SharePointの権限グループの設定と管理方法

SharePoint groups を理解する

Microsoft SharePoint のグループを使うと、個々のユーザーではなくユーザーの集合を管理できます。グループには、個々の SharePoint ユーザーに加えて、Active Directory Domain のような、あらゆる ID 管理またはドメイン サービス システムのユーザーやグループを含めることができます。Active Directory Domain Services (AD DS)、LDAPv3 ベースのディレクトリ、アプリケーション固有のデータベース、Windows Live ID のようなアイデンティティ モデルなどです。

組織やサイトの規模と複雑さに応じて、ユーザーを任意の数のグループに整理できます。ただし、SharePoint のグループには別の SharePoint のグループを含めることはできません（つまりネストできません）。

グループを通じて SharePoint サイトに permissions を割り当てる方法は 2 つあります。1 つ目はユーザーを SharePoint のグループに追加すること、2 つ目は AD security グループのアクセス権をサイトに直接付与するか、サイトに対する権限を持つ SharePoint のグループにそのグループを入れることです。

組み込みの SharePoint グループ

SharePoint には複数の組み込みグループが含まれています。これらは SharePoint のサイト レベルに存在し、所属しているサイト コレクション内で権限を割り当てることができます。あらかじめ定義されたグループのセットは、使用しているサイト テンプレートによって異なります。たとえば、ここではチーム サイトの事前定義グループと、SharePoint サイトに対するそれらの既定の権限を示します。

• 閲覧者 — 読み取り権限があります
• メンバー — 編集権限があります
• 所有者 — フル コントロール権限があります
• 閲覧者 — 表示のみの権限があります

ここでは、ニュースフィード サイト テンプレートの事前定義済みグループと、それらの既定の権限を示します。

• エンタープライズ閲覧者 — 読み取り権限があり、ページやドキュメントを表示でき、ドキュメントをダウンロードすることもできます
• エンタープライズ メンバー — 投稿権限があり、一覧項目やドキュメントを表示、開く、追加、更新、削除できます
• デザイナー — ブラウザーまたは SharePoint Designer を使用して、サイト ページのレイアウトを表示、追加、更新、削除、承認、カスタマイズできます
• 編集者 — リストを追加、編集、削除できます。また、SharePoint の一覧項目やドキュメントを表示、追加、更新、削除できます
• Enterprise Owners — サイトに対するフルコントロール権限を持っています

これらの内蔵グループは、異なる権限レベルを割り当てることで変更できる点に注意してください。

ベストプラクティス

権限を管理するためのベストプラクティスは、情報の閲覧だけが必要な通常ユーザーを Visitors グループに追加し、ドキュメントの作成または編集が必要なユーザーを Members グループに追加することです。これは、Members グループのユーザーは項目やドキュメントを追加・変更・削除できますが、サイトの構造、設定、または外観は変更できないためです。同様に、Visitors グループのユーザーはページ、ドキュメント、項目を閲覧できますが、追加または削除の操作は実行できません。

SharePoint グループを作成する

SharePoint グループを作成するには、サイト設定（Site Settings）で「サイト権限（Site Permissions）」に移動し、「グループを作成（Create Group）」ボタンをクリックします。グループの名前と説明を入力してください。次に、グループの所有者、グループのメンバーシップを表示および編集できるユーザー、ユーザーがメンバーシップの申請またはグループからの脱退の申請を行えるかどうか、そしてサイトに対するグループの権限を指定します。最後に「作成（Create）」をクリックしてグループを作成します。

SharePoint グループを削除する

グループを削除するには、サイト設定（Site Settings）の「ユーザーとグループ（People and Groups）」メニューを使用します。グループを選択し、「編集（Edit）」ボタンをクリックしてから、「削除（Delete）」ボタンをクリックします。

グループのメンバーシップを変更する

SharePoint グループにメンバーを追加するには、「People and Groups」メニューから、左側のペインでグループ名をクリックし、その後、下に示すとおり「New」と「Add Users」をクリックします。グループに追加したい1つ以上のユーザー名を入力し、最後に「Share」をクリックしてください。

グループからユーザーを削除するには、削除したいユーザーを選択し、「Actions」をクリックしてから、「Remove Users from Group」をクリックします。

まとめ

SharePoint のグループを使用することは、ユーザー アカウントに対して個別のアイテム レベル権限を割り当てるよりも、はるかに簡単で安全なアクセス制御方法です。グループを適切に設定し、権限とグループ メンバーシップに加えられるすべての変更を追跡することで、データを安全に保つことに役立ちます。

よくある質問

SharePoint の「アクセスが拒否されました」エラーをトラブルシュートするには？

SharePoint のアクセス拒否エラーは、通常、権限の継承の問題、グループ メンバーシップの問題、または認証の失敗によって発生します。トラブルシュートは、Site Settings の Check Permissions 機能を使って、ユーザーが実際に持っている権限と本来持つべき権限を確認することから始めてください。よくある原因には、権限の継承が壊れていること（固有の権限がアクセスをブロックしている場合）や、管理者が知らないうちにユーザーがセキュリティ グループから削除されていることなどがあります。ブラウザのキャッシュをクリアし、シークレット（インコグニート）ウィンドウからアクセスして、認証トークンの問題を切り分けます。ユーザーがサイトの People and Groups セクションに存在するかを確認し、グループ メンバーシップが正しいことを検証してください。問題が解消しない場合は、SharePoint のログを調べて詳細なエラー情報を確認し、Microsoft 365 でユーザーのライセンス状態を確認します。権限の変更は、特に大規模な環境では反映されるまで時間がかかることがあります。アクセスの問題を調査するときは、常にグループ権限や継承設定を確認する前に、まずアイデンティティの検証から始めてください。

SharePoint グループを効果的に作成・管理するには？

SharePoint のグループを作成するには、権限の増殖（permission sprawl）やセキュリティ上の穴を防ぐために、慎重な計画が必要です。Site Settings にアクセスし、People and Groups をクリックして新しいグループを作成します。個人名ではなく業務機能を反映した、明確な命名規則を定義してください。最小権限の原則に基づいて、適切な権限レベル（Full Control、Contribute、Read）を割り当て、ユーザーが自分の役割に必要な最小限のアクセスのみを持つようにします。グループを作りすぎると管理が複雑になり、セキュリティ リスクも増えるため避けてください。代わりに、可能であれば集中管理のために SharePoint と同期する Active Directory security groups を使用します。グループの目的と所有（責任）の範囲を文書化し、説明責任を維持してください。グループのメンバーシップを定期的に監査して、使用されていないアカウントや過剰な権限を特定します。大規模な環境では、自動化されたプロビジョニング／デプロビジョニングのプロセスを導入し、グループ メンバーシップが常に最新の状態を保つようにしてください。効果的な SharePoint グループ管理は、「誰が、どのデータに、なぜアクセスする必要があるのか」を理解することから始まります。

SharePoint の権限を安全に変更するには？

SharePoint 権限 を変更するには、アクセスを妨げたりセキュリティ上の脆弱性を生み出したりしないために、体系的なアプローチが必要です。変更を行う前に、権限レポートや PowerShell スクリプトのようなツールを使って現在の権限を文書化してください。特に継承を破る場合や権限レベルを変更する場合は、必ずまず開発環境で権限変更をテストしてください。継承を破るときは、失われる権限を慎重に確認し、必要なアクセスをどのように復元するか計画します。可能な限り、個々のユーザー権限ではなく SharePoint グループを使用して、より簡単に管理でき、かつセキュリティを強化します。ユーザーへの影響を最小限に抑えるため、オフピーク時間帯に変更し、事前に影響を受けるユーザーへ変更内容を伝達してください。権限を変更した後は、ユーザーが引き続き必要なリソースにアクセスできること、およびセキュリティ要件が満たされていることを確認します。権限の問題を示している可能性のある「アクセス拒否」エラーについて、SharePoint のログを監視してください。権限の変更に対して変更承認プロセスを実装し、セキュリティガバナンスとコンプライアンス要件を維持します。

コンプライアンスのために SharePoint の権限を監査するにはどうすればよいですか？

SharePoint の権限を監査するには、アクセス権を包括的に可視化するために、標準のツールとサードパーティのソリューションの両方が必要です。サイト設定（Site Settings）を通じて SharePoint のネイティブな権限レポートを利用し、個々のサイト向けの基本的な権限レポートを作成します。エンタープライズ環境では、複数のサイト コレクション（site collections）にまたがって同時に権限を監査できる PowerShell スクリプトや専用ツールを導入してください。過剰な権限を持つユーザー、孤立アカウント（orphaned accounts）、および意図しないアクセス権を持つ可能性のある、継承が壊れている（broken inheritance）サイトの特定に注力します。機密データに誰がアクセスできるかを文書化し、そのアクセスがビジネス要件およびコンプライアンス上の義務と一致していることを確認してください。定期的な監査スケジュールを確立します。通常は高リスク環境では四半期ごと、標準的なビジネスサイトでは年1回です。グループの制御を回避する個別ユーザー権限や、不適切なアクセス権限レベルを持つ外部ユーザーなど、権限の異常を探します。権限違反に対処するための是正手順を作成し、コンプライアンス報告のために監査ログ（audit trails）を維持してください。効果的な SharePoint 監査 は、単に権限を確認するだけでなく、データへのアクセスパターンや潜在的なセキュリティリスクを理解するところまで広がります。

SharePoint の権限継承のベストプラクティスとは何ですか？

SharePoint の権限継承は、管理を簡素化しセキュリティリスクを低減するため、可能な限り維持するべきです。継承を破るのは、業務要件としてどうしても「固有の権限（unique permissions）」が必要な場合に限ってください。継承を破ると、管理の手間が増え、潜在的なセキュリティ上の欠落（ギャップ）につながる可能性があります。継承を破らざるを得ない場合は、業務上の正当性を文書化し、継続的な権限管理のための明確な所有者（責任者）を定めてください。サイト階層全体にわたって継承の破りを連鎖させないようにしてください。監査や保守が難しい複雑な権限構造を作ってしまうためです。継承が壊れているサイトであっても、個別の権限を割り当てるのではなく、SharePoint グループを一貫して使用します。固有の権限を持つサイトについては定期的な見直しを実施し、それらが引き続き業務要件とセキュリティ基準を満たしていることを確認してください。上位レベルで継承を破る代わりに、異なる権限要件を持つサブサイト（sub-sites）やライブラリを利用することも検討してください。継承を破ることによるセキュリティ上の影響についてサイト所有者を教育し、権限の変更には承認プロセスを必須にします。複数回の継承の破りがある複雑な階層よりも、より単純な権限構造のほうが安全で、管理もしやすいことを覚えておいてください。

特にSharePointグループの権限では、環境が単一のチームサイトから数百のサイト、ライブラリ、サブサイト、共有フォルダーへと拡大するにつれて、そのギャップを埋めるのが難しくなります。

ほとんどの組織は、不要になった機密データへのアクセスを自動的かつ即座に削除しません。 Netwrix 2026 Data and Identity Security Report はその割合を76％としています。

グループはその成長を管理する主要な手段です。チームサイトテンプレートから作成されたSharePointチームサイトには自動的に3つのデフォルトグループが含まれます：Owners、Members、Visitors。

その構造は個別の権限エントリを減らしますが、所有者が理由を記録せずに人を追加したり、一時的なタスクのために昇格したアクセス権を付与したりすると、依然としてずれが生じます。未確認のOwnersグループは、プロジェクト終了後も退職した契約者が数ヶ月間管理者権限を保持する原因です。

SharePointの権限グループの仕組み

管理者は、最小権限のニーズに合わせたカスタムグループを作成でき、歯車アイコン → サイトの権限から、カスタムグループと権限レベルのための完全な権限設定ページを使用して管理します。full permissions settings page for custom groups and permission levels.

グループは1つの権限レベルを共有アクセスに変えます

SharePoint グループは、そのメンバー全員に1つの権限レベルを適用します。レベルを一度割り当てると、現在および将来のすべてのメンバーが、誰かに削除されるかレベルが変更されるまで、正確にそのアクセス権を得ます。

そのアクセス権はグループに誰がいるかによって決まります

その継承は、関連しているが異なる2つのものも区別します。サイトの権限セット（すべてのグループと個別の付与をリスト）と、そのグループに割り当てられたレベルから来る各グループ自身の権限セットです。

1つの構造的な制限が、そのメンバーシップの組織方法を決定します。SharePointグループは他のSharePointグループを含むことができないため、管理者はそれらのグループをSharePointに追加する前に、Active Directory（AD）またはEntra IDのセキュリティグループで上流のネストを構成する必要があります。

その制限がアクセスを許可する2つの方法を生み出します

SharePoint グループは、サイト上で割り当てられた permission level を共有するユーザーの集合です。各 permission level は関連する権限をまとめ、そのレベルをグループに割り当てると、すべてのメンバーに拡張されます。管理者がユーザーをグループに追加すると、そのユーザーはグループの権限を継承し、削除するとそのアクセス権が一度に取り消されます。

グループメンバーシップは、複数のアイデンティティソースから来ることがあります：個々のSharePointユーザー、そしてActive Directory Domain Services (AD DS)、Microsoft Entra ID、Lightweight Directory Access Protocolバージョン3（LDAPv3）ベースのディレクトリ、アプリケーション固有のデータベース、およびMicrosoft accountのようなアイデンティティモデルがあります。組織やサイトの規模と複雑さに応じて、ユーザーを任意の数のグループに編成できます。

デフォルトのグループタイプ

• 訪問者: 読み取り専用

2番目のアプローチはディレクトリでメンバーシップ管理を集中化し、同じ人が複数のサイトにアクセスする必要がある場合に効果を発揮します。

このネスト制限により、管理者はグループを通じてサイトに権限を付与する方法が2つあります。1つ目はユーザーを直接SharePointグループに追加する方法です。2つ目は、Active Directory security グループにサイトへのアクセス権を与えることで、権限レベルを直接付与するか、すでに権限を持つSharePointグループに配置する方法です。

サイト テンプレートにはサイト レベルで事前定義されたグループを含めることができ、管理者はサイト コレクション内でそれらに権限を割り当てることができます。モダン チーム サイトのテンプレートと構成によっては、グループとその権限レベルには次のものが含まれる場合があります。

• メンバー: 編集
• 所有者: フルコントロール
• 閲覧者: 閲覧のみ

権限レベルがグループにマッピングされる方法

Ownersグループはサイト設定の変更、メンバーシップの管理、権限の変更ができます。メンバーはリスト項目やドキュメントの閲覧、追加、更新、削除が可能です。訪問者はページを開いてドキュメントをダウンロードできますが、変更はできません。

• 閲覧のみ：ページ、アイテム、ドキュメントを閲覧できますが、ダウンロードは制限されています。デフォルトグループ: Viewers。

古いSharePoint Serverテンプレートには、Enterprise Readers、Enterprise Members、Designers、Editors、Enterprise Ownersなどのレガシーグループが含まれており、Read、Contribute、Page Design、List Editing、Full Controlの権限があります。従来のオンプレミスファームの管理者はこれらのグループに遭遇することがあり、組み込みグループの権限レベルを変更できます。

• 閲覧：ページやアイテムを表示し、ドキュメントを開いてダウンロードします。デフォルトグループ：訪問者。
• 貢献：リスト項目とドキュメントの表示、追加、更新、削除。デフォルトグループ：メンバー（一部のテンプレートで）。

権限レベルは、すべてのグループの基礎となる要素です。各レベルは個別の権限の名前付きバンドルであり、管理者はサイト、リスト、またはライブラリの範囲でグループに1つ以上のレベルを割り当てることができます。Microsoftの参照におけるデフォルトレベルは次のとおりです。

• 編集：Contributeで許可されているすべてに加え、リストの追加、編集、削除が可能です。デフォルトグループ：Members。
• デザイン：サイトページの表示、追加、更新、削除、承認、およびカスタマイズ。デフォルトグループ：Designers、レガシーテンプレートで。

SharePoint グループと Microsoft 365 グループの比較

• フルコントロール： サイト設定、ユーザー、権限を含むすべての権限を管理します。デフォルトグループ：Owners。

Microsoft Teams または Outlook に接続されたチームサイトには、2つのメンバーシップシステムが並行して存在します。サイトには従来の SharePoint グループ（Owners、Members、Visitors）があり、複数のアプリでアクセスを制御する Microsoft 365 グループもあります。

モダン（Microsoft 365）グループとSharePointグループはサイトへの異なるアクセス権を付与します。Teamsでチームに誰かを追加すると、その人はMicrosoft 365グループに追加され、さらにサイトのメンバーグループに所属します。SharePointグループにのみ追加すると、Teamsのメンバーシップなしでサイトにアクセスできます。

SharePoint グループの表示場所

この区別は、Teamsからアップロードされたファイルまたはフォルダーへのアクセスを制御します。Teamsは標準チャネルのファイルを接続されたSharePointサイトに保存し、チームメンバーはMembersグループを通じてそれらにアクセスします。

可能な場合はデフォルトのレベルを使用し、権限戦略を計画してからカスタムを作成してください。戦略が多数のサイトにまたがる場合は、依存権限とロックダウンモードを考慮します。権限の継承は、管理者が継承を解除するまで、子サイト、リスト、アイテムが親から権限を受け取る方法を決定します。

サイトグループは一か所にまとめられています。サイトのどのページからでも、右上の歯車アイコンをクリックし、Site permissionsを選択してください。開いたパネルにはOwners、Members、Visitorsグループとその現在のメンバーが表示されます。

SharePoint グループの作成方法

3つのデフォルトでは実際のアクセス境界を表現できない場合に、例えば1つのライブラリに対してContributeアクセスに限定されたレビュー チームのようなカスタムグループを作成します。

フォルダーをチームの一部に制限するには、SharePoint サイト自体で作業してください。ライブラリまたはフォルダーの権限設定を開き、親からの権限の継承を停止し、カスタム SharePoint グループに希望のレベルを付与します。文書化されたアクセス要件を満たす最も狭い範囲で一意の権限を適用し、一意の権限があるフォルダーを記録してください。

1. グループ作成ページを開きます

同じ場所に現在のレベルが表示されます。Readではコンテンツを閲覧できますが編集はできません。Contributeではアイテムの追加や変更が可能ですが、Site settingsは利用できません。Full ControlではSite settingsの全メニューが表示されます。サイトがまったく開かない場合、そのサイトの権限レベルがなく、access-denied pageからサイト所有者にアクセスをリクエストできます。

歯車アイコンをクリックし、「サイトの権限」を選択してから、完全な権限設定ページを開きます。リボンで「グループの作成」を選択します。

カスタムグループおよび直接付与されたActive Directoryセキュリティグループを含む全体像を見るには、完全な権限設定ページを開いてください。そのビューの「People and Groups」ページは左ペインにサイト上のすべてのグループを一覧表示し、グループを選択するとメンバーと設定が表示されます。SharePoint Online permissions report はこのライブビューを完全なエクスポート可能な記録に変換します。

2. グループに名前を付け、所有者を設定します

3. メンバーシップを誰が閲覧・編集できるかを決定します

4. 権限レベルを割り当ててグループを作成します

名前と説明を入力してください。1年後には意味がなくなる個人名やプロジェクトコードではなく、業務機能を反映した名前（"Finance-Contracts-Reviewers"）を使用してください。グループ所有者を設定します。このアカウントは後でメンバーシップを管理できるため、役割アカウントまたは指定されたデータ所有者に所有権を割り当ててください。

SharePoint グループメンバーシップの変更方法

所有者のみがグループのメンバーシップを表示および編集できるか、すべてのグループメンバーができるかを選択します。次に、ユーザーがグループへの参加または脱退をリクエストできるか、および所有者がそのリクエストを承認する必要があるかを決定します。読み取り以上の場合は自動承認をオフにしてください。

サイトの権限セクションで、グループが持つべき権限レベルを選択します。作成をクリックします。新しいグループはすぐにPeople and Groupsに表示され、所有者が追加したユーザーはサイト上で割り当てられたレベルを取得します。

1. ユーザーをグループに追加します

メンバーシップの編集は最も頻繁なグループ作業であり、ドリフトが始まる場所でもあります。ユーザーの追加と削除、グループへのサイトアクセスの付与、新しい権限レベルの割り当て、サイト管理者の管理は、それぞれ以下で別々のアクションとして扱われます。

2. グループからユーザーを削除する

People and Groups で左ペインのグループ名をクリックし、新規作成とユーザーの追加をクリックします。1つ以上のユーザー名またはADセキュリティグループ名を入力し、Share をクリックします。SharePoint はデフォルトで招待メールを送信します。追加が定常的な場合は無効にしてください。

3. グループに割り当てられた権限レベルを変更する

グループを開き、削除したいユーザーの横にあるチェックボックスにチェックを入れて、[操作] をクリックし、[グループからユーザーを削除] を選択します。削除すると、そのグループを通じて付与されたアクセス権が取り消されます。

4. 既存のグループにサイトへのアクセス権を付与する

6. グループを退出する

5. サイト管理者を追加、変更、または削除する

完全な権限設定ページで、グループの横にあるチェックボックスにチェックを入れ、「ユーザー権限の編集」をクリックします。新しい権限レベルを選択して「OK」をクリックします。これでグループの全メンバーが新しいレベルを持つことになります。これはグループ全員のアクセスを一度に変更するため、管理された変更として扱い、一部のメンバーだけがより多くのアクセスを必要とする場合は、既存のグループを昇格させるよりも二つ目のグループを作成することを推奨します。

管理者は既存のSharePointグループに、そのサイトのリストとライブラリへのアクセス権を付与できます。また、ADまたはEntra IDのセキュリティグループに任意のサイトへのアクセス権を付与することも可能です。完全な権限設定ページで「権限を付与」をクリックし、グループ名を入力し、「オプションを表示」を展開して権限レベルを選択します。セキュリティグループの招待オプションは解除してください。

サイト コレクション管理者は、Owners グループが提供するアクセス権を超えて、コレクション内のすべてのサイトに対して完全な管理権限を持ちます。完全な権限の設定ページで Site Collection Administrators をクリックし、アカウントを追加または削除してから OK をクリックします。このリストは2～3の指定アカウントにとどめ、管理者が組織を離れるたびに見直してください。

SharePoint グループの削除方法

SharePointの権限グループ管理のベストプラクティス

グループベースのアクセスは、管理者がこれらの実践を一貫して適用する場合にのみ正当化され、グループが最初に作成されたときだけではありません：

グループ所有者がグループ作成時に退会リクエストを有効にしている場合、ユーザーは「People and Groups」を開き、グループを選択して設定メニューから「Leave Group」を選択できます。そうでない場合は、所有者が上記の手順で削除します。グループを退会すると、グループが付与するアクセスのみが削除され、サイトや個別のアイテムに対するユーザーへの直接付与はそのまま残ります。

確認する前に、2つのことをチェックしてください。まず、そのグループが現在の従業員がまだ必要とするコンテンツにアクセスする唯一の経路でないことを確認します。次に、メンバーリストをエクスポートするかスクリーンショットを撮って、削除前に誰が含まれていたかの記録を残してください。

目的が終了したグループ、例えばサイトがアーカイブされたプロジェクトグループを削除します。サイトの権限から、完全な権限設定ページを開き、「ユーザーとグループ」を選択します。グループを選択し、設定を開いてグループ設定を選択し、「削除」をクリックします。

• デフォルトを信頼する：Visitorsは閲覧者用、Membersはコンテンツを作成または編集するユーザー用、Ownersはサイトの責任者である2～3人です。このモデルはカスタム権限パスを制限し、サイト設定、ユーザー、権限の責任をOwnersグループに保持します。
• 共有前に共有解除を計画する：アドホック共有はOwnersのフォローアップ作業を生む可能性があるため、アクセス権を取り消す責任者を決めてください。サイトの権限設定で共有できる人を制限し、Membersにアクセス要求をgroup owner経由でルーティングするよう教育しましょう。
• 個別のアイテムではなくグループを通じてアクセスを付与する：グループは、コンテンツごとに個別に権限を割り当てるのではなく、サイト上で共同作業者に一連の権限を付与します。SharePoint group management guidance；個別の付与はメンバーシップのレビューも複雑にします。
• ビジネス機能に基づいてグループ名を付け、定期的にメンバーシップを見直してください：規制対象データを保持するサイトはより頻繁にレビューしてください。レビューでOwnersに予期しないメンバーが見つかった場合、誰がいつ追加したかを尋ねてください。変更監査がその答えを提供します。現在のメンバーシップページは現在のメンバーのみを表示します。
• ADまたはEntra IDのセキュリティグループからメンバーシップを取得し、：SharePointグループ内に配置された同期されたセキュリティグループは、joiner, mover, and leaver の変更がディレクトリから反映され、1回のメンバーシップレビューでグループが関わるすべてのサイトをカバーします。

NetwrixがSharePointの権限グループ管理を支援する方法

• サイトレベルで継承を維持する：サイトまたはサブサイトで継承を解除すると、管理者が親とは別に確認する必要がある2つ目の権限ツリーが作成され、上位で行われた変更を受け取らなくなります。コンテンツの一部に異なるアクセスが必要な場合は、特定のライブラリまたはフォルダーで継承を解除し、その理由を記録し、コンテンツが既に配置されてからではなく、事前にその構造を決定してください。

誰がいつグループメンバーシップを変更したかを追跡

高リスクグループの変更に関するアラート

これは、People and Groups ページの現在の状態ビューを補完します。サイト所有者がMembersで見慣れないアカウントを見つけた場合、周囲に尋ねる代わりに記録された変更を検索できます。

Netwrix Auditorは、影響を受けたユーザー、グループ、タイムスタンプ、および変更を行ったアカウントを含め、SharePointグループへの追加および削除を記録します。また、権限レベルの再割り当てや継承の中断も監査します。

上記はある時点でのグループメンバーシップを管理しますが、誰がいつ何を変更したかは示しません。Netwrix Auditor は、そのギャップを埋めるオンプレミスの変更監査プラットフォームで、SharePointグループのメンバーシップと権限の継続的な監査を提供し、インタラクティブな検索とコンプライアンスレポートを備えています。30分で展開でき、数時間で最初のレポートが得られます。

長期間にわたるグループメンバーシップの履歴を確認する

設定されたアラートは、特権グループへのユーザー追加、グループの権限レベルの引き上げ、サイトコレクション管理者の追加など、監査された高リスクの変更についてチームに通知できます。この可視性により、セキュリティチームは次回の予定されたメンバーシップレビュー前に潜在的なエスカレーションを確認できます。管理者は規制対象データを保持するサイトにレビューを集中させ、重要な変更に注意を向けることができます。

インシデント後にアカウントが不正アクセスを得た経路の追跡

ネイティブの監査保持または検索制限により以前のグループ変更へのアクセスが制限される場合、Netwrix Auditorの記録された変更履歴が調査をサポートします。監査者は利用可能な保持記録を検索して、18か月前にサイトのOwner権限を持っていた人を確認できます。

過去のメンバーシップレポートは四半期ごとのaccess reviewsを迅速化します。レビュアーは前回のレビュー以降の記録された変更と現在のメンバーシップを比較できるためです。

侵害または内部関係者の疑いがあるイベントの後、調査担当者はアカウントがどのようにデータにアクセスしたかを特定する必要があります。Netwrix Auditorのメンバーシップ変更履歴は、誰がアカウントをグループに追加したか、どのグループが関与しているか、変更を行ったのは誰かなどのメンバーシップの更新を記録します。

CoastHills Credit Unionは、Netwrix Auditorの完全な導入にSharePointを含め、監査手続きで毎月10時間を節約しました。その時間を取り戻すことで、監査の人件費を削減し、ITチームがより価値の高いセキュリティ優先事項に集中できるようになります。

SharePointの権限グループ管理の要点

NetwrixはSharePointの権限レベルの変更も個別に監査します。監査された活動は、アクセス変更後に何が起こったかも示すことができます。調査者は各ログを個別に確認する代わりに、記録されたSharePointの活動と関連するActive DirectoryまたはEntra IDの変更を検索できます。

持続可能なSharePointの権限モデルには、明確な所有権、グループベースのアクセス、限定された継承の中断、定期的なレビュー、検索可能な変更記録が必要です。カスタムグループと固有の権限を棚卸しし、各例外に所有者を割り当て、組織がアクセス変更の証拠をどのくらい保持するかを決定することから始めましょう。

デモをリクエストして、Netwrixが現在のSharePoint権限を保持された変更履歴と連携し、監査指摘になる前にドリフトを修正する方法をご覧ください。