Microsoft 365 グループと Microsoft Entra セキュリティ グループを使用して SharePoint サイトへのアクセスを制限する

制限付きサイト アクセス制御 ( 制限付きアクセス制御 または サイト アクセス制限とも呼ばれる) は、SharePoint サイトとそのコンテンツへのアクセスを特定のコントロール グループのユーザーに指定することで、過剰共有を防止するのに役立ちます。 指定されたグループに属さないユーザーは、以前のアクセス許可や共有リンクを持っていたとしても、サイトまたはそのコンテンツにアクセスできません。 このポリシーは、Microsoft 365 グループまたは Microsoft Entra セキュリティ グループを使用して、Microsoft 365 グループ接続、Teams 接続、グループ非接続サイト、OneDrive に適用できます。

サイト アクセス制限ポリシーは、ユーザーがサイトを開くかファイルにアクセスしようとしたときに有効になります。 Copilot と organization 全体の検索結果もこのポリシーを尊重します。 ファイルに対する直接アクセス許可はあるが、指定されたコントロール グループに属していないユーザーは、検索エクスペリエンスまたは Copilot エクスペリエンスでファイルを表示できません。

SharePoint サイトの制限付きアクセス制御の保存された変更のスクリーンショット。

注:

共有チャネル サイトとプライベート チャネル サイトは、標準チャネルで使用される Microsoft 365 グループ接続サイトとは別のサイト コレクションです。 チーム接続サイトに適用される制限付きサイト アクセス ポリシーは、その共有チャネル サイトまたはプライベート チャネル サイトには自動的に適用されません。 共有チャネル サイトまたはプライベート チャネル サイトごとにサイト アクセス制限を個別に構成します。

制限付きサイト アクセスの前提条件

SharePoint の高度な管理の前提条件を参照してください。

Enable site-level access striction for your organization

個々のサイトに対して構成する前に、organization のサイト レベルのアクセス制限を有効にする必要があります。 また、サイトのアクセス制限の制御を organization のすべてのサイト管理者に委任することもできます。

SharePoint 管理センターで organization のサイト レベルのアクセス制限を有効にするには、次の手順に従います。

  1. [ ポリシー] を展開し、[ アクセス制御] を選択します。

  2. [ サイト レベルのアクセス制限] を選択します。

  3. [ アクセス制限の許可] を選択し、[ 保存] を選択します。

    サイト レベルのアクセス制御を設定する方法を示すスクリーンショット。

PowerShell を使用して organization のサイト レベルのアクセス制限を有効にするには、次のコマンドを実行します:

Set-SPOTenant -EnableRestrictedAccessControl $true

コマンドが有効になるまでに最大 1 時間かかる場合があります。

制限されたアクセス制御の管理をサイト管理者に委任する

SharePoint 管理者は、制限付きアクセス制御の管理をサイト管理者に委任することもできます。 ポリシーを更新する場合は、ポリシーが更新される理由について適切な正当化を提供する必要があります。

既定では、委任はオフになっています。 有効にする場合は、次のコマンドを実行します。

Set-SPOTenant -DelegateRestrictedAccessControlManagement $true

制限付きアクセス制御がすべてのサイト管理者に委任されると、ポリシーを管理できます。

サイト管理者への制限付きアクセス制御の委任管理の状態を確認する

委任の状態をチェックするには、次のコマンドを実行します。

Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement

注:

Microsoft 365 Multi-Geo ユーザーの場合は、このコマンドを目的の地理的位置ごとに個別に実行します。

Microsoft 365 グループまたは Microsoft Entra セキュリティ グループを使用して、すべての SharePoint サイトへのアクセスを制限する

制限付きアクセス制御グループとして Microsoft Entra セキュリティ グループまたは Microsoft 365 グループを指定することで、SharePoint サイトへのアクセスを制限できます。 コントロール グループには、サイトとそのコンテンツへのアクセスを許可されているユーザーを含める必要があります。

サイトでは、最大 10 個の Microsoft Entra セキュリティ グループまたは Microsoft 365 グループを構成できます。 ポリシーを適用すると、コンテンツへのアクセス許可を持つ指定したグループ内のユーザーにアクセス権が付与されます。

重要

  • 制限されたアクセス制御グループ (Microsoft Entra セキュリティ グループまたは Microsoft 365 グループ) にユーザーを追加しても、ユーザーにサイトまたはコンテンツへのアクセス許可が自動的に付与されるわけではありません。 ユーザーがこのポリシーによって保護されたコンテンツにアクセスするには、ユーザーはサイトまたはコンテンツ アクセスの両方のアクセス許可を持ち、制限付きアクセス制御グループのメンバーであることが必要です。

  • ユーザー プロパティに基づくグループ メンバーシップを行う場合は、動的セキュリティ グループを制限付きアクセス制御グループとして使用することもできます。

サイトのサイト アクセスを管理する

サイトのサイト アクセスを管理するには、次の手順に従います。

  1. SharePoint 管理センターで、[ サイト] を展開し、[ アクティブ サイト] を選択します。

  2. 管理するサイトを選択します。 [サイトの詳細] パネルが表示されます。

  3. [設定] タブで、[制限付きサイト アクセス] セクションの [編集] を選択します。

  4. [SharePoint サイトへのアクセスを指定したグループのユーザーのみに制限する] チェック ボックスをオンにします。

  5. セキュリティ グループまたは Microsoft 365 グループを追加または削除し、[ 保存] を選択します。

サイトへのアクセス制限を適用する

サイトへのアクセス制限をサイトに適用するには、サイト アクセス制限ポリシーに少なくとも 1 つのグループを追加する必要があります。

グループ以外の接続サイトに追加されるサイト アクセス制限のセキュリティ グループを示すスクリーンショット。

グループ接続サイトの場合、サイトに接続されている Microsoft 365 グループが既定の制限付きアクセス制御グループです。 このグループを維持し、制限付きアクセス制御グループとして Microsoft 365 または Microsoft Entra セキュリティ グループを追加することを選択できます。

接続済みサイトに追加されるサイト アクセス制限のセキュリティ グループを示すスクリーンショット。

注:

  • 共有チャネル サイトまたはプライベート チャネル サイトは、親チームの Microsoft 365 グループに接続されていないため、この動作には適用されません。 それらのサイトに対して、制限付きアクセス制御を個別に構成します。 この記事の「 共有チャネル サイトとプライベート チャネル サイト」 セクションを参照してください。

  • 前の図に示すように、サイトに接続されている Microsoft 365 グループの 既定のグループ タグが一覧表示されます。

PowerShell を使用してサイトへのアクセス制限を管理する

PowerShell を使用して SharePoint サイトのサイト アクセス制限を管理するには、このセクションで説明する PowerShell コマンドを使用します。

サイトへのアクセス制限を有効にする

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

グループの追加

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

グループの編集

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

グループの表示

Get-SPOSite -Identity <siteurl> | Select RestrictedAccessControl, RestrictedAccessControlGroups

グループを削除する

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

サイトへのアクセス制限をリセットする

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

検索と Copilot エクスペリエンス

制限付きサイト アクセス制御ポリシーは、organization 全体の検索エクスペリエンスと Microsoft Copilot エクスペリエンスで尊重されます。 このポリシーによってアクセスを拒否されたユーザーは、検索エクスペリエンスまたは Microsoft Copilot エクスペリエンスのいずれにおいても、このサイトのコンテンツを表示できません。 検索エクスペリエンスと Copilot エクスペリエンスに制限付きサイト アクセス制御ポリシーが反映されるまでに時間がかかる場合があります。 検索インデックスの更新待機時間は、サイト内のアイテム数によって異なります。 たとえば、項目が多いサイトが大きいほど、制限付きサイト アクセス制御ポリシーが検索エクスペリエンスや Copilot エクスペリエンスで適用されるまでに時間がかかる場合があります。

共有チャネル サイトとプライベート チャネル サイト

共有チャネル サイトとプライベート チャネル サイトは、標準チャネルで使用される Microsoft 365 グループ接続サイトとは異なります。 共有チャネル サイトとプライベート チャネル サイトは親チームの Microsoft 365 グループに接続されていないため、チーム接続サイトで構成された制限付きアクセス制御ポリシーは、それらのチャネル サイトには適用されません。 共有チャネル サイトまたはプライベート チャネル サイトごとに、グループ以外の接続サイトとして個別にサイト アクセス制限を有効にする必要があります。

共有チャネル サイトの場合、制限付きアクセス制御はリソース テナント内の内部ユーザーにのみ適用されます。 別のテナントから共有チャネルにアクセスする外部参加者は、制限付きアクセス制御ポリシーに対して評価されません。 これらのアクセスは、引き続き、共有チャネルおよび関連付けられている SharePoint サイトに付与されたアクセス許可によって決定されます。

つまり、外部の共有チャネル参加者を制限されたアクセス制御グループに追加したり、制限されたアクセス制御グループから削除したりしても、共有チャネル サイトにアクセスする機能には影響しません。

重要

セキュリティ グループまたは Microsoft 365 グループにユーザーを追加しても、ユーザーは Teams のチャネルにアクセスできません。 Teams とセキュリティ グループまたは Microsoft 365 グループで Teams チャネルの同じユーザーを追加または削除して、ユーザーが Teams サイトと SharePoint サイトの両方にアクセスできるようにします。

サイト管理者エクスペリエンス

サイト アクセス制限の制御をサイト管理者に委任した後、サイト管理者は [ サイト情報 ] パネルでサイト アクセス制限設定を構成できます。

[制限付きサイト アクセス] 設定を示すスクリーンショット。

SharePoint サイトへのアクセスを制限する

  1. Microsoft Entra セキュリティ グループまたは Microsoft 365 グループを使用して、サイトにアクセスできるユーザーを制限します。

  2. アクセス権を持つ必要があるユーザーを含むグループを追加します。

  3. サイトごとに最大 10 個のグループを追加します。

  4. サイトへのアクセス制限設定を保存すると、それらのグループ内のユーザーと、コンテンツに対するアクセス許可を既に持っているユーザーのみがサイトにアクセスできます。

  5. サイトのアクセス制限設定を更新するたびに正当な理由を提供します。

サイト所有者エクスペリエンス

ポリシーをサイトに適用すると、[ サイト アクセス ] パネルには、[ サイト情報 ] パネルと [ アクセス許可 ] パネルに加えて、ポリシーの状態とサイト所有者用に構成されているすべてのコントロール グループが表示されます。

サイトへのアクセス制限パネルを示すスクリーンショット。

監査

Microsoft Purview ポータルには、サイトのアクセス制限アクティビティを監視するのに役立つ監査イベントが用意されています。 システムは、次のアクティビティの監査イベントをログに記録します。

  • サイトへのアクセス制限を適用する
  • サイトのサイト アクセス制限の解除
  • サイトのサイト アクセス制限グループの変更
  • サイト管理者によるサイト アクセス制限の更新の正当化

インサイト

制限付きサイト アクセス ポリシーの分析情報

IT 管理者は、次のレポートを表示して、制限付きサイト アクセス ポリシーで保護されている SharePoint サイトについてより詳しく知ることができます。

  • 制限付きサイト アクセス ポリシー (RACProtectedSites) によって保護されているサイト
  • 制限付きサイト アクセス ポリシー (ActionsBlockedByPolicy) によるアクセス拒否の詳細

現在、21Vianet が運用する Microsoft 365 では、必要なライセンスをお持ちであってもレポートをご利用いただけません。

注:

各レポートの生成には数時間かかることがあります。

制限付きサイト アクセス ポリシー レポートによって保護されているサイト

SharePoint PowerShell で次のコマンドを実行して、レポートを生成、表示、およびダウンロードします。

レポートの生成

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

このコマンドは、制限付きサイト アクセス ポリシーによって保護されているサイトのリストを生成します。

レポートの表示

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

このレポートには、ポリシーによって保護されているページ ビューが最も多い上位 100 サイトが表示されます。

レポートのダウンロード

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

管理者としてこのコマンドを実行します。 ダウンロードしたレポートは、コマンドが実行されたパスにあります。

Percentage of site protected with restricted site access report

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

このレポートには、サイトの総数のうち、ポリシーによって保護されているサイトの割合が表示されます。

制限付きサイトによるアクセス拒否 アクセス ポリシー レポート

次のコマンドを実行して、制限付きサイト アクセス レポートによるアクセス拒否のレポートを作成、取得、および表示します。

アクセス拒否レポートを作成する

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

このコマンドは、アクセス拒否の詳細を取得するための新しいレポートを作成します。

アクセス拒否レポートの状態のフェッチ

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

このコマンドは、生成されたレポートの状態を取得します。

過去 28 日間の最新のアクセス拒否

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

このコマンドは、過去 28 日間に発生した最新の 100 件のアクセス拒否の一覧を取得します。

アクセスを拒否された上位ユーザーの一覧の表示

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

このコマンドは、アクセス拒否を最も多く受けた上位 100 人のユーザーの一覧を取得します。

最も多くのアクセス拒否を受け取った上位サイトの一覧の表示

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

このコマンドは、アクセス拒否が最も多かった上位 100 サイトの一覧を取得します。

異なる種類のサイトにわたるアクセス拒否の分布

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

異なる種類のサイトにわたるアクセス拒否の分布を示します。

注:

最大 10,000 件の拒否を表示するには、レポートをダウンロードする必要があります。 管理者としてダウンロード コマンドを実行します。 ダウンロードされたレポートは、コマンドを実行したパスにあります。

制限されたアクセス制御グループ外のユーザーとのサイトとコンテンツの共有 (オプトイン機能)

既定では、SharePoint サイトとそのコンテンツの共有は、制限付きサイト アクセス ポリシーに従いません。 SharePoint 管理者は、アクセス制御グループのメンバーではないユーザーとのサイトとそのコンテンツの共有を制限することを選択できます。

制限されたアクセス制御グループ外のユーザーに共有機能を制限するには、SharePoint Online 管理シェルで管理者として次の PowerShell コマンドを実行します。

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

ユーザーとの共有

共有の制限を適用すると、制限されたアクセス制御グループのメンバーではないユーザーの共有がブロックされます。

ユーザー メッセージとの共有のスクリーンショット。

グループと共有する

共有は、制限されたアクセス制御グループの一覧の一部である Microsoft Entra セキュリティまたは Microsoft 365 グループで許可されます。 外部ユーザーまたは SharePoint グループを除くすべてのユーザーを含む、他のすべてのグループとの共有は許可されません。

グループ メッセージでの共有のスクリーンショット。

注:

アクセス制限グループの一部である入れ子になったセキュリティ グループに対して、サイトとそのコンテンツの共有が許可されるようになりました。

アクセス拒否エラー ページの [詳細情報] リンクを構成する (オプトイン機能)

[ 詳細] リンクを設定して、制限されたサイトへのアクセス制御ポリシーのために SharePoint サイトへのアクセスを拒否されたユーザーに通知します。 このエラー リンクをカスタマイズすることで、ユーザーにより多くの情報とガイダンスを提供できます。

注:

[ 詳細情報 ] リンクは、制限付きアクセス制御ポリシーが有効になっているすべてのサイトに適用されるテナント レベルの設定です。

リンクを構成するには、SharePoint PowerShell で次のコマンドを実行します。

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>"

リンクの値を取得するには、次のコマンドを実行します。

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink

ユーザーが [organization のポリシーの詳細について知る] リンクを選択すると、構成された詳細リンクが起動します。

[詳細情報] リンクを示すスクリーンショット。

SharePoint サイトおよび OneDrive の条件付きアクセス ポリシー

データ アクセス ガバナンス レポート

  • Last updated on