SharePoint Server で Web アプリケーションのアクセス許可ポリシーを管理する
適用対象:
2016 2019 Subscription Edition 
SharePoint in Microsoft 365
アクセス許可ポリシー レベルは、Web アプリケーションのすべてのサイト コレクションにおいて一部のユーザーやグループに適用される一連のアクセス許可を構成および管理するための一元的な手段となります。
たとえば、アイテムのリストへの追加、編集、または削除を行ったり、リストを開いたり、アイテム、リスト、ページを表示したりするユーザーに対してアクセス許可ポリシー レベルを作成する必要があるとします。 しかし、それら同じユーザーがリストの作成や削除は行えないようにする必要がある場合があります。 それらのユーザーに対するアクセス許可ポリシー レベルを作成することによって、そうすることができます。
サイトまたはサイト コレクション レベルで、これらの同じアクセス許可を構成することができますが、複数のコレクションに対するアクセス許可の管理は時間がかかる場合があります。 アクセス許可ポリシー レベルにより、アクセス許可を Web アプリケーション レベルで管理できます。
フル コントロール、すべて読み取り、書き込みの拒否、すべて拒否の各権限の既定のポリシー レベルがあり、また、カスタム ポリシー レベルを作成して、必要なアクセス許可を指定することができます。
この記事では、アクセス許可ポリシー レベルの設定と使用方法、ならびにそれらにユーザーを割り当てる方法について説明します。 これらの手順を実行するには、ファーム管理者グループのメンバーである必要があります。
カスタム アクセス許可ポリシー レベルを作成、編集、または削除する
アクセス許可ポリシー レベルには、Web アプリケーション レベルで特定のユーザーまたはグループに適用される権限が含まれます。 リストの権限、サイトの権限、または個人の権限を組み合わせて指定できます。 また、次のレベルのサイト コレクションの権限の 1 つを指定することもできます。
サイト コレクションの管理者: サイト コレクション全体に対してフル コントロールの権限を持ち、あらゆるオブジェクトに対して任意の操作を実行できます。
サイト コレクションの監査者: サイト コレクション全体と、権限、構成情報などの関連データに対してすべて読み取りの権限を持ちます。
それらの一方または両方のアクセス許可レベルを指定した場合、個々の権限は指定できません。
権限リストには、[ 許可] 列と [ 拒否] 列があります。 アクセス許可ポリシー レベルの一部として、任意の権限 (または、すべての権限) を許可または拒否できます。 既定では、許可されている権限はありません。 単一の権限が許可も拒否もされない場合、サイトまたはサイト コレクション レベルでの権限の設定が有効になります。
アクセス許可ポリシー レベルを追加する
次の手順を使用して、アクセス許可ポリシー レベルを作成します。
アクセス許可ポリシー レベルを追加するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを管理する Web アプリケーションの行をクリックして選択します。
リボンの [ ポリシー] グループで、[ アクセス許可ポリシー] をクリックします。
[アクセス許可ポリシー レベルの管理] ダイアログで、[ アクセス許可ポリシー レベルの追加] をクリックします。
[アクセス許可ポリシー レベルの追加] ダイアログの [名前と説明 ] セクションで、作成するポリシーの名前と説明を入力します。
[ サイト コレクションの権限] セクションで、このポリシーのサイト コレクションの権限を選択します。
[ 権限] セクションで、このアクセス許可レベルで付与または拒否する権限を選択します。
このポリシーに有効なすべての権限を含めるには、[ すべて許可] チェック ボックスをオンにします。
このポリシーで有効なすべての権限を拒否するには、[ すべて拒否] チェック ボックスをオンにします。
このポリシーにリスト、サイト、および個人の権限を個別に含めたり、除外したりするには、[ 許可] チェック ボックスまたは [ 拒否] チェック ボックスをオンにします。
通常のサイトまたはサイト コレクションのアクセス許可によってアクセスを制御する場合、[ 許可] と [ 拒否] のいずれもクリックしないでください。
- [ 保存] をクリックします。
アクセス許可ポリシー レベルを編集する
次の手順を使用して、アクセス許可ポリシー レベルを編集します。
アクセス許可ポリシー レベルを編集するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを管理する Web アプリケーションの行をクリックして選択します。
リボンの [ ポリシー] グループで、[ アクセス許可ポリシー] をクリックします。
[アクセス許可ポリシー レベルの管理] ダイアログで、編集するアクセス許可ポリシー レベルのリンクをクリックします。
[アクセス許可ポリシー レベルの編集] ページで、設定を編集し、[ 保存] をクリックします。
アクセス許可ポリシー レベルを削除する
アクセス許可ポリシー レベルを作成したユーザーやグループで、アクセス許可ポリシー レベルが不要になった場合は、これを削除できます。 既存のすべてのアクセス許可ポリシー レベルを調べて、これらが引き続き必要かどうかを確認することをお勧めします。
アクセス許可ポリシー レベルを削除するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを管理する Web アプリケーションの行をクリックして選択します。
リボンの [ ポリシー] グループで、[ アクセス許可ポリシー] をクリックします。
[アクセス許可ポリシー レベルの管理] ダイアログで、削除するアクセス許可ポリシー レベルのチェック ボックスをオンにし、[ 選択したアクセス許可ポリシー レベルの削除] をクリックします。
[OK] をクリックして、削除を確認します。
アクセス許可ポリシー レベルにユーザーを追加、またはそこから削除する
アクセス許可ポリシー レベルにユーザーを追加すること、ポリシー レベル設定を編集すること、およびアクセス許可ポリシー レベルからユーザーを削除することができます。 次の設定を指定または変更できます。
領域: 複数の領域がある Web サイトの場合、アクセス許可ポリシー レベルを適用する領域を選択できます。 既定値はすべての領域で、これは Windows ユーザーに対してのみ指定できます。
権限: フル コントロール、すべて読み取り、書き込みの拒否、すべて拒否の各権限の既定のポリシー レベルを指定するか、または自作のカスタム アクセス許可レベルを指定することができます。
システム: この設定では、アプリケーション プールのホスト用として構成された Windows ユーザー アカウントや SharePoint ファーム サービス アカウントに関係なく、システム関連の操作で SHAREPOINT\System と表示できます。 この設定を指定すると、エンド ユーザーに対してや、企業内の SharePoint 展開の詳細について把握しようとしている悪意あるユーザーに対して、不要な情報漏えいを防ぐことができます。
アクセス許可ポリシー レベルにユーザーを追加する
次の手順を使用して、アクセス許可ポリシー レベルにユーザーを追加します。
アクセス許可ポリシー レベルにユーザーを追加するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを管理する Web アプリケーションの行をクリックして選択します。
リボンの [ポリシー] グループで、[ ユーザー ポリシー] をクリックします。
[Web アプリケーションのポリシー] ダイアログで、[ ユーザーの追加] をクリックします。
[ユーザーの追加] ダイアログの [ ゾーン ] の一覧で、アクセス許可ポリシー レベルを適用するゾーンをクリックし、[ 次へ] をクリックします。
[ユーザーの追加] ダイアログの [ ユーザーの選択 ] セクションで、アクセス許可ポリシー レベルに追加するユーザー名、グループ名、または電子メール アドレスを入力します。
[ 権限の選択] セクションで、ユーザーに付与する権限を選択します。
[ システム設定の選択] セクションで、[ このアカウントでの操作はシステムとして行う] をクリックし、SharePoint 環境内で特定のタスクを実行する実際のユーザー アカウントの代わりにユーザー アカウントを SHAREPOINT\System と表示するかどうかを指定します。
[完了] をクリックします。
アクセス許可ポリシーを編集する
次の手順を使用して、アクセス許可ポリシー レベルによって付与されるアクセス許可を編集します。
ユーザー アクセス許可ポリシーを編集するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを編集する Web アプリケーションの行をクリックして選択します。
リボンの [ ポリシー] グループで、[ ユーザー ポリシー] をクリックします。
[Web アプリケーションのポリシー] ダイアログで、管理するユーザーまたはグループの横にあるチェック ボックスをオンにし、[ 選択したユーザーのアクセス許可の編集] をクリックします。
[ユーザーの編集] ページの [ アクセス許可ポリシー レベル] セクションで、ユーザーに適用する権限を選択します。
[ システム設定の選択] セクションで、[ このアカウントでの操作はシステムとして行う] をクリックし、SharePoint 環境内で特定のタスクを実行する実際のユーザー アカウントの代わりにユーザー アカウントを SHAREPOINT\System と表示するかどうかを指定します。
[保存] をクリックします。
アクセス許可ポリシー レベルからユーザーを削除する
次の手順を使用して、アクセス許可ポリシー レベルからユーザーを削除します。
アクセス許可ポリシー レベルからユーザーを削除するには
SharePoint 2016 の全体管理 を起動します。
SharePoint サーバーの全体管理 Web サイトの [ アプリケーション構成の管理] セクションで、[ Web アプリケーションの管理] をクリックします。
アクセス許可ポリシー レベルを管理する Web アプリケーションの行をクリックして選択します。
リボンの [ ポリシー] グループで、[ ユーザー ポリシー] をクリックします。
[Web アプリケーションのポリシー] ダイアログで、削除するユーザーまたはグループの横にあるチェック ボックスをオンにし、[ 選択したユーザーの削除] をクリックし、[OK] をクリック します。