GPOの「サイトとゾーンの割り当て一覧」でURLを値2へ登録すると、WindowsのTrusted Sitesゾーンへ一括割り当てできます。これはIEとEdgeのIEモードが使うWindowsセキュリティゾーンには有効です。しかしChromeやFirefoxの全セキュリティ判断へ同じ意味で自動適用される万能設定ではありません。統合Windows認証等が目的なら、ChromeはAuthServerAllowlist、FirefoxはAuthenticationポリシーを別に構成します。
Trusted Sitesへ入れると、そのゾーンの低いセキュリティ設定や認証動作が対象サイトへ適用されます。問題解決のために「*.example.com」や全社ドメインを広く信頼せず、必要なHTTPSホストだけを登録してください。
Windowsセキュリティゾーンの番号
- 1: Local Intranetゾーン
- 2: Trusted Sitesゾーン
- 3: Internetゾーン
- 4: Restricted Sitesゾーン
Site to Zone Assignment Listは、サイトパターンとゾーン番号を対応させます。Trusted Sitesは名前どおり安全を保証するリストではなく、Windowsコンポーネントが適用するセキュリティテンプレートを選ぶ仕組みです。悪意あるサイトを登録すると保護を弱める可能性があります。
登録が必要な理由を特定する
- IEモードのActiveXやアドオンがゾーン設定で拒否される
- Windows統合認証／SSOがInternetゾーン扱いで動かない
- ファイルダウンロード、ポップアップ、スクリプト等のゾーン設定
- 証明書や信頼できる発行元の問題をゾーンで誤解している
- Chrome／Firefoxの独自認証許可リストが必要
- CORS、Cookie、SameSite、TLS等、ゾーン登録では直らない問題
エラーを再現し、HTTPステータス、認証方式、ブラウザー、IEモード表示、現在ゾーン、イベントログを確認します。証明書エラーや古いTLSをTrusted Sitesで隠そうとせず、サーバー証明書と暗号設定を修正します。
GPOでTrusted Sitesへ登録する
- 登録するFQDN、HTTPS、必要なパス範囲、所有者を確認します。
- 検証GPOを作り、ユーザーまたはコンピューターの構成→管理用テンプレート→Windowsコンポーネント→Internet Explorer→Internet Control Panel→Security Pageを開きます。
- Site to Zone Assignment Listを有効にし、Showでサイトと値2を登録します。
- 広いワイルドカードを避け、テストユーザー／PCへだけリンクします。
- gpupdate後にInternet Propertiesのゾーン表示、IEモード、業務操作を確認します。
Windowsやテンプレート版により日本語表示が異なります。レジストリ直書きではなくGPOの説明を確認します。ユーザーとコンピューターの両方へ異なるゾーンを割り当てると診断しづらいため、管理単位を統一します。
Edgeでの適用範囲
通常のChromium Edgeは、すべてのWebセキュリティをIEゾーンで制御するわけではありません。一方、IEモードはInternet Explorerのセキュリティゾーン設定とProtected Modeを利用します。MicrosoftのIEモード診断でもinetcpl.cplで対象ゾーンを確認する手順があります。
Edge通常モードのSSO、Cookie、ポップアップ、ダウンロード、JavaScript等はEdgeポリシーを確認します。Trusted Sitesへ入れたからEdgeの全機能が許可されるとは案内しません。edge://policy、DevTools、ネットワークログで原因を分けます。
Chromeは別ポリシーで認証を管理する
ChromeでWindows統合認証を許可するなら、公式Chrome EnterpriseのAuthServerAllowlistへサーバーを登録します。未設定時はChromeがイントラネット判定したサーバーへIWAを試みますが、明示管理が必要な環境ではFQDNを列挙します。
AuthServerAllowlist = "app.example.com,auth.example.com"
アスタリスクは範囲を広げます。認証委任が必要ならAuthNegotiateDelegateAllowlist等を別途評価し、単なる認証許可と資格情報委任を混同しません。Chrome ADMXを公式から取得し、chrome://policyで値とStatusを確認します。
Firefoxも独自ポリシーを使う
Firefox Enterprise Policy TemplatesにはAuthenticationポリシーがあり、SPNEGO、NTLM、Delegated、非FQDN、プロキシ、Private Browsing等を管理できます。WindowsのTrusted Sites一覧をFirefoxの認証許可リストとして一律利用するとは考えません。
Mozilla公式ADMX／ADMLまたはpolicies.jsonのどちらを正本にするか決め、about:policiesで適用を確認します。SPNEGOとNTLM、Delegatedは必要なホストだけにし、ワイルドカードで全社ドメインへ資格情報を送らないようにします。
3ブラウザーでの検証表
- Edge IEモード: Windowsゾーン、文書モード、ActiveX、SSO
- Edge通常モード: Edgeポリシー、Cookie、認証、証明書
- Chrome: chrome://policyのAuthServerAllowlist等、SSO、Incognito
- Firefox: about:policiesのAuthentication、通常／Private Browsing
- 共通: DNS、TLS、証明書チェーン、プロキシ、時刻、MFA
- サーバー側: Kerberos SPN、NTLM、リダイレクト、SameSite、CORS
同じURLを同じ利用者・端末・ネットワークで試し、ブラウザーだけを変えます。成功したブラウザーの設定を別製品へコピーせず、各製品の公式ポリシー名とログで比較します。
安全な運用
Trusted Sites、Chrome認証許可、Firefox認証許可の三つを一つの申請で管理しても、実装は別GPO・別値にします。サイト所有者、必要ブラウザー、認証方式、許可範囲、期限、テスト結果を台帳化します。
半年ごとに不要エントリを削除し、サーバー廃止やDNS再利用で別サービスへ信頼が移らないよう確認します。切り戻しは各ブラウザー別に行い、GPOを未構成へ戻した後も端末キャッシュやユーザー設定が残らないか再テストします。
ブラウザー別に目的を分ける
「信頼済みサイト」はWindowsのセキュリティゾーンの概念で、主にInternet ExplorerとEdgeのIEモードに影響します。ChromeやFirefoxの一般的な通信許可、証明書警告、ダウンロード許可まで一括変更する設定ではありません。まず目的を、Windows統合認証、IEモードのゾーン判定、ポップアップ、Cookie、ダウンロード、証明書信頼のどれかへ分解します。そのうえでEdge IEモードにはSite to Zone Assignment List、Chromeの統合認証にはAuthServerAllowlist、FirefoxにはMozillaのAuthenticationポリシーなど、製品ごとの公式ポリシーを選びます。
- ゾーン値2を指定するURLはホスト単位とプロトコルを明記し、広いワイルドカードを避ける
- 信頼済みゾーンの保護モードやActiveX設定を弱める前に業務要件を再確認する
- ChromeとFirefoxでは、それぞれのポリシー確認画面とサポート対象版で検証する
- ルート証明書の配布はサイトゾーンと分け、証明書ストアと更新・失効を管理する
- 社内外、プロキシ経由、VPN、別ユーザーで認証とアクセス範囲をテストする
同じURLを三つのブラウザーへ登録しても同じ信頼境界になるとは限りません。変更票には「どのブラウザーの、どの機能へ、なぜ許可したか」を記録し、廃止日を設定します。検証ではアクセス成功だけでなく、意図しない資格情報の自動送信や別サブドメインへの許可拡大がないことを確認します。
コメント