Microsoft の旗艦生産性スイート Microsoft 365（旧称 Office 365）では、コンテンツ共有やコラボレーションを妨げる従来の業務サイロを解消することを目指しています。SharePoint Online と OneDrive for Business が相互に連携することで、ユーザーは組織の内外を問わず幅広い同僚と共同作業を行えます。
厳選した関連コンテンツ：
ファイル共有にはメリットがある一方で、いくつかのリスクもあります。ファイルが誤って、または意図的に誤ったユーザーと共有されてしまったらどうしますか？ユーザーが機密情報を誤って取り扱ったらどうなるでしょうか？ゲストユーザーをどのように確実に管理し続けることができるでしょうか？
共有に関するセキュリティ上の懸念を軽減するには、Microsoft 365 の 2 つの共有メカニズムをどのように構成するかを理解することが重要です。
- ゲスト アクセス: Microsoft 365 のグループまたは Microsoft Teams
- 外部共有: 特定の SharePoint および OneDrive のアセットへのリンクを外部の相手と共有すること
この記事では、重要なデータのセキュリティを損なうことなく、ビジネスの継続性を確保するために、Microsoft 365 でゲスト ユーザーと外部アクセスを管理する方法を説明します:
- Microsoft 365 におけるゲスト アクセス
- ゲスト アクセス機能を有効化または制限する方法
- グループにゲスト ユーザーを追加する方法
- ゲスト ユーザーはどの程度のアクセス権限を持っていますか？
- Microsoft 365 の外部共有：SharePoint Online
- テナント全体の共有を管理する方法
- SharePoint 管理センターを使用する
- Microsoft 365 管理センターを使用する
- Azure AD を使用する
- 外部ユーザーによる SharePoint Online のサイト レベル アクセスを管理する方法
- サイトの外部共有設定を変更する方法
- ユーザーのドメインに基づいてサイトへのアクセスを制限する方法
- テナント全体の共有を管理する方法
- OneDrive for Business の外部共有
- OneDrive のテナント全体の共有を管理する方法
- SharePoint 管理センターから OneDrive の共有を構成する方法
- OneDrive 管理センターを通じて OneDrive 共有を設定する方法
- 個々の OneDrive に対する外部共有を管理する方法
- OneDrive のテナント全体の共有を管理する方法
- 重要データの不正な外部共有リスクを軽減する方法
- よくある質問
Microsoft 365 におけるゲスト アクセス
バックエンドでは、Microsoft 365 グループは Azure のオブジェクトです Active Directory（Azure AD）。Azure AD の各グループ オブジェクトには、次のような一意の識別情報が含まれます。:
- グループ所有者に関する情報
- 関連リソースの URL
- ゲスト アカウントを含むグループ メンバーの一覧
厳選した関連コンテンツ：
ゲスト アクセス機能を有効化または制限する方法
既定では、Microsoft 365 テナントでゲスト アクセス機能が有効になっています。つまり、Microsoft 365 グループの所有者は、ビジネス用または個人用のメール アカウントを持つ任意のユーザーを招待して、グループのゲスト メンバーにすることができます。
Microsoft 365 管理者として、Microsoft 365 管理センターの Microsoft 365 Groups ページに移動して、テナントの外部アクセスのレベルを設定できます。Services and Add-ins の下で、ゲスト アクセスを完全に無効にするかどうか、およびグループの所有者がゲスト ユーザーを招待できるかどうかを制御できます。
PowerShell を使用して、ゲスト アクセスに関するポリシーを制限することもできます。たとえば、次のようにできます。
- ゲスト ユーザーが特定のグループにアクセスできないようにします。
- 特定のドメインからの外部ゲストをブロックします。
ゲスト ユーザーをグループに追加する方法
グループの任意のメンバーは、Office 365 groupの外部ユーザーをゲスト アクセス用に指名できますが、ゲスト アクセスを許可できるのはグループ所有者のみです。グループにゲスト ユーザーを追加する手順は次のとおりです：
- グループ所有者またはグループ メンバーは、Groups > Add Members コマンドを使用して、ユーザーのメール アドレスを入力することで外部ユーザーをメンバーとして指名します。
- グループ所有者は、ゲストが参加した場合に受け取るアクセス権限を確認し、指名を承認します。
- ゲストは歓迎メールを受け取り、グループ活動への参加を開始できます。
ゲスト ユーザーのアクセス権レベルはどの程度ですか？
Microsoft 365 グループのゲスト メンバー：
- SharePoint のチーム サイトなど、グループのサイトに直接アクセスすることはできません。
- 電子メール受信トレイに送信される会話やグループ カレンダーの招待を通じて、グループ活動に参加できます。
- 管理者が必要なファイル共有権限を有効にしている場合、添付ファイルやリンクなど、電子メール メッセージに含まれる共有ファイルにアクセスできます
Microsoft 365 における外部共有：SharePoint Online
SharePoint Online の外部共有機能は、2 つのレベルで管理できます：
- Microsoft 365 テナント全体にわたって、SharePoint Admin Center、Microsoft 365 管理センター、または Azure AD のいずれかを通じて管理する
- サイト レベルで
テナント全体の共有を管理する方法
SharePoint 管理センターの使用
テナント全体の外部共有設定を構成するには、SharePoint 管理センターの Sharing ページに移動します。このページの External sharing セクションには、SharePoint におけるテナント全体の共有レベルを制御できるオプションが含まれています：
- 組織のユーザーのみ：外部共有をオフにし、共有を社内ユーザーのみに制限します。これは SharePoint のコミュニケーション サイトおよびクラシック サイトの既定の設定です。セキュリティのベストプラクティスとして、このオプションを選択してテナント全体の外部共有をオフにすることを推奨します。
- 既存のゲスト：すでに Azure AD に追加されている外部ユーザーとの共有を許可します。既存のゲストは、過去に共有招待を受け入れて Azure AD に参加した場合、または Azure ポータルで管理者によってゲスト ユーザーとして追加された場合があります。このオプションでは、ゲストが共有アセットにアクセスできるようになる前に、有効な資格情報で Microsoft 365 に認証することが必要です。
- 新規および既存のゲスト: サイト所有者とユーザーに対して、外部ユーザーとサイトを共有するための完全な制御権限を付与します。サイトのユーザーは、外部ユーザーと共同作業するために、ファイルやフォルダーを共有することもできます。
- 誰でも: リソースリンクを持つ誰でもがリソースにアクセスし、リンクを他の人に転送できるようにします。このオプションはデフォルトで選択されていますが、外部共有の設定を 組織内のユーザーのみ に変更することをおすすめします。誰でも のオプションを選択したままにすると、匿名の未認証ユーザーとの無制限な共有につながり、機密データが危険にさらされる可能性があるため注意してください。
共有を 誰でも に許可する場合は、次の推奨の詳細設定を構成することで、ドキュメント管理とセキュリティを向上させることができます：
- 誰でも リンクを一定期間後に期限切れに設定します。
- ゲストリンクを制限して、ファイルとフォルダーの閲覧アクセスのみを許可します。
- デフォルトのリンクを 組織内のユーザーのみがアクセスできるように制限します。
- ATP の安全な添付ファイル機能を有効にします。
- 「blocked domains」からのユーザーとの外部共有を制限します。
Microsoft 365 管理センターを使用する
Microsoft 365 管理センターに移動して Settings > Services & add-ins > Sites を選択すると、SharePoint のテナント レベルの共有も設定できます。このページでは、SharePoint 管理センターと同じ外部共有オプションを設定できます。
Azure AD を使用する
SharePoint への外部アクセスを最大限に制御するには、Azure AD で共有設定を構成します。Azure AD の共有構成は、次の 2 つの方法のいずれかで進められます。
- SharePoint に、Azure B2B とは独立した独自の外部共有リストを使用させ、Azure AD で組織関係（organizational relationships）の設定を構成します。Azure ポータルにサインインして Azure Active Directory > Overview > Organizational relationships に移動します。Settings ページに移動し、組織で使用したい SharePoint Online の外部共有設定を定義します。
- SharePoint に、Azure B2B で定義された外部共有設定を使用させ、Azure AD で B2B コラボレーションを構成します。
ヒント: Azure AD で構成した共有設定は、Microsoft 365 管理センターまたは SharePoint 管理センターで構成した共有設定より優先されます。たとえば、Microsoft 365 管理センターでは外部共有を許可している一方で、Azure AD では外部共有を無効にしている場合、Azure AD の設定が優先され、組織での外部共有はオフになります。
外部ユーザーによる SharePoint Online のサイト レベル アクセスを管理する方法
テナント全体の共有ポリシーを設定することに加えて、特定の SharePoint サイトに対する外部共有をさらに制限することもできます。そのためには、全体管理者または SharePoint 管理者の特権が必要です。サイト所有者は、サイトの外部共有設定を変更できません。
サイトの外部共有設定を変更する方法
- SharePoint 管理センターで Sites > Active Sites に移動します。
- サイト名の横にあるチェックボックスを選択します。
- ページ右上の「i」アイコンをクリックします。
- 共有オプションの一覧から、希望する共有レベルを選択します。これは、テナント全体の構成で利用できる同じ4つの共有オプションです。
ヒント: 特定サイトの外部共有設定は、テナント レベルの設定と同じか、それよりも厳しくする必要があります。たとえば、テナント全体の共有が 既存のゲスト に制限されている場合、特定サイトの共有設定を 組織内のユーザーのみ に変更することはできますが、どなたでも のような、より許可的なオプションに変更することはできません。
もう1つの典型的なユースケースでは、全体管理者または SharePoint 管理者が、特定のネットワーク ドメインに属する外部ユーザーによる特定サイトへのアクセスを制限する必要があります。たとえば、Client A のドメインのユーザーは、Client B との共同共有のために特別に設計されたサイトにアクセスできないようにする必要があります。
ユーザー ドメインに基づいてサイトへのアクセスを制限する方法
- SharePoint の管理センターで、Sites > Active Sites に移動します。
- サイト名の横にあるチェックボックスを選択します。
- Policies タブに移動します。
- External sharing の下で Edit をクリックします。
- Advanced settings for external sharing の下で Limit external sharing by domain の横にあるチェックボックスを選択します。
- クリック ドメインを追加。
- 次を選択 特定のドメインのみ許可。
- 許可リストに追加する各ドメインの完全修飾ドメイン名（FQDN）を入力してください。一覧にあるドメインのユーザーだけが、このサイトへの招待の対象となります。
OneDrive for Business での外部共有
OneDrive for Business は、複数のデバイス間でファイルを保存して同期するために利用できる個人用リポジトリです。つまり OneDrive は、クラウド ストレージにファイルを保存し、どのデバイスからでも取り出せるようにする「ホーム ディレクトリ」や「個人用マップド ドライブ」のように機能します。
多くの顧客は、他のユーザーとアイテムを共有するためにも OneDrive を利用していますが、OneDrive は本来、この目的のために設計されたものではありません。管理者として、組織内で外部ユーザーが OneDrive のファイルにアクセスできる権限のレベルを決定できます。
OneDrive のテナント全体の共有を管理する方法
テナント全体の共有設定は、Microsoft 365 アカウント内のユーザーに対するすべての OneDrive インスタンスに適用されます。OneDrive のこれらの共有設定は、次の 2 つのポータルで構成できます。
- SharePoint 管理センターの Sharing ページ（Microsoft は、このページを使用して OneDrive の共有設定を構成することを推奨しています）
- の 共有 ページ（ OneDrive 管理センター
SharePoint 管理センターを通じて OneDrive の共有を構成する方法
「SharePoint 管理センターを通じてテナント全体の共有を管理する方法」で先に説明した手順とガイドラインに従ってください。OneDrive は SharePoint と同じ4つの共有オプションを提供します。
ヒント: OneDrive の共有レベルは、SharePoint の共有レベルと同じか、それよりも厳格である必要があります。たとえば、SharePoint のテナント全体の共有が Existing guests に設定されている場合は、OneDrive は同じ設定か、より厳格な Only people in your organization 設定のみを使用するように構成できます。
OneDrive 管理センターを通じて OneDrive の共有を構成する方法
- 次に OneDrive admin center にログインします。
- 次の Sharing
ここでは、OneDrive の外部共有レベルを設定し、次のようなよりきめ細かな共有コントロールを構成できます。
- ユーザーがファイルを共有したときにデフォルトで生成されるリンクの種類
- リンクの有効期限
- 外部に OneDrive のファイルまたはフォルダーを共有するリンクに、編集およびアップロードの権限を許可するかどうか
- 共有招待を受け取ることを許可またはブロックする特定のドメイン
- 外部ユーザーが、共有招待を受信して受け入れる際に同じアカウントを使用する必要があるかどうか
- 外部ユーザーが所有していないコンテンツを共有できるかどうか
- コンテンツ所有者が、自分のコンテンツを閲覧したユーザーの一覧を監査できるかどうか
特定の OneDrive に対する外部共有の管理方法
特定ユーザーの OneDrive の共有レベルをカスタマイズするには、Microsoft 365 管理センターを使用します：
- 全体管理者または SharePoint 管理者の権限で Microsoft 365 管理センターにサインインします。
- 次へ移動：ユーザー > アクティブユーザー。
- 共有レベルを変更したい OneDrive ユーザーを選択します。
- OneDrive タブに移動します。
- Manage sharing を選択し、Sharing セクションの下で操作します。
- 外部共有レベルを設定し、変更内容を保存します。
ヒント： 個別の OneDrive の外部共有レベルは、OneDrive 全体（テナント全体）で設定された共有レベルと同等か、より厳格である必要があります。
重要データの無許可の外部共有によるリスクを軽減する方法
データを分類することで、重要なデータがどこに保存されているのかを把握できます。たとえば、特定の SharePoint Online サイトやサイト コレクション、あるいは外部ユーザーと共有されている OneDrive for Business のフォルダーに、機密データが含まれているかどうかを確認できます。この洞察により、そこに保存されているデータの機密性と価値に応じて、外部共有を設定できるようになります。
包括的かつ正確なデータ発見と分類を確実に行うには、Netwrix Data Classification のような高度なソリューションを選択してください。自動化され、高い精度を備えたデータ タグ付けにより、適切な共有設定を選べるだけでなく、ユーザーが必要なデータを簡単に見つけられるようになります。さらに、タグ付けは data loss prevention（DLP）、情報権利管理、 records management およびその他の data governance ソリューション（すでに組織で使用している、または導入を計画しているもの）の有効性も高めます。また、ワークフローを設定して、SharePoint Online と OneDrive for Business のリポジトリから過度に露出したデータを、指定した隔離エリアへ自動的に移動させることも可能です。
よくある質問（FAQ）
Microsoft 365 のゲスト ユーザーとは誰ですか？
ゲストとは、Microsoft 365 グループの所有者が、そのユーザーに対して権限を付与し、グループの会話、予定表の招待、 file sharing、およびノートブックのアクティビティに参加できるようにした外部ユーザーのことです。Microsoft 365 のゲスト ユーザーは、Office 365 のゲスト ユーザーと同じです。
Microsoft 365 の外部共有とは何ですか？
外部共有とは、SharePoint Online と OneDrive のユーザーが、外部ユーザーにファイルやフォルダーへのアクセス リンクを共有できることを指します。SharePoint サイト所有者は、外部ユーザーに対してサイトへのアクセス権を共有することもできます。
Microsoft 365 テナント内のゲスト ユーザー一覧を取得するにはどうすればよいですか？
次のいずれかを行えます。
- Microsoft 365 管理センターの Guests page にアクセスします。
- Azure AD 用の PowerShell を使用し、スクリプト を実行します。このスクリプトは Get-AzureADuser コマンドレットを体系的に使い、ゲスト ユーザーの一覧を CSV ファイルに出力します。
SharePoint Online にアクセスできる外部ユーザーをどのように確認しますか？
「SharePoint Search Query Tool」をダウンロードし、この Microsoft のサポート記事 に記載されている手順に従って、外部ユーザーがアクセスできるすべてのリソースの一覧を取得します。
Microsoft 365 でファイルの外部共有を制限できますか？
はい。組織に対して外部共有を完全にオフにすることができます。外部共有を制限する方法もあります。たとえば、次のようにできます：
- 有効な認証情報を提示する Azure AD ゲストのみに共有する
- ファイル共有リンクを「閲覧のみ」の権限で構成する
- 特定のネットワーク ドメインにいるユーザーが共有招待を受け取れないようにする
Microsoft 365 で外部共有を管理するにはどうすればよいですか？
全体管理者または SharePoint 管理者として、PowerShell または次のポータルのいずれかを使用して外部共有を管理できます：
- SharePoint 管理センター
- Microsoft 365 管理センター
- OneDrive 管理センター
- Azure ポータル
共有する
もっと詳しく
著者について
Jeff Melnick
システムエンジニアリング ディレクター
Jeff は Netwrix における Global Solutions Engineering の元ディレクターです。彼は長年にわたり Netwrix のブログ執筆者であり、講演者、プレゼンターとしても活躍しています。Netwrix のブログでは、Jeff がシステム管理の体験を大きく改善できるライフハックや、役立つヒント、ちょっとしたコツを共有しています。