SharePoint のアクセス許可（permissions）を理解する

SharePoint のアクセス許可（permissions）の目的

SharePoint のアクセス許可（permissions） により、従業員、パートナー、第三者のサプライヤーなどが、お使いの SharePoint コンテンツにアクセスできる範囲が制御されます。特定の情報を読める人と読めない人を選択できます。SharePoint のアクセス許可（permissions）は、リストやドキュメント ライブラリにデータを表示することだけでなく、検索結果やユーザー インターフェイスにまで及びます。たとえば、特定のドキュメント リストに対するアクセス許可（permissions）がない場合、検索結果にはそのリストのドキュメントが一切表示されません。このアクセス許可（permissions）の仕組みにより、閲覧や配布をしてはいけない人から機密データを保護するのに役立ちます。

SharePoint 管理ロール

以下の図は、主要な SharePoint 管理者ロールそれぞれが管理できるシステム コンポーネントを示しています:

以下は、SharePoint サーバー コンポーネントと、それに対応する管理ロールです:

サーバーおよびファーム ロール

• Windows Administrators — SharePoint を Windows Server にインストールすると、そのサーバー上のローカル Administrators グループが自動的に SharePoint Farm Administrators グループへ追加されます。その結果、これらのローカル管理者（Windows Administrators）は SharePoint ファームに対してフルコントロール権限を持ちます。つまり、アプリケーションやソフトウェアをインストールし、Internet Information Services (IIS) の Web サイトおよび Windows サービスを管理できます。ただしデフォルトでは、サイト コンテンツにはアクセスできません。
• Farm Administrators — Farm Administrators グループのメンバーは、すべての SharePoint ファームに対してフルコントロール権限を持ちます。つまり、サーバー ファームに対する SharePoint Central Administration で、あらゆる管理タスクを実行できます。たとえば、サービス アプリケーション、機能、サイト コレクションを管理する管理者を割り当てることができます。このグループは個々のサイト、サイト コレクション、およびそれらのコンテンツにはアクセスできませんが、Farm Administrator は、Application Management ページでサイト コレクションの Administrators グループに自分自身を追加するだけで、任意のサイト コレクションの所有権を簡単に取得し、そのコンテンツに対するフル アクセスを得ることができます。

共有サービスのロール

• サービス アプリケーション管理者 — これらの管理者はファーム管理者によって選ばれます。彼らはファーム内の特定のサービス アプリケーションについて設定を構成できます。ただし、サービス アプリケーションの作成はできず、ファーム内の他のサービス アプリケーションにアクセスしたり、トポロジ変更などのファーム レベルの操作を実行したりすることはできません。たとえば、ファーム内の検索アプリケーションのサービス アプリケーション管理者は、そのアプリケーションに対する設定のみを構成できます。
• 機能管理者 — 機能管理者は、サービス アプリケーションの 1 つまたは複数の特定の機能に関連付けられます。これらの管理者は、サービス アプリケーション設定の一部を管理できますが、サービス アプリケーション全体は管理できません。たとえば、機能管理者は User Profile サービス アプリケーションの Audiences 機能を管理することができます。

Web アプリケーションのロール

Web アプリケーション レベルには固有の管理者グループはありませんが、ファーム管理者は自分のスコープ内にある Web アプリケーションを制御できます。Farm Administrators グループのメンバーおよびローカル サーバー上の Administrators グループのメンバーは、Web アプリケーション レベルで個々のユーザーにアクセス許可を付与するポリシーを定義できます。次のポリシーが利用可能です:

• 匿名ポリシー — ドメインで認可されていないユーザーに適用するアクセス制限を定義します。つまり、ポリシーなし、書き込みアクセスの拒否、またはすべてのアクセスの拒否です。
• 権限ポリシー — サイト、ライブラリ、リスト、フォルダー、アイテム、ドキュメント、またはその他のエンティティに対して、ユーザーまたは SharePoint グループに付与できる一連の権限を定義します。既定の権限ポリシーを使用することも、カスタムのものを作成することもできます。
• ユーザーポリシー — Web アプリケーションに適用され、すべてのサイト コレクションに継承される、より上位の権限セットです。ユーザーポリシーを使用すると、特定の Web アプリケーションおよびその中のすべてのサイト コレクションに対して、任意のユーザーまたは AD グループに固有の権限を付与できます。
• ユーザー権限 — 特定の Web アプリケーションに対して固有の権限を作成するために、サイト コレクション管理者が使用できる高度な権限を定義します。（Microsoft がこれも「ポリシー」と呼ばなかった理由が分かりません。ポリシーのように機能するのに。）

これらのポリシーについては、継承の説明のところで、もう少し詳しくお話しします。

サイト コレクションのロール

• サイト コレクション管理者 — これらの管理者は、サイト コレクション内のすべてのサイトで「Full Control（完全な制御）」の権限レベルを持ちます。対象のサイトに明示的な権限がなくても、そのサイト コレクション内のすべてのサイト コンテンツに対して Full Control アクセスが可能です。すべてのサイト コンテンツを監査でき、あらゆる管理メッセージも受信できます。サイト コレクションの作成時に、プライマリおよびセカンダリのサイト コレクション管理者を指定できます。
• サイト所有者 — デフォルトでは、サイトの Owners グループのメンバーは、そのサイトに対して「Full Control（完全な制御）」の権限レベルを持ちます。サイト上で管理タスクを実行でき、またサイト内の任意の一覧またはライブラリに対しても管理タスクを実行できます。非アクティブなサイトの保留中の自動削除や、サイトへのアクセス要求などのイベントについて、電子メール通知を受け取ります。

SharePoint の既定の権限の種類

デフォルトでは、SharePoint は次の種類のユーザー権限を定義します：

• フル アクセス — ユーザーはサイト設定を管理し、サブサイトを作成し、ユーザーをグループに追加できます。
• デザイン — ユーザーは承認およびカスタマイズを表示、追加、更新、削除でき、サイト上で新しいドキュメント ライブラリやリストを作成および編集することもできます。ただし、サイト全体の設定は管理できません。
• 投稿（Contribute） — ユーザーはリスト項目やドキュメントを表示、追加、更新、および削除できます。これらの権限は、通常の SharePoint ユーザーにとって最も一般的な権限であり、サイト上のドキュメントや情報を管理できるようになります。
• 読み取り — ユーザーはリスト項目やページを表示し、ドキュメントをダウンロードできます。
• 編集 — ユーザーはリストおよびリスト項目を管理し、投稿（Contribute）権限を行使できます。
• 表示のみ — ユーザーはページ、リスト項目、ドキュメントを表示できます。ドキュメントはブラウザーでのみ表示でき、SharePoint サーバーからローカル コンピューターにダウンロードすることはできません。
• 限定アクセス — ユーザーは共有リソースおよび特定のアセットにアクセスできます。限定アクセスは、きめ細かな権限（継承されない一意の権限）と組み合わせることを目的としており、ユーザーにサイト全体へのアクセス権を付与せずに、特定のリスト、ドキュメント ライブラリ、フォルダー、リスト項目、またはドキュメントにアクセスできるようにします。限定アクセスの権限は編集または削除できません。

SharePoint グループ

グループを介して SharePoint サイトに権限を割り当てる方法は 2 つあります。1 つ目は、
ユーザーを SharePoint グループに追加する方法で、2 つ目は AD セキュリティ グループのアクセスをサイトに直接付与するか、サイトへの権限がある SharePoint グループに入れる方法です。

SharePoint グループを使用すると、個々のユーザーではなくユーザーの集合を管理できます。グループには、SharePoint で作成された個々のユーザーだけでなく、Windows Live ID のようなアプリケーション固有のデータベースや ID モデル、LDAPv3 ベースのディレクトリ、または Active Directory ドメイン サービス (AD DS) など、あらゆる ID 管理またはドメイン サービス システムのユーザーやグループを含めることができます。

ユーザー定義の SharePoint グループには、サイトへの特定のアクセス権はありません。組織やサイトの規模と複雑さに応じて、ユーザーを任意の数のグループに整理できます。重要な点として、SharePoint グループはネストできないことが挙げられます。

ただし、メンバーに特定のアクセス権限を付与する、あらかじめ用意された SharePoint グループもあります。あらかじめ用意されたグループのセットは、使用しているサイト テンプレートによって異なります。ここでは、チーム サイトのあらかじめ用意されたグループと、SharePoint サイトに対する既定の権限を示します：

• 閲覧者 — 読み取り 権限
• メンバー —編集 権限
• 所有者 — 完全な制御 権限
• 閲覧者 —閲覧のみ 権限

ここでは、公開サイト テンプレートの事前定義済みグループと、その既定のアクセス許可を示します。

• 制限付きリーダー — ページとドキュメントを表示できますが、履歴バージョンやアクセス許可に関する情報は表示できません。
• スタイル リソース リーダー — 読み取り のアクセス許可が、マスター ページ ギャラリーに対してあり、制限付き読み取り のアクセス許可が、スタイル ライブラリに対してあります。既定では、認証されたすべてのユーザーがこのグループのメンバーです。
• デザイナー — ブラウザーまたは SharePoint Designer を使用して、サイト ページのレイアウトを表示、追加、更新、削除、承認、およびカスタマイズできます。
• 承認者 — ページ、リスト アイテム、ドキュメントを編集して承認できます。
• 階層マネージャー — サイト、リスト、リスト アイテム、ドキュメントを作成できます。

これらのすべてのグループとその権限は変更可能である点に注意してください。

最善の方法は、情報を読む必要があるだけの一般ユーザーを Visitors グループに追加し、ドキュメントを作成または編集する必要があるユーザーを Members グループに追加することです。これは、Members グループのユーザーは項目やドキュメントを追加、変更、または削除できますが、サイトの構造、設定、または見た目は変更できないためです。同様に、Visitors グループのユーザーはページ、ドキュメント、項目を見ることはできますが、追加または削除の操作は実行できません。

オブジェクトに権限を割り当てる

さまざまな SharePoint アイテムに対して、権限を設定できます。

• SharePoint ファーム — 管理権限
• Web アプリケーション — 匿名ポリシー、ユーザーポリシー、ユーザー権限
• 共有サービス — サービス アプリおよび機能の管理権限
• サイト コレクション — サイト コレクションの管理権限、権限
• サブサイト — 権限
• ドキュメント ライブラリまたはリスト — 共有権限
• ドキュメント ライブラリまたはリスト内のフォルダー — 共有権限
• 個別ファイル — 共有権限

権限付与のベストプラクティス

さまざまなレベルでアクセス権を調整する機会があります。必要に応じて、階層の下位レベルに権限を設定する際に例外（固有の権限）を作成したり、権限の継承を停止したりすることもできます。たとえば、特定のドキュメント ライブラリに対して固有の権限を作成し、親（親サイト）から権限を継承しないようにすることができます。

ベスト プラクティスとして、上位レベルの権限構造はできるだけ詳細に設計し、例外の数を最小限に抑えるべきです。さまざまなレベルで固有の権限を増やすほど、アクセス権を監査して制御するのが難しくなります。権限の監査や監視を簡素化するサードパーティ製ツールがあることも覚えておいてください。たとえば、 Netwrix Auditor for SharePoint は、SharePoint の権限の現在の状態だけでなく、過去の時点での状態もレポートでき、誰かが権限を変更したときに通知します。

権限の継承

デフォルトでは、サブサイト、ライブラリ、リストは、それらが作成されたサイト（親サイト）から権限を継承します。さらに、前述した Web アプリケーション レベルで定義されているポリシーもあります。すべてのサイト コレクションは、Web アプリケーションのユーザー ポリシーと匿名ポリシーから権限を継承し、これらによりユーザー アカウントへのアクセスを許可または拒否します。Web アプリケーションはユーザー権限も継承しており、サイト コレクションに対して固有の権限を作成する際に使用できる権限レベルを定義します。また、Web アプリケーション レベルにはユーザー ポリシーの高レベルな権限タイプを定義する権限ポリシーもあります。

権限の継承を解除すると、サブサイト、ドキュメント ライブラリ、Web サイト、またはファイルはそれぞれ独自の権限を作成できるようになりますが、先ほど述べたとおり、利用可能なのは Web アプリケーションのユーザー権限によって規定された権限レベルに限られます。

したがって、Web アプリケーション レベルで設定されたポリシーに紐づく継承には 2 種類あります。

1. ユーザー ポリシー。これはすべての下位レベルのサイト コレクションに継承されます。
2. ユーザー権限 はすべてのサイト コレクションの詳細な権限に継承されます。この継承は、下位レベルでは解除できません。

親レベルのサイト（項目の一覧、ドキュメント ライブラリ）で行った権限の変更は、独自の権限を持つ子要素には影響しません。また、親の権限と競合する場合は、常に独自の権限が優先されます。

権限の継承に関するベストプラクティス

親から継承される権限の明確な階層構造があると、権限の管理がはるかに簡単になります。サイト内の一部のリストにきめ細かい（固有の）権限が適用されていたり、あるサイトには固有の権限を持つサブサイトがある一方で、別のサイトには継承された権限を持つサブサイトがある場合は、管理が難しくなります。したがって、可能な限り、サイトやサブサイト、リストやドキュメント ライブラリを配置して、ほとんどの権限を親から継承できるようにするのがベストプラクティスです。

複雑に絡み合った SharePoint の権限構造を、わかりやすく整理します：

高度な権限

SharePoint の既定のグループと権限レベルは、多くの種類の組織に役立つ権限の一般的な枠組みを提供します。 ただし、ユーザーの組織体制や、サイト上でユーザーが行うさまざまな作業内容と、完全に一致するとは限りません。 既定の権限レベルが組織に合わない場合は、カスタム グループを作成したり、特定の権限レベルに含まれる権限を変更したり、カスタムの権限レベルを作成したりできます。

SharePoint サイトの権限

これらの権限は、サイトおよび個人の設定、Web インターフェイス、アクセス、サイト構成に影響します。:

• 権限の管理 — サブサイトで権限レベルを作成および変更し、ユーザーやグループに権限を割り当てます。
• Web 分析データの表示 — サイトの利用レポートを表示します
• サブサイトの作成 — チーム サイト、発行サイト、ニュースフィード サイトなどのサブサイトを作成します
• Web サイトを管理する — サイトのためのすべての管理およびコンテンツ管理アクションを実行する
• ページを追加してカスタマイズする — HTML ページを追加、変更、削除する
• テーマと罫線を適用する — サイトにテーマまたは罫線を適用する
• スタイルシートを適用する — サイトにスタイルシート（.CSS ファイル）を適用する
• グループを作成する — サイト コレクション内のどこでも使用できるユーザー グループを作成する
• ディレクトリの参照 — SharePoint を使用してサイト内のファイルやフォルダーを列挙します
• セルフサービスのサイト作成を使用する — セルフサービスのサイト作成を使ってサイトを作成します
• ページの表示 — サイト内のページを表示します
• 権限の列挙 — サイト、リスト、フォルダー、ドキュメント、またはリスト項目の権限を列挙します
• ユーザー情報の参照 — サイトのユーザーに関する情報を表示します
• アラートの管理 — サイトのすべてのユーザーのアラートを管理します
• リモート インターフェイスの使用 — SOAP、Web DAV、Client Object Model、または SharePoint Designer のインターフェイスを使用してサイトにアクセスします
• クライアント統合機能の使用 — サイト内でクライアント アプリケーションを起動する機能を使用します（この権限を持たないユーザーは、文書をローカルにダウンロードして作業し、その後修正済みの文書をアップロードする必要があります）
• 開く — サイト、一覧、またはフォルダーを開いて、そのコンテナー内の項目にアクセスします
• 個人のユーザー情報を編集 — 電話番号や役職名の更新、または写真の追加など、自分自身のユーザー情報を変更します

SharePoint の一覧（リスト）権限

これらの権限は、一覧（リスト）、フォルダー、文書の管理、およびアイテムやアプリケーション ページの表示に影響します：

• 一覧（リスト）の管理 — 一覧（リスト）や一覧の列、一覧の公開ビューを作成および削除
• 一覧（リスト）の動作を上書き — 他のユーザーがチェックアウトしている文書を破棄またはチェックインする
• アイテムの追加 — 一覧（リスト）にアイテムを追加し、ドキュメント ライブラリに文書を追加する
• 項目の編集 — リスト内の項目およびドキュメント ライブラリ内のドキュメントを編集し、ドキュメント ライブラリ内の Web パート ページをカスタマイズします
• 項目の削除 — リストから項目を削除し、ドキュメント ライブラリからドキュメントを削除します
• 項目の表示 — リスト内の項目およびドキュメント ライブラリ内のドキュメントを表示します
• 項目の承認 — リスト、項目、またはドキュメントの新しいバージョンを承認または拒否します
• 項目の開く — サーバー側のファイル ハンドラーを使用してドキュメントを開きます（ドキュメントはローカル コンピューターにダウンロードされません）
• バージョンを表示 — リスト項目またはドキュメントの過去のバージョンを表示します
• バージョンの削除 — リスト項目またはドキュメントの過去のバージョンを削除します
• アラートを作成 — リスト、ドキュメント ライブラリ、フォルダー、ファイル、またはリスト項目の変更を追跡するためのアラートを作成します
• アプリケーション ページを表示 — フォーム、ビュー、およびアプリケーション ページを表示します

SharePoint の個人用アクセス許可

これらのアクセス許可は、個人ページの構成と管理に影響します:

• 個人用ビューの管理 — 個人のリスト ビューを作成、変更、削除できます
• 個人用 Web パーツの追加/削除 — 個人用 Web パーツを追加または削除できます
• 個人用 Web パーツの更新 — 個人用 Web パーツ内の個人用情報を追加または編集できます。