【Edge】Cookieの「SameSite=Lax」強制でEdgeのSSOが切れる時の互換性フラグ設定手順

Microsoft EdgeでWebサイトのシングルサインオン(SSO)が突然使えなくなり、ログインが繰り返し求められる現象に遭遇したことはありませんか。この問題の多くは、Edgeが2020年以降に強制した「SameSite=Lax」というCookieのセキュリティルールが原因です。このルールはサードパーティCookieを制限するため、SSOのように複数のドメイン間で認証情報をやり取りする仕組みが正常に動作しなくなることがあります。本記事では、Edgeの互換性フラグ(edge://flags)を設定して、SSOを再び有効にする手順を詳しく解説します。

SameSite=Lax強制でSSOが切れる仕組み

CookieのSameSite属性は、外部サイトからのリクエスト時にCookieを送信するかどうかを制御するセキュリティ機能です。「Lax」は、トップレベルナビゲーション(リンククリックなど)のみCookieを送信し、画像やiframeなどのサブリソースリクエストでは送信しません。Edgeはバージョン80以降、デフォルトでSameSite=Laxを適用し、さらに「SameSite=None」のCookieにはSecure属性(HTTPS限定)を必須としました。この変更により、SSOプロバイダーが発行する認証Cookieが、別ドメインのアプリケーションからのリクエストで送信されなくなり、セッションが維持できずにログイン画面に戻される現象が発生します。

edge://flagsを用いたSameSite動作の復元手順

以下の手順で、Edgeの実験フラグを変更し、SameSite=Laxの強制を緩和します。変更後はEdgeの再起動が必要です。

1. EdgeのアドレスバーにURLを入力
   アドレスバーに「edge://flags」と入力してEnterキーを押します。実験用設定ページが開きます。
2. SameSite関連フラグを検索
   画面上部の検索ボックスに「SameSite」と入力します。候補として「SameSite by default cookies」と「Cookies without SameSite must be secure」が表示されます。
3. 「SameSite by default cookies」を無効化
   「SameSite by default cookies」の右側にあるプルダウンメニューをクリックし、「Disabled」を選択します。これにより、SameSite属性が設定されていないCookieを従来通り処理します。
4. 「Cookies without SameSite must be secure」も無効化
   同様に、「Cookies without SameSite must be secure」を「Disabled」に設定します。これで、SameSite=NoneでSecure属性がないCookieも受け入れるようになります。
5. Edgeを再起動
   ページ下部に表示される「Relaunch」ボタンをクリックして、Edgeを再起動します。変更が適用され、SSOが正常に動作するかを確認します。

なお、上記フラグは2024年現在のEdge(バージョン120以降)でも利用可能ですが、将来のアップデートで削除される可能性があります。その場合は後述の設定画面による対処を検討してください。

フラグ設定の注意点と代替手段

フラグを有効にしたままだとセキュリティが低下する

「SameSite by default cookies」を無効にすると、CSRF(クロスサイトリクエストフォージェリ)攻撃に対する保護が弱まります。企業の業務システムなど重要情報を扱う環境では、一時的なテスト以外では推奨できません。問題が解決したら必ず「Default」または「Enabled」に戻しましょう。

設定画面でのCookie制限解除も併用できる

edge://settings/content/cookies に移動し、「サードパーティCookieをブロックする」をオフにすると、すべてのサードパーティCookieを許可できます。ただしこの設定はプライバシーを大幅に低下させるため、SSO専用のプロファイルを作成してそのプロファイルだけで有効にするなどの対策が有効です。

フラグが存在しない場合の対処

将来のバージョンでフラグが削除された場合は、レジストリやグループポリシーによる設定変更が必要です。Edgeの管理用テンプレートを利用し、「SameSiteがデフォルトで使用されるCookie」ポリシーを「SameSite=Noneが指定されていないCookieのデフォルトをLaxにしない」に設定します。ただしこの操作はドメイン管理者権限が必要です。

SameSiteフラグ有効時と無効時の動作比較

上記の比較からわかるように、フラグ無効はSSO互換性を優先する反面、セキュリティを犠牲にします。用途に応じて適切な設定を選択してください。

まとめ

Edgeはセキュリティ強化のためSameSite=Laxをデフォルトとしましたが、その影響で一部のSSOシステムが使えなくなることがあります。本記事では、edge://flagsの「SameSite by default cookies」と「Cookies without SameSite must be secure」を無効化することで、古いCookie動作を復元し、SSOを再び利用可能にする手順を解説しました。ただし、この設定はセキュリティを低下させるため、問題が解決した後は速やかに元の状態に戻すことをおすすめします。長期的には、SSOプロバイダー側がSameSite=None; Secureに対応するか、グループポリシーで適切に管理することを検討しましょう。