#触ってみた感想

アプリ動作はほぼWindows10 Proそのもの

　例えばMicrosoft StoreやEdgeなど初期プログラムがないことを除けば、ほぼWindows10 Proとして使える。
　リモートデスクトップのクライアントにもサーバにもなれる。
　非ストアアプリ、例えばGoogle ChromeやAcrobat Reader、7-zip、自社開発のWin10向けアプリは問題なく・動作しているように見える。

WindowsUpdateについて

ロックダウン機能は魅力的だが結構複雑、面倒

　基本的にはCUI(PowerShell)やプロビジョニングパッケージ(*1)を使ってカスタマイズする必要がある。
　設定用アプリを自社開発されている製品(ex. Epson Direct)もあるようだ。
　レジストリならまだGUIでも管理できるが…。

*1:構成情報のコンテナのようなもの。[.ppkg]ファイルを作成してWクリックで適用、
　「設定」アプリからアンインストール、で管理する。
　以下である程度説明する

怖いというか面倒くさいというか

　【設定を戻すのにリカバリが必要になるパターンがある】
　→プロビジョニングパッケージの削除で設定が戻らないものがある
　　→打ち消すプロビジョニングパッケージのインストールで戻す
　　　→打ち消す記述がないもの(Enable/Disabelではなくそもそも記述なくす、
　　　　レジストリで言うところのキー削除ができない）がある
　　　　→リカバリ。しかも場合によっては失敗する…。

ロックダウン機能

参考資料

ロックダウン機能の有効化

コントロールパネル（＞プログラムのアンインストール）＞Windowsの機能の有効化または無効化＞①「Device Lockdown」または②「デバイスのロックダウン」と表記されている部分の有効化
Windows10 Proにもあり、全機能のチェックボックスがあるがMSドキュメント的にはIoTかEnterpriseかEducationのみ有効と書かれている、実際10Pro 20H2だと思うように有効にならなかった

→これで【機能がインストール】されるが、有効化するにはCUI(PowerShell)またはプロビジョニングパッケージを作成し利用する必要がある。

各機能ごとの起動と説明

各機能を起動するには、それぞれ①PowerShellで起動コマンドを叩くか②機能を定義したプロビジョニングパッケージをインストールする。
各機能ごとの詳細な内容は別記事に譲る。

プロビジョニングパッケージ(.ppkg)とWindows ICD

Windows ICD=Windows イメージおよび構成デザイナー。
プロビジョニングパッケージ(.ppkg)ファイルをGUIで作成できる。
Windows ADK に含まれる。ADKのインストーラから必要なものをインストールする。
定義ファイルを作成するツールなので、適用したいPCとは別のファイル作成用PC【A】にインストールして.ppkgファイルを作成、
OSの初期設定を終えた対象PC【B】にUSBメモリなどで.ppkgファイルを移動し適用する。
実際作業するのは以下【注意点】も確認してからにしてほしい。

以下参考資料

細かい作成方法や具体的な設定は上段「Windows10 Enterpriseでロックダウン機能を有効化する方法」も参考に。

構成ファイルの適用と削除

適用は.ppkgファイルWクリックでよい。全ユーザに適用されるように見えるが管理者ユーザで実施したほうが安心だとは思う。
適用後再ログイン、または再起動後に適用される。項目によっては適用時に「１分以内に再起動します」とウィンドウが出て強制的に再起動が走るので注意。
Usersグループユーザで適用するには管理者アカウントでの認証が勿論必要。
削除は設定アプリ＞アカウント＞職場または学校にアクセスする＞右側関連項目内「プロビジョニングパッケージを追加または削除する」から行う。Usersグループユーザだと実行時に管理者アカウントでの認証を求められる。

【重要】注意点

「アンインストール時に元に戻される設定」という記事がある＝ここにないものは構成ファイルを削除/アンインストールしても元に戻らない。
そしてロックダウン機能が格納されるSMISettings、UnifiedWriteFilterは「元に戻される設定」に含まれていない。
つまり機能を停止するには、不要な構成ファイルを削除後に設定項目を「Disable」「False」等に設定した打ち消し用構成ファイルなどを用意し、インストールしないと有効化した機能を無効にできない。
しかも、例えばSMISettings＞KeyboardFilter＞Enableなど、SMISettings配下のEnableは「False」がないため上書きで打ち消すことができない（ようにみえる）項目がある。
またこれは厳密には「無効化する」という定義を加えているわけで、元に戻しているわけではない。
このため、設定を無効にするには初期化/リカバリが必要になることがある（に見える）。

実際のところ、構成ファイルを削除すると無効になる機能もある。しかし無効にならない機能もある。つまり削除によって無効になっていることが保証されない＝安心を得るにはリカバリしかない。