SharePoint では、複数人で管理しているリストやライブラリ、サイトに対して、ユーザーごとにアクセス権限を付与・変更できます。
アクセス権限は社内の情報を守るために必須の機能ですが、適切に付与・管理されていない場合は情報漏洩などのセキュリティ事故につながりかねません。権限を設定して終わりにせず、利用状況や組織変更に応じて継続的に管理していくことが重要です。
そこで今回は、SharePoint のアクセス権限の種類や設定方法に加え、設定後の管理方法や運用時の注意点について解説します。
SharePointはアクセス権限の設定が重要
近年、クラウドサービスの普及やリモートワークの拡大により、社内外のメンバーがオンライン上でファイルやサイトを共有・共同編集する機会が増えています。
SharePointには、共同作業の情報を守るためのアクセス権限の設定機能があります。このアクセス権限は、ファイルやサイトなどの編集・閲覧権限を特定のユーザーごとに分けて付与する仕組みです。
この設定は非常に重要で、誤った設定をしてしまうと、本来は閲覧・編集できないユーザーにも情報が共有されるおそれがあります。
ユーザーごとにアクセス権限を設定しておくことで、権限のないユーザーによるファイルやサイトの書き換えなどを防ぎ、重要な情報を保護したり、セキュリティ性を高めたりすることができます。
たとえば、社内のポータルサイトではサイトを運営しているメンバーだけに編集権限を与え、その他の社員は閲覧のみにするといった使い方が可能です。
データの編集ができる人を制限したいときや、閲覧できる人を限定したいときは、ユーザーやグループごとに合わせたアクセス権限を付与し、適切な情報管理を行いましょう。次の項目では、アクセス権限の設定ミスによって起こり得るリスクを解説します。
アクセス権限の設定は有効なセキュリティ対策
SharePoint のアクセス権限を適切に設定していない場合、次のようなセキュリティ事故につながるおそれがあります。
- 本来アクセスできないユーザーに間違ってアクセス権限が付与され、内容が書き換えられる
- 適切なアクセス権を設定しなかったために、外部メンバーを経由して情報が漏洩する
SharePoint は、社内ポータルや部署別サイト、プロジェクト資料、顧客情報を含むドキュメントなどを一元管理できる便利なツールです。一方で、アクセス権限の範囲を誤ると、社内外の関係者に本来共有すべきではない情報が閲覧・編集されるリスクがあります。
SharePoint に限らず、クラウドサービス全般において権限設定は重要です。実際に、クラウド環境のアクセス権限が適切に設定されていなかったことが原因で、社員氏名や社員番号、所属部署名、メールアドレスなどの社内情報が外部から閲覧できる状態になっていた可能性が公表された事例もあります。このようなセキュリティ事故が起きると、業務を円滑に進められなくなるだけでなく、社会的な信頼の損失や企業イメージの低下につながる可能性があります。
SharePoint を利用する場合には、アクセス権の重要性を理解し、必要なユーザーに必要な範囲の権限だけを付与することが重要です。また、設定後も長期間にわたって放置せず、不要なアカウントや過剰な権限が残っていないかを定期的に確認する必要があります。
情報セキュリティ対策の普及啓発を行う公的機関である IPA （独立行政法人情報処理推進機構）も、アクセス権限の最小化やアカウントの棚卸しなどをセキュリティ対策として挙げています。
SharePoint におけるアクセス権限の種類
SharePoint のアクセス権限は、基本的に「閲覧者」「メンバー」「所有者」の 3 種類の許可グループから選択できます。さらに、操作ごとに細かく権限を設定してオリジナルのアクセス権限を付与することも可能です。
基本となる 3 つのアクセス許可グループの特徴は、以下の通りです。
SharePointの既定のアクセス許可グループ
基本となる 3 つのアクセス許可グループの特徴は、以下の通りです。
| グループ | 特徴 |
| 閲覧者 | 閲覧のみ |
| メンバー | 一部のコンテンツの追加・更新ができる |
| 所有者 | すべての権限を持つ |
閲覧者
「閲覧者」はファイルやサイトの閲覧のみが許可され、データの編集はできません。社内サイトを運営メンバー以外の社員へ共有するときや、社外の方と情報共有をするときなどに使います。
データを共有したい相手にのみ権限付与をすることで、特定の人物以外に情報流出することを防ぎつつ、閲覧権限のみに設定することで、データを書き換えられることを防ぎます。
メンバー
「メンバー」はファイルやサイトを閲覧できるほか、コンテンツの追加や編集作業も行えます。たとえば、社内のポータルサイトを作成し、運用部署内のメンバーにのみ権限を付与するといった使い方ができます。
なお、メンバーには必要に応じて社外の人を追加することも可能で、権限を与えられた人は編集作業を行えます。
所有者（フルコントロール）
ファイルやサイトの「所有者」は、グループに誰を招待するか、誰にどのアクセス権限を付与するかを決める権限があり、新たなサイトを作成することもできます。所有者は、閲覧者やメンバーと比べて操作可能な範囲が広い分、適切な管理が求められます。
より細かなアクセス権限の設定
上述したアクセス権限グループは、規定された共通のアクセス権限を与えられます。また、アクセス許可グループとは別に「アクセス許可レベル」を使用すると、より細かな範囲ごとに権限を指定できるため、詳細なカスタマイズが可能です。
SharePoint では、既定のアクセス許可レベルに加え、サイトの種類や環境によって追加のアクセス許可レベルが表示される場合があります。ここでは、代表的なアクセス許可レベルとして、以下の 11 種類を紹介します。
| アクセス許可レベル | 権限の範囲 |
|---|---|
| フルコントロール | すべての権限を持つ |
| デザイン | リストとライブラリの作成、サイトの編集、テーマやスタイルシートの適用ができる |
| 編集（メンバー） | リストやドキュメントの追加や編集、更新、削除ができる |
| 投稿 | 既存のリストやライブラリの中身（アイテム・ドキュメント）の追加/編集/更新/削除はできる |
| 読み取り | 既存のリストとドキュメントでページとアイテムを閲覧でき、ドキュメントのダウンロードができる |
| 制限付きアクセス | サイトまたはライブラリで特定のコンテンツのアイテムにアクセスできる |
| Webのみの制限付きアクセス | ユーザーの Web オブジェクトへのアクセスのみを有効にする |
| 承認 | サイトやリスト、ドキュメントの編集を承認する |
| 階層の管理 | サイトの作成、リスト、ドキュメントの編集ができる |
制限付き読み取り | 特定のサイトとドキュメントを閲覧できる |
| 表示のみ | サイト、アイテム、ドキュメントの閲覧はできるが、ダウンロードはできない |
権限管理をきちんと行っていないと、各々が編集することでデータが見づらくなったり、機密情報が自由に見られる状態になっていたりする危険があります。所有者になった場合は、誰にどこまで権限を与えるかよく考え、データとサイトの管理を行いましょう。
SharePointのアクセス権限を設定する方法
SharePoint のアクセス権限は、ユーザー単位だけでなく、グループ単位で管理することが基本となります。SharePoint のグループとは、複数のユーザーをまとめて管理し、同じアクセス権限を一括で付与するための単位です。個人ごとに権限を設定するよりも、部署や役割単位で管理しやすく、メンバーの追加・削除時の作業負担も抑えられます。アクセス権限を設定する際は、グループの役割を理解したうえで、対象範囲に応じた設定方法を確認しましょう。
ここではSharePointでアクセス権限を設定する方法について、さまざまなパターンに分けて解説します。
- グループを作成し、ユーザーを追加する方法
- サイトのアクセス権限を付与する方法
- アクセス権限を変更する方法
- グループからユーザーを削除する方法
- グループを削除する方法
- 外部共有のアクセス権限を設定する方法
- カスタム権限レベルのアクセス権限を作成する方法
- リストのアクセス権限を設定する方法
グループを作成し、ユーザーを追加する方法
グループの作成やユーザーの追加は、人事異動でメンバーが変わった場合や、新入社員・中途社員を部門サイトに追加する場合、チームの新プロジェクトの開始に伴って特定のメンバーだけに資料を共有したい場合などに行います。
グループを作成する手順と、作成したグループにユーザーを追加する手順は、以下の通りです。
- チームサイトまたはコミュニケーションサイトで「設定」をクリックし、「サイトのアクセス許可」 をクリック
- 「高度なアクセス許可の設定」をクリック
- 「グループの作成」をクリック
- 「名前」「説明」ボックスにそれぞれグループの名前と説明を入力
- 「所有者」ボックスで所有者を 1 人指定
- 「グループ設定」セクションで、閲覧または編集できるユーザーを指定
- 「メンバーシップ要求」セクションで、グループに対する参加を選択
- 「このサイトのグループ権限の付与」セクションで、このグループのアクセス許可レベルを選択
- 「作成」をクリック
- ユーザーを追加する場合は「共有」をクリック
- 追加するユーザーまたはグループの名前またはメール アドレスを入力
- アクセス許可レベルを選択
- ユーザーに送信するメッセージを入力し、「共有」をクリック
サイトのアクセス権限を付与する方法
グループへのユーザー追加が既存の権限グループに人を加える操作であるのに対し、サイトのアクセス権限付与は、サイト全体に対してどのグループが閲覧・編集できるかを設定する操作です。たとえば、SharePoint を扱う運用メンバーや部門の管理担当者に、サイト全体の権限を付与する場合に行います。
サイトのアクセス権限を付与する手順は、以下の通りです。
- チームサイトまたはコミュニケーションサイトで、「設定」アイコンをクリックし、「サイトのアクセス許可」をクリック
- 「グループの作成」をクリック
- 「アクセス許可の付与」をクリック
- 「共有」ダイアログで、アクセス権を付与する SharePoint グループの名前を入力
- 「共有」をクリック
アクセス権限を変更する方法
アクセス権限の変更は、SharePoint を扱うメンバーが異動した場合や、担当者の役割が変わった場合などに必要です。たとえば、編集担当から確認担当に変わったユーザーは、編集権限から閲覧権限へ変更することで、不要な操作を防ぎやすくなります。
ユーザーのアクセス権限を変更する手順は以下の通りです。
- チームサイトまたはコミュニケーションサイトで、「設定」アイコンをクリックし、「サイトの設定」をクリック
- ※「サイトの設定」が表示されない場合は「サイト情報」をクリックして、「すべてのサイト設定を表示」をクリック
- 「ユーザーと権限」で「サイトの権限」をクリック
- 新しい権限レベルを割り当てるユーザーまたはグループの横にあるチェックボックスをオンに設定
- 「ユーザー権限の編集」をクリック
- 新しい権限レベルの名前の横にあるチェックボックスを選択
- 「 OK 」をクリック
グループからユーザーを削除する方法
メンバーが別部署へ異動した場合やプロジェクトから外れた場合、グループの役割が変更になり対象者を見直す場合などに、グループからユーザーを削除します。不要になった権限を残さないことで、情報への過剰なアクセスや想定外のセキュリティ事故の抑制につながります。
既存のグループからユーザーを削除する手順は、以下の通りです。
- チームサイトまたはコミュニケーションサイトで、「設定」アイコンをクリックし、「サイトの設定」をクリック
- 「ユーザーと権限」で「ユーザーとグループ」をクリック
- サイドリンクバーでユーザーを削除するグループの名前をクリック
- 削除するユーザーの横にあるチェック ボックスをオンにし、「操作」をクリックし、「グループからのユーザーの削除」をクリック
- 確認ウィンドウで「 OK 」をクリック
グループを削除する方法
グループの削除は、プロジェクトの終了や組織変更によって使用しなくなるグループが発生した場合に行います。削除前には、メンバーの移行が済んでいるか、削除対象のグループだけで共有していたファイルやサイト、リストが残っていないか、削除が他の権限設定に影響しないかを確認しておきましょう。必要なデータや権限を別グループへ引き継いでから削除することで、業務に必要なファイルへアクセスできなくなる事態を防止しやすくなります。
既存のグループを削除する手順は以下の通りです。
- チームサイトまたはコミュニケーションサイトで「設定」アイコンをクリックし、「サイトの設定」をクリック
- 「ユーザーと権限」で「ユーザーとグループ」をクリック
- 削除する SharePoint グループの名前をクリック
- 「設定」をクリックし「グループ設定」を選択
- 「削除」をクリックし「 OK 」をクリック
既定の SharePoint グループを削除すると、システムが不安定になる場合があります。そのため、使用する予定のないグループのみを削除するようにしましょう。
外部共有のアクセス権限を設定する方法
外部委託先や共同プロジェクト先の担当者と、SharePoint 上の資料やサイトを共有したいときは、外部共有のアクセス権限を設定します。外部ユーザーに必要以上の権限を付与しないよう、共有範囲とアクセス許可レベルを十分に確認する必要があります。
外部ユーザーとサイトを共有するときの手順は以下の通りです。
- SharePoint 管理センターにアクセスし、外部ユーザーに共有したいサイトの共有設定を開く
- 「新規および既存のゲスト」のラジオボタンを選択して「保存」をクリック
- 共有したい SharePoint サイトへアクセスし、「設定」をクリックし「サイトのアクセス許可」を選択
- 「サイトの共有」を選択し、共有したい外部ユーザーのメールアドレスを入力し、「追加」をクリック
- 外部ユーザーに招待メールが送信される
カスタム権限レベルのアクセス権限を作成する方法
カスタム権限レベルを作成すると、既定の権限だけでは運用ルールに合わないケースにも対応しやすくなります。たとえば、閲覧は許可しつつ、削除や権限管理などの操作を制限したい場合などに活用できます。
既定のアクセス許可グループではなく、ユーザーやグループに合わせてより細かく権限を設定する手順は次のとおりです。
- チームサイトまたはコミュニケーションサイトで「設定」アイコンをクリックし、「サイトのアクセス許可」をクリック
- 「アクセス許可」ボックスの「高度なアクセス許可の設定」を選択
- 「権限」タブの「管理」グループにある「アクセス許可レベル」を選択
- 表示されるアクセス許可レベルの編集画面で、「アクセス許可レベルの追加」をクリックし、許可する項目を選択
アクセス許可レベルは既存のアクセス許可グループの設定をコピーしてベースにし、内容をカスタマイズすることも可能です。
リストのアクセス権限を設定する方法
SharePoint のリストとは、 Excel のように表形式でデータを管理できる簡易的なデータベース機能です。リストへのアクセスを制限したい場合は、以下の手順で設定できます。
- チームサイトまたはコミュニケーションサイトで設定したいリストを開いた状態で、右上の「設定」アイコンをクリックし、「リストの設定」をクリック
- 「権限と管理」の「このリストに対する権限」をクリック
- サイト内のユーザーグループごとにアクセス許可レベルを選択
SharePointのアクセス権限の管理方法
SharePoint のアクセス権限は、「一度設定してしまえば終わり」ではありません。組織変更やメンバーの入れ替わりに応じて、誰がどの情報にアクセスできるのかを継続的に管理することが必要になります。ここでは、アクセス権限を管理しやすくするための方法を解説します。
アクセス権限をグループ単位で設定する
SharePoint のアクセス権限は、ユーザー個人に直接付与するのではなく、グループ単位で設定することが基本です。個人ごとに権限を設定すると、メンバーの追加・削除や異動のたびに確認対象が増え、誰がどの情報にアクセスできるのか把握しにくくなります。部署やプロジェクト、役割ごとにグループを作成して権限を付与すれば、ユーザーの入れ替えが発生した場合も、グループ内のメンバーを変更するだけで管理できます。
アクセス権限は継承させて管理する
SharePoint では、サイトに設定したアクセス権限を、ライブラリやリスト、フォルダー、ファイルへ継承できます。ただし、階層ごとに固有の権限を設定した場合は、例外的な権限が増え、管理者がアクセス状況を把握しにくくなります。基本的には上位の権限を継承させ、固有の権限は必要最小限に抑えることが重要です。特定の範囲だけ権限を分けたい場合は、サイトやライブラリを分けて管理する方法も検討しましょう。
SharePointのアクセス権限を設定する際の注意点
SharePoint のアクセス権限を設定してセキュリティを高めるためには、次のようなポイントに注意しましょう。
最小権限の原則を意識する
アクセス権限を設定する際には、「最小権限の原則」を意識しましょう。
最小権限の原則とは、ユーザーが業務を達成するために必要最低限の権限のみを付与するサイバーセキュリティの概念です。 SharePoint の設定でもこの原則に則り、必要があればその都度権限を付与します。また、業務完了時には速やかに権限をはく奪し、元の権限に戻すようにしましょう。
最小権限の原則を活用すれば、不正ログインによる情報漏洩などのリスクを低減させることができます。
外部共有のルールを明確に定める
SharePoint で社外のユーザーと情報を共有する場合には、情報漏洩につながるリスクを抑えるために、あらかじめ外部共有のルールを明確にしておくことが大切です。
たとえば、以下のようなルールを決めておくとよいでしょう。
許可する範囲を特定のユーザーやグループに限定する
特定のドメインのみアクセスを許可する
社内データが外部へ流出するリスクを減らすために、ルールの設定と周知を徹底しましょう。
定期的に権限設定を見直す
利用目的にあわせてアクセス権限を適切に設定していても、異動や退職などで不要になったものが削除されずに放置されている場合、不正に使用されるおそれがあります。
アクセス権限を設定したあとは、定期的な設定の見直しが必要です。あらかじめ見直しを行うタイミングを決めておくとよいでしょう。
チェック時は実際にアクセスしているユーザーと設定しているアクセス権限の一覧を照らし合わせ、不要な権限は速やかにはく奪します。
各サイトの所有者に管理を一任する
アクセス権限の管理は、情シス部門に一任されているケースが多いです。しかし、ユーザー数が多い企業では、担当者に負荷がかかりすぎて業務が滞る可能性もあります。
そのため、アクセス権限の管理は各サイト管理者へ一任することも手段の 1 つです。情シス部門の業務負荷が軽減されるだけでなく、各サイトの利用状況に応じて管理者の迅速な判断で変更することが可能になります。
業務が効率化し、不要になったアクセス権限は速やかにはく奪・変更できるため、不正アクセスの防止にもつながるでしょう。
SharePointのアクセス権限を使いこなそう
SharePoint ではアクセス権限をユーザーごとに設定することが可能です。
ユーザーやグループの目的に応じて、適切な権限を付与できれば、安全にサイトやデータを共有できます。また、アクセス権限を付与した後も定期的に権限の見直しなどの管理を行うことで、さらにセキュリティを高められるでしょう。
この記事を参考に SharePoint のアクセス権限を適切に使い分け、安全かつスムーズに情報共有やサイト運営することをおすすめします。
SharePointの権限管理、情シスの業務負荷になっていませんか？
Microsoft 365 環境は思わぬリスクにさらされているかもしれません。
