生徒に負けない学校パソコン室のリセット運用

学校のパソコン室に必要なのは清掃ではなく、予定どおりのリセットだ。管理者権限を持つ生徒は、どんなメンテナンスツールでも1週間で攻略してしまう。以下の運用はたった一つの原則で成り立つ——ダメージを、最初から一時的なものにしておくことだ。

管理者権限がすべてを決める

パソコン室の恐怖譚はどれも同じ始まり方をする。30台にインストールされたMinecraft、アドウェアのローダーを3つ引き連れてきた「ゲームブースター」、勝手に変えられたローカル管理者のパスワード——そのどれもが、生徒が管理者権限でログインしていることから始まる。管理者権限のない標準アカウントなら、被害の大半を発生する前に止められる。インストールは失敗し、システム設定は保存されず、ユーザーアカウント制御は生徒が知らないパスワードを要求するのだ。

各PCには2つのアカウントを用意する。授業用にきつく制限した標準アカウント「生徒」と、パスワードを学期ごとに変更する管理者アカウントだ。Windows Proなら残りはグループポリシー（Win+Rでgpedit.msc）で締められる。Homeエディションでは、最大の策は管理者権限を決して渡さないこと、それだけだ。

学期ごとのルーティン

リセット自体は地味で予定されたものであるべきで、8月に慌てて駆け込む非常事態であってはならない。機能する理由は予測可能性にある。毎学期同じビルド、同じアカウント、同じマシン名。そして安価な自動化が、リセットの合間に各PCが大きく道を外れるのを防ぐ。イメージ展開の環境があればほぼ一瞬で終わるし、なければWindows標準のリセットが誠実な代役を務める。

学期開始：全PCをクリーンなビルドへリセットまたは再展開 —— 設定 → システム → 回復 → このPCを初期状態に戻す（すべて削除）、または教室にUSBのマスターイメージがあればそれを使用
リセット後：マシン名をPC-01〜PC-30に戻し、教室のワークグループへ再参加させ、管理者の新パスワードを設定し、生徒用の標準アカウントを作成する
毎週：更新プログラムとアクティブ時間が、再起動を授業時間に重ねない設定になっているか確認する。一時停止された更新のせいで、教室は1学期もの間パッチなしのまま放置される
毎晩：午前0時過ぎにタスクスケジューラで実行し、プロファイルのキャッシュまたは生徒プロファイル全体を消去する。毎朝を同じ状態から始めるためだ
毎月：ブラウザが管理された既定値に戻っていること、タスクマネージャーの「スタートアップ」のタブに新しい項目が紛れ込んでいないことを確認する
学期終了：再度リセットし、検証済みの1台からイメージを作成する——そのイメージが9月の基準になる

リセットの合間のダメージコントロール

どうせ物は溜まっていくと割り切ること。ブラウザのプロファイルは拡張機能で、ダウンロードフォルダはインストーラーで、キャッシュは何の役にも立たないギガバイトで埋まっていく。ストレージセンス（設定 → システム → 記憶域）を夜間スケジュールで動かせばディスクが埋まるのは防げるし、「スタートアップ」のタブを週1回眺めれば自動起動に忍び込んだものは捕まる。誰が何をしたか知りたいなら、イベントビューアーのセキュリティログにログオンが記録される——ただし監査ポリシーを「後」ではなく「先」に有効化していた場合の話だ。

イメージ環境のない教室では、学期末にKleaner PROを一巡させるだけで——キャッシュ、ブラウザデータ、残骸のインストーラー——1教室20分で、再イメージ化の大部分と同じ効果が手に入る。リセットそのものの代わりにはならない。リセットが一年で唯一きれいな日にならないようにするためのものだ。