エンタープライズ運用
GA リリースでは、開発者向けの新機能だけでなく、組織が WSL コンテナーを本番環境で採用するために必要なガバナンスとセキュリティ制御が強化されました。
本章の位置づけ: 本章で扱う Intune と Microsoft Defender for Endpoint の設定は、組織の IT 管理者がテナント側で行う管理作業です。個人所有の Windows では試せないため、本章はハンズオン形式ではなく「設定項目の紹介と、IT 管理者向けの参照先」という読み物の形式になります。開発者の方は「自分の環境に何が適用され得るか」を理解する目的でお読みください。
公式ブログでは、WSL の将来像が次のように述べられています。
“Over time, we see Linux on Windows evolving beyond a development environment into a strategic execution platform for AI and cloud-native workloads, participating in the same enterprise security, management, and governance frameworks as Windows.”
つまり、Windows と同じセキュリティ・管理・ガバナンスの枠組みに Linux ワークロードを参加させる、という方向性です。
1. Microsoft Defender for Endpoint (MDE) による可視化
Microsoft Defender for Endpoint は、エンタープライズ ネットワークにおける高度な脅威の防止・検出・調査・対応を支援するエンドポイント セキュリティ プラットフォームです。
MDE は WSL プラグインとして WSL と統合されており、セキュリティ チームは実行中のすべての WSL ディストリビューションのセキュリティ イベントを確認できます。開発者のワークロードのパフォーマンスへの影響は最小限に抑えられています。
GA リリースにより、この MDE プラグインが WSL コンテナーにも対応しました。
MDE が可視化するもの 内容 プロセス活動 WSL コンテナー内で実行されたプロセス ファイル活動 コンテナー内でのファイル操作 ネットワーク活動 コンテナーが発信・受信した通信
重要なのは、MDE がこれらの活動を Windows ホストに紐づけて表示する点です。公式ブログでは次のように説明されています。
“MDE can surface process, file and network activity from WSL containers and connect that activity back to Windows host, helping security teams investigate suspicious activity without creating a separate security workflow.”
セキュリティ チームは、Linux コンテナー専用の別ワークフローを用意することなく、既存の調査フローのまま不審な活動を追跡できます。
2. Microsoft Intune による制御
Microsoft Intune はクラウドベースのエンドポイント管理ソリューションです。組織内のデバイス管理に加え、WSL へのアクセスと主要なセキュリティ設定の管理も行えます。
GA リリースでは、Intune ダッシュボードに WSL コンテナー機能に特化した設定が追加されました。
追加された設定項目
設定 内容 Allow WSL containers access WSL コンテナー機能全体へのアクセスを制御します。組織として機能自体を有効化・無効化する最上位のスイッチです WSL containers registry allow list コンテナー イメージの取得元レジストリを許可リストで制限します
レジストリ許可リストの意義
エンタープライズでの採用にあたっては、どのコンテナー イメージが環境に持ち込まれるかに対する統制が不可欠です。公式ブログでは次のように説明されています。
“With container registry allow lists, administrators can define approved registries and help ensure developers only pull container images from that list, that meet organizational security and compliance requirements.”
管理者が承認済みレジストリを定義することで、開発者は組織のセキュリティおよびコンプライアンス要件を満たすイメージのみを取得できるようになります。社内のプライベート レジストリのみを許可する、といった運用が可能です。
INFO: 前のステップの
curlimages/curlのように、公開レジストリからイメージを取得する手順は、組織の許可リスト設定によっては実行できない場合があります。業務環境で試す際は、IT 管理者に確認してください。
- 参照: WSL の Intune 設定
注意: 本節の WSL コンテナー向け設定名は GA 発表ブログに基づいています。2026 年 10 月時点では、WSL の Intune 設定およびエンタープライズ環境の設定の公式ドキュメントに、WSL コンテナー向けの設定はまだ記載されていません。実際の設定名・設定場所は、Intune 管理センターで確認してください。
3. ネットワークの制御
ファイアウォール
Windows 11 22H2 および WSL 2.0.9 以降では、Windows ファイアウォール規則が WSL に自動的に適用されます。 Windows ホストに設定されているファイアウォール規則が、既定ですべての WSL ディストリビューションに適用されます。
個別のカスタマイズが必要な場合は、Hyper-V ファイアウォールの構成を行います。
さらに wslc では、前述の Consommé ネットワーク モデルにより、仮想マシンから出るトラフィックがセッションを所有するユーザーとして送信されます。通常の Windows プロセスが発したトラフィックと同じように扱われるため、既存のファイアウォール規則や VPN との互換性が高くなります。
注意: 以下の 2 つは
%UserProfile%\.wslconfigの[wsl2]セクションに書く WSL 向けの設定です。wslcコンテナーのネットワークにも効果があるかは、公式ドキュメントでは明記されていません。
DNS トンネリング
dnsTunneling=true
この設定により、WSL はネットワーク パケットではなく仮想化機能を使用して DNS 情報を取得します。さまざまなネットワーク環境での互換性が向上するため、VPN や高度なファイアウォール設定を使用する場合に特に有効です。接続の問題が発生した際は、まずこの設定を確認してください。
自動プロキシ
autoProxy=true
この設定により、WSL は Windows の HTTP プロキシ情報を使用します。企業ネットワークでプロキシを経由する場合、この設定を有効にすることで、Windows のプロキシ設定が WSL ディストリビューションに自動的に適用されます。
4. 権限の継承モデル
セキュリティを検討するうえで重要なのが、Linux 側の権限が Windows 側の権限を超えられないという設計です。
公式ドキュメントでは次のように説明されています。WSL 内の Linux バイナリが Windows ファイルにアクセスする際は、wsl.exe を実行した Windows ユーザーのアクセス許可が使用されます。そのため、Linux ユーザーが WSL 内で root 権限を持っていても、Windows ユーザーがその権限を持っていなければ、Windows 上で管理者レベルの操作を行うことはできません。
wslc のセッション モデルも同じ思想です。セッション操作は特権サービスではなく、呼び出したユーザーの権限で動作する wslcsession.exe が代行します。これによりセッション間が分離され、操作がより低い権限のプロセスで実行されます。
5. 推奨されるエンタープライズ セットアップ
公式ドキュメントでは、以下の組み合わせが推奨されています。
- Microsoft Defender for Endpoint (MDE) を使用して、WSL ディストリビューションおよびコンテナー内のセキュリティ イベントを監視する
- ファイアウォール設定を使用して WSL のネットワークを制御する (Windows ファイアウォール設定と WSL の同期を含む)
- Intune またはグループ ポリシーを使用して、WSL とその主要なセキュリティ設定へのアクセスを制御する
これに加え、wslc では レジストリ許可リストによるイメージ取得元の統制が利用できます。
6. 導入時の検討事項
ハンズオンで構築した環境を組織に展開する際は、以下を事前に確認してください。
検討事項 確認内容 機能の有効化 Intune の「Allow WSL containers access」が有効か イメージの取得元 許可リストに必要なレジストリが登録されているか。社内レジストリの利用が必要か ネットワーク プロキシ経由の環境か。 autoProxy/dnsTunnelingの設定が必要か監査 MDE による監視が有効か。コンテナー活動のログ保全要件を満たすか ストレージ セッション VHD の配置先。既定は %LOCALAPPDATA%\wslc\sessionsだが、GA で変更可能 (wslc settingsで開く設定ファイルのsession.storagePath。手順)