Windows 10で「ファイルを開く – セキュリティ警告」を無効にする完全ガイド

Windowsでローカルドライブやネットワークフォルダから exe、msi、bat、cmd などの実行可能ファイルを実行しようとすると、「ファイルを開く – セキュリティ警告（Open File — Security Warning）」というダイアログが表示されることがあります。プログラムを実行するには、ユーザーが「実行」ボタンをクリックして手動で起動を確認する必要があります。このセキュリティ警告は、インターネットからダウンロードしたアプリケーションファイルや、ネットワーク共有フォルダ・マップドネットワークドライブ上にある実行ファイルを実行した際によく表示されます。

実行ファイルやスクリプト起動時のWindowsセキュリティ警告について

このようなWindowsの動作は、インターネットからダウンロードされた、あるいは信頼できないソースから入手された危険性のある実行ファイルからコンピュータを保護するために設計されています。このセキュリティ警告は、Windows 10、8.1、7を含むすべてのバージョンのWindowsで表示されます。

しかし、タスクスケジューラ、グループポリシーのログオンスクリプト、SCCMスクリプトなどを通じてユーザーのPCにバックグラウンドでプログラムをインストール・実行する場合、問題が発生することがあります。こうしたケースではセキュリティ警告ウィンドウがユーザーセッションに表示されないため、アプリケーションをバッチモードでインストール・実行できなくなるのです。

例えば、共有フォルダからファイルを開いたときのセキュリティ警告は以下のように表示されます。

Open File — Security Warning
発行元を確認できませんでした。このソフトウェアを実行してもよろしいですか？
このファイルの作成者を確認できません。このファイルを実行してもよろしいですか？
このファイルはローカルネットワーク外の場所にあります。認識できない場所からのファイルはPCに損害を与える可能性があります。その場所を信頼できる場合のみ実行してください。

一方、インターネットからダウンロードしたファイルをローカルドライブ（または net use でマウントしたネットワーク共有）から実行した場合は、警告の内容が少し異なります。

Open File — Security Warning
このファイルを実行しますか？
インターネットからのファイルは便利な場合もありますが、この種類のファイルはコンピュータに損害を与える可能性があります。信頼できる発行元のソフトウェアのみ実行してください。

「この種類のファイルで常に警告を表示する」のチェックを外せば、次回からこのファイルを実行してもセキュリティ警告ウィンドウは表示されません。ただし、この方法ではプログラムごとに手動で例外登録を行う必要があります。

本記事では、Windowsで実行ファイルやインストールファイルを実行する際のセキュリティ警告を解除する方法を解説します（すべてのWindowsバージョンに適用可能です）。

注意： 多くの場合、このセキュリティ警告ウィンドウを無効化することは推奨されません。コンピュータのセキュリティが低下するためです。

以下に複数の無効化方法を紹介します。目的に応じて適切な方法を選択してください（場合によっては複数の方法を組み合わせる必要があります）。

ダウンロードしたファイルのセキュリティ警告を無効にする方法

インターネットからダウンロードした実行ファイルには、自動的に「危険性がある（安全でないソースからダウンロードされた）」というマークが付けられます。これはNTFSの代替データストリーム（Alternate Data Streams：ADS）技術によって実装されています。簡単に言えば、ダウンロードされたファイルに自動的に割り当てられる特別な目印のようなものです。このマークを削除するには、ファイルのブロックを解除する必要があります。手順は以下の通りです。

1. 実行ファイルのプロパティを開きます。
2. 全般タブで「許可する（Unblock）」ボタンをクリック、またはチェックボックスにチェックを入れます。ファイルがインターネットからダウンロードされたものである場合、次の警告が表示されます：このファイルは他のコンピューターから取得したものです。コンピューターの保護に役立てるため、このファイルへのアクセスをブロックする可能性があります。
3. 「OK」をクリックして変更を保存します。ファイルのブロック解除後（NTFS代替データストリームが削除された後）は、警告ウィンドウなしで実行できます。

小技： ブラウザ経由でインターネットからダウンロードするファイルにZone.Identifierマークが自動的に付与されるのを防ぎたい場合は、FAT32またはexFAT形式でフォーマットされたドライブにダウンロードファイルを保存しましょう。これらのファイルシステムではNTFS代替データストリームが機能しません。

NTFS代替データストリームの属性 Zone.Identifier は、以下の2つのコマンドでもリセットできます（新しいファイルが作成されます）。

move oldapp.exe > newapp
type newapp > oldapp.exe

Sysinternalsのツールを使うこともできます。

streams.exe

また、PowerShellでファイルのブロックを解除することも可能です。

Unblock-File -Path C:\Downloads\somefile.exe

ブラウザでダウンロードしたファイルに限定して警告を無効にしたい場合は、Zone.Identifier属性の付与設定を無効にします。

• Google Chrome および IE の場合： 次のレジストリ値を作成します。
  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Attachments]
"SaveZoneInformation"=dword:00000001
• Mozilla Firefox の場合： 設定ページ about:config を開き、browser.download.saveZoneInformation の値を false に変更します。

さらに、WindowsではGPOの特別なポリシー「ファイルの添付情報としてゾーン情報を保持しない（Do not preserve zone information in file attachments）」（ユーザーの構成 → 管理用テンプレート → Windows コンポーネント → 添付ファイル マネージャー）を使用して、インターネットからダウンロードしたファイルへのゾーン情報の適用を完全に無効化できます。

ネットワーク共有フォルダからファイルを開く際のセキュリティ警告

UNCパスを使用してネットワーク共有フォルダからプログラムを起動すると、警告ウィンドウが表示されることがあります。この問題は、別のADドメインのリソースにアクセスする場合やIPアドレスでアクセスする場合に、企業ユーザーによく発生します。この場合、最も簡単な解決策は、実行ファイルが格納されているサーバーの名前やIPアドレスをInternet Explorerの設定でローカルイントラネットゾーンに追加し、そのリソースを信頼できるものとして指定することです。手順は以下の通りです。

1. コントロールパネル → インターネット オプション を開きます。
2. セキュリティタブを選択します。
3. ローカル イントラネット → サイト → 詳細設定 を開きます。
4. 次のウィンドウで、サーバーの名前やIPアドレスを追加します。例えば、\\10.0.0.6、\\srv.contoso.com、ローカルコンピュータなら \\127.0.0.1\ などです。ワイルドカード文字も使用できます。例えば、file://192.168.1.* という行を追加すれば、ローカルネットワークのすべてのIPアドレスをローカルイントラネットゾーンに登録できます。

ヒント： これらの設定はレジストリキー HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\ に保存されます。信頼するIPアドレスは Ranges キーに、ホスト名やドメイン名は Domains キーに格納されます。

GPOを使用して、信頼するドメインやホストのIPアドレス・DNS名をローカルイントラネットゾーンに追加することもできます。ローカルグループポリシーエディター（gpedit.msc）またはドメイングループポリシー管理エディター（gpmc.msc)を開き、ポリシー「コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → Internet Explorer → インターネット コントロール パネル → セキュリティ ページ → サイトからゾーンへの割り当て一覧」を有効にします。ポリシー設定では、信頼するホストやドメインを以下の形式で指定します。

• サーバー（ホスト）名（例：file://server_name、\\server_name、server_name または IP）
• ゾーン番号（ローカルイントラネットゾーンの場合は1）

マップドネットワークドライブからプログラムを起動したときにセキュリティ警告が表示される場合は、ドライブ文字（例：U:\）またはUNCパスをローカルイントラネットゾーンに追加してください。

ポリシーの変更を保存し、クライアント側で gpupdate /force コマンドを実行してGPO設定を更新します。これで、指定した共有ネットワークフォルダから実行ファイルを開いても警告は表示されなくなります。

さらに、GPOセクション「ユーザーの構成 → 管理用テンプレート → Windows コンポーネント → Internet Explorer → インターネット コントロール パネル → セキュリティ ページ」で以下の設定を有効にすることもできます。ドメインユーザーにとってはこれが最良の選択肢です。

• イントラネット サイト： 他のゾーンに含まれていないすべてのローカル（イントラネット）サイトを含める
• イントラネット サイト： すべてのネットワーク パス（UNC）を含める
• イントラネットの自動検出を有効にする

AppDataフォルダリダイレクト使用時のセキュリティ警告

プロファイルのローミングシナリオでAppDataフォルダのリダイレクトを使用している場合、プロファイルフォルダ内のアプリケーションショートカットを起動する際に「ファイルを開く – セキュリティ警告」ウィンドウが表示されることがあります。

この場合は、ローミングプロファイルが保存されているサーバー（またはドメイン全体）をIEの信頼済みゾーンに追加する必要があります。

GPOオプション「ユーザーの構成 → ポリシー → 管理用テンプレート → Windows コンポーネント → Internet Explorer → インターネット コントロール パネル → セキュリティ ページ → サイトからゾーンへの割り当て一覧」を使用し、サーバー（ドメイン）名を値1で追加します。

GPOで特定のファイルタイプのセキュリティ警告を無効にする方法

場合によっては、グループポリシーを通じて特定のファイルタイプ（拡張子）に対するセキュリティ警告の表示を完全に無効化するのが有効です。ただし、ユーザーが誤って悪意のあるファイルを実行する可能性があるため、セキュリティ面では決して推奨される方法ではないことを理解しておきましょう。

設定するには、GPOエディターで「ユーザーの構成 → 管理用テンプレート → Windows コンポーネント → 添付ファイル マネージャー」に移動します。

• ポリシー「ファイルの添付情報としてゾーン情報を保持しない」を有効にします。すべてのダウンロードファイルが、すべてのコンピュータで警告なしに実行されるようになります。
• ポリシー「低いファイルの種類の包含リスト」を有効にし、その設定で実行を許可する拡張子のリストを指定します（例：.exe; .vbs; .msi）。Windowsはこれらの拡張子を持つファイルの代替データストリームマークを無視し、警告なしで実行します。
  注： このポリシーは、レジストリパラメータ LowRiskFileTypes に拡張子を追加します：[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Associations]"LowRiskFileTypes"=".exe;.vbs;.msi;.bat;"

ヒント： Windows 10 Home エディションにはローカルグループポリシーエディター（gpedit.msc）がありませんが、インストールする回避策があります。

ポリシーを保存し、対象のOUに割り当て、クライアント側で gpupdate /force コマンドを実行して適用します。

これで、Zone.Identifierストリームの内容に関わらず、指定した拡張子を持つ実行ファイルを開いても警告は表示されなくなります。また、Internet Explorerのプロパティ（セキュリティ → インターネット → レベルのカスタマイズ → その他 → アプリケーションと安全でないファイルの起動）で任意のファイルの実行を許可することもできますが、これは非常にリスクが高い設定です。

GPOオプション「セキュリティ設定の確認機能をオフにする（Turn off the Security Settings Check feature）」（コンピューターの構成 → 管理用テンプレート → Windows コンポーネント → Internet Explorer セクションにあります）を使用すると、安全でないファイルに対する「ファイルを開く – セキュリティ警告」ウィンドウを完全に無効化できます。

また、以下のコマンドを使用して、セキュリティ警告を表示せずに任意のファイルの実行を許可することもできます。

REG ADD "HKLM\SOFTWARE\Policies\Microsoft\Internet Explorer\Security" /V "DisableSecuritySettingsCheck" /T "REG_DWORD" /D "00000001" /F
REG ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /V "1806" /T "REG_DWORD" /D "00000000" /F
REG ADD "HKLM\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3" /V "1806" /T "REG_DWORD" /D "00000000" /F