保護対象ファイル「netlogon.inf」へのアクセスに承認を必要とする設定を行います。

{% stepper %}
{% step %}
**コレクションを作成**

保護対象のファイルリソースを管理するために、「Protected Files」コレクションを作成します。

<figure><img src="/files/0FISfGjQH7fn6WGWPK0Y" alt=""><figcaption><p>保護対象ファイルの新しいコレクションを作成</p></figcaption></figure>
{% endstep %}

{% step %}
**アイテムをコレクションに追加**

**\[リソースを手動で定義する]** をチェックし、`netlogon.inf` ファイルをコレクションに追加します。

<figure><img src="/files/tlyOY8NMCU3EnJDV5qNf" alt=""><figcaption><p>アイテムをコレクションに追加</p></figcaption></figure>
{% endstep %}

{% step %}
**ポリシーを作成**

**\[ポリシー]** タブで **\[ポリシーの作成]** をクリックし、以下の設定を行います。

* **ポリシータイプ:** ファイルアクセス
* **ステータス:** 適用
* **コントロールを追加:** **\[MFA]**、**\[正当な理由]**、**\[承認]** のいずれかを選択
* **ユーザーグループ:** 対象となるユーザーまたはグループ、または **\[すべてのユーザーとグループ]** を選択
* **マシン:** ポリシーを適用するマシン、または **\[すべてのマシン]** を選択
* **アプリケーション:** 上記で定義した「Protected Files」コレクションを選択

<figure><img src="/files/JgkKQFvg5Ot7hLWkRLKt" alt=""><figcaption><p>ポリシーの作成</p></figcaption></figure>

ファイルリソースへのアクセスに管理者の承認を必要とする場合は、**\[承認が必要]** を選択し、承認者を指定します。

<figure><img src="/files/73LvFUjS43wNPqKuQLBv" alt=""><figcaption><p>ファイルアクセスでの承認が必要</p></figcaption></figure>

ポリシーを保存すると、数分以内に対象となるすべてのマシンに適用されます。
{% endstep %}
{% endstepper %}

ファイルアクセスポリシーを定義する際に、変数を使用することでポリシー作成を簡略化し、パスのハードコーディングを避けることができます。

**パス変数**は、`{userprofile}` や `{system32}` のように、各マシン上の実パスへと展開されるプレースホルダです。対応OSやインストール先が異なる環境でも、1本のポリシーやジョブのまま扱えます。

* **形式:** `{variableName}` は中括弧で囲み、`$` 接頭辞は付けません。
* **大文字と小文字:** Windowsでは区別されません。LinuxおよびmacOSでは区別されます。
* **解決のタイミング:** ファイル保存時ではなく、評価時 (ポリシーまたはジョブが実行されるとき) に解決されます。

## 共通のパス変数 (全プラットフォーム)

<table data-header-hidden="false" data-header-sticky><thead><tr><th>変数</th><th>Windowsの例</th><th>Linuxの例</th><th>macOSの例</th><th>説明</th></tr></thead><tbody><tr><td><code>{rootdir}</code></td><td><code>C:\</code></td><td><code>/</code></td><td><code>/</code></td><td>ドライブまたはファイルシステムのルート</td></tr><tr><td><code>{documents}</code></td><td><code>C:\Users\&#x3C;user>\Documents</code></td><td><code>/home/&#x3C;user>/Documents</code></td><td><code>/Users/&#x3C;user>/Documents</code></td><td>ユーザーのドキュメントフォルダ</td></tr><tr><td><code>{userdocuments}</code></td><td><code>{documents}</code> と同じ</td><td><code>{documents}</code> と同じ</td><td><code>{documents}</code> と同じ</td><td>ドキュメントの別名</td></tr><tr><td><code>{userdesktop}</code></td><td><code>C:\Users\&#x3C;user>\Desktop</code></td><td><code>/home/&#x3C;user>/Desktop</code></td><td><code>/Users/&#x3C;user>/Desktop</code></td><td>ユーザーのデスクトップ</td></tr><tr><td><code>{hasdesktop}</code></td><td><code>"true"</code> / <code>"false"</code></td><td><code>"true"</code> / <code>"false"</code></td><td><code>"true"</code> / <code>"false"</code></td><td>デスクトップ環境の有無</td></tr></tbody></table>

## Windows固有のパス変数

<table data-header-hidden="false" data-header-sticky><thead><tr><th width="179.6666259765625">変数</th><th>一般的な値</th><th>説明</th></tr></thead><tbody><tr><td><code>{systemroot}</code></td><td><code>C:\Windows</code></td><td>Windowsディレクトリ</td></tr><tr><td><code>{windows}</code></td><td><code>C:\Windows</code></td><td>systemrootの別名</td></tr><tr><td><code>{systemdrive}</code></td><td><code>C:</code></td><td>システムドライブ (末尾のバックスラッシュなし)</td></tr><tr><td><code>{system32}</code></td><td><code>C:\Windows\System32</code></td><td>System32ディレクトリ</td></tr><tr><td><code>{syswow64}</code></td><td><code>C:\Windows\SysWOW64</code></td><td>64ビットWindows上の32ビットシステム領域</td></tr><tr><td><code>{programfiles}</code></td><td><code>C:\Program Files</code></td><td>Program Files</td></tr><tr><td><code>{programfilesx86}</code></td><td><code>C:\Program Files (x86)</code></td><td>Program Files (x86)</td></tr><tr><td><code>{userprofile}</code></td><td><code>C:\Users\&#x3C;user></code></td><td>ユーザープロファイルディレクトリ</td></tr><tr><td><code>{appdata}</code></td><td><code>C:\Users\&#x3C;user>\AppData\Roaming</code></td><td>ローミングAppData</td></tr><tr><td><code>{localappdata}</code></td><td><code>C:\Users\&#x3C;user>\AppData\Local</code></td><td>ローカルAppData</td></tr><tr><td><code>{programdata}</code></td><td><code>C:\ProgramData</code></td><td>ProgramData</td></tr><tr><td><code>{temp}</code></td><td><code>C:\Users\&#x3C;user>\AppData\Local\Temp</code></td><td>ユーザー用一時ディレクトリ</td></tr></tbody></table>

## **macOS固有のパス変数**

<table><thead><tr><th width="159.87884521484375">変数</th><th width="226.57574462890625">例</th><th>説明</th></tr></thead><tbody><tr><td><code>{system}</code></td><td><code>/System</code></td><td>システムルート</td></tr><tr><td><code>{library}</code></td><td><code>/Library</code></td><td>ライブラリ</td></tr><tr><td><code>{applications}</code></td><td><code>/Applications</code></td><td>アプリケーションフォルダ</td></tr><tr><td><code>{volumes}</code></td><td><code>/Volumes</code></td><td>ボリュームのマウントポイント</td></tr><tr><td><code>{downloads}</code></td><td><code>/Users/&#x3C;user>/Downloads</code></td><td>ユーザーのダウンロード</td></tr><tr><td><code>{launchdaemons}</code></td><td><code>/Library/LaunchDaemons</code></td><td>システム用LaunchDaemon</td></tr><tr><td><code>{launchagents}</code></td><td><code>/Library/LaunchAgents</code></td><td>Launchエージェント</td></tr></tbody></table>

## LinuxおよびmacOS共通のパス変数

<table data-header-hidden="false" data-header-sticky><thead><tr><th width="109.54537963867188">変数</th><th width="133.2425537109375">Linuxの例</th><th width="148.1817626953125">macOSの例</th><th>説明</th></tr></thead><tbody><tr><td><code>{bin}</code></td><td><code>/bin</code></td><td><code>/bin</code></td><td>実行ファイル</td></tr><tr><td><code>{etc}</code></td><td><code>/etc</code></td><td><code>/etc</code></td><td>設定</td></tr><tr><td><code>{tmp}</code></td><td><code>/tmp</code></td><td><code>/tmp</code></td><td>一時領域</td></tr><tr><td><code>{usr}</code></td><td><code>/usr</code></td><td><code>/usr</code></td><td>ユーザープログラム</td></tr><tr><td><code>{var}</code></td><td><code>/var</code></td><td><code>/var</code></td><td>可変データ</td></tr><tr><td><code>{home}</code></td><td><code>/home/&#x3C;user></code></td><td><code>/Users/&#x3C;user></code></td><td>ユーザーホーム</td></tr></tbody></table>

## アプリケーション固有のパス変数

以下は、エンドポイント特権マネージャーのインストール位置を基準に解決されます。

<table><thead><tr><th width="134.787841796875">変数</th><th width="159.8787841796875">説明</th><th>例 (Windows)</th></tr></thead><tbody><tr><td><code>{approot}</code></td><td>アプリケーションのルートディレクトリ</td><td><code>C:\Program Files\KeeperPrivilegeManager</code></td></tr><tr><td><code>{pluginroot}</code></td><td>プラグインディレクトリ</td><td><code>C:\Program Files\KeeperPrivilegeManager\Plugins</code></td></tr><tr><td><code>{jobroot}</code></td><td>ジョブディレクトリ</td><td><code>C:\Program Files\KeeperPrivilegeManager\Jobs</code></td></tr></tbody></table>

## 保護パス <a href="#protected-paths" id="protected-paths"></a>

Keeperエンドポイント特権マネージャーは、サポート対象すべてのプラットフォームにおいて包括的な保護パスのリストを管理しています。これらのパスは、標準ユーザーが変更してはならない重要なシステムディレクトリおよびファイルを示しており、システムの整合性を維持するためにACLの適用対象から除外されています。

### 保護のカテゴリ <a href="#protection-categories" id="protection-categories"></a>

#### 1. 保護ディレクトリ <a href="#id-1-protected-directories" id="id-1-protected-directories"></a>

システムの整合性を維持するため、特定のディレクトリはアクセス制御リスト (ACL) による変更から自動的に保護されます。

#### 2. 高リスクパス <a href="#id-2-high-risk-paths" id="id-2-high-risk-paths"></a>

絶対に変更してはならない重要なシステムファイルであり、ストレージ操作 (書き込み・削除など) がブロックされます。

#### 3. 重要システムパス <a href="#id-3-critical-system-paths" id="id-3-critical-system-paths"></a>

インベントリスキャン中に除外される仮想ファイルシステムや問題のあるパスです。

## プラットフォーム別保護パス <a href="#platform-specific-protected-paths" id="platform-specific-protected-paths"></a>

#### Linuxの既定の保護パス

以下のパス上の実行ファイルは、ワイルドカードによるファイルアクセス `DENY` ポリシーの対象外です。保護はすべてのサブディレクトリに再帰的に適用されます。明示的なパスポリシーは、保護の有無に関わらず常に評価されます。

<table><thead><tr><th width="144.15155029296875">パス</th><th>説明</th></tr></thead><tbody><tr><td><code>/bin</code></td><td>必須のシステムバイナリ</td></tr><tr><td><code>/sbin</code></td><td>システム管理用バイナリ</td></tr><tr><td><code>/usr/bin</code></td><td>ユーザー向けシステムユーティリティ</td></tr><tr><td><code>/usr/sbin</code></td><td>システム管理ユーティリティ</td></tr><tr><td><code>/usr/lib</code></td><td>システム共有ライブラリ</td></tr><tr><td><code>/usr/libexec</code></td><td>システムデーモンの実行ファイル</td></tr><tr><td><code>/lib</code></td><td>必須の共有ライブラリ</td></tr><tr><td><code>/lib64</code></td><td>64ビット必須の共有ライブラリ</td></tr><tr><td><code>/etc</code></td><td>システム構成ファイル</td></tr><tr><td><code>/etc/passwd</code></td><td>ユーザーアカウントデータベース</td></tr><tr><td><code>/etc/shadow</code></td><td>暗号化されたユーザーパスワードストア</td></tr><tr><td><code>/etc/sudoers</code></td><td>sudo 特権の構成</td></tr><tr><td><code>/boot</code></td><td>ブートローダーとカーネルファイル</td></tr><tr><td><code>/dev</code></td><td>デバイスファイル</td></tr><tr><td><code>/proc</code></td><td>カーネルおよびプロセス情報 (仮想ファイルシステム)</td></tr><tr><td><code>/sys</code></td><td>ハードウェアおよびドライバー情報 (仮想ファイルシステム)</td></tr><tr><td><code>/opt/keeper</code></td><td>エンドポイント特権マネージャーのインストールディレクトリ</td></tr></tbody></table>

#### Linuxの高リスクパス

以下のパスには重要なシステムファイルが含まれます。ファイルアクセスポリシーで指定しないでください。これらの場所のファイルを変更すると、認証が破損したり、システムの初期化が無効になったり、起動不能になる可能性があります。

<table><thead><tr><th width="139.272705078125">パス</th><th width="175.36358642578125">説明</th><th>リスク</th></tr></thead><tbody><tr><td><code>/etc/passwd</code></td><td>ユーザーアカウントデータベース</td><td>破損するとシステム全体のユーザー認証が機能しなくなる</td></tr><tr><td><code>/etc/shadow</code></td><td>暗号化されたユーザーパスワードストア</td><td>破損するとすべてのユーザーのパスワードログインができなくなる</td></tr><tr><td><code>/bin/sh</code></td><td>既定のシステムシェル</td><td>破損すると <code>sh</code> に依存するスクリプト、システム初期化、復旧ツールが動作しなくなる</td></tr><tr><td><code>/sbin/init</code></td><td>システム初期化プロセス (PID 1)</td><td>破損するとOSが起動しなくなる</td></tr></tbody></table>

{% hint style="info" %}
アプリケーションとフォルダのフィルターでのワイルドカードの振る舞いと注意点の詳細は、[**ポリシー: ワイルドカード**](/keeperpam/jp/endpoint-privilege-manager/policies/wildcards.md)をご参照ください。
{% endhint %}

#### 汎用Unixの既定の保護パス

以下のパスは、プラットフォーム固有の一覧が定義されていないUnix系環境向けのフォールバック保護ディレクトリセットです。明示的なパスポリシーは、保護の有無に関わらず常に評価されます。

<table><thead><tr><th width="119.15155029296875">パス</th><th>説明</th></tr></thead><tbody><tr><td><code>/bin</code></td><td>必須のシステムバイナリ</td></tr><tr><td><code>/sbin</code></td><td>システム管理用バイナリ</td></tr><tr><td><code>/usr/bin</code></td><td>ユーザー向けシステムユーティリティ</td></tr><tr><td><code>/usr/sbin</code></td><td>システム管理ユーティリティ</td></tr><tr><td><code>/etc</code></td><td>システム構成ファイル</td></tr><tr><td><code>/dev</code></td><td>デバイスファイル</td></tr><tr><td><code>/proc</code></td><td>カーネルおよびプロセス情報 (仮想ファイルシステム)</td></tr><tr><td><code>/sys</code></td><td>ハードウェアおよびドライバー情報 (仮想ファイルシステム)</td></tr></tbody></table>

#### macOSの既定の保護パス

以下のパス上の実行ファイルに対しては、ワイルドカードによるファイルアクセス `DENY` ポリシーが適用されません。明示的なパスポリシーは、保護の有無に関わらず常に評価されます。

<table><thead><tr><th width="230.66668701171875">パス</th><th>説明</th></tr></thead><tbody><tr><td><code>/System</code></td><td>macOSのシステムルートおよびすべてのサブディレクトリ</td></tr><tr><td><code>/bin</code></td><td>必須のシステムバイナリ</td></tr><tr><td><code>/sbin</code></td><td>システム管理用バイナリ</td></tr><tr><td><code>/usr/bin</code></td><td>ユーザー向けシステムユーティリティ</td></tr><tr><td><code>/usr/sbin</code></td><td>システム管理ユーティリティ</td></tr><tr><td><code>/private/etc</code></td><td>システム構成ファイル</td></tr><tr><td><code>/Library/Security</code></td><td>セキュリティフレームワーク</td></tr><tr><td><code>/Applications/Utilities</code></td><td>組み込みユーティリティアプリ</td></tr><tr><td><code>/Applications</code></td><td>メインのApplicationsフォルダ内のすべてのアプリ</td></tr><tr><td><code>/System/Applications</code></td><td>組み込みmacOSアプリ</td></tr></tbody></table>

#### macOSの高リスクパス

以下のパスには重要なシステムファイルが含まれます。ファイルアクセスポリシーで指定しないでください。これらの場所のファイルを変更すると、コアOSサービスが破損したり、認証が機能しなくなったり、起動不能になる可能性があります。

| パス                             | 説明                                              | リスク                                                                 |
| ------------------------------ | ----------------------------------------------- | ------------------------------------------------------------------- |
| `/System/Library/CoreServices` | Finder、WindowServer、起動コンポーネントなどのコアmacOSシステムサービス | 破損するとシステム起動、GUI環境、またはその両方が機能しなくなる                                   |
| `/private/etc`                 | システム構成ファイル (`/etc` としてもアクセス可能)                  | `passwd`、`sudoers`、`hosts` などのファイルを破損すると、認証、特権の解決、ネットワークの動作が機能しなくなる |

{% hint style="success" %}
`/Applications` と `/System/Applications` は設計上保護されています。ワイルドカードと明示的なパスポリシーのスコープ設定の考え方の詳細は、[macOS保護パスの設計意図](/keeperpam/jp/endpoint-privilege-manager/reference/macos-protected-path-design-intent.md)をご参照ください。
{% endhint %}

### Windowsの既定の保護パス

以下のパス上の実行ファイルは、ワイルドカードによるファイルアクセス `DENY` ポリシーの対象外です。保護は再帰的に適用され、すべてのサブディレクトリが含まれます。明示的なパスポリシーは、保護の有無に関わらず常に評価されます。

保護パスの一覧は、保護パスポリシー、または PathResolution ストレージフォルダ配下の `UserProtectedDirectories.json` / `PolicyProtectedDirectories.json` ファイルで拡張できます。

| 変数                                | 解決先 (一般的)                                                      | 説明                               |
| --------------------------------- | -------------------------------------------------------------- | -------------------------------- |
| `{systemroot}`                    | `C:\Windows`                                                   | Windowsディレクトリのルートおよびすべてのサブディレクトリ |
| `{system32}`                      | `C:\Windows\System32`                                          | コアシステムバイナリ                       |
| `{systemroot}\SysWOW64`           | `C:\Windows\SysWOW64`                                          | 64ビットWindows上の32ビットシステムバイナリ      |
| `{systemroot}\WinSxS`             | `C:\Windows\WinSxS`                                            | Side-by-Sideコンポーネントアセンブリ         |
| `{systemroot}\servicing`          | `C:\Windows\servicing`                                         | Windows UpdateおよびServicing Stack |
| `{systemroot}\Microsoft.NET`      | `C:\Windows\Microsoft.NET`                                     | .NET Frameworkランタイムファイル          |
| `{systemroot}\assembly`           | `C:\Windows\assembly`                                          | グローバルアセンブリキャッシュ (GAC)            |
| `{systemroot}\Boot`               | `C:\Windows\Boot`                                              | ブートマネージャーファイル                    |
| `{systemroot}\recovery`           | `C:\Windows\recovery`                                          | Windows回復環境                      |
| `{systemroot}\System32\config`    | `C:\Windows\System32\config`                                   | レジストリハイブファイル                     |
| `{systemroot}\System32\drivers`   | `C:\Windows\System32\drivers`                                  | カーネルモードデバイスドライバー                 |
| `{programfiles}`                  | `C:\Program Files`                                             | インストール済み64ビットアプリ                 |
| `{programfilesx86}`               | `C:\Program Files (x86)`                                       | 64ビットWindows上のインストール済み32ビットアプリ   |
| `{programfiles}\Windows Defender` | `C:\Program Files\Windows Defender`                            | Windows Defenderウイルス対策バイナリ       |
| `{programfiles}\Windows NT`       | `C:\Program Files\Windows NT`                                  | コアWindows NTコンポーネント              |
| N/A                               | `C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup` | システム起動プログラム                      |

#### Windowsの高リスクパス

以下のパスには重要なシステムファイルが含まれます。ファイルアクセスポリシーで指定しないでください。これらの場所のファイルを変更すると、レジストリが破損したり、ドライバーが不安定になったり、起動不能になる可能性があります。

| パス                            | 説明                                                  | リスク                     |
| ----------------------------- | --------------------------------------------------- | ----------------------- |
| `C:\Windows\System32\config`  | レジストリハイブファイル (`SYSTEM`、`SAM`、`SECURITY`、`SOFTWARE`) | レジストリ破損、システム起動不能        |
| `C:\Windows\System32\drivers` | カーネルモードデバイスドライバー (`.sys` ファイル)                      | ドライバー障害、ブルースクリーン (BSOD) |

### MacおよびLinuxでのポリシー適用 <a href="#mac-and-linux-policy-enforcement" id="mac-and-linux-policy-enforcement"></a>

macOSおよびLinuxデバイスでは、ファイルアクセスポリシーを適用する際に、Keeperクライアントアプリケーションのユーザーインターフェースを使用する必要があります。ファイルアクセスをリクエストする場合、ユーザーはシステムトレイの **\[アクセスをリクエスト]** から申請を行います。

<figure><img src="/files/UUaQ1OJwYYsEogyrkyje" alt="" width="375"><figcaption></figcaption></figure>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter:

```
GET https://docs.keeper.io/keeperpam/jp/endpoint-privilege-manager/policies/policy-types/file-access-policy-type.md?ask=<question>
```

The question should be specific, self-contained, and written in natural language.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.