Microsoft 365の権限管理｜管理者ロール・SharePoint権限・条件付きアクセスの設計ガイド
M365の権限管理はなぜ重要か
権限管理が適切でないと、社員が見てはいけないデータにアクセスできてしまう（過剰な権限）、必要なデータにアクセスできず業務が止まる（不足する権限）、退職者がメールやファイルに引き続きアクセスできる（未回収の権限）、管理者アカウントが侵害されテナント全体が危険にさらされる（管理者権限の集中）という問題が発生します。
権限管理の3つのレイヤー
レイヤー1：管理者ロール
M365の管理者権限は「ロール」として付与します。全権限を持つグローバル管理者は最小限の人数（2〜3名）に限定してください。日常業務には、ユーザー管理者（ユーザーの追加・削除・パスワードリセット）、Exchange管理者（メール設定の管理）、SharePoint管理者（サイト・共有設定の管理）、セキュリティ管理者（セキュリティポリシーの管理）など、業務に必要なロールのみを付与します。
PIM（Privileged Identity Management）を使えば、管理者権限を「必要な時だけ一時的に有効化」するJust-In-Timeアクセスが実現できます。常時グローバル管理者権限を持つ人を減らすことで、アカウント侵害時の被害を最小限にできます。PIMの利用にはEntra ID P2が必要なため、中小企業ではまず「グローバル管理者を2〜3名に絞る」「日常業務は別アカウントで行う」ところから始めてください。
管理者アカウントで必ず決めておくこと
- 日常業務用アカウントと分ける — 管理者権限を持つアカウントでメールを読んでいると、フィッシング1通でテナント全体が危険にさらされます
- 緊急用アカウントを1つ用意する — 条件付きアクセスの設定ミスで管理者全員が締め出される事故は実際に起きています。ポリシーの対象から除外し、パスワードは印刷して施錠保管、使用時に通知が飛ぶ設定にしてください
- 委託先に渡す管理者権限を必要最小限にする — 保守ベンダーにグローバル管理者を渡したまま、契約終了後も残っているケースがあります
- 退職・異動時にロールを外す — ユーザーアカウントを無効化しても、ロールの割り当ては一覧に残ります
レイヤー2：データアクセス権限
SharePointサイトの権限として、サイト所有者（フルコントロール）、メンバー（編集可能）、閲覧者（読み取りのみ）の3レベルがあります。部門ごと・プロジェクトごとにサイトを分離し、適切な権限グループを設定してください。
OneDriveの共有設定として、個人のOneDriveからの外部共有を制限することを推奨します。SharePoint管理センターから、外部共有のレベル（「組織内のみ」「既存のゲストのみ」「新規・既存のゲスト」「誰でも」）を設定できます。
Teamsの権限として、チームの所有者がメンバーの追加・削除やチャネルの管理を行います。プライベートチャネルのメンバーシップは特に注意が必要です。
SharePointの権限設計で守るべき3つの原則
- 個人単位で権限を付けない — 「Aさんに閲覧権限を」と個別付与を重ねると、誰がどこに入れるかを把握できなくなります。必ずグループ（Microsoft 365グループやセキュリティグループ）に付与し、人の出入りはグループのメンバー変更で処理します
- 継承を壊さない — フォルダー単位で継承を切って個別設定を始めると、以降の管理が破綻します。細かく分けたいときは、フォルダーではなくサイトを分けるのが正解です
- 「全社共有」を安易に作らない — 全社員がアクセスできるサイトは、時間とともに機密ファイルの置き場になります。作るなら用途を限定し、定期的に中身を確認してください
Teamsを作るとSharePointサイトが自動生成されます。 誰でもチームを作れる設定のままだと、管理者が把握していないサイトが増え続けます。チーム作成を申請制にするか、作成できるグループを限定してください。あわせて、所有者を2名以上にしておかないと、退職時に管理者不在のチームが残ります。
ゲストの権限も定期的に見直してください。 案件終了後もゲストは自動では消えません（Teamsのゲストアクセス管理）。
レイヤー3：条件付きアクセス
Entra IDの条件付きアクセスは「誰が」「どこから」「どのデバイスで」「何にアクセスするか」に応じてアクセス制御を行う仕組みです。
基本ポリシーとして、すべてのユーザーにMFAを要求、管理者には常にMFAを要求（条件なし）、社外IPアドレスからのアクセス時に追加認証を要求、非準拠デバイス（Intuneに未登録）からのアクセスをブロックするポリシーを設定してください。
権限の棚卸し
四半期に1回、以下の棚卸しを実施してください。管理者ロールの割り当て一覧の確認（不要な管理者の削除）、SharePointの外部共有状況の確認（不要な共有リンクの削除）、ゲストアカウントの棚卸し（不要なゲストの削除）、条件付きアクセスポリシーの有効性確認です。
棚卸しを「見るだけ」で終わらせないために、判断基準を先に決めておきます。
| 対象 | 削除候補の基準 |
|---|---|
| 管理者ロール | 直近6ヶ月で管理操作の記録がない |
| ゲストアカウント | 最終サインインが6ヶ月以上前 |
| 共有リンク | 案件終了済み、または作成から1年以上経過 |
| 条件付きアクセスの除外設定 | 除外の理由が説明できない |
最後の項目が重要です。 除外設定は「一時的に」作られ、そのまま残ります。なぜ除外されているかを説明できない設定は、削除の対象にしてください。
権限の追加には申請の経路を作ってください。 口頭やチャットで依頼された権限をその場で付与すると、記録が残らず、棚卸しの際に「なぜこの人に権限があるのか」が分からなくなります。誰が承認したかを残すことが、後の判断を可能にします。
まとめ
- グローバル管理者は2〜3名に限定し、日常業務用アカウントと分ける
- 緊急用アカウントを1つ用意する。締め出し事故は実際に起きている
- 委託先に渡した管理者権限が契約終了後も残っていないか確認する
- ユーザーを無効化してもロールの割り当ては残る
- SharePointは個人単位で権限を付けない。グループに付与し、人の出入りはメンバー変更で処理する
- 継承を壊さない。細かく分けたいならフォルダーではなくサイトを分ける
- 「全社共有」は機密ファイルの置き場になる。作るなら用途を限定して定期確認する
- Teams作成を統制しないと、管理者が把握していないSharePointサイトが増え続ける
- チームの所有者は2名以上。退職時に管理者不在のチームが残るのを防ぐ
- 棚卸しは削除候補の基準を先に決める。理由を説明できない除外設定は削除対象
- 権限の追加には申請と承認の記録を残す。口頭依頼での付与は後から追えない
M365の権限管理は「最小権限の原則」に基づき、必要な人に必要な権限だけを付与することが基本です。管理者ロール→データアクセス→条件付きアクセスの3レイヤーで体系的に設計してください。
情シス365では、M365の権限設計から定期棚卸しまで代行しています。