※この記事は、2016 年 11 月 1 日に 米国 AvePoint のブログに掲載された “Managing SharePoint Permissions: Understanding Inheritance, Groups and How They Work Together” の翻訳となります。

SharePoint・SharePoint Online を使用する企業・組織にとって、データ保護・機密性の高い情報の取り扱いのカギを握るのは 権限管理 です。

権限管理の基本は、データ ガバナンス ストラテジー を基準にして、「誰が」「何に」「どの程度」 アクセス可能であるかを決定することにあります。しかし、SharePoint で 「誰が」「何を」 見ることができるか決定するのは、それほど簡単なことではありません。

SharePoint の権限がどのように機能するのかを理解することは、SharePoint 環境の安全性確保プラン作成上、きわめて重要です。この記事では、SharePoint / SharePoint Online デフォルトの権限管理がどのように機能するか、注意すべき点は何かについて解説します。

付与できる SharePoint 権限

権限管理を実行することにより、ユーザーや管理者は、環境内の特定のサイト コレクションやサイト、フォルダー、ドキュメント、リスト、リスト アイテム、ライブラリ等に対し、「誰が閲覧可能か」「誰が変更可能か」 などを設定することができます。

これにより、ユーザーにも管理者にも、自らが管理するデータのセキュリティに関する基本的なコントロールを与えることが可能になります。以下は、デフォルトで設定されている SharePoint と SharePoint Online の権限一覧です。

システム管理者レベルでは、各権限レベルでアクティブ化ができるアクセス許可のタイプをカスタマイズすることができます。また、Web アプリ・ユーザー・場所などのレベルで、どのユーザーにどのアクションを許可するか・しないかを選択することも可能です。

グループの既定権限

企業・組織の規模を問わず、ユーザーをグループで分類することが推奨されます。その理由は、以下の表で明確となっています。グループを利用することで、複数の権限を複数のユーザーに付与することが可能になるからです。

継承権限 VS 固有の権限

アクセス権には、継承 と 固有 の 2 種類が存在します。継承される権限は、ルート サイト コレクションの既定設定から引き継がれ、同じサイト コレクション内のオブジェクト・場所に適用されます。

固有の権限とは、ルート サイト コレクションと異なる (もしくは 「解除された」) 権限を指します。以下は、実際の業務で発生するケースを例に挙げた、より具体的な説明です。

ボブは、同僚のルーシーの休暇中、彼女の作成したドキュメントの編集を実行するよう依頼を受けました。ボブはルーシーのサイトのライブラリに保存されている原稿にアクセスする必要があるのですが、現時点ではアクセス権を持っていません。

そこで、ボブは SharePoint 管理者であるユーザー、もしくはサイトの所有者であるルーシーから、「ルーシーのサイト ライブラリのみにアクセス可能」 という内容のアクセス権限を付与してもらう必要があります。

この操作は、ユーザー レベルまたはロケーション レベル で設定が可能です。

グループと権限継承

グループ と 権限継承 の利点を活かすことのできる方法は二種類存在します。

• サイト コレクション レベルで権限を設定し、範囲内のサブサイト、別の場所、オブジェクトに継承させる
• グループを作成し、異なる場所のユーザーに固有の権限を付与する

ただし、ほとんどの場合、現実的には、これら両者を併用することになります。

ここで再び既出の例に戻ってみましょう。以下は、ボブがルーシー、もしくはシステム管理者からライブラリへのアクセス権を付与された場合の権限の状態です。

既定機能に欠けているもの

グループと SharePoint のアクセス許可管理関連既定機能のみを使用してデータ セキュリティとプライバシーを管理するのは不可能ではありませんが、アクションのトラッキングという点を考えると大きな不安が生じます。

グループ レベルでアクセス許可を管理する場合、管理者にある程度のレベルの制御を与えることが必要となります。このため、継承権限を持つ場所で、複数のグループに所属する複数のユーザーを管理することを考えると、事態は一気に複雑化してしまう恐れがあります。

小規模の組織や企業でさえ、権限のオーバーラップの状態追跡・誰が何にアクセスできるかというアクセス状態の現状把握は、手間と時間のかかるタスクになってしまいかねません。

まとめると、以下に挙げる3種類の機能性が、既定機能には欠けているということになります。

1. 権限の設定: 固有権限を設定すると、SharePoint の権限継承は解除されます。これがもし、組織の情報管理ポリシーに則ったアクションである場合は何の問題もありません。

しかし、エンド ユーザーが権限継承解除を実行した場合、そのアクションが情報ポリシーに反していないかをチェックする方法は存在しません。

前出の例でいうと、フル コントロール権限を持っているルーシー、特定の場所に存在するグループのオーナーとして設定されているユーザーであれば、誰にでも権限を付与することができてしまいます。そして、IT 管理者にはこのアクションが実行されたことを自動的に知る方法はありません。

2. 透明性: IT 管理者、もしくはフル コントロール権限を持つユーザーが別のユーザーに権限を付与した場合、かつ変更が管理者によって実行されたものでない場合は、どの永続権限が誰に付与されているのかをまとめて確認することはできません。

固有権限が権限の継承を誤って解除してしまわないか確認するのが重要であるのと同様に、どのユーザーが何に対してアクセス可能であるのかを確認することも重要です。しかし、どのユーザーが何にアクセス可能であるのかを一括確認する機能は存在しません。

この機能が存在しないことは、以下の重大な問題につながる恐れがあります。

• 企業・組織のメンバーが退社した場合、そのメンバーのアクセス権限を停止する必要がありますが、個別のアクセス権限が多く付与されていれば、すべてのアクセスをブロックできる保証はありません。
• また、一時権限を付与する場合は、権限の付与を実行したメンバーが、アクセス権限が必要なくなった後に手動で権限を停止することになります。

3. レポート作成: 特定の場所での権限継承自体を確認するために使用できるレポートは存在しますが、環境全体を対象に作成できるレポート機能は、既定では存在しません。

コンプライアンス・情報管理ルールが厳しい業界では、特定のユーザーやグループ、場所で権限設定がどのように実行されているかのレポートが作成できないことは、大きな障害になりえます。

それでも何とかレポートを作成しなくてはならないということになれば、IT 管理者は権限の状態に違反がないかのチェック、違反が発生してしまった場合のフォローなどに膨大な時間と労力を費やすことになります。

権限管理のその先へ

この記事の最初でも触れたとおり、SharePoint の権限を適切に管理することは、既定機能のみを使用する場合にも サード パーティー ツール を使用する場合にも、プライバシーとセキュリティを守る上で欠かせません。

しかし、権限管理は、データ保護の一側面に過ぎません。効果的なガバナンス戦略は、ただ単に 「誰がどのドキュメントにアクセスできるか」 を把握するだけでは不十分です。

★Microsoft365に関するご相談は、AvePointまでお気軽にお声がけくださいませ。

・データ移行・運用管理・セキュリティ強化など、幅広くソリューションを展開しております。
ソリューション一覧はこちらよりご確認いただけます
・お問い合わせはHPよりお気軽にお声がけくださいませ。
AvePoint Japan 株式会社
・定期的なWEBセミナーも実施しております。無料で見れるオンデマンド配信や、無料eBookのコンテンツも多数ありますのでぜひご参照ください。
AvePoint のオンライン セミナー、eBook 等のコンテンツはこちらから