グループポリシー(GPO)を使ったWindowsのプロキシ設定の一元管理方法

本記事では、Active Directoryドメイン環境において、グループポリシー(GPO)を利用してWindows 10コンピューターのプロキシ設定を一元的に構成する方法を解説します。Microsoft Edge、Google Chrome、Internet Explorer、Operaといった主要なブラウザや、多くのアプリケーションは、Windowsに設定されたプロキシ設定を自動的に利用してインターネットへアクセスします。また、WindowsのWinHTTPプロキシ設定の構成方法についても併せて紹介します。

ここでは、サポート対象のWindows(Windows 10、8.1、Windows Server 2012/2016/2019)における、グループポリシー経由のプロキシサーバー設定の具体的な手順を見ていきます。なお、サポートが終了したWindows 7/Server 2008 R2やWindows XP/Windows Server 2003では、プロキシ設定の方法が異なる点に注意してください。

GPOでWindowsのプロキシ設定を構成する方法

かつてActive Directoryドメイン環境でInternet Explorerの設定(プロキシ設定を含む)をグループポリシーで一元管理するには、「Internet Explorer Maintenance(IEM)」ポリシーが使用されていました。このポリシーは、ユーザーGPOの「ユーザーの構成 → ポリシー → Windowsの設定 → Internet Explorerのメンテナンス」にありました。しかし、Windows Server 2012/Windows 8以降、IEMポリシーは非推奨となり、最新のWindows 10/Windows Server 2016/2019ではこのセクション自体が存在しません。

最新のWindowsでは、GPOエディターでIEやプロキシ設定を構成するために「グループポリシーの基本設定(GPP: Group Policy Preferences)」を使用する必要があります。また、「Internet Explorer Administration Kit 11(IEAK 11)」の専用拡張機能を使う方法もありますが、実際に利用されることはまれです。

ドメインのGPOエディター(GPMC.msc)を開き、プロキシ設定を適用したいユーザーが含まれるOUを選択して、「このドメインにGPOを作成し、ここにリンクする」で新しいポリシーを作成します。

「ユーザーの構成 → 基本設定 → コントロールパネルの設定 → インターネットの設定」へ移動し、コンテキストメニューから「新規作成」→「Internet Explorer 10」を選択します。

Windows 10/Windows Server 2016でプロキシ設定を構成するには、「Internet Explorer 10」の項目を使用します。

ヒント: Internet Explorer 11専用の項目はありませんが、「Internet Explorer 10」のポリシーはIE 10以降のすべてのバージョンに適用されます。ポリシーファイルInternetSettings.xmlでは、10.0.0.0から99.0.0.0までのすべてのIEバージョンに対して有効と定義されています。

<FilterFile lte="0" max="99.0.0.0" min="10.0.0.0" gte="1" type="VERSION" path="%ProgramFilesDir%\Internet Explorer\iexplore.exe" bool="AND" not="0" hidden="1"/>

すると、Windowsのコントロールパネルの「インターネットオプション」とほぼ同じ構成の、GPP専用のIE設定フォームが表示されます。たとえば、ホームページを指定することもできます(「全般」タブ →「ホームページ」フィールド)。

重要: グループポリシーエディターで変更を保存するだけでは設定は適用されません。Internet Explorer 10の設定項目には赤と緑の下線が付いていることに注目してください。赤い下線はその設定が適用されないことを示します。特定の設定を保存して適用するには、F5キーを押します。緑の下線が付いたパラメーターは、GPP経由で適用されることを意味します。

利用可能なファンクションキーは以下の通りです。

• F5 – 現在のタブのすべての設定を有効化
• F6 – 選択した設定を有効化
• F7 – 選択した設定を無効化
• F8 – 現在のタブのすべての設定を無効化

プロキシ設定を指定するには、「接続」タブに移動して「LANの設定」ボタンをクリックします。プロキシサーバーは次のいずれかの方法で構成できます。

• 設定を自動的に検出する – wpad.datファイルを使用した設定の自動検出
• 自動構成スクリプトを使用する – 自動構成スクリプト(proxy.pac)の利用
• プロキシサーバー – プロキシサーバーのIPアドレスまたはDNS名をポリシー設定に直接指定する方法。これが最も簡単で、本記事ではこの方法を使用します。

「LANにプロキシサーバーを使用する」にチェックを入れ、「アドレス」と「ポート」の各フィールドにプロキシサーバーのIPアドレス/FQDN名と接続ポートを指定します。

「ローカルアドレスにはプロキシサーバーを使用しない」オプションを有効にすると、ローカルリソース(https://localnetwork形式)へのアクセス時に、アプリケーション(ブラウザを含む)がプロキシサーバーを使用しないようにできます。ただし、https://web1.woshub.locやhttps://192.168.1.5のようなリソースアドレスは、Windowsではローカルアドレスとして認識されません。プロキシを経由せずにアクセスしたいこれらのアドレスやその他のリソースは、手動で指定する必要があります。「詳細設定」ボタンを押し、「次で始まるアドレスにはプロキシサーバーを使用しない」フィールドに、10.1.*;192.168.*;*.woshub.loc;*.local.net のような形式で追加します。

ヒント: Google Chromeのプロキシ設定も、専用の管理用テンプレートを使えばGPO経由で構成できます。Mozilla Firefoxについても、同様のソリューションが利用可能です。

ポリシーを保存すると、ドメインコントローラーのポリシーフォルダー内にあるInternetSettings.xmlファイルで、指定したブラウザ設定を確認できます。

\\UKDC1\SYSVOL\woshub.com\Policies\{PolicyGuiID}\User\Preferences\InternetSettings\InternetSettings.xml

GPPでは、「アイテムレベルのターゲット設定(Item Level Targeting)」を使用することで、ポリシーをユーザーやコンピューターに対してより細かく適用できます。「共通」タブに移動し、「アイテムレベルのターゲット設定」オプションを有効にして「ターゲット設定」をクリックします。

表示されたフォームで、ポリシーの適用条件を指定します。例として、プロキシ構成ポリシーを、proxy_usersドメインセキュリティグループのメンバーであるユーザーにのみ適用するように設定しました。プロキシパラメーターの割り当てロジックは、環境に応じて自由に定義できます。

あとは、プロキシポリシーをユーザーが含まれるADコンテナーにリンクし、ポリシー設定を更新します。ユーザーのコンピューターにポリシーが適用されると、新しいIE設定が使用されるようになります。Windows 10の現在のプロキシ設定は、「設定」→「ネットワークとインターネット」→「プロキシ」で確認できます。コンピューターがドメインポリシーで指定されたプロキシ設定を使用していることがわかります。

ユーザーによるプロキシサーバー設定の変更を防止したい場合は、専用の解説記事の手法を参照してください。

レジストリとGPOによるプロキシ設定の構成

さらに、GPPポリシーを使ってレジストリ経由でIE設定を構成することもできます。たとえば、プロキシサーバーを有効にするには、レジストリキー HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings に以下のレジストリパラメーターを設定します。GPOエディターで「ユーザーの構成 → 基本設定 → Windowsの設定 → レジストリ」に移動し、指定したレジストリキーの下に3つのレジストリパラメーターを作成します。

• ProxyEnable(REG_DWORD)= 00000001
• ProxyServer(REG_SZ)= 192.168.0.11:3128
• ProxyOverride(REG_SZ)= https://*.woshub.com;192.168.*;10.1.*;*.contoso.com;<local>

ここでも「アイテムレベルのターゲット設定」を使用すれば、特定のユーザーやデバイスにポリシー設定を絞り込んで適用できます。

プロキシポリシーをユーザー単位ではなくコンピューター全体に対して適用したい場合は、GPOの「コンピューターの構成 → 基本設定 → Windowsの設定 → レジストリ」セクションのGPP設定を使用します。レジストリキー HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\CurrentVersion\Internet Settings の下に、同じレジストリパラメーターを設定します。

GPOでWinHTTPプロキシ設定を変更する

一部のシステムサービスやアプリケーション(たとえば、Windows UpdateサービスのwuauservやPowerShell)は、デフォルトではユーザーのプロキシ設定を使用しません。このようなアプリケーションが正しく動作してインターネットにアクセスできるようにするには、WindowsのWinHTTPプロキシ設定を構成する必要があります。

コンピューターでWinHTTPプロキシが構成されているかどうかを確認するには、次のコマンドを実行します。

netsh winhttp show proxy

「Direct access (no proxy server)」という応答が返ってきた場合は、プロキシが設定されていないことを意味します。

コンピューター上でWinHTTP用のプロキシを手動で設定するには、次のコマンドを使用します。

netsh winhttp set proxy proxy.woshub.com:3128 "localhost;10.1.*;192.168.*;*.woshub.com"

または、ユーザーのInternet Explorer設定からプロキシ設定をインポートすることもできます。

netsh winhttp import proxy source=ie

ただし、WinHTTPはGPO経由では直接構成できません。GPOエディターに対応するパラメーターが存在せず、設定はバイナリ形式のレジストリ属性に保存されているため、直接編集には適していません。

GPO経由でWindowsのWinHTTPプロキシ設定を構成する唯一の方法は、基準となるコンピューター(リファレンスマシン)でWinHTTPプロキシを設定し、レジストリキー HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Connections から WinHttpSettings パラメーターの値をエクスポートし、GPPのレジストリ拡張機能を通じてこのパラメーターをドメイン内のコンピューターに展開することです。