Microsoft Edgeで子どもが「その場作成」で新規プロファイルを作り、Microsoft Family Safetyのホワイト／ブラックリストや検索制限をすり抜けてしまう──家庭や学校で実際に起きがちな困りごとです。本記事では現象の背景を正しく理解しつつ、最短で効く対策（プロファイル作成の禁止）から、レジストリ／GPO／Intuneでの具体的な配布方法、検証・運用のポイント、補強策、FAQまでを網羅的に解説します。
問題の背景と「回避」が起きる理由
Microsoft Family Safety（以下、Family Safety）のコンテンツ制限は、基本的にWindowsにサインインしている子ども用アカウントを単位に適用されます。通常、同じユーザーでEdge内に複数のプロファイルを作成しても、ポリシーとサインイン状態が引き継がれ、フィルタリングは継続されます。
ところが、Edgeの初回起動やプロフィールメニューからの「その場作成（即席作成）」で、管理されていないローカルプロファイルを作れる状態にあると、ブラウザー内部の一部の保護やサインイン依存の制御が外れ、結果としてホワイト／ブラックリストを回避できる動線が生じる場合があります。特に、子どもアカウントがローカル管理者権限を持っていたり、Edgeの初期体験画面（FRE）が残っていたり、Guestモードが開放されている環境では、再現しやすくなります。
Family Safety適用の前提整理
| 項目 | 前提／ポイント | 注意点 |
|---|---|---|
| 適用単位 | Windowsの子ども用アカウントでのサインイン | 別ユーザーやローカル未管理プロファイルでは挙動が変わることがある |
| 対象ブラウザー | Microsoft EdgeでのWebと検索フィルタが中心 | 他ブラウザーが使える環境では抜け道になり得る |
| プロファイル | 同一ユーザー内の既存プロファイルには制限が引き継がれるのが原則 | 即席の未管理プロファイルやGuestは例外経路になりやすい |
結論（要約）
- 最も確実な一次対策は、Edgeの新規プロファイル作成そのものを禁止することです。管理ポリシー
BrowserAddProfileEnabled=0を適用します。 - あわせて、Edgeを最新に更新し、
edge://policyで「Loaded」状態を確認します。 - Guestモードの無効化、初期体験の非表示、ブラウザーサインインの強制などの補強ポリシーで多層防御にします。
- 新規プロファイルを自動的に既存の（制限付き）Microsoftアカウントへひも付ける機能は、2025年11月時点ではEdgeにはありません。プロファイル作成の禁止が現実解です。
最短対策：プロファイル作成の禁止
| 対処項目 | 手順・ポイント | 検証 |
|---|---|---|
| Family Safetyの仕様確認 | 制限はWindowsの子ども用アカウントに対して機能。通常はEdge内でプロファイルを増やしても制限が継続。 | 子ども用アカウントでEdgeを開き、既存プロファイルでフィルタが効いているか確認。 |
| プロファイル即席作成の禁止 | Edgeポリシー BrowserAddProfileEnabled を 0 に設定。新規プロファイル追加UIが消える。 | edge://policy で「BrowserAddProfileEnabled」が Loaded になり、プロフィールメニューの「追加」が非表示。 |
| 効かない場合の基本確認 | Edgeを最新版へ更新／レジストリ階層とスペル再確認／ローカルGPOやMDMの競合有無を点検。 | Edgeを再起動。edge://policy の「Status」が「OK」か、バージョンと適用スコープを確認。 |
詳細手順：レジストリ／GPO／Intuneでの配布
レジストリでの直接設定（小規模・家庭向け）
管理者権限のコマンドプロンプトまたはPowerShellで次を実行します。
REM 端末全体（HKLM）に適用
reg add "HKLM\SOFTWARE\Policies\Microsoft\Edge" ^
/v BrowserAddProfileEnabled /t REG_DWORD /d 0 /f
REM 現在のユーザー（HKCU）に適用（必要に応じて）
reg add "HKCU\SOFTWARE\Policies\Microsoft\Edge" ^
/v BrowserAddProfileEnabled /t REG_DWORD /d 0 /f 適用後、Edgeを再起動して edge://policy を開き、Status=OK／Loaded で読み込まれていること、プロフィールメニューから「追加」ボタンが消えていることを確認します。
ローカル グループ ポリシー（Windows Pro/Enterprise）
gpedit.mscを開く。- ユーザーの構成 > 管理用テンプレート > Microsoft Edge を開く。
- 「ユーザーによる新しいプロファイルの追加を許可」を無効に設定（＝
BrowserAddProfileEnabled=0）。 gpupdate /forceで更新し、Edgeを再起動。edge://policyで読み込み状態を確認。
Microsoft Intune（MDM）での一括配布（学校／組織向け）
- Intune管理センターで デバイス > 構成プロファイル > 作成 を選択。
- プロファイル種類は テンプレート > 管理用テンプレート を選択。
- プラットフォーム：Windows 10/11。
- 設定カタログで Microsoft Edge を検索し、ユーザーによる新しいプロファイルの追加を許可 を 無効に設定。
- 対象グループ（子ども用端末や学年OU相当の動的グループ等）へ割り当て。
- 配布後に端末側でEdgeを再起動し、
edge://policyで適用を確認。
既存の構成プロファイルと重複・競合する設定（推奨値と強制値の混在など）があると、予期しない挙動になります。配布順序とスコープを整理し、同一ポリシーの二重定義を避けるのが実務上のコツです。
補強策：抜け道を潰す関連ポリシーの組み合わせ
プロファイル作成禁止が主軸ですが、以下を重ねて設定すると一層堅牢になります（環境に合わせて選択）。
| 目的 | 推奨ポリシー | 値 | 効果 |
|---|---|---|---|
| 新規プロファイルの完全封止 | BrowserAddProfileEnabled | 0 | プロフィールの「追加」UIを非表示。即席作成を封じる。 |
| Guestモードの無効化 | BrowserGuestModeEnabled | 0 | ゲストブラウジングを禁止。使い捨て回避経路を遮断。 |
| サインインの統制 | BrowserSignin | 2（強制） | Edgeへのサインインを強制し、未管理プロファイルの利用を抑止。 |
| 初回体験の抑止 | HideFirstRunExperience | 1 | 初回セットアップ画面を非表示。即席作成の誘導を減らす。 |
| Bingのセーフサーチ固定（任意） | ForceBingSafeSearch | Strict 等 | 検索面の露出リスクを追加で低減。 |
上記はいずれもレジストリ（HKLM\SOFTWARE\Policies\Microsoft\Edge など）またはGPO／Intuneで配布可能です。実運用では、「作らせない」「サインインを管理下に置く」「使い捨てを許さない」の三本柱で設計してください。
検証の流れ（現場でそのまま使えるチェックリスト）
- 対象端末でEdgeを起動し、バージョンが最新かを確認（
edge://version）。 edge://policyを開き、以下を順に確認：- BrowserAddProfileEnabled が Loaded で、0 になっている。
- （併用時）BrowserGuestModeEnabled=0、BrowserSignin=2、HideFirstRunExperience=1 等がLoaded。
- プロフィールメニューを開き、「プロファイルの追加」ボタンがないことを確認。
- Guestウィンドウを開けないことを確認（メニュー項目が消えている、またはエラー）。
- 既存の制限付きプロファイルで、Family Safetyのホワイト／ブラックリストや検索制限が期待通り機能するかをテスト。
トラブルシューティング
ポリシーが反映されない／「Not loaded」と表示される
- レジストリの階層とスペルを再確認：
HKLM\SOFTWARE\Policies\Microsoft\Edge（またはHKCU）にDWORDで定義されているか。 - Edgeのバージョンを更新。古いバージョンだと一部ポリシーに非対応のことがある。
- GPOとIntuneの重複定義がないか。推奨（Recommended）と強制（Mandatory）が混在すると優先度で期待と異なる場合がある。
- マルチユーザー端末では、HKLM配布（端末全体）を基本に。必要に応じてHKCUも併用。
子どもが他ブラウザーへ逃げる
Family Safetyの設定側で「Edge以外のブラウザーをブロック」相当の制御やアプリ制限を検討してください。組織環境では、アプリケーション制御（AppLockerやDefender Application Control等）で使用ブラウザーを厳選し、ストアアプリの導入も制限しましょう。ネットワーク層でのDNSフィルタやセキュアWebゲートウェイを併用すると、残余リスクをより下げられます。
学校・塾の共用PCでの運用
- 標準ユーザー運用（子どもにローカル管理者権限を与えない）を徹底。
- 端末はキオスクモードや共用デバイス構成の検討価値あり。プロファイル作成禁止＋Guest無効化が特に有効。
- ログオフ時にユーザープロファイルの自動クリーンアップを実施すると、痕跡による横抜けを防げます。
「新規プロファイルを自動的に既存の（制限付き）Microsoftアカウントにひも付けたい」について
多くの管理者から要望の強い要件ですが、2025年11月時点でEdgeにその機能はありません。技術的にも、プロファイル作成の瞬間に外部アカウントを強制ひも付けするには副作用が大きく、現行の設計では「そもそも作らせない」のが現実的です。代わりに「サインインを強制」し、アカウント外運用を不能化するのが王道です。
安全設計の標準アーキテクチャ（推奨）
- 作成禁止：
BrowserAddProfileEnabled=0 - 使い捨て禁止：
BrowserGuestModeEnabled=0 - 管理下サインイン：
BrowserSignin=2（サインイン強制） - 誘導遮断：
HideFirstRunExperience=1 - Family Safety： Windowsの子ども用アカウントでの運用徹底＋必要に応じて他ブラウザーのブロック
- 運用監査：
edge://policyと端末構成の定期点検（更新後の逸脱や競合の検出）
現場で使えるコマンド／スクリプト集
PowerShell（管理者）での一括設定
# HKLMにEdgeポリシー用キーを作成
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft" -Name "Edge" -Force | Out-Null
# 新規プロファイル作成の禁止
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
-Name "BrowserAddProfileEnabled" -PropertyType DWord -Value 0 -Force | Out-Null
# 追加の補強策（任意）
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
-Name "BrowserGuestModeEnabled" -PropertyType DWord -Value 0 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
-Name "HideFirstRunExperience" -PropertyType DWord -Value 1 -Force | Out-Null
# サインイン強制（環境に合わせてテストの上で導入）
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Edge" `
-Name "BrowserSignin" -PropertyType DWord -Value 2 -Force | Out-Null .regファイルでの配布（ダブルクリック適用）
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge]
"BrowserAddProfileEnabled"=dword:00000000
"BrowserGuestModeEnabled"=dword:00000000
"HideFirstRunExperience"=dword:00000001
"BrowserSignin"=dword:00000002 運用のベストプラクティス
- バージョン管理： Edgeの自動更新を有効化し、長期未更新を防止。
- 一貫性： GPOとIntuneを併用する場合はポリシーの出どころを統一。競合を避ける。
- ロール分離： 子どもアカウントは標準ユーザー固定。ローカル管理者権限は付与しない。
- 監視： 端末抜き取り検査では
edge://policyのスクリーンショット取得手順を標準化。 - 教育： 子どもや生徒へ「なぜ制限が必要か」を説明し、合意形成と自己防衛の意識を育てる。
よくある質問（FAQ）
Q. プロファイル作成を禁止せずに、作られた新規プロファイルを自動的に制限付きアカウントへひも付けられますか？
A. いいえ。2025年11月時点では、その機能はありません。プロファイル作成自体を禁止し、サインインを強制する構成が現実的です。
Q. 子どもがGuestモードで開いてしまいます。
A. BrowserGuestModeEnabled=0 を併用してください。メニューからGuestが消え、Guestウィンドウを開けなくなります。
Q. Family Safetyのホワイト／ブラックリストが効かないサイトがあります。
A. エッジの更新遅延や、別ブラウザー・未管理プロファイルの使用が原因であることが多いです。まずは本記事の対策一式（作成禁止＋Guest無効化＋サインイン強制）を適用し、Windowsの子ども用アカウントで動作を確認してください。
Q. 家庭内で複数端末を管理したいのですが、最も手間の少ない方法は？
A. 小規模なら.regやPowerShellでの一括適用、中規模以上や学校ならIntune（管理用テンプレート）での配布が管理・可視化の面で有利です。
ロールバック（元に戻す）手順
試験的に導入して不具合が出た場合は、設定を削除／既定に戻します。
REM レジストリを既定へ戻す例
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v BrowserAddProfileEnabled /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v BrowserGuestModeEnabled /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v HideFirstRunExperience /f
reg delete "HKLM\SOFTWARE\Policies\Microsoft\Edge" /v BrowserSignin /f
GPOやIntuneで配布した場合は、該当ポリシーを「未構成（Not Configured）」に戻し、クライアント側でポリシー更新（gpupdate /force など）を実施してください。
実務シナリオ別ガイド
家庭（1〜3台）
- .regまたはPowerShellでHKLMへ一括適用。
- 親アカウントのみ管理者、子どもは標準ユーザー。
- 必要に応じて他ブラウザーをアンインストール、ストアの自己インストールを無効化。
学校（数十〜数百台）
- Intune＋管理用テンプレートで「作成禁止」「Guest無効」「FRE非表示」を配布。
- キオスクモードや共用端末プロファイルでログオン〜ログオフの動線を最適化。
- 教室単位・学年単位でのグループ割り当てと、定期的な実機点検（抜き取り監査）。
学童・塾・図書館などの共用スペース
- 共用デバイス用の制限付き標準ユーザーのみ使用可。
- セッションごとにブラウザーキャッシュ・ダウンロードの自動削除をスクリプト化。
- ネットワーク層でのDNSフィルタを併用し、端末設定の抜けを相互補完。
まとめ
- 結論： 新規プロファイル作成を禁止する
BrowserAddProfileEnabled=0が最短・最有効。 - 確認： Edgeを最新化し、
edge://policyでLoadedをチェック。 - 補強： Guest無効化／サインイン強制／初回体験非表示の多層防御。
- 現状： 新規プロファイルを自動ひも付けする機能は（2025年11月時点で）未提供。設計で塞ぐ。
- 運用： 権限設計と配布スコープの一貫性を保ち、定期監査で逸脱を検出。
本記事の手順をそのまま適用すれば、子どもによる「その場作成」回避の主要な動線は封じられます。環境に応じて補強策を足し、継続運用で安全な学習・利用の場を実現してください。
コメント