Microsoft WordをGPOで一元管理するには、最新のOffice用ADMX/ADMLを中央ストアへ配置し、利用者用と端末用のポリシーを分け、検証OUで適用結果を確認してから展開します。最初に確認するのは、対象がMicrosoft 365 Apps for enterprise、Office LTSC 2024・2021、Office 2019・2016のどれか、Click-to-Runか、32ビットか64ビットか、そしてドメイン参加端末かです。テンプレート上の表示名に「Microsoft Word 2016」と出ても、Office 16.0系で共用される設定があるため、名称だけで非対応と判断しません。2026年7月時点では、マクロや信頼できる場所を安易に緩和せず、業務要件と例外対象を文書化して小さく配布するのが安全な進め方です。
一元管理の対象を先に棚卸しする
Wordの設定は「見た目をそろえる」だけではありません。保存形式、既定のファイル場所、校正、アドイン、テンプレート、保護ビュー、マクロ、信頼できる場所、プライバシー、更新動作など、可用性とセキュリティに影響する項目が混在します。まず、全社共通、部門固有、個人に委ねる設定の三つへ分類してください。たとえば、インターネット由来ファイルのマクロをブロックする方針は全社共通に向きます。一方、既定のテンプレート保存先は部門ごとに異なることがあり、最近使ったファイル数や編集記号の表示は個人設定に残すほうが運用負荷を抑えられます。GPOで設定できるからという理由だけで全項目を強制すると、利用者が回避策を探し、問い合わせと例外申請が増えます。
- 対象アプリ、ライセンス、更新チャネル、Officeのビルド、Windowsの版を端末台帳へ記録する。
- 設定ごとに目的、対象者、強制か推奨か、例外承認者、復旧値を決める。
- 既存GPO、Cloud Policy、Intune、レジストリ配布が同じ値を競合させていないか調べる。
- Wordアドインや業務テンプレートの所有部門と検証担当者を決める。
- 設定変更前後で開く代表文書、差し込み印刷、PDF化、署名付きマクロをテスト項目に含める。
Office管理テンプレートを公式配布元から取得する
Office用の管理テンプレートはMicrosoft Download Centerから取得します。ダウンロードページには、Microsoft 365 Apps for enterprise、Office LTSC 2024、Office LTSC 2021、Office 2019、Office 2016に対応するADMX/ADMLが含まれることが明記されています。ADMXだけ必要な場合、配布実行ファイルのx86版とx64版でテンプレート自体は同じです。管理端末のアーキテクチャとOfficeのアーキテクチャを混同しないでください。ダウンロードした実行ファイルは隔離された管理端末で展開し、署名、公開元、取得日、ファイルバージョンを記録します。過去に別サイトへ転載されたテンプレートや、出所不明のカスタムADMXを本番SYSVOLへ直接置かないでください。
- 公式ダウンロードページで公開日と対象Officeを確認し、必要な言語のパッケージを取得する。
- 管理端末の作業用フォルダーへ展開し、admx配下と対応言語のadml配下を確認する。
- 付属の設定一覧ファイルで、必要なWordポリシー名と格納先を検索する。
- 既存中央ストアを読み取り専用の場所へバックアップし、復元担当と復元手順を決める。
- テスト用ドメインまたは検証時間帯でテンプレートを配置し、GPMCがエラーなく開くか確認する。
中央ストアへADMXとADMLを配置する
ドメインで一貫したテンプレートを使う場合は、SYSVOL配下のPolicyDefinitions中央ストアを利用します。ADMXは言語に依存しない定義、ADMLは表示文字列です。word16.admxなどのADMXだけを更新し、日本語や英語の対応ADMLを更新しないと、GPMCでリソース参照エラーや説明の欠落が起きます。既存ファイルへ上書きする前に、中央ストア全体を世代管理してください。複数のドメインコントローラーがある環境では、SYSVOL複製が完了するまで編集者ごとに見える定義が一時的に異なる可能性があります。配置直後に本番GPOを変更せず、少なくとも二つの管理端末からGPMCを開き、Word配下の項目と説明文が表示されることを確認します。
Windows用ADMXとOffice用ADMXは更新周期が異なります。中央ストア全体を新しいWindows端末のPolicyDefinitionsで丸ごと置き換えると、Officeや他製品の追加テンプレートを失うことがあります。差分一覧を作り、追加・更新・削除をレビューしてから反映してください。ADMXの存在はクライアントへの設定適用に毎回必要なものではなく、主にGPO編集時の定義です。ただし、編集時に古い定義を使うと新しい設定を選べず、逆に古い管理端末では新しいポリシーの説明を読めません。管理者端末の標準化と中央ストアの更新履歴を同じ変更管理に含めます。
Word専用GPOを作り対象OUへ限定する
既存の巨大な「Office全般」GPOへ追記せず、目的が分かるWord専用GPOを作ります。ユーザー設定は利用者アカウントを含むOU、コンピューター設定は端末アカウントを含むOUにリンクします。共有PCで端末ごとにユーザー設定を変える必要がある場合だけ、ループバック処理の必要性を別途設計してください。セキュリティフィルターにAuthenticated Usersを残すか、専用グループへ絞るかは組織の規約に合わせますが、GPOを読み取る権限と適用する権限を混同しないようにします。最初から全社OUへリンクせず、検証ユーザー、検証PC、代表的なOfficeビルドを含むOUへリンクし、リンクの有効化、継承、強制、WMIフィルターを台帳へ記録します。
よく使う設定を業務要件から選ぶ
GPMCでは通常、ユーザーの構成、ポリシー、管理用テンプレート、Microsoft Word 2016、Wordのオプション配下に多数の設定が表示されます。日本語表示名はADMLの版で変わることがあるため、記事の名称だけを頼りにせず、設定の説明、対応するレジストリ値、サポート対象を付属一覧で照合してください。保存先や既定形式を変えると、古い業務システム、共同編集、電子申請、差し込み印刷、マクロ署名へ影響します。ポリシーを「有効」にすれば常に機能が有効になるとは限らず、「機能を無効にする」設定を有効にするような二重否定もあります。各設定で有効・無効・未構成の結果を検証記録へ残します。
- 保存とファイル形式：既定形式、AutoRecover、信頼できるテンプレート場所を業務互換性と合わせる。
- セキュリティ：インターネット由来マクロ、保護ビュー、ファイルブロック、信頼できる場所を例外最小で設計する。
- アドイン：必須アドインの読み込み方式と、禁止・無効化対象の製品名、バージョン、復旧方法を定義する。
- 校正と表示：言語、変更履歴、個人情報に関わるメタデータ処理を法務・文書管理部門と決める。
- ネットワーク：テンプレートや既定保存先に共有パスを使う場合は、オフライン時の挙動とアクセス権を確認する。
マクロを「すべて許可」で解決しない
メールやブラウザーから取得したファイルにはMark of the Webが付き、Officeはインターネット由来のVBAマクロを既定でブロックします。業務マクロが止まった場合、全利用者でマクロを無条件に有効化したり、広いネットワーク共有を信頼できる場所へ登録したりしてはいけません。まずファイルの取得経路、署名の有無、発行元、保存場所、更新責任者を確認します。可能ならコード署名と信頼された発行元、管理された配布経路へ移行します。例外が必要なら、特定のセキュリティグループ、限定フォルダー、期限、監視方法を決めます。信頼できる場所ではマクロだけでなくアドインやActiveXなどのチェックも迂回され得るため、書き込み権限を最小化します。
Microsoftのセキュリティ指針では、ネットワーク上の信頼できる場所を許可するポリシーは通常無効が推奨され、利用者が自由に信頼場所を追加できないようにする設定も用意されています。共有のルートや部署全体が書き込めるフォルダーを信頼場所にしないでください。どうしても必要なら、管理者だけが変更できる専用サブフォルダー、読み取り中心の共有権限、改ざん検知、承認済みファイルのハッシュまたは署名確認を組み合わせます。例外解除はGPOを削除するだけで元に戻るとは限らないため、有効・無効・未構成それぞれの挙動と、利用者が作った設定の残存を検証します。
適用前に競合と優先順位を確認する
OfficeのユーザーポリシーはGPOだけでなく、Microsoft 365 Apps管理センターのCloud Policyから配布される場合があります。Cloud PolicyはMicrosoft Entraグループを対象にでき、ドメイン非参加端末にも適用されます。GPOとCloud Policyで同じ項目を異なる値にすると、画面では一方しか見えず、原因調査が難しくなります。さらに、Office展開ツールの構成、Intuneの設定カタログ、セキュリティベースライン、業務アドイン自身の設定も影響します。設定台帳に配布元、対象、優先順位、最終変更者を記載し、一つの設定は原則一つの管理面に集約してください。Cloud Policyを採用する場合でも、コンピューター側設定が必要か、ライセンス要件を満たすかを確認します。
検証OUで反映とWordの実動作を確認する
- 検証端末で利用者がサインインし、ポリシー更新後にWordを完全終了して再起動する。
- gpresultのHTMLレポートまたはRSoPで、目的のGPOが拒否されず適用されたことを確認する。
- Wordのファイル、オプション画面で対象項目を確認し、管理者により制御されている表示も記録する。
- 通常文書、署名済みマクロ文書、インターネット由来のテスト文書、業務テンプレートを別々に開く。
- 保存、共同編集、PDF出力、印刷、差し込み、アドイン起動を実行し、イベントログとOfficeログを確認する。
- 別ユーザー、別Officeビルド、オフライン、VPN経由でも必要な代表条件を再現する。
設定が見えない場合は、最初にADMXを再コピーするのではなく、GPMCを開いた管理端末が中央ストアを参照しているか、ADMXとADMLの版が一致するかを確認します。設定が見えるのにクライアントへ届かない場合は、GPOのリンク、セキュリティフィルター、継承、ユーザーとコンピューターのどちらへ設定したか、Cloud Policyとの競合を調べます。レジストリを直接変更して「直った」と判定すると、次回更新で戻るか、残骸が原因になります。レジストリ確認は読み取り用途に限定し、正式な配布元を修正してください。
段階展開と戻し方を決める
本番展開は、IT部門、協力部門、少数拠点、全社の順に広げ、各段階でWord起動失敗、文書を開く時間、マクロブロック件数、ヘルプデスク問い合わせ、保存エラーを確認します。重大な不具合が出たときは、対象GPOのリンクを無効化する、問題の設定を未構成または事前検証済みの復旧値へ戻す、対象グループを縮小する、のどれを選ぶか決めておきます。GPO自体を削除すると監査情報を失い、ポリシーで作られた値が期待どおり消えない場合があります。変更前のGPOバックアップ、中央ストアのバックアップ、適用対象一覧、設定レポート、代表文書を同じ変更記録へ保存してください。
一元管理の完成条件は、設定がGPMCに並ぶことではありません。どのWord設定を、なぜ、誰へ、どの管理面から配り、利用者の業務が継続でき、問題時に戻せることまで確認できて初めて完了です。特にセキュリティ項目は、問い合わせを減らすための緩和ではなく、署名、限定された信頼場所、段階配布で要件を満たします。テンプレート更新時は毎回同じ検証表を使い、追加設定を自動的に有効化せず、差分レビューを行ってください。
コメント