📝

IntuneでEdge以外のブラウザの起動を制限する方法について

に公開
Windows
Intune
tech

近年 AI ブラウザの出現などによって、IT 管理者の目が行き届かないブラウザを利用することによる情報漏洩のリスクが高まっております。Microsoft Intune の利用を前提として、Edge for Business 以外の主要なブラウザの起動を制限する方法について検証した結果をお伝えします。

前提条件

  • Windows 11 25H2
  • Microsoft 365 E5
  • Microsoft Entra ID に参加済み、かつ Intune に登録済みの端末

手順１：Microsoft 365 管理センターからポリシーを設定する

  1. Microsoft 365 管理センター内の [設定] - [Microsoft Edge] - [構成ポリシー] からポリシーを作成します。
    Edge ポリシーの作成画面
  2. [カスタマイズ設定] タブ内の、[セキュリティ設定] において、[Purview のブラウザー内保護が適用されないブラウザーでのクラウド アプリの使用をブロックする] をオンにします。
    Edge ポリシーのセキュリティ設定の画面
  3. Intune のデバイス構成ポリシーにおいて、自動で設定が追加されます。
    設定直後の Intune のデバイス構成ポリシーの画面

注意点

ポリシーの割り当て先として設定したグループに対して上記ポリシーが適用されるので、検証時はテスト用のセキュリティグループを作成することを推奨します。

作成されるポリシーの詳細な内容

手順１の設定を加えると以下のようなポリシーが設定されます。

1. exe ファイルの起動を制限するポリシー

  • Firefox: Mozilla Corporation の全バージョン（2つの異なる署名に対応）
  • Opera / Opera GX: Opera Norway AS の全製品
  • Brave: Brave Software, Inc. のブラウザとアップデーター
  • Vivaldi: Vivaldi Technologies AS のブラウザとインストーラー
  • Tor Browser: The Tor Project, Inc. の匿名ブラウザ
  • Yandex: Yandex LLC のブラウザ
  • その他: 中国製ブラウザ（360安全浏览器、UC Browser）など
XMLファイルの内容
<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in OPERA GX INSTALLER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA GX INSTALLER" BinaryName="">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="OPERA INTERNET BROWSER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA INTERNET BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX, from O=MOZILLA CORPORATION, L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
       <Conditions>
           <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="*">
               <BinaryVersionRange LowSection="*" HighSection="*" />
           </FilePublisherCondition>
       </Conditions>
   </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX, from O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in OPERA GX INTERNET BROWSER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA GX INTERNET BROWSER" BinaryName="">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="BRAVE BROWSER, from O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="BRAVE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="OPERA INSTALLER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA INSTALLER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="360安全浏览器¨, from O=BEIJING QIHU TECHNOLOGY CO., LTD., L=BEIJING, S=BEIJING, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BEIJING QIHU TECHNOLOGY CO., LTD., L=BEIJING, S=BEIJING, C=CN" ProductName="360安全浏览器¨" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="GOOGLEUPDATESETUP.EXE, in GOOGLE UPDATE, from O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="GOOGLE UPDATE" BinaryName="GOOGLEUPDATESETUP.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX.EXE, in FIREFOX, from O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="FIREFOX.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="VIVALDI, from O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" ProductName="VIVALDI" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="VIVALDI INSTALLER, from O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" ProductName="VIVALDI INSTALLER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in TOR BROWSER, from O=THE TOR PROJECT, INC., L=WINCHESTER, S=NEW HAMPSHIRE, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=THE TOR PROJECT, INC., L=WINCHESTER, S=NEW HAMPSHIRE, C=US" ProductName="TOR BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="PUFFINSECUREBROWSER, from O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" ProductName="PUFFINSECUREBROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="360安全浏览器¨, from O=BEIJING QIHU TECHNOLOGY CO., LTD., S=BEIJING, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BEIJING QIHU TECHNOLOGY CO., LTD., S=BEIJING, C=CN" ProductName="360安全浏览器¨" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="BRAVESOFTWARE UPDATE, from O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="BRAVESOFTWARE UPDATE" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="PUFFIN SECURE BROWSER, from O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" ProductName="PUFFIN SECURE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="YANDEX, from O=YANDEX LLC, L=MOSCOW, S=MOSCOW, C=RU" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=YANDEX LLC, L=MOSCOW, S=MOSCOW, C=RU" ProductName="YANDEX" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files located in the Program Files folder" Description="Allows members of the Everyone group to run applications that are located in the Program Files folder." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="%PROGRAMFILES%\*" />
    </Conditions>
  </FilePathRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files located in the Windows folder" Description="Allows members of the Everyone group to run applications that are located in the Windows folder." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="%WINDIR%\*" />
    </Conditions>
  </FilePathRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files" Description="Allows members of the Everyone group to run all applications." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="*" />
    </Conditions>
  </FilePathRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="UC BROWSER, from O=TAOBAO (CHINA) SOFTWARE CO.,LTD., L=HANGZHOU, S=ZHEJIANG, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=TAOBAO (CHINA) SOFTWARE CO.,LTD., L=HANGZHOU, S=ZHEJIANG, C=CN" ProductName="UC BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVEBROWSER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVEBROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVEBROWSER INSTALLER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVEBROWSER INSTALLER" BinaryName="*">
	<BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVESOR SWUPDATER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVESOR SWUPDATER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVE BROWSER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>

Store App の起動を制限するポリシー

Microsoft Store 経由でインストールされるブラウザアプリを制限します。

主な制限対象
  • Mozilla Firefox (Store版)
  • DuckDuckGo Private Browser
  • 各種マイナーブラウザ（10種類以上）
XML ファイルの内容
<RuleCollection Type="Appx" EnforcementMode="Enabled">
<FilePublisherRule Id="*******-****-****-****-***********" Name="24052cubeof11.ReluctantWebBrowser, from cubeof11" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=22BAF22C-B18E-47D6-88FB-D5974752F343" ProductName="24052cubeof11.ReluctantWebBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="16939CMDevelopers.ChromeeLite, from CM Developers" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=48DEE1E3-6D5F-499E-94CF-7E30B10FFC30" ProductName="16939CMDevelopers.ChromeeLite" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="6382CoalaApps.ChromosomeXSearch, from Coala Apps" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=F854BC6F-3937-4F2A-A22A-168855608793" ProductName="6382CoalaApps.ChromosomeXSearch" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="56869Yu-weiz.NextExplorer, from Yu-weiz" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=DD6BF031-5E0B-4EE9-8D35-879A628BD278" ProductName="56869Yu-weiz.NextExplorer" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="Mozilla.Firefox, from Mozilla" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=082E9164-EE6C-4EC8-B62C-441FAE7BEFA1" ProductName="Mozilla.Firefox" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="54317MosheNahari.ClientforWhatsapp, from Siduron Apps" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=3A19D3E3-3D60-4138-9B1F-764CD890DF7C" ProductName="54317MosheNahari.ClientforWhatsapp" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="51675URK96.SEdgeBrowser, from URK96" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=558FBEBE-C1DE-4502-AFA1-2ACF1A20C1EE" ProductName="51675URK96.SEdgeBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="60516PlexiLabs.LoboBrowser, from XAOS Interactive" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=5310D85C-70AB-4A10-A106-5F919AB6CE5C" ProductName="60516PlexiLabs.LoboBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="45740OneNow.KrakenTabBrowser, from OneNow" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=F718D461-F83F-41E7-BD6C-F74C21E77E42" ProductName="45740OneNow.KrakenTabBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="60191FreshJuice.PhoenixSearch, from FreshJuice" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=9D28CE35-8541-4B9D-A3FD-D3BB9DA54AE3" ProductName="60191FreshJuice.PhoenixSearch" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="(Default Rule) All signed packaged apps" Description="Allows members of the Everyone group to run packaged apps that are signed." UserOrGroupSid="S-1-1-0" Action="Allow">
<Conditions>
<FilePublisherCondition PublisherName="*" ProductName="*" BinaryName="*">
<BinaryVersionRange LowSection="0.0.0.0" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="7756HardAtWork.SimpleExplorer10, from Carlos Rafael Ramirez" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=4F7A24A2-EB07-469A-A810-EE2D901CDD37" ProductName="7756HardAtWork.SimpleExplorer10" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="6727MontyInc.ChromaticBrowser, from Monty Inc." Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=4987CCC1-D52D-4392-9493-B98F05580569" ProductName="6727MontyInc.ChromaticBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="DuckDuckGo.DesktopBrowser, from DuckDuckGo" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=F14F62D4-5A91-4453-B59C-918574ACB5C3" ProductName="63909DuckDuckGoInc.DuckDuckGoPrivateBrowser" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
<FilePublisherRule Id="*******-****-****-****-***********" Name="GiftCardBal.WebMacroBot, from Aifen App" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
<Conditions>
<FilePublisherCondition PublisherName="CN=CAF32E86-4D61-487F-B9B1-3DFD714E3B2E" ProductName="GiftCardBal.WebMacroBot" BinaryName="*">
<BinaryVersionRange LowSection="*" HighSection="*"/>
</FilePublisherCondition>
</Conditions>
</FilePublisherRule>
</RuleCollection>

アクセス拒否を行う URL のリスト

Google Chrome の起動を制限することはできない。

実際に上記のポリシーを適用してみたが、Google Chrome の起動を制限することはできませんでした。理由は上記ポリシーに Google Chrome の起動を制限するようなポリシーが含まれていなかったためです。そこで、上記 AppLocker のポリシーの exe ファイルの起動を制限するポリシーを Google Chrome の起動を制限するようなポリシーを設定した以下のルールに修正して適用しようと思います。

修正したポリシー

<RuleCollection Type="Exe" EnforcementMode="Enabled">
  <FilePublisherRule Id="*******-****-****-****-***********" Name="CHROME.EXE, in GOOGLE CHROME, from O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="GOOGLE CHROME" BinaryName="CHROME.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in OPERA GX INSTALLER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA GX INSTALLER" BinaryName="">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="OPERA INTERNET BROWSER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA INTERNET BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX, from O=MOZILLA CORPORATION, L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
      <Conditions>
          <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="*">
              <BinaryVersionRange LowSection="*" HighSection="*" />
          </FilePublisherCondition>
      </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX, from O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in OPERA GX INTERNET BROWSER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA GX INTERNET BROWSER" BinaryName="">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="BRAVE BROWSER, from O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="BRAVE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="OPERA INSTALLER, from O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=OPERA NORWAY AS, L=OSLO, S=OSLO, C=NO" ProductName="OPERA INSTALLER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="360安全浏览器¨, from O=BEIJING QIHU TECHNOLOGY CO., LTD., L=BEIJING, S=BEIJING, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BEIJING QIHU TECHNOLOGY CO., LTD., L=BEIJING, S=BEIJING, C=CN" ProductName="360安全浏览器¨" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="GOOGLEUPDATESETUP.EXE, in GOOGLE UPDATE, from O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=GOOGLE LLC, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="GOOGLE UPDATE" BinaryName="GOOGLEUPDATESETUP.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="FIREFOX.EXE, in FIREFOX, from O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=MOZILLA CORPORATION, L=MOUNTAIN VIEW, S=CALIFORNIA, C=US" ProductName="FIREFOX" BinaryName="FIREFOX.EXE">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="VIVALDI, from O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" ProductName="VIVALDI" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="VIVALDI INSTALLER, from O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=VIVALDI TECHNOLOGIES AS, L=OSLO, S=OSLO, C=NO" ProductName="VIVALDI INSTALLER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="&quot;&quot;, in TOR BROWSER, from O=THE TOR PROJECT, INC., L=WINCHESTER, S=NEW HAMPSHIRE, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=THE TOR PROJECT, INC., L=WINCHESTER, S=NEW HAMPSHIRE, C=US" ProductName="TOR BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="PUFFINSECUREBROWSER, from O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" ProductName="PUFFINSECUREBROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="360安全浏览器, from O=BEIJING QIHU TECHNOLOGY CO., LTD., S=BEIJING, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BEIJING QIHU TECHNOLOGY CO., LTD., S=BEIJING, C=CN" ProductName="360安全浏览器" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="BRAVESOFTWARE UPDATE, from O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=BRAVE SOFTWARE, INC., L=SAN FRANCISCO, S=CALIFORNIA, C=US" ProductName="BRAVESOFTWARE UPDATE" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="PUFFIN SECURE BROWSER, from O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=CLOUDMOSA, INC., L=SARATOGA, S=CALIFORNIA, C=US" ProductName="PUFFIN SECURE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="YANDEX, from O=YANDEX LLC, L=MOSCOW, S=MOSCOW, C=RU" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=YANDEX LLC, L=MOSCOW, S=MOSCOW, C=RU" ProductName="YANDEX" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files located in the Program Files folder" Description="Allows members of the Everyone group to run applications that are located in the Program Files folder." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="%PROGRAMFILES%\*" />
    </Conditions>
  </FilePathRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files located in the Windows folder" Description="Allows members of the Everyone group to run applications that are located in the Windows folder." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="%WINDIR%\*" />
    </Conditions>
  </FilePathRule>
  <FilePathRule Id="*******-****-****-****-***********" Name="(Default Rule) All files" Description="Allows members of the Everyone group to run all applications." UserOrGroupSid="S-1-1-0" Action="Allow">
    <Conditions>
      <FilePathCondition Path="*" />
    </Conditions>
  </FilePathRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="UC BROWSER, from O=TAOBAO (CHINA) SOFTWARE CO.,LTD., L=HANGZHOU, S=ZHEJIANG, C=CN" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=TAOBAO (CHINA) SOFTWARE CO.,LTD., L=HANGZHOU, S=ZHEJIANG, C=CN" ProductName="UC BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVEBROWSER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVEBROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVEBROWSER INSTALLER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVEBROWSER INSTALLER" BinaryName="*">
	<BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVESOR SWUPDATER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVESOR SWUPDATER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
  <FilePublisherRule Id="*******-****-****-****-***********" Name="WAVE BROWSER signed by O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" Description="" UserOrGroupSid="S-1-1-0" Action="Deny">
    <Conditions>
      <FilePublisherCondition PublisherName="O=WAVESOR SOFTWARE (EIGHTPOINT TECHNOLOGIES LTD. SEZC), L=GEORGE TOWN, C=KY" ProductName="WAVE BROWSER" BinaryName="*">
        <BinaryVersionRange LowSection="*" HighSection="*" />
      </FilePublisherCondition>
    </Conditions>
  </FilePublisherRule>
</RuleCollection>

手順 2-1：Intune 管理センターから AppLocker ポリシーの内容を修正して適用する(失敗)

まずは、安直に Intune 管理センターから当該 AppLocker ポリシーを修正して適用しようとしたところ、以下のような 「このエントリはすでにテーブルに含まれています」 というエラーが出て先に進むことができませんでした。

エラー画面

上記エラーは一つのポリシー内に同じ OMA-URI の設定を適用しようとした際に発生するエラーのようですが、今回の修正の場合もなぜかエラーとなってしまうようです。

手順 2-2：既存のポリシーの設定を削除して、新しく Google Chrome を加えたポリシーを設定する

手順2-1のエラーを回避するため、既存ポリシーから該当設定を削除し、新規ポリシーとして追加します。

  1. Microsoft Intune管理センターで、手順1で作成されたポリシー（デバイス > 構成ポリシー > 他の非準拠ブラウザーをブロックするアンマネージド AI アプリ用の Edge ポリシー）を開きます。
    Intune 構成ポリシーの画面
    2.¥[構成設定] 内の [編集] ボタンをクリックします。
    既存の構成ポリシーの編集画面
    3.以下のOMA-URIの行を選択し、削除します

    OMA-URI: ./Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/MicrosoftEdgeManagement1/EXE/Policy
    既存の構成ポリシーの OMA-URI の削除画面
    4.[デバイス] - [構成] から構成プロファイルの一覧を表示した状態で、作成 > 新しいポリシーと選択します。
    新ポリシーの作成画面
    5.プラットフォームとプロファイルの種類については以下の通りに選択します。

  • プラットフォーム: Windows 10 以降
  • プロファイルの種類: テンプレート
  • テンプレート名: カスタム
    プロファイルの種類の選択画面
  1. [OMA-URI の設定] において、以下の通りに設定します。
  • 名前: <任意の名前>
  • 説明: <任意の説明>
  • OMA-URI: /Vendor/MSFT/AppLocker/ApplicationLaunchRestrictions/MicrosoftEdgeManagement1/EXE/Policy`
  • データ型: 文字列(XML ファイル)
  • カスタムXML: [修正したポリシー] の内容
  1. 手順1で使用したテストグループと同じグループに割り当てて保存します。

実機による動作確認

上記の設定を適用した端末では、Google Chrome を起動しようとしたところ、以下の通りに制限することができました。
Chrome を開いたときの画面

セキュリティ上の注意事項

このポリシーで防げないケース

  1. ポータブル版ブラウザ: USB メモリなどから実行するポータブル版は、デジタル署名が異なる場合があり、このポリシーでは制限できない可能性があります。

  2. 管理者権限での実行: ローカル管理者権限を持つユーザーは、AppLocker ポリシーを無効化できます。ローカル管理者権限の付与には十分注意してください。

  3. WSL/仮想環境: Windows Subsystem for Linux (WSL) や仮想マシン内で動作するブラウザは、この制限の対象外です。

  4. 新しいブラウザ: Arc、Sidekickなど新興ブラウザは、ポリシーに含まれていない場合があります。

まとめ

本記事では、Microsoft Intuneを使用してMicrosoft Edge以外のブラウザの起動を制限する方法を解説しました。

要点:

  • Microsoft 365管理センターから自動生成されるAppLockerポリシーでは、主要ブラウザ（Firefox、Opera、Braveなど）は制限できる
  • Google Chromeは標準ポリシーに含まれないため、手動でルールを追加する必要がある
  • Intune管理センターでの直接編集はエラーになるため、ポリシー分割による対応が必要
  • ポータブル版ブラウザや新興ブラウザには別途対策が必要

参考

Discussion