Office ドキュメントでアクティブなコンテンツを管理する

Office ドキュメントは、 アクティブなコンテンツが含まれているときに自動的に更新、更新、または実行できます。 アクティブなコンテンツの例としては、マクロ、ActiveX コントロール、Office アドインなどがあります。アクティブ なコンテンツは、ユーザーに強力で便利な機能を提供できますが、攻撃者はアクティブなコンテンツを使用してマルウェアを配信することもできます。

管理者は、アクティブなコンテンツの使用を特定のユーザー セットに制限する、またはアクティブなコンテンツを完全に無効にする、organization ポリシー (グループ ポリシーまたはクラウド ポリシー) を作成できます。 ユーザーは、Officeアプリの Office セキュリティ センターのファイル オプションセキュリティ センターで、独自のセキュリティとプライバシーの設定を>>構成できます。

以前は、ユーザーがドキュメントを信頼できるドキュメントとして識別した場合、管理者が Office ドキュメントのアクティブなコンテンツをブロックするようにポリシーを構成した場合でも、その選択によってアクティブなコンテンツの実行が許可されます。 これで、管理者によって設定されたポリシーが、信頼されたドキュメントのユーザー識別よりも優先されます。 この動作の変更により、ユーザーに問題が発生する可能性があります。

更新されたセキュリティ センター ロジックを次の図に示します。

1. ユーザーは、アクティブなコンテンツを含む Office ドキュメントを開きます。

2. ドキュメントが信頼できる場所にある場合は、アクティブなコンテンツが有効になっている状態でドキュメントが開きます。 ドキュメントが信頼できる場所からでない場合、評価は続行されます。

3. ここでは、更新された動作が有効になります。

   • 以前は、次に評価される設定は、ユーザーがこのドキュメントを信頼できるドキュメントとして識別した場合でした。 その場合、アクティブなコンテンツが有効になっている状態でドキュメントが開きます。

   • これで、ユーザーがドキュメントを信頼済みドキュメントとして識別したかどうかにかかわらず、ここでは考慮されません (手順 8 以降)。

     動作の基本的な変更は、信頼されたドキュメントのユーザー指定が考慮される 前に 、クラウド ポリシー (手順 4)、グループ ポリシー (手順 6)、ローカル設定 (手順 7) がチェックされます。 これらのステップのいずれかがアクティブなコンテンツへのアクセスをブロック し、 どのステップもユーザーのオーバーライドを許可しない場合、信頼されたドキュメントとしてのドキュメントのユーザー識別は無関係です。

4. クラウド ポリシーは、この種類のアクティブなコンテンツが許可またはブロックされているかどうかを確認するためにチェックされます。 アクティブなコンテンツがブロックされていない場合、評価は手順 6 に進みます。

   アクティブなコンテンツがポリシーによってブロックされている場合は、手順 5 でエクスペリエンスについて説明します。

5. ドキュメントの開きがブロックされ、信頼バーに通知が表示されます。 次に何が起こるかは、ポリシーのユーザーオーバーライド設定によって制御されます。 ユーザーオーバーライドが許可されていません: ユーザーはドキュメントを開けず、評価は停止します。 b. ユーザーのオーバーライドが許可されている: ユーザーは、信頼バーのリンクをクリックして、アクティブなコンテンツが有効になっているドキュメントを開くことができます。

6. グループ ポリシーは、この種類のアクティブなコンテンツが許可またはブロックされているかどうかを確認するためにチェックされます。 アクティブなコンテンツがブロックされていない場合、評価は手順 7 に進みます。

   アクティブなコンテンツがポリシーによってブロックされている場合は、手順 5 でエクスペリエンスについて説明します。

7. この種類のアクティブなコンテンツが許可またはブロックされているかどうかを確認するために、ローカル設定がチェックされます。 アクティブなコンテンツがブロックされている場合は、信頼バーに通知が表示され、ドキュメントの開きがブロックされます。 アクティブなコンテンツがブロックされていない場合、評価は続行されます。

8. ユーザーが以前にドキュメントを信頼済みドキュメントとして識別した場合、アクティブなコンテンツが有効になっている状態でドキュメントが開かれます。 存在しない場合、ドキュメントの開き方はブロックされます。

信頼できるドキュメントとは

信頼されたドキュメントは、ドキュメント内のマクロ、ActiveX コントロール、およびその他の種類のアクティブ なコンテンツに対するセキュリティ プロンプトなしで開く Office ドキュメントです。 保護されたビューまたはApplication Guardは、ドキュメントを開くために使用されません。 ユーザーが信頼できるドキュメントを開き、すべてのアクティブなコンテンツが有効になっている場合。 ドキュメントに新しいアクティブなコンテンツや既存のアクティブ なコンテンツの更新プログラムが含まれている場合でも、次回ドキュメントを開くと、ユーザーはセキュリティ プロンプトを受け取りません。

この動作により、ユーザーはドキュメント ソースを信頼する場合にのみ、ドキュメントを明確に信頼する必要があります。

管理者がポリシーを使用してアクティブなコンテンツをブロックする場合、またはユーザーがアクティブなコンテンツをブロックするセキュリティ センター設定を設定した場合、アクティブなコンテンツはブロックされたままになります。

詳細については、次の記事を参照してください。

• 信頼できるドキュメント
• 信頼できる場所を追加、削除、または変更する
• ファイル内のアクティブなコンテンツ タイプ

Office ポリシーで信頼できるドキュメント設定を構成する

管理者は、organizationで Office を構成するさまざまな方法があります。 例:

• Office クラウド ポリシー サービス: Microsoft Entra アカウントを使用して Office アプリ内のファイルにアクセスするすべてのデバイスのユーザーに適用されるユーザー ベースのポリシーを設定します。 Office クラウド ポリシー サービスで Office クラウド ポリシー構成を作成する手順を参照してください。
• Intune の Office ポリシー: Intune 設定カタログまたは管理用テンプレートを使用して、PC をWindows 10する HKCU ポリシーを展開します。Intune 管理センターの [デバイス>構成プロファイル] の下にあります。
  • 管理用テンプレート: Windows 10 テンプレートを使用して管理用テンプレートを構成する手順を参照してください。
  • 設定カタログ (プレビュー): 設定カタログを使用する手順を参照してください。
• グループ ポリシー: オンプレミスの Active Directoryを使用して、グループ ポリシー オブジェクト (GPO) をユーザーとコンピューターに展開します。 この設定の GPO を作成するには、Microsoft 365 Apps for enterprise、Office 2019、Office 2016 用の最新の管理用テンプレート ファイル (ADMX/ADML) と Office カスタマイズ ツールをダウンロードします。

既知の問題

• ポリシー VBA マクロ通知 (Access、PowerPoint、Visio、Word) またはマクロ通知 (Excel) の値 [デジタル署名されたマクロを除くすべて無効にする] に設定されている場合、想定される信頼バーは表示されず、バックステージのセキュリティ情報には、設定が期待どおりに機能していても、ブロックされているマクロの詳細は一覧表示されません。 Office チームはこの問題の解決に取り組んでいます。

アクティブなコンテンツを制限するための管理 オプション

内部で作成されたコンテンツに対する信頼のレベルと、ユーザーがインターネットからダウンロードするコンテンツには大きな違いがあります。 内部ドキュメントでアクティブなコンテンツを許可し、インターネットからのドキュメント内のアクティブ なコンテンツをグローバルに許可しないことを検討してください。

ユーザーが特定の種類のアクティブ なコンテンツを必要としない場合、最も安全なオプションは、ポリシーを使用して、そのアクティブなコンテンツへのユーザー アクセスをオフにし、必要に応じて例外を許可することです。

次のポリシーを使用できます。

• 信頼できる場所: 使用可能なグループの例外をオフにします。
• 信頼できるドキュメントをオフにする: 使用可能なグループの例外。
• アクティブなコンテンツをすべてオフにする: 個人の例外。

次のセクションの表では、アクティブなコンテンツを制御する設定について説明します。 これらのポリシーは、ユーザーに適用されている場合、信頼されたドキュメントに適用され、以前のエンド ユーザー エクスペリエンスが同じでない可能性があります。 テーブルには、推奨されるセキュリティ ベースライン設定も含まれており、オーバーライドするユーザー プロンプトが使用できるその他の設定を特定します (ユーザーがアクティブなコンテンツを有効にすることができます)。

HKEY_CURRENT_USER設定

HKEY_LOCAL_MACHINE設定