【Edge】Edgeの「危険なダウンロード」ブロックを社内配布ファイルだけ許可する例外設定手順

社内で配布しているアプリケーションやドキュメントをダウンロードしようとすると、EdgeのSmartScreenが「危険なダウンロード」としてブロックしてしまうことがあります。これはセキュリティ機能による正常な動作ですが、安全と分かっているファイルが毎回ブロックされると業務効率に影響します。本記事では、社内配布ファイルだけを例外として許可し、SmartScreenのブロックを回避する設定手順を解説します。グループポリシーまたはレジストリを用いて、許可リストを指定する方法を紹介します。

SmartScreenが危険なダウンロードをブロックする仕組みと例外設定の概要

Microsoft EdgeのSmartScreenは、ダウンロードしたファイルをクラウド上のデータベースと照合し、危険なファイルをブロックするセキュリティ機能です。この仕組みにより、未知のファイルや悪意のあるファイルからユーザーを保護します。しかし、社内で開発したアプリや安全が確認されたファイルでも、まだデータベースに登録されていないためにブロックされる場合があります。そのような場合に、特定のファイルを例外として許可する設定が用意されています。例外設定では、ダウンロード元のURLパターンやファイルのハッシュ値(SHA256)を許可リストに追加します。この設定は、グループポリシーまたはレジストリを用いて行います。なお、SmartScreenを完全に無効にする方法もありますが、セキュリティリスクが高まるため、本記事では推奨しません。あくまで社内で安全と確認されたファイルのみを許可する例外設定を説明します。

グループポリシーでSmartScreen除外リストを設定する手順

グループポリシーを利用すると、複数の端末に一括で設定を適用できます。ここでは、ローカルグループポリシーエディターを使った手順を説明します。ドメイン環境の場合は、GPOで同様に設定してください。

1. Microsoft Edge管理用テンプレートをダウンロードする
   Microsoftの公式サイトからEdgeのADMXテンプレートをダウンロードします。ダウンロード後、テンプレートをローカルグループポリシーエディターに追加します。
2. ローカルグループポリシーエディターを開く
   キーボードの「Windowsキー+R」でファイル名を指定して実行を開き、「gpedit.msc」と入力してEnterキーを押します。
3. SmartScreenのポリシーを探す
   コンピューター構成 > 管理用テンプレート > Microsoft Edge > SmartScreen設定 の順に展開します。
4. 「SmartScreenで許可するファイルのリスト」を設定する
   「SmartScreenで許可するファイルのリスト」をダブルクリックし、「有効」を選択します。オプション欄に許可するファイルの条件を入力します。
5. 許可リストにファイルの条件を追加する
   条件は、ファイルのダウンロードURLのパターン(例:https://contoso.com/software/*)またはファイルのSHA256ハッシュ値を指定します。1行に1つの条件を入力します。
6. 設定を反映させる
   コマンドプロンプトを管理者として開き、「gpupdate /force」と実行してポリシーを更新します。Edgeを再起動すると設定が反映されます。

レジストリエディターで除外設定を行う手順

グループポリシーを使えない環境では、レジストリを直接編集する方法があります。操作を誤るとシステムに影響を与える可能性があるため、事前にレジストリのバックアップを取得してください。

レジストリのバックアップ手順

1. 「Windowsキー+R」で「regedit」と入力し、レジストリエディターを起動します。
2. メニューの「ファイル」から「エクスポート」を選択し、すべてのファイルを保存します。

除外設定手順

1. ポリシーキーを作成する
   「HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Edge」キーが存在しない場合は作成します。
2. SmartScreenAllowListFilesキーを作成する
   Edgeキーの下に「SmartScreenAllowListFiles」というキー(レジストリキー)を作成します。
3. 文字列値を追加する
   SmartScreenAllowListFilesキー内に、新しい文字列値を作成します。値の名前は任意の連番(例:「1」)とし、値のデータに許可するファイルの条件を入力します。条件はグループポリシーと同様、URLパターンまたはSHA256ハッシュです。
4. 設定を反映させる
   Edgeを再起動するか、コマンドプロンプトで「gpupdate /force」を実行します。レジストリの変更はすぐに反映されます。

設定時の注意点とよくあるトラブル

許可リストの条件が正しく認識されない

URLパターンにワイルドカード(*)を使用できますが、記述が間違っていると適用されません。例えば「https://contoso.com/software/*」のように、末尾に「*」を付ける必要があります。ハッシュ値は大文字小文字を区別しないため、どちらでも構いません。

ポリシーの優先順位に注意する

ドメインGPOとローカルGPOが競合する場合、ドメインGPOが優先されます。レジストリで設定した値は、グループポリシーで上書きされる可能性があります。設定が反映されない場合は、他のポリシーが適用されていないか確認してください。

社内ファイルの更新時に許可リストをメンテナンスする

ファイルのバージョンが変わるとSHA256ハッシュが変化します。そのため、新しいバージョンのファイルを配布するたびに、許可リストに新しいハッシュを追加する必要があります。URLパターンで指定している場合は、ファイル名が変わらなければ再設定は不要です。

SmartScreenを無効化する方法のリスク

SmartScreen全体を無効にするポリシー(SmartScreenEnabled)もありますが、これはすべてのダウンロードチェックを無効にするため、セキュリティリスクが著しく高まります。社内ファイルのみを許可する例外設定を推奨します。

グループポリシーとレジストリ設定の比較

まとめ

本記事では、EdgeのSmartScreenが社内配布ファイルをブロックする問題を解決するために、グループポリシーまたはレジストリを使った例外設定の手順を解説しました。許可リストにダウンロードURLパターンやファイルのSHA256ハッシュを指定することで、安全なファイルのみダウンロード可能になります。スマートScreen全体を無効化するのではなく、アレルギー設定を活用することでセキュリティを維持できます。次に、社内ファイルの更新に合わせて許可リストを定期的に見直すことをおすすめします。