Microsoft 365 グループとMicrosoft Entra セキュリティ グループを使用して SharePoint サイトへのアクセスを制限する

制限付きサイト アクセス制御は、SharePoint サイトとそのコンテンツへのアクセスを特定のグループ内のユーザーに指定することで、過剰共有を防ぐのに役立ちます。 指定したグループに含まれていないユーザーは、以前のアクセス許可や共有リンクがあった場合でも、サイトまたはそのコンテンツにアクセスできません。 このポリシーは、Microsoft 365 グループまたは Microsoft Entra セキュリティ グループを使用して、Microsoft 365 グループ接続サイト、Teams 接続サイト、およびグループ以外の接続済みサイトに適用できます。

サイトアクセス制限ポリシーは、ユーザーがサイトを開いたりファイルにアクセスしたりしようとすると有効になります。 ファイルへの直接アクセス許可を持つユーザーは、検索結果でファイルを引き続き表示できます。 ただし、指定したグループに属していないファイルにはアクセスできません。

グループ メンバーシップを使用してサイト へのアクセスを制限すると、コンテンツの共有超過のリスクを最小限に抑えることができます。 データ共有に関する分析情報については、「 データ アクセス ガバナンス レポート」を参照してください。

サイトへのアクセスを制限するには何が必要ですか?

ライセンス要件

この記事で説明する機能を使用するには、organizationが適切なライセンスを持ち、特定の管理アクセス許可またはロールを満たしている必要があります。

まず、組織には次のいずれかの基本ライセンスが必要です:

• Office 365 E3、E5、または A5
• Microsoft 365 E1、E3、E5、または A5

さらに、次のライセンスのうち少なくとも 1 つが必要です。

• Microsoft 365 Copilot ライセンス: organization内の少なくとも 1 人のユーザーに Copilot ライセンスを割り当てる必要があります (このユーザーは SharePoint 管理者である必要はありません)。
• Microsoft SharePoint 高度な管理ライセンス: 単体で購入できます。

管理者の要件

SharePoint 管理者であるか、同等のアクセス許可を持っている必要があります。

追加情報

組織に Copilot ライセンスがあり、組織の少なくとも 1 人に Copilot ライセンスが割り当てられている場合、SharePoint 管理者は Copilot の展開に必要なSharePoint 高度な管理機能に自動的にアクセスできます。

Copilot ライセンスをお持ちでない組織は、スタンドアロンの SharePoint 高度な管理ライセンスを購入することで、SharePoint 高度な管理機能をご利用になれます。

organizationのサイト レベルのアクセス制限を有効にする

個々のサイトに対して構成する前に、organizationのサイト レベルのアクセス制限を有効にする必要があります。 また、organizationのすべてのサイト管理者にサイト アクセス制限の制御を委任することもできます。

SharePoint 管理センターでorganizationのサイト レベルのアクセス制限を有効にするには、次の手順に従います。

1. [ ポリシー] を 展開し、[ アクセス制御] を選択します。

2. [ サイト レベルのアクセス制限] を選択します。

3. [ アクセス制限を許可する] を選択し、[保存] を選択 します。

   

PowerShell を使用してorganizationのサイト レベルのアクセス制限を有効にするには、次のコマンドを実行します。

Set-SPOTenant -EnableRestrictedAccessControl $true

コマンドが有効になるまでに最大 1 時間かかる場合があります。

制限付きAccess Controlの管理をサイト管理者に委任する

SharePoint 管理者は、制限付きAccess Controlの管理をサイト管理者に委任することもできます。 ポリシーを更新する場合は、ポリシーが更新される理由に関する適切な理由を提供する必要があります。

既定では、委任はオフになっています。 有効にする場合は、次のコマンドを実行します。

Set-SPOTenant -DelegateRestrictedAccessControlManagement $true

制限付きAccess Controlがすべてのサイト管理者に委任されたら、ポリシーを管理できます。

制限付きアクセス制御の代理人管理の状態をサイト管理者に確認する

委任の状態をチェックするには、次のコマンドを実行します。

Get-SPOTenant | Select-Object DelegateRestrictedAccessControlManagement

Microsoft 365 グループまたは Microsoft Entra セキュリティ グループを使用して、すべての SharePoint サイトへのアクセスを制限する

SharePoint サイトへのアクセスを制限するには、セキュリティ グループまたは Microsoft 365 グループMicrosoft Entra [制限付きAccess Control グループ] を指定します。 コントロール グループには、サイトへのアクセスを許可されているユーザーとそのコンテンツを含める必要があります。

サイトの場合は、最大 10 個のMicrosoft Entraセキュリティ グループまたは Microsoft 365 グループを構成できます。 ポリシーを適用すると、コンテンツへのアクセス許可を持つ指定されたグループ内のユーザーにアクセス権が付与されます。

サイトのサイト アクセスを管理する

サイトのサイト アクセスを管理するには、次の手順に従います。

1. SharePoint 管理センターで、[ サイト ] を展開し、[ アクティブなサイト] を選択します。

2. 管理するサイトを選択します。 サイトの詳細パネルが表示されます。

3. [ 設定 ] タブの [制限付きサイト アクセス] セクションで [編集 ] を選択します。

4. [指定したグループ内のユーザーのみに SharePoint サイト アクセスを制限する] チェックボックスを選択します。

5. セキュリティ グループまたは Microsoft 365 グループを追加または削除し、[保存] を選択 します。

サイトへのサイト アクセス制限を適用するには、サイト アクセス制限ポリシーに少なくとも 1 つのグループを追加する必要があります。

グループに接続されたサイトの場合、サイトに接続されている Microsoft 365 グループは既定の制限付きAccess Control グループです。 このグループを保持し、さらに Microsoft 365 または Microsoft Entra セキュリティ グループを制限付きAccess Control グループとして追加できます。

PowerShell を使用して SharePoint サイトのサイト アクセス制限を管理するには、次のコマンドを使用します。

サイト管理者エクスペリエンス

サイト管理者にサイト アクセス制限の制御を委任した後、サイト 情報 パネルでサイト アクセス制限設定を構成できます。

SharePoint サイトへのアクセスを制限するには:

• Microsoft Entraセキュリティ グループまたは Microsoft 365 グループを使用して、サイトにアクセスできるユーザーを制限します。
• アクセス権を持つユーザーを含むグループを追加します。
• サイトごとに最大 10 個のグループを追加します。
• サイト アクセス制限設定の構成を保存すると、それらのグループ内のユーザーと、コンテンツに対するアクセス許可を既に持っているユーザーのみがサイトにアクセスできます。
• サイトのアクセス制限設定を更新するたびに、正当な理由を指定します。

サイト所有者エクスペリエンス

サイトにポリシーを適用すると、[ サイトのアクセス ] パネルには、[サイト 情報 ] パネルと [ アクセス許可 ] パネルに加えて、サイト所有者のポリシーの状態と構成されているすべての制御グループが表示されます。

共有チャネル サイトとプライベート チャネル サイト

共有チャネル サイトとプライベート チャネル サイトは、標準チャネルで使用される Microsoft 365 グループ接続サイトとは別です。 共有チャネル サイトとプライベート チャネル サイトは Microsoft 365 グループに接続されていないため、チームに適用されるサイト アクセス制限ポリシーは影響を受けません。 グループ以外の接続済みサイトとして、共有チャネル サイトまたはプライベート チャネル サイトごとにサイト アクセス制限を個別に有効にする必要があります。

共有チャネル サイトの場合、リソース テナント内の内部ユーザーのみがサイト アクセス制限の対象となります。 外部チャネルの参加者はサイト アクセス制限ポリシーから除外され、サイトの既存のサイトのアクセス許可に従ってのみ評価されます。

監査

Microsoft Purview ポータルには、サイト アクセス制限アクティビティを監視するのに役立つ監査イベントが用意されています。 システムは、次のアクティビティの監査イベントをログに記録します。

• サイトへのサイト アクセス制限の適用
• サイトのサイト アクセス制限の削除
• サイトのサイト アクセス制限グループの変更
• サイトのアクセス制限を更新するためのサイト管理者の正当な理由

Reporting

制限付きサイト アクセス ポリシーの分析情報

IT 管理者は、次のレポートを表示して、制限付きサイト アクセス ポリシーで保護された SharePoint サイトに関するより多くの洞察を得ることができます。

• 制限付きサイト アクセス ポリシーによって保護されたサイト (RACProtectedSites)
• 制限付きサイト アクセス ポリシーによるアクセス拒否の詳細 (ActionsBlockedByPolicy)

現在、必要なライセンスを持っている場合でも、Gallatin ではレポートを使用できません。

制限付きサイト アクセス ポリシー レポートによって保護されたサイト

SharePoint PowerShell で次のコマンドを実行して、レポートを生成、表示、ダウンロードします。

制限付きサイト アクセス ポリシー レポートによるアクセス拒否

次のコマンドを実行して、制限されたサイト アクセス レポートが原因でアクセス拒否のレポートを作成、フェッチ、および表示します。

制限付きAccess Control グループ以外のユーザーとのサイトとコンテンツの共有 (オプトイン機能)

既定では、SharePoint サイトとそのコンテンツを共有することは、制限付きサイト アクセス ポリシーに従いません。 SharePoint 管理者は、制限付きAccess Control グループのメンバーではないユーザーとのサイトとそのコンテンツの共有を制限することを選択できます。

制限付きAccess Control グループの外部のユーザーに共有機能を制限するには、管理者としてSharePoint Online 管理シェルで次の PowerShell コマンドを実行します。

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

ユーザーとの共有

共有制限を適用すると、制限付きAccess Control グループのメンバーではないユーザーの共有がブロックされます。

グループとの共有

共有は、制限付きAccess Control グループの一覧に含まれる Microsoft Entra Security または Microsoft 365 グループで許可されます。 外部ユーザーや SharePoint グループを除くすべてのグループを含め、他のすべてのグループとの共有は許可されません。

アクセス拒否エラー ページの [詳細情報] リンクを構成する (オプトイン機能)

制限付きサイト アクセス制御ポリシーにより SharePoint サイトへのアクセスが拒否されたユーザーに通知するには、[ 詳細情報 ] リンクを構成します。 このエラー リンクをカスタマイズすることで、ユーザーに詳細情報とガイダンスを提供できます。

リンクを構成するには、SharePoint PowerShell で次のコマンドを実行します。

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>" 

リンクの値をフェッチするには、次のコマンドを実行します。

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink 

構成された [詳細情報] リンクは、ユーザーが [ここでorganizationのポリシーの詳細を知る] リンクを選択すると起動します。

関連記事

SharePoint サイトと OneDrive の条件付きアクセス ポリシー

データ アクセス ガバナンス レポート