Microsoft Store（旧Windowsストア）の画面を組織の方針に応じて制限するには、対応するWindows環境で「ストアアプリケーションをオフにする」ポリシーを使います。ただし、すべてのエディションで有効な設定ではなく、これだけでアプリのインストール全経路や既存アプリの実行を禁止できるわけでもありません。
この記事ではGPOの設定場所、適用前の確認、反映されない場合の切り分けを説明します。掲載している5枚の画像は初出時の旧画面です。現在のWindowsで同じ表示になることや、以下の手順を実機で検証したことを示すものではありません。
旧Microsoft Storeのアイコンと画面：
グループポリシー（GPO）の作成と適用手順
「グループポリシーて何？」という方は「グループポリシーの作成と適用手順」Active Directoryをフル活用して端末を完全制御しちゃおう！！で細かい説明をしていますのでご参照ください。実例を用いて説明をしていますので、全くの初心者でもグルーポプリシーが自由に扱えるようになります。
設定前に確認するエディションと制限範囲
まず「設定」のシステム情報などで、対象PCのWindowsエディションとバージョンを確認してください。MicrosoftのRemoveWindowsStore対応表ではEnterprise、Education、IoT Enterprise系が対象で、Proは対象外です。この表はADMX-backed CSPの適用表です。GPOについても、MicrosoftはWindows 10 Proでこの設定が適用されない事例を仕様として説明しています。ポリシー項目が画面に見えるだけで、対象OSで有効とは判断しないでください。
本手順は、対応するEnterprise／Education環境の管理者向けです。Home／Proで同じ結果になるという案内ではありません。対象ビルド・エディションに対する公式の適用条件を確認し、非対応環境でレジストリを強制変更する代替手順として使わないでください。
- Store画面へのアクセス制限：本記事の「ストアアプリケーションをオフにする」が扱う目的です。
- 既存アプリの実行制限：別の制御です。「Microsoft Storeのすべてのアプリを無効にする」とも区別します。後者の公式説明は、プリインストール／ダウンロード済みのStoreアプリの起動や更新にも影響するとしています。
- インストール経路の制限：Store画面だけを閉じても完全な許可リストにはなりません。業務アプリの配布方法や他の実行制御と併せて設計する必要があります。
現在のMicrosoft Store構成ガイドでは、このアクセス制限後も既定でStoreアプリの自動更新が続き、条件によってはwingetなどの別経路やIntuneからの配布も利用できると説明されています。一方、ADMXの説明文には更新にStoreアクセスが必要との記載も残っています。「Storeを閉じれば更新も必ず止まる」「必ず更新できる」と一律には判断せず、更新用ポリシー、配布方式、対象OSでの実際の更新結果を個別に確認してください。更新停止をこの設定の目的にしないことが重要です。
Microsoftストアを禁止するGPOの設定
組織管理PCでは管理担当者の承認を得て、既存GPOの設定・適用先・変更前の値を記録します。ドメイン全体へすぐ展開せず、まず検証端末のOUで確認してください。ほかの設定を含む既存GPOを流用するより、この目的専用のGPOに分けると影響と復旧範囲を追いやすくなります。
- グループポリシー管理で、検証用GPOを作成または選択し、グループポリシー管理エディターを開きます。
- 「コンピューターの構成」→「ポリシー」→「管理用テンプレート」→「Windowsコンポーネント」→「ストア」を開きます。
- 「ストアアプリケーションをオフにする」を開き、目的と対象を確認して「有効」を選びます。「オフにする」設定を「有効」にする点に注意してください。
- ドメインGPOは検証対象のコンピューターが入るOUにリンクし、必要に応じてセキュリティフィルターなどで絞り込みます。GPOをセキュリティグループそのものへリンクする操作ではありません。
1台のローカルポリシーで設定する場合は、ローカルグループポリシーエディターの「コンピューターの構成」→「管理用テンプレート」以下をたどります。ドメインGPOやMDMで管理されている端末では、ローカル設定だけを変更して組織の方針を上書きしようとしないでください。
旧画面の設定位置：
旧画面の「有効」選択例：
設定場所とリンク方法はMicrosoftのGPO構成手順、適用順序やフィルターの考え方はGroup Policy processingで確認できます。
Microsoftストアが禁止されたか確認
通常のポリシー更新後、検証ユーザーでMicrosoft Storeを開いて結果を確認します。下の画像は初出時に掲載したブロック画面です。表示文言はOSやStoreの版で異なる場合があります。
画面の確認に加え、適用されたGPOと対象PC・ユーザーを確認します。次のコマンドは設定を変更せず、適用結果のHTMLレポートを指定ファイルへ出力します。既存の同名ファイルは上書きせず、別名を選んでください。コンピューター側の情報を取得するには管理者権限が必要になる場合があります。
gpresult /h "%TEMP%\store-policy-result.html"レポートにはユーザー名、コンピューター名、ドメインや組織の構成情報などが含まれ得ます。社外へそのまま共有しないでください。コマンドの仕様はgpresult公式リファレンスを参照してください。
設定してもStoreが開く場合
- エディションとビルドが、このポリシーの適用対象か確認する。
- コンピューターオブジェクトの所属OU、GPOリンク、読み取り／適用権限、フィルター、継承・優先順位を確認する。
- レポートに目的のGPOが含まれているかと、競合するGPOやMDMの設定がないかを管理担当者と確認する。gpresultだけでMDM全体を診断できるわけではありません。
- Store画面のブロックと、既存アプリの起動・更新・業務配布を別々に試験する。前者だけで制限全体の成功としない。
設定を戻す場合
変更した設定を記録していた元の状態へ戻し、適用結果とStoreの動作を再確認します。「未構成」に戻すだけで必ず利用可能になるとは限りません。ほかのGPOやMDMにも同じ制限がないか確認してください。複数の業務設定を含むGPOを丸ごと削除したりリンク解除したりせず、今回変更した範囲に限定して復旧します。
まず少数の端末で業務アプリの更新・配布が維持できることまで確認し、その結果をもとに展開範囲を決めてください。
コメント