Microsoft Edge ExtensionInstallForcelist 更新点まとめ｜企業管理者が最初に確認すべき影響と初動

Microsoft Edge browser policy ExtensionInstallForcelist を管理している場合、2026年4月18日時点で最初に確認すべき点は「強制インストールできる拡張機能の条件」「更新 URL の扱い」「ポリシー削除時の自動アンインストール」「InPrivate への非適用」です。今回の Microsoft updated Edge enterprise policy documentation for ExtensionInstallForcelist は、新機能の追加というより、企業管理者が見落としやすい運用上の条件を読み直すべき更新と捉えるのが実務的です。Microsoft Learn の該当ページは Last updated on 2026-04-17 と表示されており、日本時間では2026年4月18日時点の確認対象として扱えます。(Microsoft Learn)

ExtensionInstallForcelist は、Microsoft Edge に特定の拡張機能をユーザー操作なしでインストールし、ユーザーによる無効化やアンインストールを防ぐためのポリシーです。便利な一方で、セキュリティチームやエンドポイント管理者にとっては「入れたら終わり」ではなく、配布元、更新経路、権限、削除時の影響まで管理すべき設定です。(Microsoft Learn)

Microsoft Edge browser policy ExtensionInstallForcelist で最初に見るべき変更点

今回のドキュメント更新で、Enterprise browser admins、endpoint managers、security teams が特に確認すべきポイントは次の5つです。

確認項目	実務上の意味	最初にやること
Windows のドメイン参加条件	Active Directory ドメインに参加していない Windows では、強制インストール対象が Microsoft Edge Add-ons 掲載の拡張機能に限定される	BYOD、ワークグループ端末、キオスク端末を棚卸しする
macOS の管理条件	Microsoft Edge Add-ons 以外の拡張機能は、MDM 管理または MCX によるドメイン参加が条件になる	Intune、Jamf などの MDM 管理状態を確認する
更新 URL の扱い	ExtensionInstallForcelist の update URL は初回インストール用。以降の更新は拡張機能マニフェスト側の URL が使われる	セルフホスト拡張機能の更新設計を見直す
ポリシーから削除した場合	以前に強制インストールされた拡張機能は、リストから外すと Edge により自動アンインストールされる	削除前に対象ユーザーと業務影響を確認する
InPrivate への適用	このポリシーは InPrivate モードには適用されない	InPrivate 利用時の業務要件を別途確認する

Microsoft のドキュメントでは、ExtensionInstallForcelist は ExtensionInstallBlocklist より優先され、リストから削除された過去の強制インストール拡張機能は自動的にアンインストールされると説明されています。また、Windows 非ドメイン参加端末や macOS の外部配布拡張機能には追加条件があります。(Microsoft Learn)

ExtensionInstallForcelist は何をするポリシーか

ExtensionInstallForcelist は、Microsoft Edge に拡張機能やアプリをサイレントインストールするための企業向けポリシーです。設定された拡張機能は、ユーザーの操作なしでインストールされ、ユーザーはその設定をオフにしたり削除したりできません。(Microsoft Learn)

典型的な利用シーンは次のようなケースです。

利用シーン	例	管理上の注意
セキュリティ拡張の標準配布	DLP、フィッシング対策、CASB 連携	権限と通信先を事前にレビューする
認証・SSO 補助	SSO、条件付きアクセス関連の拡張	対象ブラウザー、対象 OS、利用アカウントを揃える
業務アプリ連携	CRM、ERP、社内ポータル用の補助拡張	アプリ更新時に拡張機能も検証する
社内開発拡張	内部ツール、入力補助、業務自動化	セルフホスト時の更新 URL と証明書管理が重要

実務では「必要な拡張機能を入れる」だけでなく、「誰に」「どの端末に」「どの配布元から」「どの更新経路で」入れるかを明確にする必要があります。特にセキュリティ拡張は、ユーザーが無効化できないことがメリットになる一方、障害発生時には影響範囲が大きくなります。

影響範囲はどこまでか

ExtensionInstallForcelist のサポート対象は Windows と macOS です。Microsoft Learn では、Windows はバージョン77以上、macOS もバージョン77以上が対象で、Android と iOS はサポート対象外とされています。(Microsoft Learn)

つまり、モバイル端末を含むグローバル環境で Edge を管理している場合、ExtensionInstallForcelist だけで全プラットフォームの拡張機能統制はできません。Windows と macOS は Edge ポリシー、Android や iOS はアプリ構成ポリシーや MAM/MDM 側の制御、といった分担で考える必要があります。

Windows 管理者が確認すべきポイント

Windows では、グループポリシーまたはレジストリで ExtensionInstallForcelist を設定できます。ドキュメント上のグループポリシーパスは Administrative Templates/Microsoft Edge/Extensions、ADMX ファイル名は MSEdge.admx です。レジストリでは SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist 配下に、1、2、3 のような値名で REG_SZ のリストを登録します。(Microsoft Learn)

SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist\1 =
gbchcmhmhahfdphkhkmpfmihenigjmpp;https://edge.microsoft.com/extensionwebstorebase/v1/crx

SOFTWARE\Policies\Microsoft\Edge\ExtensionInstallForcelist\2 =
abcdefghijklmnopabcdefghijklmnop

ここで注意したいのは、値名が拡張機能 ID ではなく連番になる点です。複数の拡張機能を登録する場合、同じ値名を使い回すと上書きや欠落の原因になります。

macOS 管理者が確認すべきポイント

macOS では、Preference Key name として ExtensionInstallForcelist を設定します。Microsoft Learn の例では、配列内に拡張機能 ID と必要に応じた update URL を文字列として記述します。(Microsoft Learn)

<array>
  <string>gbchcmhmhahfdphkhkmpfmihenigjmpp;https://edge.microsoft.com/extensionwebstorebase/v1/crx</string>
  <string>abcdefghijklmnopabcdefghijklmnop</string>
</array>

macOS で Microsoft Edge Add-ons 以外の拡張機能を強制インストールする場合、端末が MDM 管理されているか、MCX 経由でドメイン参加している必要があります。社内配布の拡張機能を使っている組織では、単に plist を配るだけでなく、管理状態そのものを確認してください。(Microsoft Learn)

update URL の扱いを誤ると、初回配布後に更新で詰まる

ExtensionInstallForcelist の各リスト項目は、拡張機能 ID と任意の update URL をセミコロンで区切った文字列です。update URL を省略した場合は、既定で Microsoft Edge Add-ons の更新 URL が使われます。指定する場合、update URL は Update Manifest XML を指し、スキームは http、https、file のいずれかである必要があります。(Microsoft Learn)

よくある誤解は、「ExtensionInstallForcelist に update URL を書けば、その URL がずっと更新に使われる」というものです。Microsoft の説明では、このポリシーに設定した update URL は初回インストールに使われ、以降の更新では拡張機能の manifest に記載された update URL が使われます。以降の更新 URL を上書きしたい場合は、ExtensionSettings ポリシーを使う必要があります。(Microsoft Learn)

セルフホスト拡張機能では ExtensionSettings も検討する

社内サーバーで .crx と update.xml をホストしている場合、ExtensionInstallForcelist だけでなく ExtensionSettings の併用を検討してください。Microsoft のトラブルシューティングでは、セルフホスト拡張機能の自動更新に失敗する原因として、ExtensionSettings の override_update_url が未設定であるケースが挙げられています。(Microsoft Learn)

実務では、次のような JSON をベースに、検証環境で更新まで確認してから本番展開します。

{
  "<Extension_ID>": {
    "installation_mode": "force_installed",
    "update_url": "https://contoso.example/updates/update.xml",
    "override_update_url": true
  }
}

ExtensionSettings では、installation_mode を force_installed にするとユーザー操作なしで自動インストールされ、ユーザーは削除できません。force_installed や normal_installed を使う場合は update_url も定義する必要があります。(Microsoft Learn)

すぐ確認すべき初動チェックリスト

ドキュメント更新を受けて、既存環境の担当者が最初に行うべき確認は次の順番です。

優先度	確認内容	確認場所	判断基準
高	ポリシーが端末に適用されているか	edge://policy	ExtensionInstallForcelist が表示され、ステータスが正常である
高	拡張機能が実際に入っているか	edge://extensions	対象拡張機能が表示され、ユーザーが削除できない状態である
高	配布元が許可条件を満たすか	Edge Add-ons、社内更新サーバー、端末の管理状態	Windows 非ドメイン参加、macOS 非 MDM 端末で外部配布していない
中	update URL の設計が正しいか	GPO、Intune、レジストリ、manifest.json、update.xml	初回インストールと以降の更新経路が一致している
中	削除時の影響を把握しているか	ポリシー割り当て、対象グループ	リストから外した場合の自動アンインストール対象を把握している
中	InPrivate 利用要件があるか	ブラウザー利用ルール、監査要件	InPrivate でも必要な制御を別ポリシーで補完している

特に edge://policy は初動確認に有効です。ポリシー名が表示されているだけでは十分ではなく、値の形式、エラーの有無、対象プロファイルへの適用状況まで見ます。ExtensionInstallForcelist はプロファイルごとに適用され、動的なポリシー更新にも対応しています。(Microsoft Learn)

よくある失敗と原因

ExtensionInstallForcelist のトラブルは、ポリシーそのものよりも「値の書き方」「配布元」「更新設計」で起きることが多いです。

症状	起きやすい原因	対処
edge://policy に値はあるが拡張機能が出ない	拡張機能 ID の誤り、update URL の誤り、配布元条件を満たしていない	ID、URL、端末のドメイン参加・MDM 管理状態を確認
セルフホスト拡張機能が入らない	.crx の Content-Type が不正	Content-Type: application/x-chrome-extension を返すように Web サーバーを設定
手動では入るがポリシー配布では失敗する	manifest.json や update.xml の形式不備	version の形式、XML、codebase の URL を確認
初回配布は成功するが更新されない	以降の更新 URL が manifest 側に切り替わっている	ExtensionSettings で override_update_url を検討
リストから外したら拡張機能が消えた	ExtensionInstallForcelist から削除されたため自動アンインストールされた	削除前に段階展開と周知を行う

Microsoft のトラブルシューティングでは、セルフホスト拡張機能が展開できない原因として、グループポリシー構成の誤り、.crx の Content-Type ヘッダー不備、拡張機能マニフェストまたは更新マニフェスト XML の不備が挙げられています。(Microsoft Learn)

セキュリティチームが見るべき権限とリスク

ExtensionInstallForcelist で強制インストールされた拡張機能には、必要なアクセス許可が暗黙的に付与されます。Microsoft Learn では、enterprise.deviceAttributes や enterprise.platformKeys の拡張 API も含まれると説明されています。これらは強制インストールされていない拡張機能では利用できない API です。(Microsoft Learn)

そのため、セキュリティレビューでは次の観点を必ず確認します。

観点	確認すること
拡張機能の権限	どの API 権限、ホスト権限、データアクセス権を要求しているか
配布元の信頼性	Microsoft Edge Add-ons、Chrome Web Store、社内サーバーのどれか
更新経路	更新ファイルを誰が管理し、どのサーバーから配布するか
変更管理	拡張機能のバージョンアップ時に誰が承認するか
監査	対象ユーザー、対象端末、適用ポリシーを追跡できるか

また、ユーザーは開発者ツールを使って拡張機能のソースコードを変更できる可能性があり、その結果として拡張機能が正常に機能しなくなる場合があります。Microsoft は懸念がある場合に DeveloperToolsAvailability ポリシーの構成を案内しています。(Microsoft Learn)

ExtensionInstallForcelist と ExtensionSettings の使い分け

ExtensionInstallForcelist は、特定の拡張機能を強制インストールする目的には分かりやすいポリシーです。一方で、権限制御、実行可能なホスト、更新 URL の上書き、ツールバー表示など、より細かい制御が必要な場合は ExtensionSettings が向いています。

やりたいこと	推奨ポリシー	理由
特定の拡張機能を必ず入れたい	ExtensionInstallForcelist	設定がシンプルで、GPO やレジストリで扱いやすい
拡張機能ごとに細かく制御したい	ExtensionSettings	JSON で installation_mode、update_url、権限、ホスト制御をまとめられる
セルフホスト拡張機能の更新 URL を固定したい	ExtensionSettings	override_update_url を使える
すべての拡張機能を原則ブロックし、例外だけ許可したい	ExtensionInstallBlocklist と ExtensionInstallAllowlist、または ExtensionSettings	組織全体の拡張機能統制に向く
特定サイトで拡張機能の動作を制限したい	ExtensionSettings	runtime_blocked_hosts や runtime_allowed_hosts を使える

Microsoft の ExtensionSettings ガイドでは、ExtensionSettings が ExtensionInstallForcelist や ExtensionInstallBlocklist など他の拡張機能関連ポリシーを上書きできることも説明されています。複数ポリシーを併用している場合は、どのポリシーが最終的な制御権を持つかを整理してください。(Microsoft Learn)

変更管理で失敗しないための運用手順

ExtensionInstallForcelist の見直しは、単なる設定変更ではなくブラウザー標準環境の変更です。特にグローバル企業では、地域、OS、管理方式、ネットワーク制限が異なるため、段階的に進める必要があります。

フェーズ	実施内容	完了条件
棚卸し	現在の ExtensionInstallForcelist、ExtensionSettings、Blocklist、Allowlist を収集	すべての管理チャネルで設定差分を確認できる
影響分析	対象拡張機能、対象ユーザー、対象端末、業務依存を整理	削除・変更時の影響部署が分かる
検証	Windows、macOS、ドメイン参加、非ドメイン参加、MDM 管理端末で確認	edge://policy と edge://extensions で期待どおり
セルフホスト確認	.crx、update.xml、manifest、Content-Type、証明書を確認	初回配布と更新の両方が成功
段階展開	IT 部門、限定ユーザー、全社の順に展開	問い合わせ・障害が許容範囲
監査	定期的にポリシーと実インストール状態を照合	不要な強制拡張が残っていない

最も避けたいのは、古い業務拡張をリストから外した結果、利用者の端末から自動アンインストールされ、業務アプリが突然使えなくなるケースです。ExtensionInstallForcelist は「追加」だけでなく「削除」も強い影響を持つため、削除前の周知とロールバック方針を必ず用意してください。

管理者向けの実務判断基準

ExtensionInstallForcelist を使い続けるか、ExtensionSettings に移行するかは、次の基準で判断すると分かりやすくなります。

判断基準	ExtensionInstallForcelist が向く	ExtensionSettings が向く
設定の複雑さ	拡張機能 ID を並べるだけで十分	JSON 管理を許容できる
更新管理	Edge Add-ons 中心	セルフホストや更新 URL 固定が必要
セキュリティ制御	強制インストールが主目的	権限、ホスト、ツールバー、更新を細かく制御
運用体制	小規模または単純な標準化	グローバル展開、複数 OS、複数管理チャネル
監査要件	最低限の配布確認でよい	拡張機能ごとのリスク管理が必要

現実的には、既存の強制インストールは ExtensionInstallForcelist で維持し、セルフホスト拡張機能や高リスク権限を持つ拡張機能から ExtensionSettings に寄せる段階移行が扱いやすいでしょう。

読み終えた後に取るべきアクション

Microsoft Edge browser policy ExtensionInstallForcelist の今回のドキュメント更新は、すでに使っている管理者ほど確認価値があります。まずは edge://policy と管理ツール側の設定を照合し、Windows 非ドメイン参加端末、macOS の MDM 管理状態、セルフホスト拡張機能の update URL を確認してください。

次に、強制インストールしている拡張機能ごとに「なぜ必要か」「誰が所有者か」「更新時に誰が検証するか」を整理します。ExtensionInstallForcelist は便利な配布ポリシーですが、権限が暗黙的に付与され、削除時には自動アンインストールが発生します。配布、更新、削除の3点を管理台帳に落とし込むことが、今回の更新を実務に反映する最初の一歩です。