Professional Chrome Enterprise Administrator 試験対策ガイド

Chrome Enterpriseの基本
1. CoreとPremiumの違い
  1. Chrome Enterprise CoreとChrome Enterprise Premiumの違い
2. 管理コンソールの役割
セキュリティ機能
1. 拡張機能の許可とブロック
2. セーフブラウジングとDLP
  1. Chrome Safe Browsingの保護レベル
運用管理とトラブルシューティング
1. リリースチャンネルと更新
まとめ

Chrome Enterpriseの基本

CoreとPremiumの違い

Chrome Enterprise CoreとChrome Enterprise Premiumの違い

Chrome Enterprise Coreは、Chromeブラウザを企業で管理するための無償の基本機能です。

主に次のことができます。

Chromeブラウザの登録
ポリシーの適用
拡張機能の管理
ブラウザ情報のレポート
OUやグループ単位での管理

Chrome Enterprise Premium（CEP）は、Coreの機能に加えて、高度なセキュリティ機能を追加した有償サービスです。

主な追加機能は次のとおりです。

DLP
ファイルやURLのリアルタイムスキャン
コピー＆ペースト、アップロード、ダウンロードなどの制御
高度な脅威対策
コンテキストアウェアアクセス

管理コンソールの役割

ChromeブラウザのユーザーOUとブラウザOU

Chrome Enterpriseでは、Chromeの設定をユーザー単位または登録済みブラウザ単位で適用できます。

ユーザーOU

ユーザーOUの設定は、管理対象Googleアカウントに紐づきます。

ユーザーがChromeにサインインすると、そのユーザーに設定されたポリシーが適用されます。別のPCを利用しても、同じユーザーでサインインすれば設定を適用できます。

主な用途は、ブックマーク、ホームページ、拡張機能などです。Googleヘルプ

ブラウザOU

ブラウザOUの設定は、Chrome Enterprise Coreで登録したChromeブラウザ自体に紐づきます。

そのため、Chromeへのユーザーサインインに関係なく、そのブラウザを利用するユーザーに設定を適用できます。会社所有PCや共有PCなど、端末側で統一した設定を適用したい場合に向いています。Googleヘルプ

登録トークンは、最上位OUまたは任意の子OUで発行できます。子OUで発行したトークンを使うと、ブラウザはそのOUに直接登録されます。Googleヘルプ

運用上は、既存の「従業員」「契約社員」などのユーザーOU配下にブラウザを配置するより、例えばルート直下にManaged Browsersなどの専用OUを作成し、ユーザーとブラウザのOU構造を分けて管理すると整理しやすくなります。

例：

会社
├─ Users
│  ├─ Employees
│  └─ Contractors
│
└─ Managed Browsers
   ├─ Head Office
   └─ Branch Offices

Google管理コンソールでは、ユーザーと登録済みブラウザの両方にOUを使ってポリシーを適用できるため、こうして管理対象を分けておくと、どのポリシーがユーザー向けで、どのポリシーがブラウザ向けかを判別しやすくなります。Googleヘルプ

両方の設定が重複した場合

同じポリシーがユーザー側とブラウザ側の両方に設定されている場合、デフォルトでは次の優先順位になります。

端末（Machine） > 端末のクラウド設定（Machine Cloud） > OSユーザー（OS User） > Chromeプロファイル（Chrome Profile）

端末（Machine）：Windowsのグループポリシーやレジストリなど、OS側で端末全体に設定されたポリシー
端末のクラウド設定（Machine Cloud）：Chrome Enterprise Coreで登録したChromeブラウザに、Google管理コンソールから適用するポリシー
OSユーザー（OS User）：Windows/macOSなどのOSユーザー単位で設定されたポリシー
Chromeプロファイル（Chrome Profile）：Chromeにサインインした管理対象Googleアカウントに適用するポリシー

Chrome Enterprise Coreで登録したブラウザに適用する設定は端末のクラウド設定（Machine Cloud）、Chromeにサインインしたユーザーに適用する設定はChromeプロファイル（Chrome Profile）に該当します。

そのため、デフォルトではブラウザ側のポリシーがユーザー側より優先されます。ただし、この優先順位はGoogle管理コンソールで変更できます。

Chrome Enterprise Coreの登録トークンとデバイストークン

Chrome EnterpriseでChromeブラウザをクラウド管理する際は、登録トークン（Enrollment Token）とデバイストークン（Device Token）が使われます。

Chrome Enterprise Premiumを利用する場合も、ブラウザ登録の基本的な仕組みは同じです。

役割は異なり、登録トークンはChromeブラウザを管理対象として登録するため、デバイストークンは登録後のブラウザを識別するために使われます。

登録トークン（Enrollment Token）

登録トークンは、ChromeブラウザをChrome Enterpriseの管理対象として最初に登録するためのトークンです。

Google管理コンソールの次の場所で生成します。

デバイス > Chrome > 管理対象ブラウザ > 登録

Chrome Enterprise Core単体で利用している場合は、

Chromeブラウザ > 管理対象ブラウザ

から操作します。

生成した登録トークンは、Windowsではグループポリシー、レジストリ、MDMなどを使って端末へ配布できます。

例えばWindowsでは、CloudManagementEnrollmentTokenポリシーとして設定します。

同じ登録トークンを複数端末で利用できるため、端末ごとに個別の登録トークンを発行する必要はありません。

また、登録トークンはOUに紐づけて生成できます。そのトークンで登録されたChromeブラウザは、対応するOUへ登録されます。

デバイストークン（Device Token）

Chromeブラウザの登録が完了すると、その端末には固有のデバイストークンが生成されます。

デバイストークンは、Google管理コンソールが各Chromeブラウザを識別するために使用され、ポリシーの取得やレポートの同期などに利用されます。

登録トークンとは異なり、デバイストークンは端末ごとに一意です。

そのため、システムイメージを作成して複数端末へ展開する場合も、デバイストークンをイメージに含めてはいけません。複数端末で同じデバイストークンを使用すると、Google側で端末を正しく識別できなくなります。

登録トークンとデバイストークンの違い

項目	登録トークン	デバイストークン
用途	Chromeブラウザを管理対象として登録	登録済みブラウザを識別
生成タイミング	管理者が管理コンソールで生成	Chrome登録時に自動生成
複数端末で共有	可能	不可
主な利用場面	初回登録	ポリシー取得、レポート同期など
端末ごとに固有か	いいえ	はい

非アクティブポリシーとデバイストークンの関係

Chrome Enterpriseでは、非アクティブになった対象として主にChromeプロファイルと管理対象ブラウザを分けて考えます。

対象	削除されるもの	デバイストークンへの影響
非アクティブなChromeプロファイル	管理コンソール上のプロファイル情報	影響なし
非アクティブな管理対象ブラウザ	管理コンソール上のブラウザ情報	設定次第（無効化または削除）

Chromeプロファイルの削除は、ユーザー側の管理情報を整理する処理です。ブラウザそのものの登録状態は変わらないため、デバイストークンには影響しません。

一方、管理対象ブラウザの削除はブラウザ登録そのものに関係します。この場合、デバイストークンの扱いは設定によって変わります。

Invalidate token：デバイストークンを無効化する
Delete token：端末側のデバイストークンを削除する

Delete tokenの場合、端末に有効な登録トークンが残っていれば、Chrome起動時に再登録されて新しいデバイストークンが発行されます。

セキュリティ機能

拡張機能の許可とブロック

拡張機能を権限ベースでブロックする

Chrome Enterpriseでは、拡張機能ごとに許可・禁止を指定するだけでなく、拡張機能が要求する権限を基準にブロックできます。

Google管理コンソールでは、次の場所から設定します。

デバイス > Chrome > アプリと拡張機能 > ユーザーアプリ設定

たとえば、USB、Cookie、ファイルシステムなど、組織で許可したくない権限を指定すると、その権限を要求する拡張機能をまとめて禁止できます。

Chrome拡張機能の自動更新

Chromeにインストールされた拡張機能は、基本的に自動更新されます。

Chromeは、

Chrome起動時
その後、数時間ごと

に拡張機能の更新を確認します。 Chrome for Developers

新しいバージョンが見つかると自動的にダウンロードされますが、拡張機能が使用中の場合は、アイドル状態になるまで更新の適用が延期されることがあります。

なお、chrome://extensions でデベロッパーモードを有効にし、［更新］をクリックすると、手動で更新チェックを実行することもできます。

Chrome拡張機能のManifest

Chrome拡張機能には、manifest.json という設定ファイルがあります。

manifest.json は拡張機能の開発者が作成するファイルで、拡張機能の名前、権限、実行するスクリプトなどの情報を定義します。

その中には、拡張機能がどのManifest仕様を使用するかを示す manifest_version があります。

{
  "manifest_version": 3
}

以前はManifest V2が広く利用されていましたが、現在はManifest V3への移行が完了しています。Chrome 139以降ではManifest V3のみがサポートされます。Chrome for Developers

Manifest V3では、リモートコードの禁止やネットワークリクエスト処理方式の変更などにより、Manifest V2と比べてセキュリティやプライバシー面が強化されています。Googleヘルプ

なお、manifest_version と、拡張機能自体のバージョンを示す version は別の項目です。

Chrome拡張機能のリスク評価

Google管理コンソールでは、Chromeウェブストアで公開されている拡張機能について、第三者プロバイダによるリスクスコアを確認できます。

セーフブラウジングとDLP

Chrome Safe Browsingの保護レベル

ChromeのSafe Browsingは、フィッシング、マルウェア、危険なダウンロード、悪意のある拡張機能などからユーザーを保護する機能です。

主な保護レベルは次のとおりです。

標準保護：既知の危険なサイトやファイルを中心に保護
保護強化機能（Enhanced protection）：既知の脅威に加え、新しい脅威も含めてより高度に検査

保護強化機能が最も強力な保護レベルです。ただし、より多くの閲覧情報がGoogleへ送信されます。Google ヘルプ

Google管理コンソールでは、Chrome Safe Browsingの保護レベルとして強制設定できます。

運用管理とトラブルシューティング

リリースチャンネルと更新

Chromeのリリースチャンネル

Chromeブラウザには、Stable、Extended Stable、Beta、Dev、Canaryなどのリリースチャンネルがあります。

Stableは一般ユーザー向けの標準チャンネルです。

以前はメジャーリリースが4週間ごとでしたが、2026年9月のChrome 153以降は2週間ごとに変更されました。Googleヘルプ

一方、Extended Stableは機能更新の頻度を抑えたチャンネルで、現在は8週間ごとに大きなバージョン更新が行われます。セキュリティ修正はその間も提供されます。Googleヘルプ

なお、ChromeOSのStableは引き続き4週間ごとです。ChromeブラウザとChromeOSではリリース周期が異なるため、試験では混同しないよう注意が必要です。

Chromeブラウザのバージョン固定とロールバック

Chrome Enterpriseでは、互換性問題などが発生した場合に、Chromeブラウザを特定のバージョン系列へ固定できます。

Target version prefix に、例えば 152. のようにメジャーバージョンを指定すると、152系の利用可能な最新バージョンまで更新されます。

すでにそれより新しいChromeへ更新されている場合は、Rollback to target version も有効にすることで、指定したバージョンへロールバックできます。

インターネットに接続できない端末のChrome更新

Chromeの通常の自動更新は、Googleの更新サーバーへの接続が必要です。

インターネットへ接続できない閉域環境では、Chrome Enterpriseのオフラインインストーラを別環境で取得し、社内ファイルサーバーやソフトウェア配布ツールなどを使って端末へ配布します。

GoogleはChromeの更新方法として、自動更新だけでなく、管理者がインストーラを配布する完全な手動更新もサポートしています。

Chromeの更新を確実に適用する

Chromeブラウザは更新ファイルを取得していても、ブラウザを再起動するまで新しいバージョンが有効にならない場合があります。

Google管理コンソールでは、再起動通知（Relaunch notification）を設定できます。

再起動通知

再起動通知では、次のような設定ができます。

再起動を推奨：ユーザーに再起動を促す
一定期間後に強制再起動：期限になるとChromeを自動的に再起動する

セキュリティパッチを一定期間内に確実に適用したい場合は、一定期間後に強制再起動を利用します。

アップデート待ちのブラウザが多い場合は、自動更新チェックの頻度だけでなく、Chromeが再起動されているかも確認します。

再起動ウィンドウ

強制再起動を設定すると、業務時間中にChromeが再起動される可能性があります。

その場合は、再起動ウィンドウ（Relaunch window）を設定します。

例えば夜間を再起動ウィンドウとして指定することで、セキュリティ更新を確実に適用しつつ、業務時間中の突然の再起動を避けやすくなります。

管理対象Chromeブラウザへのリモート操作

Google管理コンソールでは、管理対象Chromeブラウザに対して、次のリモート操作を実行できます。

キャッシュを消去
Cookieを消去
キャッシュとCookieを消去

サイト表示やログインの不具合が発生している場合に、ユーザーへ端末操作を依頼せず、管理者側からキャッシュやCookieを削除できます。

このリモートコマンドの対象は、Windows、macOS、Linux上の管理対象Chromeブラウザです。

ChromeOSの場合

ChromeOSでは、同じように「今すぐキャッシュだけ削除」「今すぐCookieだけ削除」するリモートコマンドは提供されていません。

ただし、ChromeOSでキャッシュやCookieを管理できないわけではなく、ポリシーによって一定期間後やChrome終了時に自動削除することができます。