记者 王辰 报道
在企业数字化转型加速的背景下，Chrome浏览器因其强大的扩展生态成为许多企业的工作基础。然而，当IT管理员需要通过管理控制台或组策略管理内部分发的未打包扩展（unpacked extension）时，常会遇到“加载被阻止”的提示。近日，Google官方更新了相关技术文档，明确支持在受管Workspace环境中配置Chrome配置文件，允许从本地C盘加载未打包扩展。本文将从云管理与本地组策略两个维度，详细解析操作路径及安全注意事项。
背景：未打包扩展的管理困境
未打包扩展是指未经Chrome Web Store签名、以源代码形式存放于本地目录的扩展程序。这类扩展常被开发团队用于内部测试、功能验证或特殊业务场景（如企业内网集成）。但在受管Workspace（即通过Google管理控制台或Windows组策略统一配置的Chrome环境）中，Chrome默认禁用从本地文件系统加载未打包扩展，以防止恶意代码绕过审查机制。这一安全策略导致许多IT管理员在部署时陷入“想用但不敢用”的尴尬。
方法一：通过Google管理控制台配置（云端管理）
对于使用Google Workspace的企业，管理员可通过统一控制台为特定组织单元（OU）的设备或用户启用此功能。具体步骤如下：
- 登录Google管理控制台（admin.google.com），进入“设备” > “Chrome” > “用户和浏览器设置”。
- 选择目标组织单元，找到“扩展程序”分类下的“允许加载未打包扩展程序”策略。该选项默认处于“不允许”状态。
- 将其切换为“允许”，并在扩展路径框中输入文件协议地址，例如
file:///C:/*或file:///C:/MyExtensions/*。路径支持通配符*，推荐限定至具体子目录以减少风险暴露面。 - 保存策略并等待同步（通常需数十分钟）。生效后，用户即可在Chrome的“扩展程序管理”页面（chrome://extensions）开启“开发者模式”，通过“加载已解压的扩展程序”按钮选择C盘内的目标文件夹。
需要特别注意的是，云策略会覆盖本地用户的自定义设置。若策略配置正确但仍无法加载，建议检查是否被其他更高级别的策略（如“阻止访问开发者工具”）冲突。
方法二：通过Windows组策略配置（本地管理）
对于使用本地Active Directory管理的企业，可通过Chrome ADMX模板进行配置。操作流程如下：
- 首先下载并安装Google Chrome组策略管理模板（ADMX/ADML文件）。
- 在组策略管理编辑器中，导航至“计算机配置” > “管理模板” > “Google Chrome” > “扩展程序”。
- 找到“允许加载未打包扩展”策略（英文名为“Allow unpacked extensions”），将其设置为“已启用”。
- 在策略下方的“扩展路径”输入框中，填入
file:///C:/*并确认。该策略支持正则表达式格式，例如file:///C:/Internal/*表示只允许C盘Internal文件夹下的扩展。 - 通过
gpupdate /force命令刷新策略，并重启Chrome浏览器使配置生效。
若企业没有域环境，也可通过修改注册表实现。路径为 HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome\ExtensionInstallAllowlist，但注册表方式更适用于用户级限制，建议优先使用组策略。
安全风险与最佳实践
允许加载未打包扩展本质上是对安全边界的突破。记者在采访中了解到，多位企业安全负责人强调，该功能应严格限制使用场景。推荐的做法包括：
- 最小化路径权限：只允许从C盘特定子目录（如
C:\InternalExtensions）加载，而非全盘放开，避免恶意软件利用扩展注入漏洞。 - 定期审计扩展内容：对未打包扩展进行代码审查与签名验证，确保无后门或异常行为。
- 结合用户组策略：仅对开发人员或测试人员所在的OU启用此策略，普通用户保持“不允许”状态。
- 优先考虑打包扩展：对于正式部署，仍建议将扩展打包为
.crx格式并通过Chrome Web Store或强制安装列表分发，以获得自动更新与完整的安全防护。
未来展望
随着企业混合办公模式的普及，Chrome在受管环境中的灵活性需求只会增加。Google方面表示，未来将考虑提供更细粒度的未打包扩展管理选项，例如基于哈希值或签名的准入名单。在此之前，IT管理员需在效率与安全之间谨慎权衡，确保每一项配置都经过充分验证。
（本文基于Google Chrome企业策略官方文档及行业实践撰写，供企业IT管理参考。）