Microsoft WordのアドインをGPOで一元管理するときは、すべてを一律無効にするのではなく、COM/VSTOアドイン、Office Webアドイン、テンプレートや文書に付属する機能を区別します。COMアドインは「管理対象アドインの一覧」と「管理対象外のアドインをすべてブロックする」を組み合わせ、必要なProgIDだけを許可または利用者選択にします。Microsoft 365のWebアドインは同じGPOだけでは管理せず、管理センターの統合アプリで割り当てます。検証用グループから始め、署名、権限、業務影響、戻し方を確認してから段階展開します。
最初にアドインの種類と業務用途を棚卸しする
Wordの「ファイル」「オプション」「アドイン」を開き、アクティブ、非アクティブ、無効なアプリケーションアドインを確認します。画面下の「管理」でCOMアドイン、Wordアドイン、テンプレートなどを切り替え、名称、発行元、ファイルの場所、バージョン、読み込み状態を記録します。ホームの「アドイン」または「個人用アドイン」に表示されるOffice Webアドインも別表にします。
各項目に業務所有者、利用部門、用途、問い合わせ先、導入元、ProgID、署名者、必要権限、更新方法を付けます。文書管理、電子署名、PDF変換、翻訳、校正、ウイルス対策、顧客管理などは停止すると保存や申請ができなくなる場合があります。名称だけで不要と判断せず、代表文書と実際の業務手順を使って依存関係を確認します。
一時的な診断と恒久的な管理を分ける
Wordのセーフモードはアドインによる起動障害を切り分ける診断手段ですが、恒久的な管理方法ではありません。通常起動で問題が再現し、セーフモードでは再現しない場合も、直ちに全アドインを削除せず、一つずつ状態を変えて原因候補を絞ります。クラッシュ、遅延、文書の種類、利用者、Word版、Officeの32/64ビット、アドイン版を記録します。
Wordが自動的に無効化した「無効なアイテム」を有効に戻し続けると、同じ障害を繰り返す可能性があります。更新版や提供元の修正を確認し、検証端末で再現性を確かめます。未知のアドインを試すために署名検証、保護ビュー、マクロ保護を下げたり、Wordを管理者として常用したりしません。診断後は管理元の設定で状態を統一します。
現行のOffice管理用テンプレートを準備する
対象のMicrosoft 365 AppsまたはOffice LTSCに対応する最新のOffice ADMX/ADMLを取得し、変更管理に従ってセントラルストアへ配置します。既存テンプレートをバックアップし、配布版、言語ファイル、対象Wordの更新チャネルとビルドを記録します。管理用テンプレートの表示名や階層は版と言語で異なるため、古い画面写真だけを頼りにレジストリ値を直接作りません。
本番GPOを直接変更せず、検証用GPOを新規作成して限定OUまたはセキュリティグループへ適用します。ユーザー構成とコンピューター構成、継承、ループバック、セキュリティフィルター、WMIフィルター、同じWord Trust Center設定を配る他GPOを読み取り専用で確認します。Microsoft 365クラウドポリシーも使う環境では、競合する設定と優先関係を整理します。
管理対象アドインの一覧をProgIDで作る
COMアドインは「List of Managed Add-ins／管理対象アドインの一覧」にProgIDと動作値を登録します。Microsoftの公式トラブルシューティングでは、値0は常に無効、1は常に有効、2は利用者が構成可能です。表示名やDLLのファイル名ではなく、対象製品の正しいProgIDを使います。提供元資料、Wordのアドイン情報、検証端末の登録情報を照合し、大文字小文字や版固有の違いも確認します。
常に有効の値1は、業務上必須で信頼性を確認したものだけにします。障害切り分けのため利用者にオン・オフを許すなら値2、既知の危険または廃止済みアドインは値0を検討します。一覧には所有者、承認理由、対象版、署名者、見直し日を添えます。似た名前のProgIDを推測して登録せず、検証端末で実際に一致していることを確認します。
管理対象外をブロックする順序を守る
「Block all unmanaged add-ins／管理対象外のアドインをすべてブロックする」を有効にすると、管理対象一覧にないCOMアドインが読み込まれなくなります。Microsoftの説明では、制限を有効にしたまま一覧が空、またはProgIDが誤っている場合、すべてのCOMアドインが無効になります。先に必須アドインを一覧へ登録し、限定利用者で読み込みを確認してからブロック設定を追加します。
一括ブロック前に、電子署名、文書管理、ラベル付与、PDF生成、印刷、スキャン、辞書、校正、会議連携などを代表文書で試します。単にWordが起動しただけでは成功ではありません。保存、開く、共同編集、申請、署名、エクスポート、終了まで確認します。障害時にアドインをアンインストールしたりDLLを削除したりせず、まず検証GPOの適用範囲から外して戻します。
署名と信頼できる発行元を過信しない
Trust Centerには、アプリケーションアドインを信頼できる発行元の署名付きに限定する設定や、すべてのアプリケーションアドインを無効にする設定があります。ただし、署名はコードの出所と改変有無を判断する材料であり、その機能やデータ処理が社内承認済みであることを自動的に意味しません。証明書の主体、有効期限、失効、タイムスタンプ、配布元を確認します。
Microsoft Supportは、発行元を信頼すると、その発行元証明書で署名されたすべてのコードを信頼することになると注意しています。一つのアドインを動かす目的で広い発行元を安易に登録しません。管理者としてWordを起動して警告を回避する方法も常用しません。発行元の信頼はセキュリティ担当の承認、証明書更新計画、失効時の対応とセットで管理します。
Office Webアドインは統合アプリで割り当てる
作業ウィンドウやリボンからWebサービスを利用するOffice Webアドインは、COMアドインのProgID一覧と同じ仕組みだけでは管理できません。Microsoft 365管理センターの「設定」「統合アプリ」を使い、組織全体ではなくパイロットグループへ割り当てます。Microsoftは多くの顧客に統合アプリポータルを推奨しており、追加、更新、削除の反映には24〜72時間かかる場合があります。
展開前にマニフェストで要求権限、文書の読み取り・書き込み、メールボックスやIDへのアクセス、接続先ドメイン、プライバシーポリシー、サポート先を確認します。Webアドインのサービス側コードは提供者により変更され得るため、初回審査だけで終えず、更新通知と定期レビューを設けます。個人ユーザーによるストア追加の可否は別の要件として管理します。
結果のポリシーとWordの表示を照合する
検証ユーザーでサインインし、通常のポリシー更新とWordの再起動後に確認します。gpresultまたは結果のポリシーセットを読み取り専用で使い、対象GPO、適用元、拒否理由、ユーザー範囲を確認します。Wordの「ファイル」「オプション」「アドイン」で、必須アドインがアクティブ、禁止対象が非アクティブまたは読み込まれない状態になったかを照合します。
設定画面がグレーになったことだけで成功と判断しません。値1、0、2を設定した代表アドインを用意し、期待どおり利用可否が分かれるかを確かめます。Webアドインは管理センターの割り当て状態とWordのアドイン一覧を別に確認します。反映待ち時間を考慮し、何度も削除・追加を繰り返さず、時刻、Wordビルド、ユーザー、端末、結果を記録します。
段階展開でクラッシュと業務影響を監視する
展開はIT担当、アドイン所有部門、限定グループ、全社の順に広げます。起動時間、クラッシュ、無効化通知、文書破損、保存失敗、電子署名、PDF変換、印刷、ラベル、共同編集、マクロ連携への影響を確認します。共有PC、VDI、リモートデスクトップ、32/64ビットのOffice、複数更新チャネルがある場合は代表構成を含めます。
問い合わせにはアドイン名、ProgID、Word版、発生時刻、対象文書種別、操作手順を含め、文書本文や顧客情報を無断収集しません。アドインがネットワーク接続する場合は、プロキシ、TLS、証明書、サービス障害も切り分けます。ブロックを解除して症状が消えても原因確定とは限らないため、提供元ログと更新履歴を確認し、必要最小限の例外にします。
例外、定期見直し、ロールバックを用意する
例外申請には業務目的、所有者、対象ユーザー、ProgIDまたはアドインID、発行元、権限、期限、代替策、承認者を記録します。退職者や廃止システムのアドイン、期限切れ証明書、更新停止製品を定期的に一覧から外します。未知の配布サイトから新版をダウンロードせず、ベンダーの正規配布と変更履歴を確認します。
ロールバックは、管理対象外ブロックを未構成へ戻す、直前の管理対象一覧へ戻す、検証グループからGPOを外す、統合アプリの割り当てを戻す手順を事前に決めます。「未構成」にしても別GPO、クラウドポリシー、利用者設定、自動無効化が残る場合があるため、結果のポリシーとWordを再確認します。レジストリの一括削除やOfficeの再インストールを最初の戻し方にしません。
確認チェックリスト
- COM/VSTO、Office Webアドイン、テンプレートや文書付属機能を区別した
- 名称、ProgID、発行元、版、業務所有者、必要権限を棚卸しした
- 管理対象一覧の値0＝常に無効、1＝常に有効、2＝利用者構成可を確認した
- 必須ProgIDを登録して検証してから管理対象外ブロックを有効にした
- 署名だけを安全性の保証とせず、発行元証明書の信頼範囲を審査した
- WebアドインはMicrosoft 365の統合アプリで限定グループへ展開した
- gpresult、Wordのアドイン一覧、代表業務操作で適用結果を確認した
- 段階展開、期限付き例外、定期見直し、管理元からのロールバックを準備した
コメント