セキュリティ ツールによる WebView2 アプリのブロックを防ぐ

エンタープライズ IT 管理者とセキュリティ ソフトウェア ベンダーは、セキュリティ ツールが WebView2 アプリの機能をブロックしたり、WebView2 アプリがクラッシュしたりしないように、これらのベスト プラクティスに従う必要があります。 WebView2 のマルチプロセス アーキテクチャの破損を回避するために、これらのプラクティスと手順を使用して環境とセキュリティ ツールを構成します。

詳細な内容:

構成するセキュリティ ツール

適切に構成するセキュリティ ツールには、次のものがあります。

  • ウイルス対策 (AV) ツール。
  • データ損失防止 (DLP) ツール。
  • エンドポイントの検出と対応 (EDR) ツール。

エンタープライズ セキュリティ ツールには、次のものも含まれます。

  • トランスポート層セキュリティ (TLS) 検査。

エンタープライズ構成の問題の症状

エンタープライズ セキュリティ ツールは、以下のベスト プラクティスに従っていない場合、次のような原因で WebView2 のマルチプロセス アーキテクチャを混乱させる可能性があります。

  • 子プロセスをブロックする。
  • フォルダ Access Control リスト (ACL) を強化する。
  • ダイナミック リンク ライブラリ (DLL) の挿入。

このような中断が発生すると、WebView2 でホストされているエクスペリエンスが空白の画面になったり、フリーズしたり、初期化に失敗したりする可能性があります。

詳細:

必要に応じてエンタープライズ セキュリティ ポリシーを更新します

WebView2 は、すべてのエンタープライズ セキュリティ ポリシーを尊重します。

ツールまたはポリシーで一部の WebView2 DLL の読み込みが許可されていない場合、IT 管理はエンタープライズ セキュリティ ポリシーを更新する必要があります。

WebView2 には、アプリ固有のロジックは実装されていません。

WebView2 ランタイムとアプリのホスト実行可能ファイルを許可リストに追加する

WebView2 ランタイム (msedgewebview2.exe) とアプリのホスト実行可能ファイルを許可リストに追加します。

詳細:

パブリッシャー ルールを優先します。

詳細:

ランタイム初期化がブロックされる

問題:

  • E_FAIL などの初期化エラーがある可能性があります。 この場合、WebView2 コントロールは初期化に失敗し、アプリのコンテンツは読み込まれません。

  • 次のいずれかのツールでランタイム初期化がブロックされます。

    • Windows Defender アプリケーション制御 (WDAC)。

    • AppLocker 拒否規則;実行を明示的にブロックするポリシー。

    • 既定の設定を超えて厳しく強化された Access Control Lists (ACL)、つまり OS の既定値よりも制限の厳しいアクセス許可。

現象

  • ERR_CERT_* などのトランスポート層セキュリティ (TLS) エラー。

  • トランスポート層セキュリティ (TLS) 検査が有効な場合に発生するログイン リダイレクトの失敗。

  • 即時初期化エラー。

  • 子プロセスはありません。

  • ビューが空白です。

解決策

WebView2 ランタイム (msedgewebview2.exe) とホスト実行可能ファイルを許可リストに追加します。

詳細:

パブリッシャー ルールを使用します。

詳細:

既定の Access Control Lists (ACL) を復元します。

詳細:

ランタイム フォルダーで既定の Access Control リスト (ACL) を保持する

Windows が WebView2 ランタイム フォルダーに設定する既定の Access Control Lists (ACL) は変更しないでください。

セキュリティ ツールが WebView2 ランタイム フォルダーの ACL を変更すると、これらのサンドボックス プロセスがランタイム バイナリの読み取りと実行に必要なアクセス許可を失う可能性があり、これにより、画面が空白になり、初期化エラー、クラッシュが発生する可能性があります。

詳細:

ランタイム フォルダーで低整合性レベル (LowIL) を保持する

WebView2 ランタイム フォルダーの低整合性レベル (LowIL) 設定を変更しないでください。 WebView2 は、システム リソースへのアクセスを制限するために、低整合性レベルでレンダラー プロセスを実行します。

低整合性レベル プロセス (LowIL) は、WebView2 ランタイム バイナリを読み取って実行できる必要があります。

低整合性レベル (LowIL) は、プロセスがより高い整合性オブジェクト (ほとんどのユーザー プロファイルやシステムの場所など) に書き込む機能を制限する Windows セキュリティ メカニズムです。 WebView2 レンダラー プロセスは、侵害されたプロセスの影響を軽減するために、Low IL で実行されます。

詳細:

アプリのユーザー データ フォルダー (UDF) に既定の Access Control リスト (ACL) を保持する

Windows がアプリのユーザー データ フォルダー (UDF) に設定する既定の Access Control Lists (ACL) は変更しないでください。 これらの ACL を変更すると、LowIL および AppContainer プロセスが正しく機能しなくなる可能性があります。

AppContainer これは、明示的に付与されたリソースのみにプロセスのアクセスを制限する、より制限の厳しい Windows サンドボックスです。 サポートされている OS バージョンでは、WebView2 は、追加の分離のために、 AppContainer内でレンダラー プロセスを実行する場合があります。

LowIL/AppContainerには以下のアクセス許可が必要です。

  • WebView2 ランタイムを読み取って実行します。

  • ユーザー データ フォルダー (UDF) に書き込みます。

WebView2 は、低い整合性レベル (LowIL) または AppContainer サンドボックス内で特定の子プロセスを実行して、システム リソースへのアクセスを制限します。

これらのサンドボックス プロセスは、引き続き次の処理を実行できる必要があります。

  • WebView2 ランタイム バイナリを読み取って実行します。

  • アプリのユーザー データ フォルダー (UDF) に書き込みます。

セキュリティ ツールがアプリのユーザー データ フォルダー (UDF) の Access Control Lists (ACL) を強化すると、サンドボックス プロセスは必要なアクセスを失う可能性があり、空白の画面、初期化の失敗、またはクラッシュが発生する可能性があります。

オペレーティング システム (OS) によって管理されるシステムの場所は、Windows によって完全に処理されるため、変更することはできません。

詳細:

ユーザー データ フォルダー (UDF) への書き込み権限を付与する

WebView2 アプリがユーザー データ フォルダー (UDF) に書き込むことを許可する書き込みアクセス許可を付与します。

UDF へのこれらの書き込みは、次から行うことができます。

  • アプリごとのフォルダー アクセス制御 (CFA) の例外。

  • アプリごとのデータ損失防止 (DLP) の例外。

Web コンテンツの状態は、アプリのユーザー データ フォルダー (UDF) に格納されます。 Web コンテンツ状態には、次のものが含まれます。

  • クッキー。
  • キャッシュ。
  • ローカル ストレージ。

詳細:

サインイン ループ;状態が永続化されない。設定は保持されません。空白の初期ページ

サインイン ループの場合、ユーザー データ フォルダー (UDF) への書き込みがブロックされている場合、状態は保持されません。

解決策

アプリのユーザー データ フォルダーへの書き込みを許可します。アプリごとのフォルダー アクセス制御 (CFA) 例外またはデータ損失防止 (DLP) 例外を使用します。

WebView2 ユーザー データ フォルダー (UDF) をネットワーク共有に配置しないでください。

データ損失防止 (DLP) ポリシーが、通常のブラウザー データ (Cookie、キャッシュ、ローカル ストレージなど) を流出の試みとして誤って分類しないことを確認します。 流出 とは、システム、ネットワーク、またはクラウド環境から外部の宛先に許可なくデータを不正に転送することです。

詳細:

ランタイム フォルダー アクセス、子プロセス、および子プロセスの作成を許可する

対象ユーザー: セキュリティ ソフトウェア ベンダー。

WebView2 ランタイム フォルダーへのアクセスは制限されません。

子プロセスを許可し、終了しないでください。 子プロセスには、次のものがあります。

  • レンダラー
  • グラフィックス処理装置 (GPU)
  • ネットワーク
  • クラッシュパッド

WebView2 ランタイム子プロセスの作成は制限されません。permit Crashpad.

詳細:

WebView2 プロセスに DLL を挿入しないでください

Microsoft Edge セキュリティ コネクタを使用します。

ダイナミック リンク ライブラリ (DLL) インジェクションを避ける。

ダイナミック リンク ライブラリ (DLL) を WebView2 プロセスに挿入しないでください。 代わりに Microsoft Edge セキュリティ コネクタを使用してください。

データ損失防止 (DLP)、レポート、またはデバイスの信頼には Microsoft Edge セキュリティ コネクタをお勧めします。

レンダラーまたはグラフィックス処理装置 (GPU) プロセスへのダイナミック リンク ライブラリ (DLL) インジェクションは、Chromium のサンドボックス モデルを壊し、一般的にレンダラーのクラッシュを引き起こします。

セキュリティ ソフトウェア ベンダーは、低レベルのフックではなく、サポートされている Edge セキュリティ コネクタを使用する必要があります。

詳細:

クラッシュまたはフリーズ

ダイナミック リンク ライブラリ (DLL) インジェクションまたはブロックされたレンダラー、グラフィックス処理装置 (GPU)、またはクラッシュパッドに関連付けられたクラッシュまたはフリーズ。

詳細:

コンテンツが読み込まれない

問題: メイン プロセスは開始されますが、コンテンツは読み込まれず、アプリがフリーズします。

子プロセスの生成がブロックまたはフックされています。

解決策

WebView2 子プロセスを許可する:

  • レンダラー。
  • グラフィックス処理装置 (GPU)。
  • できます。
  • クラッシュパッド。

これらは、WebView2 がインスタンス化する子プロセスです。

ダイナミック リンク ライブラリ (DLL) インジェクションを避ける。

Edge コネクタを優先します。

詳細:

広範なグローバル除外を回避する

起動に時間がかかる

問題:

  • WebView2 ランタイムとユーザー データ フォルダー (UDF) のディープ リアルタイム スキャンが原因で起動に時間がかかります。
  • ナビゲーションを実行すると一時的に白い画面が表示される。
  • 積極的なリアルタイム スキャン。
解決策

WebView2 ランタイム バイナリとユーザー データ フォルダー (UDF) の スコープ付き除外 を構成します。広範な除外は避けます。

WebView2 ランタイム ディレクトリとユーザー データ フォルダー (UDF) のスコープ付き除外を使用してスキャンを調整します。

広範でグローバルな除外は避けます。

詳細:

内部プロキシ証明機関 (CA) を信頼し、必須のサインインまたはコンテンツ配信ネットワーク (CDN) エンドポイントを許可します

トランスポート層セキュリティ (TLS) ポリシーを Chromium に合わせて調整します。

  • 内部プロキシを信頼する証明機関 (CA);信頼された証明機関 (CA) をインストールします。

  • 重要なサインイン エンドポイントまたはその他の必要なエンドポイントを許可します。

  • 重要なコンテンツ配信ネットワーク (CDN) エンドポイントを許可します。

WebView2 ランタイム フォルダーで既定の Access Control Lists (ACL) と低整合性レベル (LowIL) の設定を保持します。

  • 低整合性レベル プロセス (LowIL) は、WebView2 ランタイム バイナリを読み取って実行できる必要があります。

  • オペレーティング システムがランタイム フォルダーに設定する既定の ACL は変更しないでください。 WebView2 のサンドボックス化されたレンダラー プロセスは低整合性レベルで実行され、正しく機能するにはこれらのアクセス許可が必要です。

署名によって WebView2 ランタイムを信頼する

署名によって WebView2 ランタイム (msedgewebview2.exe) を認識して信頼します。子プロセスを許可します。

Windows コンポーネントが読み込む WebView2 ランタイム ファイルに変更しないでください C:\Windows\System32

Windows コンポーネントが C:\Windows\System32 から直接読み込む WebView2 ランタイム バイナリ ファイルを変更、検疫、または置換しないでください。

一部の Windows コンポーネントでは、WebView2 ランタイム バイナリ ファイルを C:\Windows\System32 から直接読み込む場合があります。 これらのバイナリ ファイルは、オペレーティング システムによって所有されています。

これらの OS 所有の WebView2 ランタイム バイナリ ファイル:

  • デスクトップ アプリで使用される Evergreen WebView2 ランタイム バージョンと一致しない可能性があります。

  • WebView2 インストーラーではなく、Windows Update を介してのみサービスが提供されます。

トランスポート層セキュリティ (TLS) の検査とプロキシ構成の調整

症状:

  • トランスポート層セキュリティ (TLS) エラー ( ERR_CERT_*など)。

  • TLS 検査が有効になっている場合に発生するログイン リダイレクトの失敗。

トランスポート層セキュリティ (TLS) の検査とプロキシ構成を Chromium ベースのブラウザー要件に合わせます。

環境で TLS 検査を使用している場合は、検査証明書がオペレーティング システムの証明書ストアによって信頼されていることを確認します。

ファイアウォールまたはプロキシによる SSL 復号化

TLS 検査を使用する例としては、ファイアウォールまたはプロキシによる SSL 復号化があります。

環境がプロキシ サーバー経由でトラフィックをルーティングする場合は、WebView2 プロセスがプロキシ経由で必要なエンドポイントに到達できることを確認します。

ERR_CERT_* error

問題:

  • ERR_CERT_* エラー。

  • サインイン ループ (ログイン ループ)。

  • サービス ワーカーが失敗しています。

ネットワーク検査とトランスポート層セキュリティ (TLS) 検査の調整がずれています。

解決策

エンタープライズ プロキシのルート証明機関 (CA) をインストールして、WebView2 が傍受された HTTPS トラフィックを信頼するようにします。

WebView2 アプリで使用される認証エンドポイントとコンテンツ配信ネットワーク (CDN) エンドポイントが明示的に許可されていることを確認します。

認証エンドポイントとコンテンツ配信ネットワーク (CDN) エンドポイントを検証します。

詳細:

エバーグリーン WebView2 ランタイムの更新を許可する

Evergreen WebView2 ランタイムの更新をブロックしません。

Evergreen WebView2 ランタイムの更新を許可します。サービスをブロックしません。

Microsoft Edge サービスでは、次のバージョン固定サブフォルダーが更新されます。

C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\

詳細:

アプリは高い特権でのみ動作します

Access Control List (ACL) が整合性レベルと一致していません。

問題: アプリは高い特権でのみ動作します。 次の環境ではアプリが失敗します。

  • ユニバーサル Windows プラットフォーム (UWP) - アクセス許可が制限された Windows アプリ サンドボックス内で実行されるアプリ。

  • AppContainer — 明示的に付与されたリソースのみにプロセスのアクセスを制限する Windows セキュリティ サンドボックス。

解決策

WebView2 ランタイム ディレクトリに対する既定の ALL APPLICATION PACKAGES アクセス許可を保持します。低整合性レベル プロセス (LowIL) の 読み取り/実行が必要です。

詳細:

これには、 C:\Program Files (x86)\Microsoft\EdgeWebView\Application\<version>\ の下の Evergreen WebView2 ランタイム パスが含まれます。これには、 ALL APPLICATION PACKAGES 読み取り/実行アクセス許可を保持する必要があります。

System32 ベースの WebView2 ランタイムは Windows によって所有され、サービス提供されています。

System32 ベースの WebView2 ランタイムは、ウイルス対策 (AV)、エンドポイント検出と応答 (EDR)、またはデータ損失防止 (DLP) ツールによって変更、置換、検疫、または消去されてはなりません。

System32 ベースの WebView2 ランタイムの既定の Access Control Lists (ACL) は、出荷時とまったく同じ状態で維持する必要があります。

Edge ブラウザーのみのグループ ポリシーを適用しない

Microsoft Edge に適用されるほとんどのグループ ポリシーは WebView2 には影響せず、サポートされていないポリシーによって WebView2 の機能が損なわれる可能性があります。

Microsoft Edge 専用のグループ ポリシーを使用して WebView2 に影響を与えないでください。

症状と原因をチェックするツール

IT 管理者は、標準の Windows ツールを使用して、一覧表示されている現象の原因が以下のものかどうかを判断できます。

  • WebView2 がブロックされています。
  • WebView2 は初期化に失敗しています。
  • WebView2 がクラッシュしています。

タスク マネージャー

ホスト アプリケーションの下で、WebView2 ランタイム (msedgewebview2.exe) とその子プロセスが表示されていることを確認します。

子プロセスには、次のものがあります。

  • レンダラー。
  • グラフィックス処理装置 (GPU)。
  • できます。
  • クラッシュパッド。

WebView2 子プロセスが表示されない場合は、次のいずれかがコンピューターで有効になっているため、WebView2 ランタイムまたは子プロセスの生成がブロックされます。

  • Windows Defender アプリケーション制御 (WDAC)。

  • エンドポイントの検出と応答 (EDR)。

  • ダイナミック リンク ライブラリ (DLL) インジェクション。

レンダラー (またはグラフィックス処理装置 (GPU)) プロセスが短時間表示されてから消える場合、次の原因でレンダラー (またはグラフィックス処理装置 (GPU)) プロセスが終了している可能性があります。

  • エンドポイントの検出と応答 (EDR) のフック。

  • ウイルス対策 (AV) フック。

  • ダイナミック リンク ライブラリ (DLL) インジェクション。

空白または白の埋め込みウィンドウ

空白または白い埋め込みウィンドウがある場合は、WebView2 プロセスがタスク マネージャーに存在することを確認します。

詳細:

イベント ビューアー

イベント ビューアー (アプリケーション/システム> Windows ログ)。

検索:

  • アプリまたは WebView2 の初期化エラー。

  • Windows Defender アプリケーション制御 (WDAC) または AppLocker のブロック実行 イベント。

  • ユーザー データ フォルダー (UDF) に影響を与える、制御されたフォルダー アクセス (CFA) またはデータ損失防止 (DLP) ファイルの書き込み拒否 イベント。

  • サインイン フローに影響を与えるトランスポート層セキュリティ (TLS)、証明書、またはネットワーク ポリシーの障害。

セキュリティ ログ

  • フォルダー アクセスの制御 (CFA) ブロック。

  • データ損失防止 (DLP) ポリシーのブロック。

  • AppLocker またはアプリケーション制御の拒否。 これらは通常、サインイン ループ、空白の画面、設定が保持されないなどの現象にマップされます。

診断、クラッシュ レポート、プロセス イベント

クラッシュ レポートは、アプリのユーザー データ フォルダー (UDF) の EBWebView\Crashpad\reports\ に保存されます。

クラッシュ診断をプロセス イベントと併用して、繰り返し発生するエラーをトリアージします。

詳細:

信頼性モニター

レンダラー、グラフィックス処理装置 (GPU)、クラッシュパッド プロセスが繰り返しクラッシュしていることを特定します。

これらのプロセス クラッシュは、以下と相関しています。

  • フリーズの問題。

  • 空白の画面の問題。

  • WebView2 ランタイムが不安定です。

ツールへの適用性

対象ユーザー: IT 管理者およびセキュリティ ソフトウェア ベンダー。

さまざまな種類のアプリが WebView2 と対話できます。 さまざまな形式の WebView2 に適用できるものを次に示します。

この記事は、次のツールまたはソフトウェアに適用されます。

  • Microsoft Edge WebView2 ランタイム (Evergreen および固定バージョン)。

  • WebView2 コントロールを埋め込む Windows デスクトップ アプリケーション。

  • UI の Web ベースの部分に WebView2 を使用する Windows コンポーネント。

  • WebView2 プロセスに干渉する可能性のある Microsoft 以外のウイルス対策、エンドポイントの検出と応答 (EDR)、データ損失防止 (DLP)、プロキシまたはトランスポート層セキュリティ (TLS) 傍受製品。

詳細:

パフォーマンスの問題の解決

対象ユーザー: IT 管理者およびセキュリティ ソフトウェア ベンダー。

このセクションを使用するには:

  1. IT 管理は、この情報を使用して、アプリでの WebView2 の起動または使用で IT 管理に見られる問題を特定し、問題の原因となっているセキュリティ ソフトウェアを特定します。

  2. IT 管理は、セキュリティ ソフトウェア ベンダーに連絡します。

  3. セキュリティ ソフトウェア ベンダーは、このコンテンツを使用して、WebView2 がブロックされないようにするために何をする必要があるかを判断します。

広範囲にスキャンしたり、プロセスにフックしたりすると、起動時間やページの読み込み時間が遅くなる可能性があります。

代わりに、広範囲でリスクの高い無効化を選択するのではなく、WebView2 ランタイム バイナリとユーザー データ フォルダー (UDF) に対してスコープ付き除外を使用します。

子プロセスをブラウザー プロセスのように扱います。このような子プロセスの終了は避けてください。

子プロセスには、次のものがあります。

  • レンダラー。
  • グラフィックス処理装置 (GPU)。
  • できます。
  • クラッシュパッド。

クラッシュパッドやグラフィックス処理装置 (GPU) プロセスは安定性とレンダリングに不可欠なため、終了しないでください。

詳細:

WebView2 がエンタープライズ ワークロードに表示される理由

対象ユーザー: IT 管理者およびセキュリティ ソフトウェア ベンダー。

多くの Microsoft 365 Apps と Windows 機能は、WebView2 を使用して、最新で一貫性のある UI を提供します。

たとえば、Outlook 機能は WebView2 ランタイムに依存して機能します。

Windows Search では、UI の一部に WebView2 が使用されます。

詳細:

関連項目

Microsoft Edge 開発者向けドキュメント:

Learn.microsoft.com:

外部:

  • Last updated on