ガバナンス、セキュリティ、セットアップ成功のための SharePoint ベストプラクティス

Microsoft SharePoint は、組織がビジネスを前進させるために必要な情報管理、コラボレーション、ワークフロー、データ統合の機能を提供します。とはいえ、投資から最大の価値を得るには、SharePoint を効果的に使う方法を知るだけでなく、SharePoint のベストプラクティスに従って、適切にセットアップされ、設定され、そしてセキュリティが確実に確保されていることをどう担保するかを理解する必要があります。

このドキュメントでは、次の項目に関するオンプレミスの SharePoint ベストプラクティスおよび SharePoint Online ベストプラクティスを詳しく説明します。

• ガバナンス
• 情報アーキテクチャ
• アクセス管理
• 自動化
• 監査
• バックアップとリカバリ

また、オンプレミスの SharePoint Server 環境をセットアップするためのガイダンスも提供しています。

SharePoint ガバナンス

概要として、SharePoint ガバナンスのベストプラクティスには次の内容が含まれます。

• 強固なアクセス管理を実装してください。 適切なユーザーのみが SharePoint のコンテンツにアクセスできるようにコントロールを確立し、ユーザー管理を効率化するいくつかの SharePoint のヒントやコツも考慮してください。
• ポリシーを策定し、周知します。 トレーニングを通じて、SharePointをどのように使用すべきか、コンテンツをどのように管理・共有すべきかについて、明確なガイドラインとポリシーを作成して周知します。
• 変更管理プロセスを導入します。 SharePoint に対する変更や更新をどのように管理するかを説明します。変更の周知方法、テストの実施方法、そして実装方法などを含めてください。
• ガバナンスをビジネス目標に合わせる. SharePoint のガバナンスが、組織全体の目的と整合し、ビジネス運用を支えるようにしてください。
• 明確なガバナンス構造を確立します。 意思決定の権限を持つ人、コンテンツを管理する人、ポリシーを施行する人など、SharePoint を管理するための役割と責任を定義します。
• コンプライアンスを監視し、遵守を徹底する. SharePoint の利用状況とコンテンツを監視して、ガバナンスのポリシーに準拠していることを確認し、非準拠の場合は結果（罰則）を適用します。
• ドキュメントを定期的に見直してください。 ガバナンス プロセスのドキュメントを維持し、定期的にレビューして更新することで、それらが引き続き関連性と有効性を保つようにしてください。監査をより簡単にするために、実用的な SharePoint のコツもいくつか取り入れましょう。

SharePoint 情報アーキテクチャ

SharePoint Server と SharePoint Online は同じ中核コンポーネントを共有していますが、情報アーキテクチャのアプローチは異なります。

情報アーキテクチャのコンポーネント

次は、SharePoint の情報アーキテクチャにおける主要コンポーネントです。

• サイト — SharePoint サイトは、ドキュメント、タスク、カレンダー、その他のリソースを保存して共有するための中央の場所を提供します。
• リスト — SharePoint リストは、SharePoint サイト内で情報を整理・管理するための柔軟な方法を提供します。たとえば、タスクの追跡、連絡先の管理、データの構造化された形式での保存に利用できます。カスタマイズ可能なビュー、並べ替え、フィルター機能も提供します。SharePoint Online では、より応答性が高く直感的なオプションとして モダン リスト。 主な機能には、さまざまなデバイスに対応したレスポンシブ デザイン、Microsoft 365 サービスとの統合（Microsoft Teams、Power Automate、Power Apps など）、条件付き書式、カスタマイズ可能なビューが含まれます。
• ライブラリ — SharePoint ライブラリは、SharePoint サイト内でドキュメント管理、バージョン管理、メタデータ、チェックイン/チェックアウト、その他のアクセス制御を行うための中央の場所を提供します。
• サイト コレクション — SharePoint サイト コレクションは、共通の設定、機能、権限を共有する複数の SharePoint サイトのグループです。部門、プロジェクト、チームなど、さまざまなユーザー グループ向けにコンテンツを整理し、アクセスを制御する方法を提供します。各サイト コレクションには固有の URL があります。

SharePoint Server 情報アーキテクチャ

オンプレミスの SharePoint 情報アーキテクチャの標準は階層型で、次の 3 つのレベルで構成されます。

• Web アプリケーション — Web アプリケーションは SharePoint Server における最上位のコンテナーです。作成できるのは、SharePoint Server 上で Farm Administrator の権限とローカル管理者の権限の両方を持つ SharePoint 管理者に限られます。
• サイト コレクション — すべての Web アプリケーションには、ルート サイト コレクションが必要です。これは、Web アプリケーションと同じ URL を持つサイト コレクションのことです。
• サイトとサブサイト — サイト コレクションは、1 つのルート サイトと、その下にあるすべてのサブサイトで構成されます。すべてのコンテンツはこれらのサイトとサブサイトに保存されます。Web アプリケーションとサイト コレクションは、コンテンツを直接保存しない単なるコンテナーです。

SharePoint Online の情報アーキテクチャ

SharePoint Server の階層構造とは対照的に、SharePoint Online はフラットなアーキテクチャを使用します。つまり、すべてのサイトがサイト コレクションです。サイトが不要になった場合は、影響をほとんど与えずにアーカイブまたは削除できます。以下の種類のサイトが利用可能です：

• チーム サイトとコミュニケーション サイト — チーム サイトは、特定のプロジェクト、部署、またはその他のグループのメンバーがファイルを共有し、共同作業できるように、中心となる場所を提供します。コミュニケーション サイトは情報を伝えることを目的として設計されており、ニュース フィード、イベント カレンダー、ドキュメント ライブラリなどの機能を提供します。どちらの種類のサイトも高度にカスタマイズでき、Teams、Outlook、OneDrive などの他の Microsoft 365 ツールと統合します。
• ハブ サイト — ハブ サイトは、特定のプロジェクト、部署、または地域に関連するチーム サイトやコミュニケーション サイトなど、関連するサイト群を整理してまとめます。ハブ サイトでは、サイト間のナビゲーション、コンテンツの集約、テーマ設定、ブランディング機能を提供します。

SharePoint Online の情報アーキテクチャに関するベスト プラクティス

SharePoint Online の導入を設計する際は、次のベスト プラクティスに従ってください：

• SharePoint Online のサイト構造を慎重に定義してください。以下の制約事項に留意してください：
  • サイトには最大 2,000 個のサブサイトを作成できます。一般的には、大量のサブサイトを作るよりも、サイトを作成してハブに整理するほうが望ましいです。
  • 組織の上限は 2,000 個のハブサイトです。すべての機能に対してハブサイトが必要とは限りません。
• ユーザーが探している情報を簡単に見つけられるように、サイトのコンテンツとナビゲーションを計画してください。明確で簡潔な見出しを使用し、コンテンツを論理的なセクションに整理します。
• テンプレートを使用して、統一されたサイトのレイアウトとデザインを作成しましょう。SharePoint Online では、チーム サイト、コミュニケーション サイト、ハブ サイトなど、選べるテンプレートがいくつか用意されています。
• チームまたは組織のニーズに合わせてサイトをカスタマイズします。カスタム Web パーツ、テーマ、ブランディングを追加して、ユーザー エクスペリエンスを向上させましょう。
• テンプレートを使用して、一貫したサイト レイアウトとデザインを作成します。
• 内容を論理的に整理し、明確で簡潔な見出しを使用して、ユーザーが探しているものを簡単に見つけられるようにしましょう。
• カスタム Web パーツ、テーマとブランディング、チーム カレンダー、ディスカッション ボードなどの機能を活用しましょう。

アクセス管理

1. 認証を適切に設定する

1.1 SharePoint Server では、認証の標準として Kerberos または SAML を使用してください

Kerberos は、すべての Active Directory の実装で使用される現代的な認証プロトコルです。サービス間でパスワードハッシュをやり取りする代わりに Kerberos はチケットを使用するため、従来の NTLM よりもはるかに安全です。

Security Assertion Markup Language (SAML) は、ユーザーに関するクレーム（claims）をサービスに提示する現代的な認証標準です。SAML アサーション（assertion）に含まれる identity claim に基づいて、サービスはユーザーにそのサービスへのアクセス権を付与します。SAML は、ユーザーが認証に使用する認証サービスに依存しない別種のサービスとフェデレーションできるため、現代のサービスで好まれています。

認証オプションには次のものがあります：

• Windows 認証により、ユーザーは Windows の資格情報を使用してログインできます。
• フォームベース認証、 ユーザーが、メンバーシップ データベースに保存されたカスタム フォームと資格情報を使ってログインできるようにするため、Windows 認証が実現できない状況に適しています。

より広い観点では、SharePoint は 多要素認証（MFA）をサポートしており、パスワードに加えて、モバイル デバイスに送信されるワンタイム コードなどの追加の本人確認を求めることで、セキュリティをさらに強化します。

2. SharePoint の権限を制御する

以下は、SharePoint の権限レベルと、それによって有効になる操作です。

• 完全な制御 — サイトに対する完全な管理権限です。権限の管理、サイトの作成/削除、およびサイト設定の変更を行えます。
• デザイン — リスト、ドキュメント ライブラリ、ページを作成・編集でき、サイトの見た目や雰囲気もカスタマイズできます
• 編集 — ドキュメント、リスト、Web パーツなど、サイト上の項目を追加・編集・削除できます
• 投稿 — サイト上の項目を追加および編集できますが、削除はできません
• 閲覧（または View Only) — サイト上の項目を表示できますが、変更はできません
• 限定アクセス — この権限レベルは、サイトへの権限はないものの、そのサイト内の特定のアイテムにアクセスする必要があるユーザーに自動的に割り当てられます。たとえば、ゲストアカウントはドキュメントやリスト項目を表示する必要がある場合があります。
• 承認 — サイトに公開する前に承認が必要なアイテムを承認または却下します

ルート サイトが作成されると、そのサイトを作成したユーザーが管理者を指定します。管理者は、その後ほかのユーザーにそのサイトへの適切な権限を付与できます。権限を付与する際は、次のベストプラクティスに従ってください：

• Web アプリケーション レベルで追加の権限を付与することは避けてください。 デフォルトのポリシーでは、このレベルで特定のアカウントに権限が付与されます。たとえば、Search Crawl アカウントは、クロールに必要なすべての Web アプリケーションに対して［完全な読み取り］権限を持ちます。このレベルで追加の権限を付与することもできますが、可能であればデフォルトのポリシーのみを使用することを推奨します。
• ロールベースのアクセス制御 (RBAC) を使用する。精度を高め、プロビジョニングの手間を減らすために、SharePoint リソースへの権限をロールに割り当て、そのロールを適切な個人またはグループに割り当ててください。既定の SharePoint ロールは 3 つあります：
  • サイトの所有者 — このグループのメンバーは、アクセス許可を管理したり、コンテンツを追加／削除したり、サイトをカスタマイズしたりできます。
  • メンバー — このグループのユーザーは、サイト上のコンテンツを追加、編集、削除できます。
  • 閲覧者 — このグループのメンバーはコンテンツを表示できますが、変更はできません。

管理者は、組織のニーズに合わせて追加のロールを作成できます。

• Active Directory のグループを使用します。 SharePoint を構成して、ユーザーとグループに対して別のソースを使用するように設定できるため、セキュリティ割り当てをより簡単で明確に行えます。
• information barriers for SharePoint Online. 情報バリアは、管理者が設定して、ユーザー同士が連絡し合ったり共同作業したりすることを防止できる Microsoft 365 のポリシーです。この機能は、厳格なガバナンス ポリシーやコンプライアンス要件に従う必要がある組織で、最もよく使用されます。

3. データ損失を防止する

3.1 SharePoint Information Rights Management (IRM) を使用する

IRM は、コンテンツと一緒に移動する文書やリスト項目に保護を適用することで、組織が SharePoint のデータを保護するのに役立ちます。つまり、管理者は、SharePoint からダウンロードされた後でも、特定の文書またはリスト項目へのアクセスを制限するポリシーを定義できます。IRM はさらに、文書の有効期限や動的ウォーターマーキングなどの機能によってコンテンツを保護します。

3.2 SharePoint データ損失防止 (DLP) を使用する

SharePoint Data Loss Prevention は、個人を特定できる情報（PII）、財務データ、知的財産など、SharePoint コンテンツの漏えいを防ぐのに役立ちます。コンテンツのスキャン、キーワード検出、正規表現のマッチングといった機能を使用して機微情報を特定し、ユーザーが定義するルールを適用して、不要なアクセスをブロックすることやユーザーへの通知、コンテンツの暗号化などによりデータを自動的に保護します。

SharePoint DLP は Microsoft 365 DLP および Azure Information Protection と統合されており、データ保護に対する包括的なアプローチを提供します。

3.3 暗号化と安全な送信の利用

常にデータを暗号化し、安全な送信を使用してください。これにより、SharePoint 上のデータが未授权アクセスや改ざんから保護され、情報資産の機密性とセキュリティが維持されます。SharePoint は、クライアントと SharePoint サーバー間で送信されるデータを暗号化するために TLS を使用します。TLS は安全な通信チャネルの確立を支援し、送信中にデータへの未授权アクセスや傍受が行われることを防ぎます。

ハイブリッドな SharePoint 環境では、SharePoint は SharePoint Online および SharePoint Server に保存されるデータに対して、保存時の暗号化（encryption at rest）をサポートします。この機能により、データがディスクに保存される際に暗号化されるため、基盤となるストレージへの未授权アクセスに対する追加の保護レイヤーが提供されます。SharePoint は、Secure File Transfer Protocol（SFTP）や Secure Shell（SSH）などのセキュアなファイル転送プロトコルをサポートしており、SharePoint 環境へのファイルの送信、および SharePoint 環境からのファイル取得に利用できます。

SharePoint Online では、データは保存時と転送時の両方で暗号化されます。Microsoft は、SharePoint Online データセンターに保存されているデータと、クライアントと SharePoint Online サーバー間でデータを送受信する際のデータを保護するために、暗号化技術を使用します。

3.4 SharePoint Server で安全でない転送セキュリティ プロトコルを無効化する

SharePoint Server 2013、2016、および 2019 は Transport Layer Security (TLS) 1.2 をサポートしています。Secure Socket Layer (SSL) 3.0、TLS 1.0、TLS 1.1 を含む以前のプロトコルは無効化することを強く推奨します。TLS は、サービス間、またはエンド ユーザーとサービス間でデータが送信される際にデータを暗号化し、ネットワーク経由で転送される機密データの保護に役立ちます。TLS 1.3 は Windows Server 2022 でリリースされており、以前のバージョンではサポートされていません。

4. アクセスおよびドキュメント管理のベスト プラクティスに従う

以下のベスト プラクティスは、SharePoint Server および SharePoint Online において効果的なアクセスとドキュメント管理を実現するのに役立ちます。

4.1 データを特定し、分類する

SharePoint に保存しているすべての情報を特定し、データ分類のベストプラクティス を使用してラベル付けします。徹底的なデータの発見と分類により、最小権限の原則に従ってアクセス許可を制限し、セキュリティと規制への準拠を維持できます。また、古くなった SharePoint データを特定して、アーカイブまたは削除するのにも役立ちます。信頼性が高く正確なデータの発見と分類のために、Netwrix Data Classification のような専用のツールの利用を検討してください。

4.2 メタデータでコンテンツにタグを付ける

文書やサイトの内容と価値を示すメタデータを追加すると、ユーザーが SharePoint のコンテンツを見つけて適切に取り扱うことがはるかに容易になります。SharePoint には、コンテンツにタグを付けるためのいくつかの既定の用語が用意されており、ドキュメント管理のニーズに合わせて独自の用語を作成することもできます。

4.3 一貫した命名規則を使用する

サイト、メニューの選択肢などに対して、明確で一貫した命名ルールを選びましょう。ユーザーがすぐに理解でき、迷子になることなく簡単に移動できるようにするためです。たとえば、2つのページに同じセットのサブページがある場合は、命名規則も同様にする必要があります。

4.4 SharePoint のドキュメント バージョン管理を有効にする

SharePoint のドキュメント バージョン管理により、ユーザーはドキュメントの変更を追跡でき、必要に応じて以前のバージョンを復元できます。保存容量の使用量を抑えるためには、保持する主要バージョンとマイナーバージョンの数を制限する必要があります。たとえば、主要バージョン 10 件とマイナー バージョン 10 件にするのはよくある適切な選択です。

4.5 ドキュメントのチェックイン/チェックアウトと共同作成を管理する

SharePoint では、ユーザーがドキュメントをチェックアウトできます。チェックアウトすると、そのユーザーが編集できるようにドキュメントがロックされます。ほかのユーザーはドキュメントを閲覧できますが、変更はできません。ユーザーがドキュメントをチェックインすると、他のユーザーが編集できるようになります。

SharePoint では共同編集（共同オーサリング）もサポートされており、複数のユーザーが同時に文書を編集できます。SharePoint はロックとバージョン管理を行い、競合を防ぎます。

4.6 外部共有の管理

外部共有は、ゲスト ユーザーに対してコンテンツへのアクセス権を付与します。SharePoint では、組織レベル、サイト レベル、さらには個々のドキュメント レベルでも外部共有の設定を行えます。これらの設定を適切に構成し、外部データが安全に共有され、かつ適切な個人またはグループにのみ共有されるようにすることが重要です。

共有に関するベストプラクティスには、次のようなものがあります。

• データを分類し、外部共有できるコンテンツの種類を判断します。
• 業務上の理由がある場合を除き、外部共有をブロックしてください。
• 外部共有を許可しているすべてのサイトを、単一のサイト コレクションに分離します。
• 匿名共有を無効にします。
• 外部アクセスの期限切れを有効にします。
• 共有設定を定期的に見直し、更新します。

4.7 ドキュメントの保持および削除ポリシーを確立する

コンテンツの管理では、通常、一定期間コンテンツを保持し、保持期間の終了時にコンテンツを完全に削除する必要があります。保持設定をコンテンツに割り当てるには、保持ポリシーと保持ラベルの両方を使用できます：

• 保持ポリシー — 保持ポリシーを使用して、特定の SharePoint サイトまたはサイト群内のコンテンツに同じ保持設定を割り当てます。また、特定のキーワードや機密データの種類など、特定の条件を満たすコンテンツを対象とする保持ポリシーを適用することもできます。保持ポリシーの設定には、「保持のみ」「削除のみ」「保持してから削除」が含まれます。
• 保持ラベル — 保持ラベルは、フォルダー、ドキュメント、またはその他の項目に保持設定を割り当てるために使用できます。保持ポリシーとは異なり、保持ラベルから適用された保持設定は、コンテンツをコピーしたり新しい Microsoft 365 の場所に移動したりしても、そのコンテンツと共に維持されます。保持ラベルでは、次のことが可能です：
  • 保持期間を、コンテンツにラベル付けした時点から開始するか、またはイベントに基づいて開始します。
  • 保持（保管）期間は、コンテンツの作成日または最終更新日を基準に設定します。
  • コンテンツの種類、場所、メタデータ、またはその他の基準に基づいて、コンテンツに保持ラベルを自動的に適用します。

4.8 SharePoint のストレージを管理する

SharePoint はユーザーにとって重要なコラボレーション環境であるため、コンテンツが急速に増えることがあります。オンプレミス環境の導入では、ストレージ要件は、より広範な企業戦略の一環として管理できます。

SharePoint Online では、Microsoft 365 プランの要件とライセンス数に合わせてストレージを管理する必要があります。SharePoint のストレージがいっぱいになると、SharePoint サイトは読み取り専用モードになります。そのため、管理センターでストレージおよび利用状況レポートを定期的に確認することが重要です。もう一つのベストプラクティスは、Recycle Bin（ゴミ箱）を監視し、定期的に空にすることです。

自動化

SharePoint のワークフローを使用する

SharePoint のワークフローにより、文書のレビューや承認、コンテンツの公開、課題の追跡など、幅広いタスクを自動化できます。SharePoint のワークフローは、他の Microsoft 365 のワークロードやサードパーティ製アプリケーションとも連携可能です。

ワークフローの使用に関するベストプラクティスは、次のとおりです。

• 計画 — ワークフローを作成する前に、手順を整理し、潜在的なボトルネックや問題を特定しながら、慎重に計画・設計することが重要です。これにより、ワークフローが効果的かつ効率的であることを確実にできます。
• カスタマイズまたは構築 — SharePoint には、ユーザーが SharePoint サイトにコンテンツを投稿でき、指定された担当者がその投稿を承認または却下できるようにする、組み込みの承認ワークフローが用意されています。これらのワークフローは、時間を節約し、エラーのリスクを減らすために簡単にカスタマイズできます。さらに、SharePoint Designer または Power Automate を使用してカスタム ワークフローを作成することも可能です。
• テスト — ワークフローを展開する前に、期待どおりに動作することを確認するために十分にテストすることが重要です。これにより、ワークフローを本番環境に投入する前に対処すべき問題やエラーを特定しやすくなります。
• セキュア — ユーザーがワークフローを開始し、参加し、承認するために適切な権限を持っていることを確認してください。これにより、セキュリティを維持し、不正アクセスを防ぐことができます。
  • IIS ログ — IIS は、すべての Web サイトのアクティビティを SharePoint にログ出力します。エラーやパフォーマンスの問題を調べるうえで必ずしも主要なデータではありませんが、ユーザーが直面している問題（欠落しているアセットや、HTTP 500 エラーのようなサーバー エラーを含む）についての手がかりを得られます。

監査

包括的な監査（auditing）は、オンプレミス環境とクラウド環境の両方の SharePoint におけるセキュリティにとって重要です。以下に、それぞれのベストプラクティスを示します。

SharePoint Server の監査

オンプレミスの SharePoint でアクティビティを監視するには、さまざまなネイティブのログとツールを活用してください。

• ULS ロギング — ULS は、SharePoint ファームに関する貴重な情報の情報源です。これは SharePoint のコアとなるロギング機構であり、SharePoint 関連のエラーが発生した場合に SharePoint 管理者がまず確認する場所であることが多いです。
• イベント ビューアー（Event Viewer） — SharePoint はイベント ビューアー（Event Viewer）に限られた量の情報を保存しますが、サービス固有の問題や ASP.Net のエラーの調査に非常に役立ちます。一般的に、SharePoint を実行する Windows サービス（たとえば SharePoint Timer や SharePoint Administration サービス）は、システム イベント（System Event）ログに、起動や予期しない停止があった場合の情報を表示します。
• 使用状況の記録 — SharePoint はさまざまな情報を Usage データベースに記録します。このデータベースは、テーブルまたは組み込みのビューを通じて直接クエリできます。
• Health Analyzer — 内蔵の SharePoint Health Analyzer は、SharePoint Timer Service 経由で定期的に実行される一連のルールです。これらのルールは、SharePoint のアプリケーション プールのリサイクル、空き領域が多いデータベース、またはファームにおけるその他の軽微な問題や重大な問題など、さまざまな問題を検出します。
• Performance Monitor — Performance Monitor は、サーバーのパフォーマンス問題を診断するのに役立つツールです。未完了の ASP.NET リクエスト、プロセス別の CPU 使用状況などを確認できます。
• 監査ログは別に保管してください。 別個のログ記録データベースに格納される Usage ログとは異なり、SharePoint の監査ログは、サイト コレクションのコンテンツ データベース内にある AuditData テーブルに保存されます。監査ログの完全性を、侵入者や悪意のある管理者から守るために、監査ログをコンテンツ データベースから切り離し、安全な集中管理された場所に移動してください。
• ログのトリミングを設定する 監査ログはすぐに増えて SQL Server をいっぱいにしてしまうことがあります。監査ログがハード ドライブを満杯にし、サイト コレクションのパフォーマンスを低下させる可能性を防ぐために、広範な監査を行っているサイト コレクションでは監査ログのトリミングを有効にしてください。
• 危険なアクティビティに関するアラートを受け取る。管理者と個々のユーザーの両方が、SharePoint サイトの変更に関するアラートを設定できます。たとえば、新しいドキュメントが追加または変更された場合です。アラートは電子メールで送信することも、SharePoint サイト内の通知として受け取ることもできます。

より堅牢な監査とアラートのために、目的に合わせて設計されたソリューションとして Netwrix Auditor for SharePoint を検討してください。

SharePoint Online の監査

SharePoint Online には専用の監査ログ検索機能がありません。SharePoint 関連のイベントを見つけるには、統合監査ログを使用してください。ただし、E5 ライセンスを持っていない場合、ログの保持期間はわずか 90 日である点に注意してください。さらに、古いイベントを保存していたとしても、監査ログ検索でカバーできるのは直前の 90 日間のみです。

そのため、セキュリティおよび規制コンプライアンスの要件に従ってアクティビティを効果的に監視するには、Netwrix Auditor を使用して SharePoint Online およびその他の Office 365 ワークロードを監査することを検討してください。

オンプレミス SharePoint のバックアップと復旧

オンプレミスの SharePoint を導入している組織は、包括的なバックアップと復旧の戦略が必要です。

SharePoint Server をバックアップする

データ損失や業務の中断リスクを最小限に抑えるために、SharePoint Server のデータを定期的にバックアップしていることを確認してください。

SharePoint Server には、ファーム全体のバックアップ、サイト コレクションのバックアップ、特定アイテムのきめ細かなバックアップを実行できる標準のツールが用意されています。 ただし、サードパーティ製のソリューションでは、バックアップのスケジューリングなど、より高度で柔軟な機能を提供する場合があります。いずれの場合も、必ず次の点を確認してください：

• バックアップを定期的にテストする バックアップが正しく機能していること、また必要なときにデータを復元できることを確認するためです。これにより、バックアップ手順の整合性を検証できます。
• バックアップは安全な場所に保存する 本番環境とは切り離し、オンプレミスまたはクラウドのいずれでも構いません。
• バックアップのスケジュールを選ぶ 組織の復旧時点目標（RPO）および復旧時間目標（RTO）に合わせて設定します。

限定的な復旧には Recycle Bins を使用する

SharePoint には、ユーザーや管理者が最近削除されたアイテム（ドキュメント、ライブラリ、リスト、フォルダー、さらにはサイト）を復元できるように Recycle Bins が用意されています。 Recycle Bin には 2 種類あります。

• サイトのリサイクル ビン — サイトからアイテムが削除されると、手動で削除するかパージ期間が期限切れになるまで、サイトのリサイクル ビンに保持されます。
• サイト コレクションのリサイクル ビン — このビンには、サイト コレクション内の任意のサイトから削除されたすべてのアイテムが保存されます。これには、パージ期間が終了する前にサイトのリサイクル ビンから削除されたアイテムも含まれます。これにより、サイト コレクション管理者が不適切な削除から情報を保護するのに役立ちます。

堅牢な復旧計画を用意する

ただし、リサイクル ビンでは、すべてのきめ細かな復元シナリオを扱えず、完全なディザスター リカバリーも有効にできません。堅固な復旧計画には、次の内容を含める必要があります：

• どれだけのデータが失われた、または破損したかを評価します。これは、単一のドキュメントやリスト項目の復元から、サイト コレクション全体やファームの復元まで幅広く考えられます。
• データを復元した後、操作が成功したことを確認し、データが意図したとおりにユーザーからアクセス可能になっていることをテストしてください。
• データの損失がユーザーや業務プロセスに影響を与えている場合は、復旧作業の内容と、想定される影響についてすべての関係者と共有・連絡することが重要です。
• 復旧後は、データの損失または破損（corruption）の根本原因を特定するためにインシデントを振り返ることが有益です。そうすることで、将来的に同様のインシデントを防ぐための手順を取ることができます。

On-Premises SharePoint のセットアップにおけるベストプラクティス

オンプレミスの SharePoint 導入（installation）を作成することは複雑なプロセスになり得るため、SharePoint の実装に精通した IT 専門家を関与させることを検討してください。

要件と制約を把握する

SharePoint Server 環境を計画する際は、次の項目を必ず決定（そして文書化！）してください：

• 予算
• 新しい取り組みを支援するために再配分できるハードウェアおよびその他の投資
• 高可用性（HA）の要件
• きめ細かな復元とディザスタリカバリ（DR）の要件
• 想定されるコンテンツ量
• 想定されるユーザー総数
• 想定される同時ユーザー数
• 必要なサービス

トポロジは慎重に選びましょう

最も一般的な SharePoint Server のトポロジ戦略は次のとおりです。

• シングルサーバーファーム — この方式は、SharePoint Server と SQL Server の両方を実行する単一のサーバーで構成されます。後から追加の SharePoint サーバーを加えることも可能です。
• スリーティアーファーム — 最も一般的なファームの種類の1つであるスリーティアーファームは、Web フロントエンド 1台、アプリケーションサーバー 1台、SQL Server 1台で構成されます。Web フロントエンドはユーザーのトラフィックを処理する SharePoint Server であり、アプリケーションサーバーは Business Data Connectivity Services や Managed Metadata Service など、ほとんどの SharePoint サービスを処理する SharePoint Server です。
• 従来型の高可用性ファーム — これらのファームは、ユーザーへのサービス提供を継続しながら、1台または複数の SharePoint サーバーや SQL サーバーを失ってしまうことがあります。たとえば、SQL クラスタリングやデータベースミラーリングのような形の高可用性を利用した、Web フロントエンド 2台、アプリケーションサーバー 2台、SQL サーバー 2台、という構成です。
• MinRole ファーム — サーバーは事前に定義されたロール（Distributed Cache、Front End、Application または Search）とともにデプロイされ、適切なサービスが自動的にプロビジョニングされます。サーバーの MinRole に準拠しないサービスが開始された場合、そのサーバーは非準拠とみなされます。高可用性 MinRole ファーム の場合は、4つのロールそれぞれに対して SharePoint サーバーを2台用意する必要があります。

地理的な制約を考慮する

オブジェクトの同期問題を回避するために、ファームは 10 分間の平均で 99% が 1 ms の往復時間（RTT）を満たす必要があります。また、ファームは、ファームを read-write 方式で提供する SQL Server、または read-write の SQL Server と同期レプリケーション形式で構成されている SQL Server との間で、すべてのファーム メンバー間に 1 Gbps の接続が必要です。

実際には、同期レプリカ モードの各ファーム メンバーまたは SQL Server は、およそ 186 マイル（300 km）の範囲内に収まっている必要があります。

SQL Server の可用性を計画する

オンプレミスの SharePoint サイトをサポートする SQL Server データベースを利用可能な状態に保つには、次のいずれかのオプションを選択してください。

• データベース ミラーリング — データベース ミラーリングでは、SQL Server 構成に High Performance モードのノードを追加します。このノードは、High Safety と共存できます。自動フェールオーバーを設定する場合/しない場合のいずれでも可能です。High Performance モードでのフェールオーバーは手動プロセスです。データベースは自動的にオンラインに切り替えられません。
• ログ配布 — ログ配布とは、トランザクション ログのバックアップを 1 台の SQL Server から別の SQL Server に転送することです。宛先の SQL Server は、そのトランザクション ログ バックアップを対象データベースに復元します。この方法により、SQL Server の外部で利用できる追加のレプリケーション オプションを活用しながら、データベースを最新の状態に保てます。
• AlwaysOn 可用性グループ — 可用性グループに非同期のリモート SQL Server を追加すると、災害復旧（ディザスタ リカバリ）の場所に 1 台の SQL Server を配置できます。リモート SQL Server は非同期モードに設定する必要があります。このモードには手動のフェールオーバー プロセスがあります。つまり、生産環境（production）とのリンクが切断されるとすぐにデータベースが読み書き状態に入り、災害復旧ファームをオンラインにできるようになります。

権限の継承を制御する

デフォルトでは、子オブジェクトは親オブジェクトから権限を継承します。たとえば、サイト内のドキュメントは、そのサイトに割り当てられた権限を継承します。ただし、管理者は継承を中断して、特定のオブジェクトに対する権限をカスタマイズできます。

SharePoint では、ユーザーが必要なコンテンツに適切なレベルでアクセスできるようにしつつ、セキュリティを維持して不正アクセスを防ぐために、アクセス許可の継承を慎重に管理することが重要です。詳細については、この ガイド。

SharePoint Server の定期的なパッチ適用プロセスを実装する

すべての SharePoint Server マシンをパッチで常に最新の状態に保つことは、既知のエクスプロイトから保護するうえで欠かせません。ファームをオフラインにせずにアップグレードするには、「highly available upgrades」オプションを使用する必要があります。このオプションでは、一度にファーム内のサーバー1台だけをオフラインにします。

結論

これらの設定と SharePoint のベストプラクティスに従うことで、Microsoft SharePoint 環境を高い可用性とセキュリティで維持しやすくなります。導入を後押しし、協業プラットフォームへの投資を最大限に活用できるようになります。