グループポリシー（GPO）で、Microsoft Edgeに新しいパスワードを保存させない方法を解説します。現行のChromium版Edgeでは、PasswordManagerEnabledを「無効」に設定します。「有効」では保存を禁止できません。
本記事は、組織の運用方針としてEdge内蔵のパスワード保存を制限する場合の設定例です。パスワードの保存機能を使うこと自体が一律に危険という意味ではありません。利用者が安全に認証情報を管理できる方法を用意し、まず検証対象のユーザーまたは端末で確認してください。
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
Microsoft Edgeのグループポリシーが無い場合の対応
Microsoft Edgeのグループポリシーが無い場合は、Windows10管理テンプレートをダウンロードしてインストールする作業が必要になります。Microsoft Edgeのグループポリシーが無い場合には下記の記事を参考に作業をしてください。
Microsoft Edgeのグループポリシーが無い場合の解決方法
現行版Edgeにパスワードを保存させない設定
現行版Edgeの管理には、Microsoft Edge用の管理用テンプレート msedge.admx と、使用言語に対応する msedge.adml を使います。ポリシーが表示されない場合は、管理者がMicrosoft公式のテンプレート導入手順に従って、管理環境のテンプレートを確認してください。旧Edge用の「Windowsコンポーネント」配下の設定とは別です。
グループポリシー管理エディターで、適用対象に合わせて次の場所を開きます。
［コンピューターの構成］または［ユーザーの構成］→［ポリシー］→［管理用テンプレート］→［Microsoft Edge］→［パスワード マネージャーと保護］
ローカルグループポリシーエディターでは、途中の［ポリシー］階層はありません。テンプレートの版や表示言語によって名称に違いがあるため、次のポリシー名も確認します。
- ポリシー：パスワードをパスワード マネージャーに保存できるようにする
- 英語名：Enable saving passwords to the password manager
- ポリシー識別名：PasswordManagerEnabled
- 設定値：無効
ユーザーによる変更を禁止する場合は、通常の［Microsoft Edge］配下の必須ポリシーを使います。［Microsoft Edge – 既定の設定（ユーザーが上書き可能）］配下の推奨ポリシーでは、ユーザーによる上書きを禁止できません。
ユーザーの構成で設定した場合は対象ユーザー、コンピューターの構成で設定した場合は対象端末に適用されるよう、GPOのリンク先とフィルターを確認します。同じ設定を複数の管理手段で配布している場合は、競合も確認してください。
無効にした場合の効果と制限
MicrosoftのPasswordManagerEnabled仕様では、次の動作が定義されています。
- 無効：新しいパスワードを保存・追加できなくなります。
- 有効または未構成：パスワードの保存・追加が許可されます。未構成は「必ず自動保存される」という意味ではありません。
- 既存のパスワード：無効にしても以前保存したパスワードは利用できます。このポリシーで削除されるわけではありません。
したがって、保存済みパスワードの自動入力や利用まで全面的に止める設定ではありません。既存データの削除や別の認証情報管理製品の利用制限まで必要な場合は、目的と影響を分けて検討してください。
また、このポリシーはプロファイル単位の設定であり、Microsoftの仕様表ではMicrosoftアカウントでサインインしたプロファイルへの適用は対象外とされています。組織で利用する実際のプロファイルと管理状態で確認し、端末内のあらゆるプロファイルや他のブラウザーに一律の効果があるとは考えないでください。
動作確認
- 検証対象のユーザーまたは端末にGPOが適用されるのを待ちます。反映時刻はドメインの更新間隔などに依存します。
- 対象プロファイルでEdgeを開き、アドレスバーに
edge://policyと入力します。 - 必要に応じてポリシーを再読み込みし、PasswordManagerEnabledがfalse、レベルが必須（Mandatory）で、エラーなく適用されていることを確認します。反映しない場合はEdgeの再起動も確認します。
- Edgeのパスワード設定を開き、保存設定が組織によって管理されていることと、新規保存ができないことを確認します。画面の名称や配置はEdgeのバージョンによって異なります。
動作テストにはテスト用のアカウントを使い、実際の機密パスワードを画面記録に残さないようにします。既存の保存済みパスワードが利用できても、それだけでポリシーの適用失敗とは判断できません。
ポリシーが表示されない場合は、使用しているテンプレート、GPOの適用対象、ユーザー／コンピューター構成の選択、プロファイル、ほかの管理ポリシーとの競合を確認してください。
旧Edgeの参考画面と設定名の違い
以下の4枚は旧Edge（Edge Legacy）の参考画面です。現行版Edgeの設定画面ではありません。旧Edgeのサポートは2021年3月9日に終了しているため、新しい環境への導入手順としては使用しないでください。現行版は前述のPasswordManagerEnabledを使います。
旧Edgeのポリシーは［コンピューターの構成］または［ユーザーの構成］→［管理用テンプレート］→［Windowsコンポーネント］→［Microsoft Edge］にある「パスワードマネージャーの構成」（AllowPasswordManager）でした。
旧Edge：ポリシーの場所の参考
旧Edge：ポリシー設定画面の参考
旧Edgeについても、保存を禁止する設定は「無効」です。「有効」にすると保存を許可します。画像を参照する場合も、この設定の意味を取り違えないでください。
旧Edge：保存設定がオンの状態の参考
旧Edge：保存設定がオフで変更できない状態の参考
旧設定の詳細はMicrosoftのAllowPasswordManager仕様、サポート終了についてはMicrosoft Edge Legacyの説明を参照してください。
コメント