Chrome Web Storeの拡張機能をGoogle ChromeへGPOで強制インストールするには、ChromeのExtensionInstallForcelistへ32文字の拡張IDを登録します。Chrome Web Storeの更新URLは既定で使われるためIDだけでも構成できますが、公式例のようにhttps://clients2.google.com/service/update2/crxを明示することもできます。強制拡張はユーザーが無効化・削除できず権限が暗黙に付与されるため、承認・監視・廃止を含めて管理します。
Chromeへ拡張を強制配布しても、Incognitoには自動適用されない点や、個人プロファイルへの影響を確認してください。会社管理プロファイルと個人データの境界を設計します。
導入候補を評価する
- Chrome Web Storeの完全URL、ID、提供者、公式ドメイン
- 要求するpermissionsとhost permissions、収集・送信データ
- プライバシーポリシー、保存地域、第三者提供、削除方法
- 業務価値、対象部署、代替、ライセンス、サポート
- 更新頻度、最終更新、脆弱性窓口、所有者変更
- Chrome版、OS、VDI、プロキシ、ネイティブアプリの対応
レビュー数が多いことは安全性の保証ではありません。拡張が買収され更新後に挙動を変える例も考慮し、提供者、権限差分、通信先を定期確認します。高権限拡張はセキュリティ部門とデータ所有者が承認します。
Chrome管理テンプレートを導入する
- Google Chrome Enterprise公式からWindowsポリシーテンプレートを取得します。
- 中央ストアをバックアップし、chrome.admx、google.admxと対応する言語ADMLを同版で配置します。
- GPMCでGoogle→Google Chrome→Extensionsを確認します。
- 既存Chromeクラウドポリシー、Intune、ローカルGPOとの競合を棚卸しします。
Chrome ADMXの版が古いと新しいExtensionSettings項目が見えません。テンプレート更新と拡張配布を別変更にし、GPMCエラーがないことを確認してからパイロットGPOを作ります。
ExtensionInstallForcelistを設定する
- Control which extensions are installed silentlyを有効にします。
- Showを開き、Chrome Web Storeの対象IDを1行ずつ登録します。
- 更新URLを明示する場合は「ID;https://clients2.google.com/service/update2/crx」とします。
- 対象OU、ユーザー／コンピュータースコープ、セキュリティフィルターを確認します。
- gpupdate後にChromeを完全終了して再起動します。
aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa;https://clients2.google.com/service/update2/crx32文字のaは例です。実際のIDへ置き換え、1文字でも違わないようストアURLとchrome://extensionsで照合します。Chrome Web Store版なら更新URLを省略した場合の既定動作も公式ポリシーで確認します。
chrome://policyで確認する
- ExtensionInstallForcelistのID、更新URL、Source、Scope、Status
- chrome://extensionsのID、版、提供者、組織管理表示
- ユーザーが無効化・削除できないこと
- 必要な業務サイトでのみ期待機能が動くこと
- Chrome再起動、OS再起動、新規プロファイル、別ユーザー
- プロキシ、SSL inspection、オフライン、更新サーバー障害
Reload policiesで更新しても進行中タスクへ直ちに影響しない場合があります。すべてのChromeプロセスとバックグラウンドアプリを終了し、再起動後に確認します。管理対象プロファイルとブラウザーレベルの適用差も記録します。
ExtensionSettingsで承認制にする
全体を制御する場合、ExtensionSettingsの「*」をblockedにし、承認IDだけallowed／normal_installed／force_installedへできます。installation_modeに加え、minimum_version_required、runtime_allowed_hosts、runtime_blocked_hosts、blocked_permissions、toolbar_pin等を設計できます。
JSONの構文エラーは広い影響を起こすため、版管理、JSON検証、二者レビュー、パイロットを必須にします。ExtensionInstallForcelist等の個別ポリシーと競合させず、どちらを正本にするか決めます。
機密サイトを保護する
パスワード管理、翻訳、画面キャプチャ、生成AI、文書支援等は、ページ内容を取得できる場合があります。給与、人事、医療、管理コンソール等で不要ならruntime_blocked_hostsで実行を禁止し、許可サイトだけへ絞ります。
拡張がサイト権限を「クリック時」に要求する設計でも、強制導入時の権限挙動を実測します。ユーザーがサイト単位で止められるとは限らないため、管理者側の制限を優先します。
パイロットと監視
- CPU、メモリ、起動、クラッシュ、ページ表示、ネットワーク通信
- 同種拡張、EDR、DLP、プロキシ、SSO、証明書との競合
- 更新前後の権限・通信先・機能差分
- ライセンス未割当、サインイン失敗、オフライン
- ストア公開停止、提供者変更、脆弱性、最低版
- 利用率、問い合わせ、不具合、廃止候補
全社配布前に実利用者を含むパイロットを行い、ブラウザー起動だけでなく業務フローを試します。拡張が障害原因のときに、パイロットだけ外す緊急GPOと連絡先を用意します。
削除手順
ExtensionInstallForcelistからエントリを削除すると、以前に強制導入された拡張はChromeにより自動アンインストールされる仕様です。ExtensionSettingsで別途force_installedなら残るため、管理元をすべて確認します。
拡張削除前に、クラウドアカウント、APIキー、OAuth同意、ライセンス、ネイティブホスト、保存設定を回収します。削除後はchrome://policy、extensions、プロセス、通信を確認し、四半期棚卸しへ結果を残します。
管理対象端末の条件を確認する
WindowsでChrome Web Store以外の拡張機能を強制配布する場合、端末がActive DirectoryまたはMicrosoft Entra IDへ参加している、あるいはChrome Enterprise Coreで管理されているなど、Chromeの外部拡張機能配布条件を満たす必要があります。Chrome Web Store版であっても、GPOが端末へ届くこと、Chrome Enterpriseテンプレートの版がブラウザーと合うこと、対象OUとセキュリティフィルターが正しいことを確認します。個人所有端末へ同じ前提を当てはめず、管理対象とBYODの境界を明確にします。
検証を証跡化する
- gpresultでGPO名、適用・拒否理由、ユーザーとコンピューターのスコープを確認する
- chrome://policyでExtensionInstallForcelistのStatus、Source、Level、Scopeを保存する
- chrome://extensionsでID、バージョン、要求権限、組織による管理表示を確認する
- 更新サービスへのDNS、TLS、プロキシ、SSL検査、ファイアウォールの到達性を確認する
- 再起動、新規プロファイル、別ユーザー、Chrome更新後にも同じ状態か確認する
インストールされない場合は、IDの誤記、更新URL、ADMXとADMLの不一致、競合するExtensionSettings、対象外OU、ネットワーク遮断の順に切り分けます。強制インストールできても、公開者変更や権限追加を自動承認する運用にはしません。定期レビューでストアの更新履歴、実機版、利用率、通信先を照合します。
削除を先に試す
本番配布前に、パイロットでポリシーからIDを除外し、Chrome再起動後に拡張機能が削除されることを確認します。ExtensionSettingsのforce_installed指定、クラウド管理、別GPOが残ると再導入されます。拡張機能が作成したアカウント、トークン、ネイティブメッセージングホスト、保存データは自動で消えない場合があるため、データ回収と失効を撤去手順へ含めます。
コメント