インターネットへ接続できないWindows端末へChromium版Microsoft Edgeを導入する場合は、接続できる管理用端末で企業向けのオフラインMSIを公式サイトから取得し、対象OS、アーキテクチャ、チャネル、バージョン、電子署名、ファイルハッシュを記録してから、承認済み媒体でオフライン環境へ移します。オンライン用の小さなセットアップファイルは実行時に本体をダウンロードするため、スタンドアローン環境には向きません。導入後も更新版MSIを定期的に搬入する運用が必要です。この記事では、単にインストールできたところで終わらず、取得、検証、パイロット、展開、更新、監査までを一つの手順として扱います。
最初に対象端末と運用条件を確認する
端末ごとにWindowsのエディション、バージョン、ビルド、x64・x86・ARM64の別、現在のEdgeバージョン、空き容量、管理者権限の有無を記録します。Microsoftの対応OS一覧に含まれないOSへ無理に導入しても、インストールできない、起動しても更新されない、セキュリティ修正を受けられない可能性があります。Windows 8.1はサポート終了済みで、現行Edgeの導入対象として扱いません。古い業務アプリのためOSを残している場合は、ブラウザーだけで解決しようとせず端末更新計画を管理者と決めます。
同じ「オフライン環境」でも、完全に切り離された端末、更新サーバーだけへ接続できる端末、プロキシ経由で一部サイトへ接続できる端末では管理方法が違います。Microsoft Edge Updateサービスが外部へ到達できない完全オフライン端末では自動更新に期待できません。更新MSIの取得頻度、移送担当、承認者、検証環境、本番適用日、緊急修正の搬入方法を先に決めます。ブラウザーは攻撃対象になりやすいため、「一度入れて固定」は安全な運用ではありません。
公式の企業向けダウンロードからMSIを取得する
- インターネット接続端末でMicrosoft Edge for Businessの公式ダウンロードページを開きます。
- 対象のチャネル、ビルド、プラットフォームを選びます。通常利用では組織の標準チャネルに合わせます。
- ライセンス条項を確認し、オフラインインストーラーのMSIを承認済み作業フォルダーへ保存します。
- ファイル名だけに頼らず、取得URL、取得日時、表示されたバージョン、対象アーキテクチャを台帳へ記録します。
- 同じMSIをパイロットと本番へ使えるよう、検証後に内容を変更せず管理された保管場所へ移します。
検索結果の広告、ファイル共有サイト、ソフト配布まとめサイトから取得しません。オンライン接続端末にもマルウェア対策と組織のダウンロード制御を適用します。取得画面のバージョンとMSIのプロパティを対応付け、x64端末へARM64版を渡すといった取り違えを防ぎます。チャネルを混在させるとサポートや更新時期が分かりにくくなるため、Stable、Betaなどを目的なく端末ごとに変えません。
電子署名とハッシュを確認する
PowerShellのGet-AuthenticodeSignatureでMSIのAuthenticode署名を確認し、署名状態と署名者を記録します。署名者名は文字列が似ているだけで判断せず、Windowsが有効な署名として検証できること、配布元がMicrosoftであることを確認します。時刻、証明書チェーン、失効確認が組織のオフライン制約により評価できない場合は、接続側の検証端末で確認してから搬入します。警告や不明な署名を無視して本番へ進めません。
Get-AuthenticodeSignature -FilePath "C:\Staging\MicrosoftEdgeEnterpriseX64.msi"Get-FileHashでは既定でSHA256ハッシュを計算できます。ハッシュは、検証済みファイルと搬入後ファイルが同一かを比較するために使います。ハッシュ値が一致しても、その基準値自体を攻撃者が置き換えていれば正規ファイルの証明にはならないため、電子署名の代わりにはなりません。接続側で署名確認済みMSIのハッシュを台帳へ登録し、媒体へコピーした後とオフライン端末へコピーした後に同じ値かを照合します。
Get-FileHash -Algorithm SHA256 -Path "C:\Staging\MicrosoftEdgeEnterpriseX64.msi"承認済み媒体で安全に移送する
USBメモリなどの利用が認められている組織では、媒体番号、持ち出し・持ち込み担当、日時、ファイル名、SHA256、スキャン結果を記録します。媒体を暗号化するか、書き込み制御するか、持ち込み前にどの端末で検査するかは組織ルールに従います。個人所有の媒体やクラウドストレージへコピーしません。オフライン側で検証用フォルダーへコピーしたら、搬入後ハッシュを計算し、接続側の記録と完全一致してから実行します。
MSIと一緒に、適用対象一覧、変更申請、検証結果、復旧方針、インストールログの保存先を持ち込みます。メール本文や手書きメモだけでバージョンを伝えると取り違えが起きます。ファイル名を任意に変える場合も元の製品名、アーキテクチャ、バージョンとの対応を台帳へ残します。以前使った媒体に旧版MSIが残っている場合は、新旧を同じフォルダーに置かず、承認済みの一式だけを搬入します。
最初はパイロット端末で導入する
本番端末へ一斉展開する前に、同じOS、同じアーキテクチャ、同じセキュリティ製品、同じ業務アプリを持つ代表端末を選びます。復元手段、保守時間、利用者への連絡を確認し、開いているアプリを閉じます。MSIをダブルクリックして対話的に導入するか、組織のソフトウェア配布基盤を使います。管理者権限を求められた場合は、承認済み管理者が製品名と発行元を確認して進めます。
コマンドラインでログを取る場合は、Windows InstallerのmsiexecへMSIの完全パスとログの完全パスを明示します。サイレント導入は、再起動、エラー表示、利用中アプリへの影響を見落としやすいため、パイロットで終了コードとログを検証した後だけ本番手順へ採用します。次の例は画面を表示してインストールし、詳細ログを検証用フォルダーへ記録する形です。実際のファイル名と保存先に置き換えます。
msiexec.exe /i "C:\Staging\MicrosoftEdgeEnterpriseX64.msi" /L*v "C:\Staging\edge-install.log"インストール後に確認する項目
- Edgeが正常に起動し、設定画面で想定したバージョンとチャネルが表示されるか。
- 社内Webアプリ、証明書、プロキシ、PDF表示、印刷、ダウンロードなど必要業務が動くか。
- 既定のブラウザーやファイル関連付けが組織方針どおりで、利用者の作業を妨げていないか。
- Windowsのイベント、Edgeのポリシー画面、MSIログに未解決のエラーがないか。
- オフライン端末が不要な外部接続を繰り返さず、許可された更新経路だけを使う構成か。
Edgeのアドレスバーでedge://settings/helpを開くとバージョンを確認できますが、完全オフライン環境では更新確認が失敗または待機することがあります。その表示だけをインストール失敗と判断せず、起動、バージョン、ログ、業務機能を確認します。端末の画面写真を記録するときは、社内URL、ユーザー名、証明書情報を隠します。パイロットで問題が出た場合は本番を止め、同じMSIを再実行し続けずログと再現条件を調査します。
Edge Updateポリシーの考え方
Microsoft Edge Updateには更新を制御するポリシーがありますが、「オフラインだから更新を無期限に無効化する」目的では使いません。組織が管理する場合は、対象チャネル、更新方法、適用期限、例外端末を定義し、設定値の意味を現行の公式文書で確認します。ローカルレジストリを個別に書き換えると、集中管理と競合し、将来の更新が止まることがあります。グループポリシーやMDMを使う場合も、管理者がテストOUなどで検証してから適用します。
オフライン更新を定期運用する
更新のたびに、公式ページから新しいMSIを取得し、同じ署名・ハッシュ・媒体・パイロット手順を繰り返します。EdgeのStableチャネルは継続的に更新されるため、四半期に一度だけでは重大な修正へ間に合わないことがあります。組織のリスク評価に基づき、通常更新の確認日と緊急更新の搬入期限を決めます。端末ごとの現在版を棚卸しし、更新できなかった端末を例外一覧へ残して担当者と期限を割り当てます。
新しいMSIを上書き保管するのではなく、取得日、バージョン、SHA256、承認状態を付けて世代管理します。ただし旧版へ戻せるとは限らず、ブラウザープロファイルやポリシーとの互換性もあります。ロールバックを前提にせず、パイロットとバックアップ、業務アプリの検証で失敗を防ぎます。導入後にブラウザーデータを初期化したりユーザープロファイルを削除したりする操作は、本記事の標準手順には含めません。
失敗時に集める情報
インストールが失敗したら、端末名、OSビルド、アーキテクチャ、既存Edge版、MSIのファイル名とSHA256、署名状態、実行時刻、終了コード、MSIログ、空き容量、セキュリティ製品の検知有無を記録します。ログを外部へ渡す前にユーザー名や社内パスを確認します。「このインストールパッケージはサポートされていない」といった表示なら、まずOSとアーキテクチャの組み合わせを再確認します。権限エラーなら、セキュリティ制御を無効にせず承認済み配布方法を管理者へ確認します。
安全な完了条件
完了とは、Edgeが一台で起動したことではありません。公式MSIの取得記録、電子署名、搬入前後のハッシュ一致、パイロット結果、本番対象、各端末の適用結果、業務機能の確認、次回更新日、未適用端末の扱いがそろった状態です。この記録があれば、スタンドアローン環境でも版のばらつきと更新漏れを把握できます。サポート対象外OS、出所不明MSI、未承認媒体、更新計画のない端末が一つでもあれば、展開を完了扱いにせず是正します。
コメント
コメント一覧 （2件）
7/31現在、ポリシーを含めて、ＤＬできません。
2022/12/26 時点ではダウンロード可能でした。
会社等のフィルターでブロックされている可能性があります。