GPOでインターネットオプションを一元管理する前に、対象がWindowsセキュリティゾーン、Edgeのサイト権限、プロキシ、IEモード、またはWindowsコンポーネントのどれかを分けます。IE11デスクトップアプリは多くのWindows 10環境でサポートを終了しており、現行Edgeの大部分のサイト権限はEdge専用ポリシーで管理します。旧来のInternet Control Panel設定を全項目へ一括適用せず、Site to Zone Assignment Listなど必要な設定だけを検証OUで段階展開します。
一元管理する項目と利用アプリを棚卸しする
「インターネットオプション」にはセキュリティゾーン、信頼済みサイト、プロキシ、接続、証明書、詳細設定などが見えますが、すべてが同じアプリへ同じように効くわけではありません。対象サイト、Edge通常モード、IEモード、Office、エクスプローラー、WebBrowserコントロール、業務アプリ、サービスアカウントを一覧にします。
問題を「社内サイトでSSOできない」「ダウンロードがブロックされる」「プロキシを統一したい」「ActiveXが必要」のように具体化します。設定名だけを全社配布すると、別アプリの認証、保護ビュー、ファイル起動、更新通信まで変わる可能性があります。現在値、適用元GPO、影響ユーザー、例外を先に読み取ります。
現行EdgeとIEモードを区別する
Microsoftは、IE11デスクトップアプリのサポート終了後、レガシー依存サイトをMicrosoft EdgeのIEモードへ移すことを案内しています。現行Edge通常モードでは、ほとんどのサイト権限がEdgeの既定設定とForUrls形式のポリシーで管理され、Internet Control Panelのゾーン設定がすべて使われるわけではありません。
一方、IEモードのタブはInternet Explorerエンジンを使い、ゾーン設定を各判断に利用します。Edge通常モードでも、Windows統合認証の資格情報解放、ファイルダウンロード、IEモードへの判定など一部でセキュリティゾーンが関係します。対象が通常モードかIEモードかをサイトリストとedge://compatで確認します。
Site to Zone Assignment Listを設計する
サイトを特定のゾーンへ割り当てる場合は、コンピューターまたはユーザー構成の「Windowsコンポーネント」「Internet Explorer」「インターネットコントロールパネル」「セキュリティページ」にあるSite to Zone Assignment Listを検討します。Microsoftの現行CSP文書では値1がイントラネット、2が信頼済み、3がインターネット、4が制限付きサイトです。
信頼済みサイトは保護を緩める可能性があるため、「社内だから」「表示できないから」という理由だけで広いドメインを値2へ入れません。完全なホスト、サブドメイン範囲、HTTPとHTTPS、リダイレクト先を確認し、サイト所有者とセキュリティ担当が信頼性を承認した最小範囲だけを登録します。IPアドレスや短いホスト名はゾーン判定が異なる場合があります。
ゾーン内の権限は必要項目だけ変更する
各ゾーンにはダウンロード、スクリプト、認証、ActiveXなど多数のURLActionがあります。既定レベルを大幅に下げる、未署名ActiveXを許可する、クロスゾーン動作を一律許可する変更は避けます。必要な業務機能とエラーを特定し、Microsoftのセキュリティベースラインとアプリ提供元の要件を確認して、最小の項目だけを検証します。
一つのサイトを信頼済みへ移すと、そのゾーンの複数設定をまとめて受けるため、個別権限一つを直すより影響が広い場合があります。現行Edgeでサイト別に制御できるCookie、ポップアップ、JavaScript、通知、ダウンロードなどはEdgeの専用ポリシーを優先し、ゾーン移動を万能な解決策にしません。
ユーザー設定とコンピューター設定の優先を決める
セキュリティゾーンは通常ユーザーごとの設定を持ちますが、「セキュリティゾーン: コンピューターの設定のみを使用する」を有効にすると端末設定だけが使われます。共有端末で統一できる一方、ユーザー単位の例外やアプリ動作へ広く影響します。既存のユーザー設定、端末設定、ループバック処理、GPO優先順位を確認します。
「ユーザーによるサイト追加・削除を許可しない」「セキュリティページを無効にする」などのポリシーもあります。管理者が設定を配布したという理由だけで画面全体を隠さず、サポートと例外申請に必要な可視性を検討します。制限する場合は利用者へ管理対象であることと問い合わせ窓口を案内します。
プロキシは対象スタックを確認する
Internet Optionsのプロキシが影響するWinINet、Edge、WindowsサービスのWinHTTP、アプリ独自プロキシは同一ではありません。現行EdgeではProxySettingsを含むEdgeポリシーを確認し、ポリシー一覧で廃止済みの個別ProxyMode、ProxyPacUrl、ProxyServerなどへ新規依存しないようにします。PAC URL、固定プロキシ、直接接続、バイパスを要件として整理します。
PACファイルはHTTPS配布、署名や変更管理、可用性、キャッシュ、失敗時動作を確認します。URLへ認証情報を埋め込まず、全社プロキシを切り替える前にWindows Update、Microsoft 365、証明書失効確認、VPN、業務サービスをテストします。レジストリのInternet Settingsを端末ごとに直接書き換えず、承認されたGPOまたは管理方式を使います。
IEモードはEnterprise Mode Site Listで管理する
レガシーサイトをIEモードで開く場合は、利用者に毎回手動で切り替えさせるのではなく、Enterprise Mode Site ListとEdgeのIE統合ポリシーを管理します。サイトごとに必要な文書モード、遷移、ニュートラルサイトを検証し、Edge通常モードへ戻せるサイトは移行します。インターネットオプションだけでIEモード対象サイトは決まりません。
IEモードは互換性のための期限付き手段として所有者と移行計画を持たせます。ActiveX、古い認証、古いTLSを必要とするアプリを理由に端末全体の保護を下げず、対象サイトと端末を限定します。MicrosoftのIEモードFAQで現在の制約と診断方法を確認します。
検証OUで結果のポリシーを確認する
既存GPOを複製または新規作成し、IT担当と代表ユーザーだけの検証OUへリンクします。gpresultや結果のポリシーセットで適用元、ユーザー/コンピューター範囲、拒否されたGPO、競合を確認します。Edgeではedge://policy、IEモードではedge://compatを確認し、Internet Options画面のグレー表示だけで成功と判断しません。
Site to Zone Assignment Listの登録値を、対象サイトで実際にどのゾーンとして認識するか確認します。SSO、ダウンロード、保護ビュー、ポップアップ、印刷、ファイル起動、プロキシ、証明書警告を代表ケースでテストします。資格情報を自動送信する範囲が広がっていないかは特に注意します。
セキュリティを下げる要求は代替策を先に探す
「表示できないから信頼済みへ追加」「警告が出るから保護モードを切る」「接続できないから古いTLSを有効にする」といった変更は、症状を隠して攻撃面を広げます。DNS、証明書、SSOのSPN、Edge専用ポリシー、サイトの修正、IEモードサイトリスト、プロキシ例外など原因に近い代替を先に検討します。
設定緩和が不可避なら、対象URL、端末、ユーザー、期間を限定し、リスク承認と期限を設定します。例外の終了条件を決め、アプリ改修後に撤回します。パスワード、Cookie、トークンを検証ログへ記録せず、機密情報を含む画面写真の共有先を制限します。
段階展開とロールバックを文書化する
展開はIT、代表部門、限定OU、全社の順に行い、問い合わせ、認証失敗、ダウンロード、Office保護ビュー、更新通信を監視します。GPO名、設定、サイト一覧、ゾーン値、対象OU、テンプレート版、承認者、テスト結果を記録します。一度に複数カテゴリを変えず、原因を戻せる単位に分けます。
ロールバックではGPOリンク解除、設定を未構成へ戻す、サイト一覧から項目を外す順序を定めます。未構成に戻した後も別GPOやユーザー設定が残ることがあるため、結果のポリシーと実際のゾーンを再確認します。端末レジストリを一括削除する回避策は使わず、管理元で整合させます。
確認チェックリスト
- 管理対象をゾーン、Edge権限、プロキシ、IEモード、Windowsコンポーネントに分けた
- IE11デスクトップと現行Edge通常モード、IEモードを区別した
- Site to Zone Assignment Listの値1〜4と対象ホストを確認した
- 信頼済みサイトへ広範囲なドメインを安易に割り当てていない
- ゾーンの権限を一括緩和せず必要項目だけ検証した
- プロキシの対象スタック、PAC、バイパス、廃止ポリシーを確認した
- gpresult、edge://policy、edge://compatと実サイトで結果を確認した
- 段階展開、期限付き例外、監視、管理元からのロールバックを準備した
コメント