UACの権限昇格ダイアログ

Webアプリケーションの開発を行っているとあまり意識しないのですが、既存のスタンドアロンのJavaプログラムをWindows 7にて動作検証する必要があり、ユーザアカウント制御(UAC)について調査しました。普段はWindows XPを使用しているのでUACに馴染みがなく、UAC自体を理解するのに少し手間取りました。。

UAC

XPまでは実行するアカウントに管理者権限があれば、レジストリやシステムフォルダなどへの変更も自由に行うことができましたが、UACが有効になったVista/7ではアプリケーションの実行時に管理者権限を取得する必要があります。ここでアプリケーションをインストールしたProgram Files内もシステムフォルダに該当します。ですので、ユーザ権限では、インストールフォルダに設定ファイルを作成したり、ログを出力したりすることはできませんでした（javaでは「アクセスが拒否されました」というエラー）。この場合、次のような対応を行う必要があります。

設定ファイルやログをユーザーフォルダに作成するようにする
java.exeを実行するコマンドプロンプト、バッチファイルや管理者権限で実行する

権限昇格ダイアログ

今回の検証対象は、java.exeを実行するのではなくNSISで作ったランチャー(exeファイル)を経由して起動されます。NSISはオープンソースのインストーラ作成ソフトですが、外部プログラムを実行できるので内部でjavaw.exeを実行するランチャーとして使っています。

このプログラムをWindows7にインストールしたところ、アイコンに管理者権限が必要な印である盾マークが表示されました。

実行すると次のような権限の昇格確認のダイアログが表示されます。

プログラムが必要とする権限はプログラム自体に記述することができ、記述がない場合にはWindowsが判断しているようです。

NSISでの権限の指定はインストーラスクリプトのRequestExecutionLevelというコマンドで指定します。

RequestExecutionLevel admin

Scripting Reference
システムフォルダへのアクセスが不要であれば"user"を指定すれば、ダイアログは回避できます。

しかし、システムフォルダへのアクセスが必要な場合、プログラムを起動するたびにこのダイアログが表示されるのは少しウザイです。最初はプログラムの作り方次第で回避できるのでは？と考えたのですがUACの存在意義を考えるとそんなことはできないですよね。。

すべてのプログラムでダイアログを表示せずに昇格させることは可能です。管理ツールのローカルセキュリティポリシーを起動し、

[ローカルポリシー] - [セキュリティオプション] から "ユーザーアカウント制御: 管理者承認モードでの管理者に対する昇格時のプロンプトの動作"にて、"確認を要求しないで昇格する"を選択します。