Chromium版Microsoft EdgeでWebサイトによる位置情報取得をGPOで止めるには、全サイトを対象にするDefaultGeolocationSettingと、指定サイトだけを対象にするGeolocationBlockedForUrlsを使い分けます。全サイト禁止なら既定値を「許可しない」、特定サイトだけ禁止なら既定値を「確認する」のままブロック一覧を設定します。これはWeb Geolocation APIの制御であり、IPアドレスからの概算地域、Windowsの位置情報サービス、端末管理やアクセスログまで消す機能ではありません。
まず何を「追跡」と呼んでいるか確認する
ブラウザーの位置情報許可は、Webサイトが端末へ現在地を要求するときの権限です。広告Cookie、閲覧履歴、IPアドレス、Wi-Fiや社内ネットワークのログ、Microsoft DefenderやMDMの端末情報とは別です。位置情報プロンプトを出させたくないのか、特定サイトだけ拒否したいのか、Windowsアプリも含めて位置サービスを止めたいのかを分けます。
本記事のGPOはMicrosoft Edgeのコンテンツ設定を対象にします。Edge以外のChrome、Firefox、デスクトップアプリ、スマートフォンにはそれぞれの管理方式が必要です。「追跡が完全になくなる」と説明せず、制御対象、対象ブラウザー、残るログ、例外申請を利用者へ明示します。
全サイト禁止とサイト別禁止を選ぶ
DefaultGeolocationSettingには、許可、拒否、毎回確認の三つの選択肢があります。Microsoftの現行文書では値1が許可、2が拒否、3が確認です。位置情報を一切使わない端末なら拒否を検討し、地図、配送、勤怠、災害情報など承認済みサイトで利用する端末なら「確認」を基本にして禁止サイトだけを追加する方が柔軟です。
全サイト拒否にした後で利用者が設定画面から例外を作れると想定しないでください。強制ポリシーはユーザー設定より優先します。必要サイトがある場合は、業務所有者、データ保護担当、セキュリティ担当で目的と保存期間を確認し、全体禁止ではなくサイト別設計または別の管理方式を選びます。
現行のEdge管理用テンプレートを準備する
Microsoft Edge Enterpriseの現行ADMXと対象言語ADMLを取得し、変更管理に従ってセントラルストアへ追加します。既存テンプレートをバックアップし、Edge安定版とテンプレートの版を記録します。GeolocationBlockedForUrlsはWindows版Edge 144以降で対応すると公式文書にあるため、古いEdgeへ同じ項目が出るとは限りません。
検証用管理端末で「管理用テンプレート」「Microsoft Edge」「コンテンツの設定」に位置情報項目が表示されるか確認します。テンプレートがないからといってレジストリを直接作らず、まず配布版、言語フォルダー、セントラルストア複製を確認します。検証OUへ新規GPOをリンクし、本番GPOを直ちに編集しません。
全サイトを拒否する設定
すべてのサイトで位置情報を許可しない要件なら、DefaultGeolocationSettingを有効にし、「どのサイトにもユーザーの物理的位置の追跡を許可しない」に相当するBlockGeolocationを選びます。これによりサイトの位置情報要求を既定で拒否します。設定の数値を手入力するより、ADMXの選択肢を使い、公式文書の値対応を記録します。
地図表示そのものが使えなくなるとは限りませんが、現在地ボタン、自動店舗検索、地域判定、位置ベースの本人確認などは動作しなくなる可能性があります。業務アプリの所有者に影響を確認し、少数端末で代表サイトをテストします。位置情報を必要とするアクセシビリティまたは安全機能がないかも確認します。
指定サイトだけを拒否する設定
Edge 144以降で特定サイトだけを拒否する場合はGeolocationBlockedForUrlsを有効にし、公式形式でURLパターンを登録します。Microsoftの説明では、一覧に一致するサイトは位置情報へアクセスできず、利用者へ許可を求めるプロンプトも表示できません。正確なホストだけか、すべてのサブドメインも含むかを決めます。
たとえばドメイン単体と[*.]を付けたサブドメイン包含では範囲が異なります。広いワイルドカードで取引先全体やクラウドサービス全体を止めず、実際のオリジンとリダイレクト先を検証します。パスやクエリは大文字小文字の扱いが異なるため、MicrosoftのURLフィルター形式を参照し、想定外の一致を避けます。
Windowsの位置情報サービスを混同しない
Edgeのポリシーを設定しても、Windowsの位置情報サービス、他のブラウザー、Microsoft Storeアプリ、GPS搭載端末の機能を一括無効にはしません。逆に、Windows側の位置情報が無効なら、Edgeで許可しても現在地を取得できないことがあります。Webサイトだけを止めたい要件でWindowsサービスやセンサーを無効にすると、他の業務アプリへ影響します。
端末全体の位置情報を管理する必要がある場合は、Windowsのプライバシー方針とMDM/GPOを別案件として設計します。利用者が個人端末を業務に使う場合は、Edge管理プロファイルだけで端末全体を制御できると説明しません。対象範囲をポリシー文書と利用規約へ反映します。
GPOの範囲と競合を確認する
ユーザー構成かコンピューター構成か、共有端末か個人割当端末かを決めます。OUリンク、セキュリティフィルター、継承、優先順位、同じEdgeコンテンツ設定を配る他GPOを読み取り専用で確認します。全サイト拒否とサイト別ブロックを別GPOから矛盾して配ると、結果の理解が難しくなります。
既存ポリシーが「毎回確認」または「許可」になっている端末では、変更により動作が変わります。現状値と適用元を記録してから新しいGPOを試します。個人Microsoftアカウント、Microsoft Entra IDの仕事用プロファイル、ゲスト、InPrivateで適用条件が異なるため、実際に利用する管理対象プロファイルで確認します。
edge://policyで適用状態を確認する
対象端末のEdgeでedge://policyを開き、DefaultGeolocationSettingとGeolocationBlockedForUrlsを検索します。値、スコープ、レベル、ソース、状態、エラーを確認し、URL一覧を展開して意図したパターンかを見ます。Microsoftのトラブルシューティングもedge://policyで位置情報ポリシーを確認する手順を案内しています。
GPOの通常更新を待ち、Edgeを再起動して確認します。gpupdate /forceは他ポリシーも再適用するため、本番利用者へ無断実行せず、承認された検証端末だけで必要時に使います。ポリシーにエラーがある場合は対象範囲を広げず、テンプレート版と入力パターンを修正します。
実サイトでプロンプトと機能を検証する
テスト用の正規サイトで現在地要求を行い、全サイト拒否なら要求が拒否されること、サイト別拒否なら対象だけプロンプトが出ないことを確認します。承認済みサイトを「毎回確認」に残す設計では、許可と拒否の両方を一度ずつ試し、サイト設定の表示を確認します。テスト用サイトへ実際の業務住所や個人情報を入力しません。
IPアドレスから地域が推測され、都市名や言語が表示されても、Geolocation APIが許可された証拠とは限りません。ブラウザー開発者向けの位置情報診断とサイト側ログを必要最小限で確認し、API許可、IP推定、アカウント登録住所を区別します。結果、Edge版、ポリシー値、テストURL、時刻を記録します。
段階展開と例外・戻し方を用意する
IT部門、代表部門、限定OU、全社の順に展開し、地図、配送、勤怠、認証、災害通知、Web会議への影響を監視します。必要な例外が出たら、サイト所有者、目的、データ保存、期限、URLパターンを審査します。個人判断で一時的に全許可へ戻さず、管理元で変更します。
ロールバックではポリシーを未構成へ戻すか、DefaultGeolocationSettingを確認へ戻すか、サイト別一覧から対象を外すかを事前に決めます。未構成時はユーザーの個人設定が使われるため、「未構成＝拒否」ではありません。展開前値、変更日時、承認者、影響、戻し結果を残します。
確認チェックリスト
- 制御対象をWeb Geolocation APIとし、IP推定や端末管理と区別した
- 全サイト拒否か、既定は確認で特定サイトだけ拒否かを選んだ
- 現行MSEdge ADMX/ADMLと対象Edge版を検証した
- DefaultGeolocationSettingの許可1・拒否2・確認3を確認した
- GeolocationBlockedForUrlsの対象版とURLパターンを確認した
- Windowsの位置情報サービスを不用意に無効化していない
- edge://policyで値、スコープ、ソース、状態、エラーを確認した
- 実サイト、段階展開、例外審査、ロールバックを確認した
コメント