企業や官公庁など、スマートカードを使ったセキュアなログオンが導入されている環境では、カードが抜かれた瞬間にPCをロックしたいというニーズがあります。それを実現するのが「Smart Card Removal Policy」というWindowsサービスです。
このサービスを有効にすることで、スマートカードの取り外しに自動で反応し、PCの不正利用を防ぐ対策が可能になります。本記事では、サービスの概要、設定方法、トラブル対応までを詳しく解説します。
サービスの基本情報
- サービス名：Smart Card Removal Policy
- 実行ファイル：
scardsvr.dll（svchost.exeにより起動） - スタートアップの種類：手動
- 内部サービス名：
SCPolicySvc
このサービスは、スマートカードが取り外されたときに、ロックやログオフなどのアクションをWindowsが実行できるようにします。
サービスの概要
Smart Card Removal Policyは、Windowsでスマートカードを使用したログオン後、カードを抜いた際にシステムを自動的にロック・ログオフ・シャットダウンなどするポリシー制御を提供するサービスです。
この機能により、カード所有者がその場を離れた場合でも、PCが放置された状態になるのを防ぎます。
主な用途と機能
このサービスによる代表的な機能は以下の通りです。
- スマートカードの抜去をリアルタイムに検知
- 自動で以下のいずれかを実行可能
- デスクトップのロック
- ユーザーのログオフ
- システムのシャットダウン
- グループポリシーと連携し、全社的なポリシー適用が可能
- カードベースの物理セキュリティとOSセキュリティの連携を強化
サービスの設定方法
このサービスの状態を確認・変更する手順は次の通りです。
Win + Rを押して「ファイル名を指定して実行」services.mscと入力してEnter- 「Smart Card Removal Policy」を探してダブルクリック
- 「スタートアップの種類」で「手動」「自動」「無効」を選択可能
- 「開始」ボタンを押せばその場でサービスを起動
有効化や無効化の手順
有効化する場合
スマートカードログオンを採用していて、抜去時に自動ロックなどを行いたい場合には、以下の手順で有効化します。
手順
- スタートアップの種類を「手動」または「自動」に設定
- 状態が「停止中」であれば「開始」をクリック
- コマンド操作
sc config SCPolicySvc start= demand
net start SCPolicySvc
- さらにグループポリシーで抜去時の動作を設定：
gpedit.msc → 「コンピューターの構成」→「Windows の設定」→「セキュリティの設定」→「ローカル ポリシー」→「セキュリティ オプション」→
「スマート カードが削除されたときの動作」 を「ワークステーションをロックする」などに設定
無効化する場合
スマートカードを使用しないPCや、抜去後の自動操作が不要な環境では無効にしても問題ありません。
- サービスを「無効」に設定
- 不要であればグループポリシー側の設定も「何もしない」に変更
推奨設定とその理由
セキュリティ意識の高い環境では「手動または自動」＋ポリシー設定が推奨されます。
- カードが抜かれたら即ロック、という動作で物理的セキュリティを強化
- 停止しても通常のWindows使用には影響しないが、スマートカード認証時の保護機能が弱まる
- 一般的な家庭PCでは「無効」でも問題なし
よくあるトラブルと対処法
トラブル事例
- カードを抜いてもPCがロックされない
- サービスが自動的に開始されない
- グループポリシーが反映されない
- イベントログに「SCPolicySvc」関連のエラーが表示される
解決手順
- サービスの状態を確認
sc query SCPolicySvc
- サービスが停止していれば起動
net start SCPolicySvc
- グループポリシーで「スマートカードが削除されたときの動作」が正しく設定されているか確認
- ポリシー更新を反映
gpupdate /force
- イベントビューアーで「セキュリティ」ログを確認
関連サービスや補足情報
Smart Card Removal Policyは以下のサービスと連携しています。
- Smart Card（SCardSvr）：スマートカード認証の中核サービス
- Credential Manager：カードに紐づいた認証情報管理
- User Profile Service：ユーザーログオン状態の管理
- Group Policy Client：セキュリティポリシー適用の基盤
確認・再起動用バッチファイルの例：
@echo off
sc query SCPolicySvc
net start SCPolicySvc
pause
FAQセクション
Q1：このサービスはログオンしないと起動しませんか？
いいえ。スマートカードが挿入された状態でログオンした後にカードを抜くと、サービスが検知してロック処理を行います。自動起動設定でも利用可能です。
Q2：このサービスを無効にするとスマートカードログオンは使えなくなりますか？
いいえ。ログオン自体は「Smart Card」サービスに依存しており、このサービスはカード抜去時の処理専用です。
関連リンク
まとめ
Smart Card Removal Policyは、スマートカードが取り外された際にPCを自動的にロック・ログオフさせることができるセキュリティ向けのWindowsサービスです。カード認証を導入している組織では、情報漏えい防止のためにぜひ活用すべき機能です。
一方、カードを使用しない一般家庭や小規模オフィスでは無効でも問題なく、用途に応じた適切な設定が求められます。
Tamaglo最後までお読みいただきありがとうございます。
コメント