SharePointの権限設定とアクセス権管理──設計・確認・棚卸しの実務

SharePointの権限は、設定した直後が最も整っています。そこから先は、崩れていく一方です。

従業員が増え、異動し、退職する。プロジェクトのたびにサイトが増える。「とりあえず共有」で発行したリンクが残る。こうして、誰がどこまで見られるのかを把握している人が、組織の中からいなくなっていきます。

本記事では、SharePointの権限を「設計する」「設定する」「確認する」「棚卸しする」の4つの工程に分けて整理します。一般的な解説記事の多くは最初の2つまでを扱っていますが、実務で難しいのは後半の2つです。

工程	やること	本記事の該当章
① 設計する	誰に、どの単位で権限を与えるかの方針を決める	第2章
② 設定する	サイトへの権限付与、共有リンクと外部共有の既定を決める	第2章
③ 確認する	いま誰がどこまで見られるかを把握する	第3章
④ 棚卸しする	不要になった権限とリンクを定期的に外す	第4章

1. SharePointの権限はどこで決まるのか

設定の前に、権限がどこで決まるのかを押さえます。

サイトへの権限と、ファイル単位の共有リンク

SharePointのアクセス権は、大きく2つの経路で与えられます。ひとつはサイトへの権限です。Microsoftは「サイト、グループ、またはチームへの権限を付与すると、すべてのサイト コンテンツへのアクセスが許可されます」と説明しています。もうひとつが、個々のファイルやフォルダーを対象にした共有リンクです。

権限が把握しにくくなる理由の多くは、この2つが別々に積み上がることにあります。サイトのメンバー一覧を見ても、共有リンクで渡された分は見えません。

サイトの種類によって、管理の入口が変わる

見落とされやすいのが、サイトの種類によって権限を管理する場所が異なるという点です。

サイトの種類	権限を管理する場所	備考
チームサイト	関連するMicrosoft 365グループ、またはTeamsのチーム	グループ所有者がサイト所有者、グループメンバーがサイトメンバーになる
チャネルサイト（プライベート／共有）	Teams	プライベートチャネルと共有チャネルは、それぞれ専用の別サイトが作成される。SharePoint側で個別に管理することはできず、読み取り専用で表示される
コミュニケーションサイト	SharePointグループ（所有者・メンバー・閲覧者）	Microsoft 365グループには接続されていない
ハブサイト	基になるサイトの種類による	ハブに接続できるユーザーはSharePoint管理者が指定する

Microsoftは、チームサイトについて「権限は、関連する Microsoft 365 グループまたは Teams のチームを介して最適に管理されます」とし、SharePointグループを使ってMicrosoft 365グループとは別に管理することは推奨していません。別管理にすると、サイトには入れるがグループのサービスには入れない、といった食い違いも生まれます。

※Microsoft Learn「Sharing and permissions in the SharePoint modern experience」（英語版）を参照してください。日本語版は該当箇所の訳が逆になっています。

つまり、チームサイトの権限をSharePointの画面で直接いじり始めた時点で、管理の入口が二重になり、把握が難しくなります。

権限が見えにくくなる構造について

権限レベルの種類や、画面上では見えにくい権限がなぜ生まれるのかについては、「SharePointに潜む権限に関するセキュリティ上の懸念」で詳しく扱っています。

2. 権限を設計し、設定する

個人ではなく、グループに付ける

SharePointには、サイトの種類に応じた既定のグループが用意されています。チームサイトであれば所有者（フルコントロール）、メンバー（編集）、訪問者（読み取り）の3つです。

権限は、個人ではなくグループに対して付けるのが基本です。人は異動し、退職します。個人に直接付けた権限は、その人が動いたときに誰も気づきません。グループに付けておけば、グループから外すだけで権限も外れます。

なお、セキュリティグループを入れ子にすることは、Microsoftがパフォーマンス上の理由から推奨していません。階層は浅く保つのが無難です。

サイトの種類に合った入口で管理する

前掲の表のとおり、チームサイトの権限はMicrosoft 365グループまたはTeamsで管理します。コミュニケーションサイトはSharePointグループです。この使い分けを守るだけで、後から「どこで付いた権限なのか分からない」という状態をかなり防げます。

SharePointグループを個別にカスタマイズする必要がある場合の手順は、「SharePoint サイト権限をカスタマイズする」にまとめられています。

共有リンクの既定を決める

ファイルやフォルダーの共有には、共有可能なリンクを使います。主な種類は3つです。

種類	到達する範囲	注意点
すべてのユーザー	リンクを知っているユーザー。組織外の人も含む	Microsoftは「使用するユーザーは認証する必要がなく、アクセスを監査することはできません」と明記している。誰が使ったかを記録に残せない
組織内のユーザー	Microsoft 365組織内のユーザー	リンクが転送されれば、組織内の誰でも開ける
特定のユーザー	共有時に指定したユーザーのみ	最も制限が強い

利用者が共有ボタンを押したときに最初に選ばれている種類は、組織レベルとサイトレベルで変更できます。組織レベルの設定はSharePoint管理センターのポリシー、サイトレベルはアクティブなサイトから個別に設定します。

ここを「特定のユーザー」にしておくかどうかで、数年後に残るリンクの数が大きく変わります。利用者は既定のまま共有することが多いためです。設計の段階で決めておく価値のある項目です。

外部共有の範囲を決める

外部共有の設定も、組織レベルとサイトレベルの両方にあります。いずれかのサイトで外部共有を許可するには、まず組織レベルで許可されている必要があります。そのうえで、サイトごとに制限をかけられます。組織の外部共有は既定でオンになっています。

Microsoftは、外部に共有すべきでない機密情報がある場合、外部共有が無効になっているサイトに保存することを勧めています。権限で細かく制御するより、置き場所を分けるほうが確実だという考え方です。

3. いま誰が見られるかを確認する

ここからは、設定後のアクセス権限を確認する方法を説明します。アクセス権限は、設定することよりも、時間の経過とともに変化した状態を正確に把握することのほうが難しいのです。

サイト単位で確認する

最初に見るのは、サイトごとの権限です。サイトの設定から、どのグループにどの権限レベルが割り当てられているかを確認できます。ここで見るべきは、所有者が何人いるか、外部ゲストが含まれていないか、そして組織全体を意味するグループが入っていないかの3点です。

ユーザー単位で確認する

次に必要になるのが逆引きです。「この人は何を見られるのか」を確認する作業です。退職や異動の際、あるいは監査対応で求められるのはこちらの視点になります。

SharePointの高度なアクセス許可の設定には、特定のユーザーがそのサイトに対してどの権限を持っているかを確認する機能があります。ただし確認できるのは、そのサイトの範囲に限られます。テナント全体で「この人が見られるサイトの一覧」を出すには、SharePoint管理センターのデータ アクセス ガバナンス レポート（「ユーザーのサイトのアクセス許可」レポート）を使う方法があります。なお、これはSharePoint Advanced Managementの機能で、取得できるのはサイト単位の一覧です。レポートは最大5件まで作成でき、再実行は30日ごと、データは最大48時間前の状態を反映します。

共有リンクを確認する

第1章で触れたとおり、共有リンクはサイトのメンバー一覧には現れません。そのため、リンクの発行状況は別途確認する必要があります。とくに「すべてのユーザー」リンクは監査ができないため、発行そのものを把握しておくことが重要な手立てになります。SharePoint Advanced Managementのデータ アクセス ガバナンス レポート（共有リンク）では、過去28日間に作成された共有リンクを確認できます。

4. 定期的に棚卸しする

確認は、一度やって終わりにはなりません。権限は日々増えるためです。

棚卸しで見るべき5項目

#	確認項目	見つかった場合の対応
①	組織全体に共有されているサイトがないか	必要性を確認し、不要であれば対象グループを絞る
②	「すべてのユーザー」リンクがどれだけ発行されているか	不要なリンクを無効化する。既定の種類を見直す
③	退職者・異動者の権限が残っていないか	グループから外す。個人に直接付いた権限は個別に削除する
④	外部ゲストがいつまで残っているか	プロジェクト終了時に外す。ゲストアクセスの有効期限設定も検討する
⑤	サイトの所有者が把握されているか	所有者が退職・異動している場合は引き継ぐ

PowerShellで一覧を出力する

画面から一つずつ確認するのが現実的でない規模になったとき、次の手段がPowerShellです。SharePoint Online管理シェルや、コミュニティで開発されているPnP PowerShellを使えば、サイトごとの権限やユーザーの一覧をまとめて出力する方法があります。

実際に、この方法で棚卸しを回している組織もあります。ただし、どこまでの情報を取得できるかはスクリプトの内容によって変わります。

この方法には前提条件もあります。スクリプトを書ける人がいること、その人が異動しても運用が続くこと、出力されたCSVを読んで是正の判断ができること。この3つが揃わないと、仕組みは作ったが誰も回せない、という状態になります。

棚卸しの頻度をどう決めるか

年1回、監査対応のタイミングだけで実施している組織もあります。ただ、日本企業の場合はもう少し頻度を上げる理由があります。

定期的な人事異動、出向、グループ会社間の兼務など所属が変わることが少なくないからです。所属が変わっても前の部署のサイトに入れたまま、という状態が積み上がりやすい構造があります。棚卸しの実施時期を、監査ではなく人事異動のタイミングに合わせるほうが、実態に合うといえます。

過剰な権限は、外部からの攻撃だけでなく内部からの持ち出しの経路にもなります。「情報セキュリティ10大脅威 2026」では「内部不正による情報漏えい等の被害」が組織向けの第7位に入っており、11年連続の選出です。

また、人事・給与に関する情報が置かれたサイトで漏えいが起きた場合、個人情報保護委員会への報告義務が生じる可能性があります。要配慮個人情報が含まれるとき、財産的被害のおそれがあるとき、不正の目的によるものであるとき、1,000人を超えるときのいずれかに該当する場合で、速報は速やかに（概ね3〜5日以内）とされています。

5. Copilotを導入する場合に起きること

Microsoft 365 Copilotは、サインインしたユーザーの権限の範囲でデータにアクセスします。権限のないデータにアクセスすることはありません。

裏を返せば、権限の状態がそのまま反映されるということです。これまで「探しに行かなければ見つからなかった」ファイルが、質問への答えとして引用されるようになります。つまりCopilotの導入日が、権限の棚卸しの締め切りになります。

この論点の詳細は、「Copilotの情報漏洩・セキュリティリスクと対策」で扱っています。Copilotの導入全体の進め方については「Microsoft Copilotを活用する前にやるべきこと」をご覧ください。

なお、SharePointには制限付きアクセス制御という機能があり、指定したグループ以外はサイトとそのコンテンツにアクセスできなくなります。MicrosoftはCopilotと組織全体の検索結果にもこのポリシーが適用されると説明しています。ただし利用にはSharePoint Advanced Managementが必要です（Microsoft 365 Copilotのライセンスを割り当てている場合は含まれます）。

6. サイト数が増えたときに起きること

本記事で扱ってきた作業は、サイトが数十のうちは成立します。問題はその先です。

サイトが数百から数千になると、確認も棚卸しも、画面からは回らなくなります。PowerShellで一覧は出せますが、前章で触れたとおり、出力を読んで是正を判断し、それを継続する体制が必要になります。多くの場合、ここで止まります。

そして権限は、棚卸しをしたそばから増えていきます。一度きれいにすることと、きれいな状態を保つことは、別の作業だといえます。

7. よくある質問

まとめ

SharePointの権限管理は、設計・設定・確認・棚卸しの4工程で考えると整理しやすくなります。設計と設定については、サイトの種類に合った入口を使うこと、個人ではなくグループに付けること、共有リンクと外部共有の既定を決めておくことが基本になります。

実務で難しいのは後半です。サイトへの権限と共有リンクは別々に積み上がるため、メンバー一覧を見ただけでは全体が分かりません。テナント全体で「この人が見られるサイトの一覧」を出すには、SharePoint Advanced Managementなどの管理機能か、スクリプト、専用ツールが必要です。

そして権限は、人が動くたびに増えます。棚卸しの頻度を人事異動に合わせること、サイト数が増えたときに回る仕組みを用意しておくこと。この2つが、権限管理を運用として続けられるかどうかの分かれ目になります。

提供開始時のお知らせは「365 Permission Manager 提供開始」をご覧ください。

Hornetsecurity（ホーネットセキュリティ）の365 Permission Managerは、SharePoint、OneDrive、Microsoft Teamsのアクセス権限を一元的に管理するサービスです。サイトごとのコンプライアンスポリシーの適用、違反箇所の一括是正、誰がどこにアクセスできるかを示すレポートの出力に対応しています。サイト数が増えても、権限の状態を把握し続けられる運用を目指す場合にご検討ください。