Box を全体ブロックし、取引先フォルダだけ許可。ログイン URL も要る

クラウドストレージは塞ぎたい。でも、取引先が Box で送ってくるファイルは受け取らないと仕事にならない。

ある設計・解析系の会社（Windows 約20台）で、旧 Web フィルタの代わりに URL 制御を作り直した。要件は「Box は取引先が作った特定のフォルダだけ開ける。それ以外の Box と、ストレージ系サービス全般は開けない」。Intune でブラウザのポリシーを配って実現したが、1回目の検証は不合格だった。原因はログインの URL だった。

▼構成：ブロックは広く、許可は狭く

Defender の URL 制御は、ドメイン単位ならブラウザを問わず効く。だが、URL のパス（フォルダ）単位の許可は Edge でしか効かない。そこで今回は、Intune で Edge と Chrome のブラウザポリシー（URL のブロックリストと許可リスト）を配る方式にした。

設定	中身
ブロック	box.com（Box 全体）
許可	取引先が作った特定フォルダの URL（app.box.com/folder/<ID>）と、サインインに要る URL

ブラウザのポリシーでは、ブロックより許可の方が具体的な URL なら、許可が優先される。だから「Box 全体をブロックし、特定フォルダだけ許可」が書ける。

アカウントについても方針を決めた。Box は共有アカウントにせず、個人のアカウントで使う。共有アカウントのパスワードがメールに平文で書かれていたこともあり、すぐ変更してもらった。

▼1回目の検証は不合格だった

まず1台で検証した。結果はこうだった。

• ▶ Chrome：Box に入れない（ブロックは効いている。OK）
• ▶ Edge：取引先のフォルダの URL を開くと、サインインのあとで止まる（NG）

原因は、サインインの途中で通る app.box.com/login が許可されていなかったことだ。フォルダの URL とアカウント管理の URL は許可していたが、サインインの途中で経由するページはブロックに引っかかっていた。許可リストに app.box.com/login を足して再検証したら、通った。

もう1つ。Microsoft 製品の設定反映は遅い。ポリシーを変えたら、最低1日は空けてから判断する。当日に「効いていない」と判断して設定をいじると、どの変更が効いたのかわからなくなる。また、ポリシーの一部だけを更新する API は受け付けられず、ポリシーを丸ごと置き換える形で更新した。

▼全台展開：除外グループとロールバック

検証が通ったので、全台に展開した。

• ▶ 割り当ては「すべてのデバイス」＋「除外グループ」。新しい PC にも自動で適用される
• ▶ 取引先からファイルを日常的に受け取る役職の PC は、除外グループに入れた。全員に同じ強さの制御をかけない
• ▶ ロールバックは、割り当てを外すか、除外グループに端末を足すだけ。戻し方を先に決めておく

展開のあとは、別の PC でも動作を確認し、Box を使っている人に「許可したフォルダ以外は開けなくなる」と周知する。許可するフォルダが、ほかの利用者の分も足りているかも確認が要る。

▼この方式で制御できないもの

• ▶ ポリシーを配った Edge と Chrome 以外のブラウザ。古いブラウザが残っている PC はこの制御の対象外になる
• ▶ ログインしているアカウントの区別。制御は PC 単位で考える
• ▶ Box 以外のストレージ系サービス。こちらは別にブロックリストを作って展開する（今回はまだ未展開）

▼まとめ

• ▶ 「サービス全体をブロック＋特定フォルダを許可」は、ブラウザのポリシーで書ける
• ▶ サインインの途中で通る URL も許可しないと、ログイン後に止まる
• ▶ 検証は「開けること」と「開けないこと」の両方。反映は1日待つ
• ▶ 全台展開は「すべてのデバイス＋除外グループ」。戻し方を先に決める