Horizon でローカルから仮想デスクトップへの転送だけを許可し、持ち出しを防ぐ方法

クライアントドライブ、ファイル転送、クリップボード、ドラッグ＆ドロップを個別制御し、マップドライブが逆方向経路にならないことを確認します。

1. 結論と対象範囲

クライアント／サーバーのバージョン、ドメイン参加状況、DNS とゲートウェイ、ネットワーク場所、完全なエラー文、イベント時刻、直近の変更を準備します。例では予約済みの corp.example を使用し、実在する顧客のドメイン、IP、アカウント、機器番号は掲載していません。

本件は「VMware Horizon と VDI」に分類されます。ログと設定はリモートで収集できる場合がありますが、権限の一括変更、スイッチ経路、本番切替、復元テストは計画した作業枠で実施します。

2. 主な症状と環境確認

• 口頭説明だけで判断せず、完全なエラー文、イベントログの時刻、失敗した操作を保存します。
• 影響範囲、初回発生時刻、再現性、別セグメントでも同じ結果になるかを記録します。
• Horizon の遅延や切断では、往復遅延、ジッター、パケットロス、瞬間的な輻輳を測定します。平均 ping が正常でも問題を除外できません。

3. 推奨する切り分け順序

1. Horizon のクライアントドライブ、ファイル転送、クリップボード、ドラッグ＆ドロップは別チャネルであり、方向と権限を個別に制御します。
2. ローカルから VDI への一方向転送では、アップロード、ダウンロード、クリップボード、ドラッグ＆ドロップ、マップドライブ書き戻しをすべて確認します。
3. クリップボード、ドラッグ＆ドロップ、クライアントドライブリダイレクトは別機能です。方向、例外ユーザー、実際のデータ経路を個別に確認します。
4. セキュリティ設定はテストプールまたは少数利用者へ先行適用し、Client／Agent バージョン差を記録してから段階展開します。
5. gpupdate を繰り返すのではなく、gpresult または RSoP で適用・拒否・フィルター除外された GPO を確認します。
6. 一度に変更する条件は1つにし、変更前に設定をエクスポートするか現状を記録します。

gpresult /h "%TEMP%\horizon-policy.html"
# Test upload, download, clipboard, drag-and-drop and mapped-drive write-back separately.

4. 安全な修復と一括展開

読み取り専用の確認、設定エクスポート、単一システムでの検証を優先します。原因を確認してから対象範囲、作業時間、ロールバック方法を決めます。マスターイメージや GPO の変更はテストプールで、ログイン、データドライブ、印刷、リダイレクト、業務アプリを確認してから本番へ展開します。

• セキュリティ設定はテストプールまたは少数利用者へ先行適用し、Client／Agent バージョン差を記録してから段階展開します。
• gpupdate を繰り返すのではなく、gpresult または RSoP で適用・拒否・フィルター除外された GPO を確認します。
• 一度に変更する条件は1つにし、変更前に設定をエクスポートするか現状を記録します。

5. 確認方法・ロールバック・注意点

一度動作しただけで完了としません。利用者操作、ログ、再起動／再ログイン、必要に応じて別ネットワーク場所、次回のポリシー／バックアップ周期で再確認します。

確認とロールバック

• 一度に変更する条件は1つにし、変更前に設定をエクスポートするか現状を記録します。
• Horizon のログイン経路を、クライアント、Connection Server、ドメイン認証、デスクトップエージェント、表示プロトコル、ユーザープロファイルに分けて確認します。
• クリップボード、ドラッグ＆ドロップ、クライアントドライブリダイレクトは別機能です。方向、例外ユーザー、実際のデータ経路を個別に確認します。

避けるべき一般的な誤り

• ネットワークと認証経路を確認せず VM の CPU／メモリだけを増やすこと。
• スナップショットなしでマスターイメージの権限を一括変更すること。
• 異なるリダイレクト機能を1つの設定とみなすこと。