この記事は、無料 eBook「Microsoft 365 と Teams における外部共有とゲスト ユーザー アクセス管理」から抜粋して記載しています。他にも、以下のような内容をご紹介しています。
Microsoft 365 における外部共有は複雑で、6 つの管理インターフェイスが相互に依存する設定となっています。そこで、この記事では外部共有の設定をシンプルにする方法をご紹介します。
まず直感的に理解しやすいように、外部共有を企業施設の利用に例えてみましょう。多くの組織では、セキュリティ上の観点から施設の利用に関する予防措置が講じられています。オフィス ビルに部外者を招いて会議を行う場合、会議室や会議室で共有される機密情報にアクセスするには、何重ものセキュリティ チェックを通過しなければなりません。セキュリティ チェックの第一段階は、ビルの敷地への立ち入りです。
Azure AD は敷地への立ち入りに相当
Microsoft Teams および Microsoft 365 においても、部外者によるアクセスからの保護および制御のセキュリティ設定は複数の層で構成されています。そしてその最初の層となるのが、組織全体を対象とした Azure AD 管理センターの設定です。
このグローバルな設定で主に扱われているのが、ID 認証、部外者をディレクトリに追加する際のルール (および誰が追加するか)、追加後の権限の設定です。組織は、有料ライセンス 1 つにつき 5 人のゲスト ユーザーを設定できます。
Microsoft 365 の外部共有モデルでは、ゲストは各自の ID プロバイダーで認証を行う必要があります。それに加えて、組織の側でサインインの要件をより厳しく設定することも可能です。このアプローチの優れている点として、ユーザーが所属組織を離れる (競合他社への転職など) とアカウントがアクティブではなくなり、その組織にゲストとしてログインする手段がなくなることが挙げられます。
以下の画像で分かるように、Azure AD の重要な設定として、ゲストが「メンバーシップ ディレクトリ全体を参照できる」ようにするか、「所属チームのメンバーだけを参照できる」ようにするかを選択できるというものがあります。
また「Admins and users in the guest inviter role can invite (管理者およびゲスト招待者のロールがゲスト ユーザーを招待できる)」のオプションで、管理者が管理者インターフェイスを通じてゲストを招待できるかを切り替えられます。チームの所有者が下流の追加設定からゲストを招待できるようにするには、このオプションを有効にする必要があります。ゲストが他のゲストを招待できるようにすることも可能ですが、大半の組織では採用されていません。
ワンタイム パスコード
2021 年 3 月から、デフォルトでゲストに対するワンタイム パスコードのオプションが利用できるようになりました。ワンタイム パスコードは、現在ディレクトリにいない、あるいは Microsoft のアカウントを持っていないゲストにドキュメントなどのリソースを共有する場合に提供され、本人確認のために使われます。ここで再び企業施設への立ち入りに例えてみましょう。企業の広い敷地内に大きな建物があるとします。ワンタイム パスワードは、この敷地に部外者が車両で来訪する際の進入路を限定し、駐車場や特定区画への立ち入り条件を設定する仕組みにあたります。警備員は、部外者が信頼できる機関が発行した有効な身分証明書を持っていることを確認した上でゲートを開きます。
特定組織の人間しか入れないような高度なセキュリティを設定しているところもあれば、立ち入り禁止にする組織のブラックリストだけを設定している場合もあります。そして敷地に入れなければ当然、会議室にも立ち入ることはできず、逆に敷地に入れたからといって、すべての会議室に立ち入れるとは限りません。
こちらの記事の引用元である電子ブックでは Microsoft 365 のグローバル管理センターと Microsoft Teams 管理センター全体におけるゲストのアクセス設定について詳述されており、こちらからダウンロード可能です。
※この記事は、米国 AvePoint で 2021 年 4 月 12 日付で公開された記事 “A Quick Look at Configuring Guest Access in Azure AD” の内容を日本語訳したものです。
関連ブログ: Microsoft 365 ゲスト アクセス ポリシー設定のポイント 3 点
当社ブログでは、外部共有に関する最新情報などを随時配信しています。ぜひ配信登録を行ってください。
