はじめに
こんにちは！横浜情報機器株式会社の蜂須賀です。Officeファイルのマクロ感染による組織内の被害は今も後を絶ちません。IntuneとMicrosoft Entra IDを組み合わせた現代のエンドポイント管理では、「設定カタログ」でポリシーを一元配布することにより、ユーザーが「コンテンツの有効化」を押して手動解除してしまうリスクを構造的に排除できます。
本記事では、Intune設定カタログを用いてOffice（Excel・Word・PowerPoint）のマクロブロックポリシーを構築し、3種類の通知パターン（A/B/C）の実際の挙動の違いと、特定フォルダ（C:\TrustedMacrosTest\）のみマクロを許可する「信頼できる場所（Trusted Location）」の設定・動作確認までを一気通貫で検証した結果をお届けします。
1. 前提条件と環境
本記事の検証環境は以下のとおりです。
| 項目 | 内容 |
|---|---|
| MDM | Microsoft Intune（設定カタログ） |
| 対象アプリ | Microsoft Excel・Word・PowerPoint（Microsoft 365） |
| テスト用フォルダ | C:\TrustedMacrosTest\ |
| デジタル署名 | PowerShell New-SelfSignedCertificate で作成したコード署名証明書 |
| ポリシー配布 | Intune → デバイスグループ（テスト用AADグループ） |
事前準備: Intune管理センター（https://intune.microsoft.com）へのアクセス権と、テスト用のWindows 10/11デバイスをAADグループに追加しておいてください。
2. Intuneでのポリシー設定手順
2-1. 設定カタログでポリシーを新規作成
Intune管理センターにログインし、デバイス > 構成 > 作成 > 新しいポリシー を選択します。
- プラットフォーム: Windows 10 以降
- プロファイルの種類: 設定カタログ
ポリシー名を入力し（例: (Test)Office-Macro-block）、 次へ をクリックします。
2-2. 主要設定項目の追加
以下の4つの設定項目を追加・構成します。
① VBA Macro Notification Settings (User)
設定の追加画面で検索ボックスに 「Excel」または「Trust Center」 と入力し、Microsoft Officeのトラストセンター関連の設定を絞り込みます。
インターネットから取得したファイルの制御を行うため、 Block macros from running in Office files from the Internet (User) のチェックボックスを有効化します。
マクロ実行の動作・通知レベルを統一制御するため、 VBA Macro Notification Settings (User) にチェックを入れて設定項目に追加します。
② Trusted Location #1 (User) — パス: C:\TrustedMacrosTest\
例外フォルダ（信頼できる場所）を指定します。このパスに置いたOfficeファイルはポリシー制限下でもマクロが許可されます。
マクロの動作ポリシーを制御する核心設定です。初期検証では Disable all without notification（パターンA）を選択します。
設定値:
C:\TrustedMacrosTest\（末尾のバックスラッシュは必須）
③ Allow mix of policy and user locations (User) — Disabled
Disabled に設定することで、ユーザーが手動でトラストセンターに独自の「信頼できる場所」を追加することを禁止し、管理者定義の例外パスのみに統一します。
④ スコープタグとアサイン
対象デバイスグループを割り当てて 保存 します。
2-3. ⚠️ 重要: Allow sub folders を True に設定すること
Allow sub folders (User) の設定値は、必ず True にすることが不可欠です。
初期状態では
False（サブフォルダ除外）になっていることがあります。Falseのままだと、指定した例外パス（C:\TrustedMacrosTest\）を含むサブフォルダが正常に認識されず、「信頼できる場所」としてのマクロ許可が機能しない不具合が発生します。
| 設定値 | 挙動 |
|---|---|
False（誤設定） |
指定パスのサブフォルダが対象外になり例外が正しく機能しない |
True（正しい設定） |
指定パスとそのサブフォルダすべてにマクロ実行を許可 |
3. 【検証】マクロ制御3パターンの挙動比較
パターン一覧
| パターン | 設定値 | 通知 | ユーザーによる解除 |
|---|---|---|---|
| A | Disable all without notification | 黄色の警告バー | 不可 |
| B | Disable all with notification | 黄色の警告バー | 可能（リスクあり） |
| C | Disable all except digitally signed macros | 警告バー（未署名） | 署名付きは自動許可 |
パターンA: Disable all without notification（通知なしで全ブロック）
設定
VBA Macro Notification Settings を Disable all without notification に設定し保存します。
検証結果
ポリシーが適用されたデバイスでマクロ入りのExcel/WordファイルをC:\TrustedMacrosTest\以外の場所(デスクトップなど)から開くと…
「セキュリティに関する通知」セクションに以下のメッセージが表示されます：
「トラストセンターの設定を確認するか、IT管理者にお問い合わせください」
「コンテンツの有効化」ボタンは表示されず、ユーザーによる手動解除は完全に不可能です。
✅ パターンA 評価: セキュリティ強度は最高。業務上マクロが一切不要な環境や、信頼できる場所以外でのマクロ実行を完全排除したい場合に最適です。
パターンB: Disable all with notification（通知ありでブロック）
設定変更
VBA Macro Notification Settings を Disable all with notification に変更して保存します。
検証結果
Wordファイルを開くと、リボンの下に黄色のセキュリティ警告バーが出現します。
Excel・Word・PowerPoint すべてのアプリで同一の黄色警告バーが表示されます。
Word/Excel/PPT を並べた比較画面（赤枠強調 — 全アプリで「コンテンツの有効化」ボタンが一貫して表示されることを確認）：
⚠️ 「コンテンツの有効化」ボタンが表示される ため、ユーザーが押下するとポリシーのブロックが解除されてマクロが実行されてしまいます。
✅ パターンB 評価: ユーザーへの「通知」はできますが、「コンテンツの有効化」を押せばマクロが実行されます。セキュリティ意識の低いユーザーが存在する環境では過信は禁物です。
パターンC: Disable all except digitally signed macros（署名付きのみ許可）
設定変更
VBA Macro Notification Settings を Disable all except digitally signed macros に変更して保存します。
検証: 未署名ファイルの挙動
未署名のマクロファイルを開くとパターンBと同様に黄色の警告バーが表示されます。
検証: デジタル署名付きマクロの挙動
PowerShell で自己署名証明書（コード署名）を作成します。
# コード署名証明書の作成
$cert = New-SelfSignedCertificate `
-CertStoreLocation Cert:\CurrentUser\My `
-Subject "CN=MacroSignCert" `
-KeyUsage DigitalSignature `
-Type CodeSigningCert
# 証明書をエクスポート（必要に応じて他端末への配布用）
# Export-Certificate -Cert $cert -FilePath "C:\MacroSignCert.cer"
VBE（Visual Basic Editor）で ツール > デジタル署名 を開き、作成した証明書を選択してマクロに署名を付与します。
署名付与後にファイルを開くと…
✅ パターンC 評価: 承認済みのマクロにのみ署名を付与することで「マクロを使いつつ不正マクロはブロック」を両立できます。ただし、証明書の管理・配布運用コストがかかります。
4. 【検証】例外パス（Trusted Location）での動作確認
検証概要
パターンA（通知なし完全ブロック）が有効な状態でも、ポリシーで指定した C:\TrustedMacrosTest\ フォルダ内のファイルであれば例外的にマクロが実行されることを検証します。
検証手順
C:\TrustedMacrosTest\フォルダにマクロ入りの Excel/Word/PPT ファイルを配置する- 同フォルダ内からファイルを開く
検証結果
C:\TrustedMacrosTest\ 内に配置したファイルを開くと、セキュリティ警告バーは一切表示されず、マクロが即座に実行されます。
パターンA のポリシーが適用されていても、指定フォルダ内のファイルは警告なしで動作します。この「信頼できる場所」の仕組みにより、業務上必要なマクロファイルのみを特定のセキュアなフォルダに集約し、それ以外の場所からのマクロ実行を一切禁止する構成が実現できます。
セキュリティのポイント:
C:\TrustedMacrosTest\への書き込み権限を管理者に限定することで、ユーザーが勝手にマクロファイルを例外フォルダに移動してブロックを回避するリスクを防止できます。
5. まとめ
本記事では、Intune設定カタログを使用したOfficeマクロブロックポリシーの構築と、3パターンの通知設定および例外パス（Trusted Location）の動作を一通り検証しました。
推奨設定の構成案
| 要件 | 推奨パターン | 追加設定 |
|---|---|---|
| マクロを業務で一切使わない | パターンA | TrustedLocation 不要 |
| 特定フォルダのみマクロ許可 | パターンA + Trusted Location | Allow sub folders = True 必須 |
| 署名付きマクロのみ許可 | パターンC | 証明書管理・配布運用が必要 |
| ユーザー通知を優先（暫定措置） | パターンB | 「コンテンツの有効化」リスクに注意 |
重要な注意点（検証で判明したこと）
Allow sub folders = Trueは必須:Falseのままだと例外パスが正常認識されません。設定時に必ず確認してください。Allow mix of policy and user locations = Disabled: ユーザーによる手動での信頼できる場所追加を禁止することで、管理者設定に一元化できます。- パターンBの「コンテンツの有効化」リスク: 黄色警告バーが表示されてもユーザーがクリックすればマクロが動作します。セキュリティ意識の高い組織以外では過信は禁物です。
- Trusted Location フォルダへの書き込み制限: 例外フォルダを設けた場合、そのフォルダへの書き込みを管理者に限定するファイルシステム権限の設定も組み合わせて検討してください。
Intuneの設定カタログはポリシーの変更・展開が非常にスムーズで、組織全体のマクロセキュリティポリシーをGUI上で効率的に管理できます。本記事の検証結果を参考に、自組織の業務要件に合ったポリシー設計を進めてみてください。
Intuneの設定カタログを活用したマクロポリシー管理は、一人情シスにとって非常に費用対効果の高いセキュリティ対策です。特に「パターンA + Trusted Location」構成はシンプルながら強固で、YJKでも多くのお客様環境に採用実績があります。ポリシー設計・テスト環境の構築・既存ファイルの整理方法など、導入時のご支援が必要でしたら私たちにお気軽にご相談ください。