SharePoint の権限グループ

SharePoint groups を理解する

Microsoft SharePoint のグループを使うと、個々のユーザーではなくユーザーの集合を管理できます。グループには、個々の SharePoint ユーザーに加えて、Active Directory Domain のような、あらゆる ID 管理またはドメイン サービス システムのユーザーやグループを含めることができます。Active Directory Domain Services (AD DS)、LDAPv3 ベースのディレクトリ、アプリケーション固有のデータベース、Windows Live ID のようなアイデンティティ モデルなどです。

組織やサイトの規模と複雑さに応じて、ユーザーを任意の数のグループに整理できます。ただし、SharePoint のグループには別の SharePoint のグループを含めることはできません（つまりネストできません）。

グループを通じて SharePoint サイトに permissions を割り当てる方法は 2 つあります。1 つ目はユーザーを SharePoint のグループに追加すること、2 つ目は AD security グループのアクセス権をサイトに直接付与するか、サイトに対する権限を持つ SharePoint のグループにそのグループを入れることです。

組み込みの SharePoint グループ

SharePoint には複数の組み込みグループが含まれています。これらは SharePoint のサイト レベルに存在し、所属しているサイト コレクション内で権限を割り当てることができます。あらかじめ定義されたグループのセットは、使用しているサイト テンプレートによって異なります。たとえば、ここではチーム サイトの事前定義グループと、SharePoint サイトに対するそれらの既定の権限を示します。

• 閲覧者 — 読み取り権限があります
• メンバー — 編集権限があります
• 所有者 — フル コントロール権限があります
• 閲覧者 — 表示のみの権限があります

ここでは、ニュースフィード サイト テンプレートの事前定義済みグループと、それらの既定の権限を示します。

• エンタープライズ閲覧者 — 読み取り権限があり、ページやドキュメントを表示でき、ドキュメントをダウンロードすることもできます
• エンタープライズ メンバー — 投稿権限があり、一覧項目やドキュメントを表示、開く、追加、更新、削除できます
• デザイナー — ブラウザーまたは SharePoint Designer を使用して、サイト ページのレイアウトを表示、追加、更新、削除、承認、カスタマイズできます
• 編集者 — リストを追加、編集、削除できます。また、SharePoint の一覧項目やドキュメントを表示、追加、更新、削除できます
• Enterprise Owners — サイトに対するフルコントロール権限を持っています

これらの内蔵グループは、異なる権限レベルを割り当てることで変更できる点に注意してください。

ベストプラクティス

権限を管理するためのベストプラクティスは、情報の閲覧だけが必要な通常ユーザーを Visitors グループに追加し、ドキュメントの作成または編集が必要なユーザーを Members グループに追加することです。これは、Members グループのユーザーは項目やドキュメントを追加・変更・削除できますが、サイトの構造、設定、または外観は変更できないためです。同様に、Visitors グループのユーザーはページ、ドキュメント、項目を閲覧できますが、追加または削除の操作は実行できません。

SharePoint グループを作成する

SharePoint グループを作成するには、サイト設定（Site Settings）で「サイト権限（Site Permissions）」に移動し、「グループを作成（Create Group）」ボタンをクリックします。グループの名前と説明を入力してください。次に、グループの所有者、グループのメンバーシップを表示および編集できるユーザー、ユーザーがメンバーシップの申請またはグループからの脱退の申請を行えるかどうか、そしてサイトに対するグループの権限を指定します。最後に「作成（Create）」をクリックしてグループを作成します。

SharePoint グループを削除する

グループを削除するには、サイト設定（Site Settings）の「ユーザーとグループ（People and Groups）」メニューを使用します。グループを選択し、「編集（Edit）」ボタンをクリックしてから、「削除（Delete）」ボタンをクリックします。

グループのメンバーシップを変更する

SharePoint グループにメンバーを追加するには、「People and Groups」メニューから、左側のペインでグループ名をクリックし、その後、下に示すとおり「New」と「Add Users」をクリックします。グループに追加したい1つ以上のユーザー名を入力し、最後に「Share」をクリックしてください。

グループからユーザーを削除するには、削除したいユーザーを選択し、「Actions」をクリックしてから、「Remove Users from Group」をクリックします。

まとめ

SharePoint のグループを使用することは、ユーザー アカウントに対して個別のアイテム レベル権限を割り当てるよりも、はるかに簡単で安全なアクセス制御方法です。グループを適切に設定し、権限とグループ メンバーシップに加えられるすべての変更を追跡することで、データを安全に保つことに役立ちます。

よくある質問

SharePoint の「アクセスが拒否されました」エラーをトラブルシュートするには？

SharePoint のアクセス拒否エラーは、通常、権限の継承の問題、グループ メンバーシップの問題、または認証の失敗によって発生します。トラブルシュートは、Site Settings の Check Permissions 機能を使って、ユーザーが実際に持っている権限と本来持つべき権限を確認することから始めてください。よくある原因には、権限の継承が壊れていること（固有の権限がアクセスをブロックしている場合）や、管理者が知らないうちにユーザーがセキュリティ グループから削除されていることなどがあります。ブラウザのキャッシュをクリアし、シークレット（インコグニート）ウィンドウからアクセスして、認証トークンの問題を切り分けます。ユーザーがサイトの People and Groups セクションに存在するかを確認し、グループ メンバーシップが正しいことを検証してください。問題が解消しない場合は、SharePoint のログを調べて詳細なエラー情報を確認し、Microsoft 365 でユーザーのライセンス状態を確認します。権限の変更は、特に大規模な環境では反映されるまで時間がかかることがあります。アクセスの問題を調査するときは、常にグループ権限や継承設定を確認する前に、まずアイデンティティの検証から始めてください。

SharePoint グループを効果的に作成・管理するには？

SharePoint のグループを作成するには、権限の増殖（permission sprawl）やセキュリティ上の穴を防ぐために、慎重な計画が必要です。Site Settings にアクセスし、People and Groups をクリックして新しいグループを作成します。個人名ではなく業務機能を反映した、明確な命名規則を定義してください。最小権限の原則に基づいて、適切な権限レベル（Full Control、Contribute、Read）を割り当て、ユーザーが自分の役割に必要な最小限のアクセスのみを持つようにします。グループを作りすぎると管理が複雑になり、セキュリティ リスクも増えるため避けてください。代わりに、可能であれば集中管理のために SharePoint と同期する Active Directory security groups を使用します。グループの目的と所有（責任）の範囲を文書化し、説明責任を維持してください。グループのメンバーシップを定期的に監査して、使用されていないアカウントや過剰な権限を特定します。大規模な環境では、自動化されたプロビジョニング／デプロビジョニングのプロセスを導入し、グループ メンバーシップが常に最新の状態を保つようにしてください。効果的な SharePoint グループ管理は、「誰が、どのデータに、なぜアクセスする必要があるのか」を理解することから始まります。

SharePoint の権限を安全に変更するには？

SharePoint 権限 を変更するには、アクセスを妨げたりセキュリティ上の脆弱性を生み出したりしないために、体系的なアプローチが必要です。変更を行う前に、権限レポートや PowerShell スクリプトのようなツールを使って現在の権限を文書化してください。特に継承を破る場合や権限レベルを変更する場合は、必ずまず開発環境で権限変更をテストしてください。継承を破るときは、失われる権限を慎重に確認し、必要なアクセスをどのように復元するか計画します。可能な限り、個々のユーザー権限ではなく SharePoint グループを使用して、より簡単に管理でき、かつセキュリティを強化します。ユーザーへの影響を最小限に抑えるため、オフピーク時間帯に変更し、事前に影響を受けるユーザーへ変更内容を伝達してください。権限を変更した後は、ユーザーが引き続き必要なリソースにアクセスできること、およびセキュリティ要件が満たされていることを確認します。権限の問題を示している可能性のある「アクセス拒否」エラーについて、SharePoint のログを監視してください。権限の変更に対して変更承認プロセスを実装し、セキュリティガバナンスとコンプライアンス要件を維持します。

コンプライアンスのために SharePoint の権限を監査するにはどうすればよいですか？

SharePoint の権限を監査するには、アクセス権を包括的に可視化するために、標準のツールとサードパーティのソリューションの両方が必要です。サイト設定（Site Settings）を通じて SharePoint のネイティブな権限レポートを利用し、個々のサイト向けの基本的な権限レポートを作成します。エンタープライズ環境では、複数のサイト コレクション（site collections）にまたがって同時に権限を監査できる PowerShell スクリプトや専用ツールを導入してください。過剰な権限を持つユーザー、孤立アカウント（orphaned accounts）、および意図しないアクセス権を持つ可能性のある、継承が壊れている（broken inheritance）サイトの特定に注力します。機密データに誰がアクセスできるかを文書化し、そのアクセスがビジネス要件およびコンプライアンス上の義務と一致していることを確認してください。定期的な監査スケジュールを確立します。通常は高リスク環境では四半期ごと、標準的なビジネスサイトでは年1回です。グループの制御を回避する個別ユーザー権限や、不適切なアクセス権限レベルを持つ外部ユーザーなど、権限の異常を探します。権限違反に対処するための是正手順を作成し、コンプライアンス報告のために監査ログ（audit trails）を維持してください。効果的な SharePoint 監査 は、単に権限を確認するだけでなく、データへのアクセスパターンや潜在的なセキュリティリスクを理解するところまで広がります。

SharePoint の権限継承のベストプラクティスとは何ですか？

SharePoint の権限継承は、管理を簡素化しセキュリティリスクを低減するため、可能な限り維持するべきです。継承を破るのは、業務要件としてどうしても「固有の権限（unique permissions）」が必要な場合に限ってください。継承を破ると、管理の手間が増え、潜在的なセキュリティ上の欠落（ギャップ）につながる可能性があります。継承を破らざるを得ない場合は、業務上の正当性を文書化し、継続的な権限管理のための明確な所有者（責任者）を定めてください。サイト階層全体にわたって継承の破りを連鎖させないようにしてください。監査や保守が難しい複雑な権限構造を作ってしまうためです。継承が壊れているサイトであっても、個別の権限を割り当てるのではなく、SharePoint グループを一貫して使用します。固有の権限を持つサイトについては定期的な見直しを実施し、それらが引き続き業務要件とセキュリティ基準を満たしていることを確認してください。上位レベルで継承を破る代わりに、異なる権限要件を持つサブサイト（sub-sites）やライブラリを利用することも検討してください。継承を破ることによるセキュリティ上の影響についてサイト所有者を教育し、権限の変更には承認プロセスを必須にします。複数回の継承の破りがある複雑な階層よりも、より単純な権限構造のほうが安全で、管理もしやすいことを覚えておいてください。