Microsoft Edge Add-onsで配布される拡張をGPOで強制インストールするには、EdgeのExtensionInstallForcelistへ拡張IDを登録します。更新URLを明示する場合、Microsoft公式例はEdge Add-onsのhttps://edge.microsoft.com/extensionwebstorebase/v1/crxです。利用者は強制拡張を無効化・削除できず、権限が暗黙に付与されるため、機能だけでなくデータアクセス、更新、削除まで管理します。
「便利だから全員へ」は避け、必要部署とサイトに限定してください。ブラウザー拡張は閲覧内容、フォーム、Cookie、ダウンロード等へ触れられる場合があり、漏えい・改ざん・認証情報窃取の高い権限を持ち得ます。
Edge Add-ons版を選ぶ理由
Edge Add-onsへ公開された拡張は、Edge向けの配布元と更新URLを使えます。Chrome Web Store版と同名でもID、版、機能、サポートが異なる場合があります。組織ではストア、ID、提供者、対象ブラウザーをセットで台帳化します。
同じ拡張をEdgeとChromeへ配る場合も、各ストアのIDが同じとは限りません。URLからIDを正確に取り、別ブラウザーのIDをEdge GPOへ入れないようレビューします。
導入審査
- Microsoft Edge Add-onsのURL、32文字ID、提供者、検証済み公式サイト
- 権限、データ収集、プライバシーポリシー、保存地域、委託先
- 業務目的、対象ユーザー、必要サイト、管理者権限の有無
- 拡張更新、脆弱性通知、サポート、買収・公開停止への対応
- Edge Stable／Extended Stable、VDI、RDS、複数プロファイル
- アンインストール時の設定・データ・ライセンス回収
ソースコードが公開されていても、ストアで配布されるバイナリと同一とは限りません。高リスク拡張はセキュリティレビュー、通信解析、提供元契約を行います。無料版から有料版へ自動変更されないかも確認します。
GPOを構成する
- 現行Edge ADMX／ADMLを中央ストアへ検証済みの手順で配置します。
- パイロットGPOを作り、Microsoft Edge→Extensions→Control which extensions are installed silentlyを開きます。
- 有効→Showで拡張ID、または「ID;Edge Add-ons更新URL」を入力します。
- GPOのユーザー／コンピュータースコープと対象OUを確認します。
- gpupdate後にEdgeを完全終了して再起動します。
gbchcmhmhahfdphkhkmpfmihenigjmpp;https://edge.microsoft.com/extensionwebstorebase/v1/crx
コードはMicrosoft資料の例であり、対象拡張IDへ置き換えます。数字の値名をレジストリへ直接配る場合も重複・欠番より内容を確認しますが、原則はGPOエディターを使います。
edge://policyとedge://extensions
- ExtensionInstallForcelistに対象IDと正しい更新URL
- StatusにエラーがなくSource／Scopeが想定どおり
- 拡張のID、版、組織管理表示、提供者
- 必要な設定、サインイン、業務サイト連携
- Edge更新後、新プロファイル、別ユーザー、再起動後
- ストア更新停止やプロキシ障害時の挙動
拡張が見えない場合はID、ADMX、GPO、更新URL、プロキシ、SSL inspection、ストア到達、端末の管理参加条件を確認します。Developer modeでCRXを手動投入して「動いた」と判定せず、GPOの配布経路を直します。
ExtensionSettingsで全体を管理する
承認制にするなら、ExtensionSettingsの既定「*」をblockedにし、承認済みIDだけallowed、normal_installed、force_installedへ設定する設計があります。これはExtensionInstallForcelist等の旧ポリシーを上書きし得るため、同じ拡張を複数ポリシーで管理しません。
必要に応じて最低版、更新URL、ツールバーピン、許可／禁止ホスト、権限を設定します。JSONは構文エラーで全体が効かない可能性があるため、整形版を版管理し、GPOには検証済み圧縮版を入れます。
サイトごとの実行制限
全ページ読取権限を持つ拡張でも、人事、給与、管理コンソール、医療、顧客情報サイトでは不要なことがあります。runtime_blocked_hosts等で実行を禁止し、必要な業務ドメインだけ許可できるか検討します。
管理者により強制導入された拡張は利用者のサイト単位オフ設定の影響を受けない場合があります。管理者側が明示的に保護サイトを定義し、拡張の更新後も維持されることを確認します。
パイロット
- 拡張なし／ありで業務操作と性能を比較
- 要求権限、通信先、Cookie、ストレージ、ログを確認
- Edgeクラッシュ、CPU、メモリ、起動時間、プロキシ通信
- 仕事用／個人用プロファイル、InPrivate、ゲストの適用範囲
- 競合する拡張、EDR、DLP、パスワード管理、SSO
- アップデートとロールバック、ストア公開停止、ライセンス切れ
廃止する
強制リストから外すと自動アンインストールされる仕様ですが、設定ファイル、クラウドアカウント、APIトークン、ネイティブホストが残る場合があります。拡張所有者がデータ削除、ライセンス解約、連携解除、残存物確認を行います。
四半期ごとに利用率、権限、提供元、最終更新、脆弱性、対象部署を棚卸しし、不要拡張を外します。導入数を増やすことではなく、少数の承認済み拡張を安全に更新・監視・撤去できる運用を目標にします。
強制配布の変更管理
Edge Add-onsの拡張機能を強制配布する前に、拡張機能ID、Edge Add-onsのURL、公開者、要求権限、対象部署、業務上の目的、所有者、見直し日を台帳へ登録します。ExtensionInstallForcelistはユーザーの同意なしに導入し、ユーザーが無効化や削除をできない設定です。便利さだけで全社員へ適用せず、必要なOUやグループへ限定します。全URLの読み取り、クリップボード、ダウンロード、ネイティブアプリ連携など強い権限がある場合は、セキュリティと個人情報の審査を通します。
展開ゲート
- 検証用プロファイルで手動導入し、権限と業務動作を確認する
- 検証OUへGPOを割り当て、edge://policyでエラーがないことを確認する
- 少人数パイロットで起動時間、CPU、メモリ、クラッシュ、通信先を測る
- 更新後も同じ検査を行い、問題がなければ部署単位で段階展開する
- 台帳の見直し日に利用率と必要性を確認し、不要なら撤去する
既存のExtensionSettingsが同じIDをblocked、allowed、force_installedなどへ指定していると、従来ポリシーとの優先関係で想定外の結果になることがあります。edge://policyでは値が表示されるだけでなくStatusがOKかを確認し、edge://extensionsで実際の版と管理状態を照合します。Intune、GPO、クラウド管理を併用する組織では正本を決め、同じIDを複数経路で管理しません。
撤去と緊急停止
削除時はまず対象グループをパイロットへ戻し、ExtensionInstallForcelistとExtensionSettingsの両方から強制指定が消えたことを確認します。拡張機能が保持するローカルデータ、クラウドアカウント、APIトークン、ネイティブホスト、ライセンスの回収も計画します。Edgeの完全終了と再起動後に削除を確認し、ポリシーキャッシュや別GPOから再導入されないか監視します。不具合時にすぐ適用できる緊急停止GPOと連絡先を、展開前に用意してください。
コメント