Windows Administrator Protection(管理者保護)について語るスレ

正式名称「Administrator Protection(訳：管理者保護)」について語り合いましょう。
https://learn.microsoft.com/ja-jp/windows/security/application-security/application-control/administrator-protection

従来の管理者承認モードでは、Administratorsグループのユーザーがサインインすると、制限された通常トークン、完全な管理者トークンが作成される。
両者は同じユーザープロファイル、レジストリ、環境変数などを共有するため、レジストリ操作、環境変数の上書きを利用した一部のUACバイパスが成立する余地があった。管理者保護では、ユーザー自身の常設管理者トークンを使わず、次の流れで昇格する。

管理者ユーザーも通常時は非特権状態で動作する
↓
管理者権限が必要になるたびに、ユーザーが承認する
↓
Windowsが非表示のSMAAを使用する
↓
プロファイルが分離された一時的な管理者トークンを対象プロセスに発行する
↓
プロセス終了時にトークンを破棄する

自動昇格は原則廃止され、管理操作ごとに承認が必要になる。

Windows Helloとの統合が中心で、顔認証、指紋、PINで昇格を承認できる。
ポリシー上は以下の二方式を選択できる。
・セキュアデスクトップ上で資格情報を要求
・セキュアデスクトップ上で許可/拒否の同意を要求

現在のCSP仕様では、資格情報要求が既定値で、イベントにはパスワード、PIN、Windows Helloといった、実際に使用された認証方法が記録される。
このため、必ず生体認証だけを使用する機能、ということではない。

2024年：Canaryで初期プレビュー、Windows Helloの新しい認証画面との結合をテスト
2025年7月：Windows 11 24H2、開発ビルドのBeta・Devで段階的に展開
2025年10月：KB5067036で案内されたが、その後撤回
2026年3月6日：Windows 11 25H2ベースのBeta・Devで、IT管理者が有効化する形で再展開(既定ではオフ)
2026年3月30日：Windows Securityの[アカウント保護]からユーザーがオンにできるUIを再展開
2026年6月8日：26H1 Experimental Build 28120.2242でも設定トグルを段階展開

現時点では、製品版Windows 11全体に対する安定版機能として導入する段階ではなく、検証環境、限定的な展開向けなことに注意。
なお、一部記事には、「25H2で今すぐ全端末に導入すべき」とする記述もあるが、Microsoft公式は同KBでの機能を撤回したと明記している。

管理者保護では昇格時に分離アカウントが使用されるってことは、アプリから見ると、部分的には別ユーザーとして実行されたような状態になるんですよね。
古いゲームでは、セーブ/設定の保存先にユーザープロファイルが使われますよね。(Documents等)
管理者保護下でゲームを管理者として実行すると、Documentsは普段のユーザーではなく、SMAAのプロファイルを参照します。
https://blogs.windows.com/windowsdeveloper/2025/05/19/enhance-your-application-security-with-administrator-protection/

なので、通常ユーザー用と昇格用の二箇所にセーブ環境が分裂する可能性があるということです。
Installerも同様の問題で、以前ほど確実でもなくなります。
SMAA側のAppdata、HKCUに書かれると、通常ユーザーから見えません。