Edgeの「Officeファイルをブラウザーで表示する」機能は、イントラネット内の任意のWord／Excel／PowerPointを直接描画する汎用機能ではありません。現行のQuickView Office機能は、OneDriveやSharePoint上ではない、Webで公開アクセス可能なOfficeファイルをOffice Viewerで表示する機能です。認証が必要な社内URLや閉域ファイルがダウンロードになるのは、設定ミスではなく対象外である可能性があります。社内ファイルを公開して回避せず、デスクトップOffice、SharePoint、Office Online Serverなど要件に合う方式を選びます。
まず期待する動作を分ける
- 閲覧だけ：ブラウザー内で内容を確認できればよい
- 共同編集：複数人が同時に編集し、版管理と権限を保ちたい
- デスクトップ編集：リンクからWordやExcelを起動して保存したい
- ダウンロード：ローカルへ保存し、既定アプリで開けばよい
- 閉域維持：ファイルと認証情報をインターネット側へ渡せない
「ブラウザーで開く」が必要な理由も確認します。Office未導入端末、モバイル、共同編集、マクロを実行させない閲覧、ダウンロード抑止では解決策が異なります。ブラウザー表示にすれば自動的に持ち出しを防げるわけではなく、閲覧者はコピー、スクリーンショット、印刷を行える場合があります。情報保護は保存場所、ID、条件付きアクセス、権限、DLPを含めて設計します。
Edge QuickViewの対象範囲
MicrosoftのQuickViewOfficeFilesEnabledポリシーは、公開アクセス可能で、OneDriveまたはSharePoint上ではないOfficeファイルをEdgeのOffice Viewerで表示するかを制御します。有効または未構成ならViewerで開ける場合があり、無効ならダウンロードします。WindowsとmacOSのEdge 90以降が対象で、プロファイル単位の必須ポリシーとして管理できます。
この説明の「公開アクセス可能」が重要です。社内DNS名、VPN内URL、Windows統合認証、クライアント証明書、社内Cookieを必要とするURLを、インターネット側のViewerが取得できる前提はありません。view.officeapps.live.comのURLへ社内ファイルURLを渡しても、到達できなければ開けません。開けるようにするため、匿名公開、外部公開、認証回避、ファイアウォール全開放を行ってはいけません。
読み取り専用で症状を採取する
- Edgeの版、Windows版、仕事用／個人用プロフィール、edge://policyのQuickViewOfficeFilesEnabled状態を記録する
- リンク先URLのスキーム、ホスト、拡張子、認証方式を記録し、トークンやCookieは共有しない
- クリック時に新しいタブ、ダウンロード、エラー、デスクトップアプリのどれになるか記録する
- 同じ権限の利用者と別権限の利用者で結果を比較し、アクセス権問題を分ける
- サーバー担当がHTTP状態、Content-Type、Content-Disposition、認証ログを確認する
開発者ツールのNetworkを使う場合は、URL、ヘッダー、ファイル名、認証情報が含まれ得るため、保存したHARを無加工でメール送信しません。サーバー担当へ必要な要求時刻、状態コード、応答ヘッダーだけを安全な経路で渡します。401／403は認証・認可、404はリンク、5xxはサーバー、200とattachmentはダウンロード指示というように、正確な応答から調べます。
方式1：ダウンロードしてデスクトップOfficeで開く
閲覧・編集者のPCに対応Officeがあり、共同編集が不要なら、ダウンロードまたはデスクトップアプリ起動が最も単純です。ファイルの出所、拡張子、デジタル署名、マクロ有無を確認し、Protected Viewやウイルススキャンを無効化しません。ダウンロードフォルダーの保持と端末暗号化、共有PCでの残存、編集後のアップロード先を決めます。
Microsoft 365のWord、Excel、PowerPointでは、OneDrive／SharePointの対応リンクをデスクトップアプリで開く設定がありますが、任意のイントラネットWebサーバーのリンクを同じ仕組みで処理できるとは限りません。プロトコルハンドラーや自動起動を独自実装する場合は、ブラウザー警告、信頼済みサイト、ファイル種類、認証、利用者同意を小さな範囲で検証します。
方式2：SharePointとMicrosoft 365 Webアプリ
共同編集、版管理、検索、組織IDによる共有が必要なら、ファイルをSharePoint OnlineまたはOneDrive for Businessの管理されたライブラリへ置く構成を検討します。イントラネットのWebサーバーにファイルを置いたまま公開Viewerへ渡す方式とは異なります。サイト所有者、機密ラベル、外部共有、保持、ゲスト、同期を設計し、移行前にリンクと権限を棚卸しします。
概念実証では、一般社員、閲覧のみ、編集者、外部ゲスト、退職者の役を作り、表示、編集、ダウンロード、共有、版復元、アクセス回収を確認します。機密ファイルは合成データへ置き換えます。既存URLからの移行では、社内ポータルのリンク、検索インデックス、文書ID、ワークフローを更新し、旧サーバーをいきなり削除しません。
方式3：Office Online Serverをオンプレミスで使う
閉域またはオンプレミスでブラウザー閲覧・編集が必要なら、Office Online Serverは検討対象です。Microsoftの説明では、Word、Excel、PowerPoint、OneNoteのブラウザー機能を、SharePoint ServerなどWOPI対応ホストへ提供します。単にOffice Online Serverを一台置き、任意の共有フォルダーURLをEdge設定で開く製品ではありません。WOPIホスト、認証、証明書、ファーム、更新、容量を設計します。
Office Online Serverは専用サーバーが必要で、同じサーバーへSharePoint、Exchange、SQL Serverなどを同居させない要件があります。ドメイン、HTTPS証明書、ロードバランサー、ホストとの通信、外部データアクセス、サポート中バージョンを計画します。Microsoftは新ビルドが出ると前ビルドに重要更新が提供されなくなるため、新ビルドへの追随を強く推奨しています。導入後も定期更新と回帰試験が必要です。
安全な概念実証
- 公開してよい合成Officeファイルと、社内限定の合成ファイルを別に用意する
- Edgeポリシーをテスト用プロフィールまたは端末だけで確認し、全社変更しない
- デスクトップOffice、SharePoint Online、Office Online Server候補を同じ操作で比較する
- 閲覧、編集、保存、版復元、印刷、ダウンロード、外部共有拒否を試す
- サーバー障害、証明書更新、権限剥奪、退職者を想定し復旧時間を測る
- 終了後に公開URL、ゲスト、テストファイル、証明書、ポリシー例外を回収する
評価基準は、表示できたかだけでなく、社内ファイルが外部サービスから取得されないこと、認証が維持されること、保存競合がないこと、監査ログが残ること、障害時に手動代替があることです。ブラウザー表示できないことを解消するためにセキュリティ境界を下げる案は、機能合格でも不採用にします。
管理ポリシーを変更する場合
QuickViewOfficeFilesEnabledを変更するのは、公開Web上のOfficeファイルをEdge Viewerで見せるか、ダウンロードさせるかという組織判断です。edge://policyで現在値と適用元を確認し、対象グループ、業務理由、データフロー、ロールバックを承認します。レジストリを利用者が直接編集せず、Intuneやグループポリシー等の正規管理元から配布します。
テスト後は、公開ファイルの表示、社内ファイルのダウンロード、OneDrive／SharePoint、マクロ付きファイル、不正な拡張子を確認します。意図しない外部送信、認証要求、ダウンロード抑止が起きたら、テスト対象だけを元のポリシーへ戻します。セキュリティ警告やSmartScreenを無効化して通さないことが重要です。
結論
イントラネット上のOfficeファイルがEdge内で開かない場合、QuickViewのオン・オフだけで解決できるとは限りません。公開可能なWebファイルならQuickView、端末で編集するなら安全なダウンロードまたはデスクトップOffice、共同編集とクラウド管理ならSharePoint Online、閉域のブラウザーOfficeならWOPI対応ホストとOffice Online Serverを比較します。社内URLを公開Viewerから取得可能にするための匿名公開は行わず、データ分類と認証境界を保った方式を選びます。
コメント