ポリシーによるサイトごとの構成

  • [アーティクル]

この記事では、サイトごとの構成をポリシー別に説明し、ブラウザーがサイトからのページ読み込みを処理する方法について説明します。

意思決定者としてのブラウザー

すべてのページ読み込みの一環として、ブラウザーは多くの決定を下します。 これらの決定の中には、特定の API を使用できるかどうか、リソースの読み込みを許可する必要があるかどうか、スクリプトの実行を許可する必要があるかどうかなどがあります。

ほとんどの場合、ブラウザーの決定は次の入力によって管理されます。

  • ユーザー設定
  • 決定が行われるページの URL

インターネット エクスプローラー Web プラットフォームでは、これらの各決定は URLAction と呼ばれていました。 詳細については、「 URL アクション フラグ」を参照してください。 インターネットの URLAction、エンタープライズ グループ ポリシー、およびユーザー設定は、ブラウザーが各決定を処理する方法を制御コントロール パネル。

Microsoft Edge では、ほとんどのサイトごとのアクセス許可は、制限されたワイルド カード サポートを持つ単純な構文を使用して表される settng とポリシーを使用して制御されます。 Windows セキュリティ ゾーンは、いくつかの構成の決定に引き続き使用されます。

Windows セキュリティ ゾーン

ユーザーまたは管理者の構成を簡略化するために、従来のプラットフォームはサイトを 5 つの異なる Security Zones のいずれかに分類しました。 これらのセキュリティ ゾーンは、ローカル コンピューター、ローカル イントラネット、信頼済み、インターネット、制限付きサイトです。

ページ読み込みの決定を行うとき、ブラウザーは Web サイトをゾーンにマップし、そのゾーンの URLAction の設定を参照して、何を行うかを決定します。 "イントラネットからの認証チャレンジを自動的に満たす" などの適切な既定値は、ほとんどのユーザーが既定の設定を変更する必要がないことを意味します。

ユーザーは、インターネット コントロール パネルを使用して、特定のサイトをゾーンに割り当て、各ゾーンのアクセス許可の結果を構成できます。 管理対象環境では、管理者はグループ ポリシーを使用して特定のサイトをゾーンに割り当て ("Site to Zone Assignment List" ポリシーを使用) し、URLActions の設定をゾーンごとに指定できます。 Zones へのサイトの手動管理またはユーザー割り当て以外に、他のヒューリスティックによって サイトをローカル イントラネット ゾーンに割り当てることができます。 特に、ドットレス ホスト名 (たとえば) http://payrollがイントラネット ゾーンに割り当てられました。 プロキシ構成スクリプトを使用した場合、プロキシをバイパスするように構成されたすべてのサイトがイントラネット ゾーンにマップされます。

WebView1 コントロールとMicrosoft Edge 従来版で使用される EdgeHTML は、インターネット エクスプローラーの前身から Zones アーキテクチャを継承し、いくつかの変更を簡略化しました。

  • Windows の 5 つの組み込みゾーンは、インターネット (インターネット)、信頼済み (イントラネット+信頼済み)、ローカル コンピューターの 3 つに折りたたまれていました。 制限付きサイト ゾーンは削除されました。
  • ゾーンから URLAction へのマッピングはブラウザーにハードコードされ、インターネット コントロール パネルのグループ ポリシーと設定は無視されます。

Microsoft Edge でのサイトごとのアクセス許可

Microsoft Edge では、Windows セキュリティ ゾーンを限定的に使用します。 代わりに、 ポリシー を使用してサイトごとの構成を管理者に提供するほとんどのアクセス許可と機能は、 URL フィルター形式のルールの一覧に依存します。

エンド ユーザーが のような edge://settings/content/siteDetails?site=https://example.com設定ページを開くと、さまざまなアクセス許可の構成スイッチとリストの長いリストが見つかります。 ユーザーが設定ページを直接使用することはめったにありません。代わりに、 ページ情報 のドロップダウンでさまざまなウィジェットとトグルを参照したり使用したりしながら選択を行います。 この一覧は、アドレス バーでロック アイコンを選択すると表示されます。 また、アドレス バーの右端にあるさまざまなプロンプトまたはボタンを使用することもできます。 次のスクリーンショットは、ページ情報の例を示しています。

ブラウザーの現在のページのページ情報と設定。

企業は、グループ ポリシーを使用して、ブラウザーの動作を制御する個々のポリシーのサイト リストを設定できます。 これらのポリシーを見つけるには、Microsoft Edge グループ ポリシー ドキュメントを開き、"ForUrls" を検索して、読み込まれたサイトの URL に基づいて動作を許可およびブロックするポリシーを見つけます。 関連する設定のほとんどは、[コンテンツ設定のグループ ポリシー] セクションに一覧表示されます。

また、特定の設定の既定の動作を制御するポリシー (名前に "Default" が含まれている) も多数あります。

設定の多くは不明瞭 (WebSerial、WebMIDI) であり、多くの場合、設定を既定値から変更する理由はありません。

Microsoft Edge のセキュリティ ゾーン

Microsoft Edge は URL フィルター形式を使用する個々のポリシーに主に依存していますが、いくつかのケースでは、既定で Windows のセキュリティ ゾーンが引き続き使用されます。 この方法により、これまで Zones 構成に依存していたエンタープライズでのデプロイが簡略化されます。

ゾーン ポリシーは、次の動作を制御します。

  • Windows 統合認証 (Kerberos または NTLM) の資格情報を自動的にリリースするかどうかを決定する。
  • ファイルのダウンロードを処理する方法を決定する。
  • インターネット エクスプローラー モードの場合。

資格情報のリリース

既定では、Microsoft Edge は、Windows 統合認証が自動的に使用されるかどうか、またはユーザーに手動認証プロンプトが表示されるかどうかを判断するように評価 URLACTION_CREDENTIALS_USE されます。 AuthServerAllowlist サイト リスト ポリシーを構成すると、ゾーン ポリシーが参照されなくなります。

ファイルのダウンロード

ファイルダウンロードの配信元に関する証拠 ("Web のマーク" とも呼ばれます) は、インターネット ゾーンからダウンロードされたファイルに対して記録されます。 Windows Shell や Microsoft Office などの他のアプリケーションでは、ファイルの処理方法を決定するときに、この配信元の証拠を考慮に入れる場合があります。

アプリケーションを起動するための設定を無効にし、安全でないファイルをダウンロードするようにWindows セキュリティ ゾーン ポリシーが構成されている場合、Microsoft Edge のダウンロード マネージャーは、そのゾーン内のサイトからのファイルのダウンロードをブロックします。 ユーザーには、"ダウンロードできませんでした – ブロックされました" というメモが表示されます。

IE モード

IE モードでは、 すべてのイントラネット サイトを IE モードで開くように構成できます。 この構成を使用する場合、MICROSOFT Edge は、IE モードで開く必要があるかどうかを判断するときに、URL のゾーンを評価します。 この最初の決定に加えて、IE モード のタブではインターネット エクスプローラーが実際に実行されており、その結果、インターネット エクスプローラーと同様に、すべてのポリシーの決定に対して Zones 設定が評価されます。

要約

ほとんどの場合、Microsoft Edge の設定は既定値のままにしておくことができます。 すべてのサイトまたは特定のサイトの既定値を変更する管理者は、適切なグループ ポリシーを使用してサイト一覧または既定の動作を指定できます。 資格情報のリリース、ファイルのダウンロード、IE モードなど、いくつかのケースでは、管理者は引き続き Windows セキュリティ Zones 設定を構成して動作を制御します。

よく寄せられる質問

URL フィルター形式はサイトの IP アドレスと一致しますか?

いいえ。この形式では、許可リストとブロックリストの IP 範囲の指定はサポートされていません。 個々の IP リテラルの指定がサポートされていますが、このようなルールは、ユーザーが上記のリテラル (たとえば http://127.0.0.1/) を使用してサイトに移動した場合にのみ尊重されます。 ホスト名が使用されている場合 (http://localhost)、ホストの解決済み IP がフィルターにリストされた IP と一致していても、IP リテラル ルールは尊重されません。

URL フィルターはドットレス ホスト名と一致できますか?

いいえ、そうではありません。 各ホスト名 (、https://payrollhttps://stockhttps://who、など) を一覧表示する必要があります。

ホスト名が次の形式になるようにイントラネットを構成するのに十分な前向き考えだった場合は、ベスト プラクティスを実装しました。

  • https://payroll.contoso-intranet.com

  • https://timecard.contoso-intranet.com

  • https://sharepoint.contoso-intranet.com

上記のシナリオでは、*.contoso-intranet.com エントリを使用して各ポリシーを構成でき、イントラネット全体がオプトインされます。

関連項目