【Box】グループ同期で権限が足りないと出る時の社外共有ポリシーの見直し

Boxのグループ同期を利用していると、「権限が足りない」というエラーが表示されて同期が失敗することがあります。このエラーは、特に社外共有ポリシーの設定が原因で発生するケースが多く、管理者にとっては頭を悩ませる問題です。本記事では、エラーの原因を切り分けながら、社外共有ポリシーの見直し手順を詳しく解説します。適切な設定変更により、グループ同期をスムーズに再開できるようにしましょう。

グループ同期で「権限が足りない」エラーが出る原因

Boxのグループ同期では、Active Directory(AD)やAzure ADなどのIDプロバイダーからグループをBoxに同期します。このとき、グループに外部ユーザー(社外のコラボレーター)が含まれていると、Boxの社外共有ポリシーによって制限がかかり、同期が失敗することがあります。

具体的には、次のようなケースでエラーが発生します。

• 同期対象のグループに、Box上で外部ユーザーが直接追加されている場合
• グループのフォルダに対して、外部ユーザー権限が継承されている場合
• 社外共有ポリシーが「外部共有を禁止」または「特定ドメインのみ許可」に設定されているにもかかわらず、グループの共有設定がそれに反している場合

多くの企業ではセキュリティポリシー上、外部共有を制限していますが、グループ同期の際にその制限が原因でエラーになることを見落としがちです。また、Boxの管理コンソールではエラーメッセージが詳細に表示されないため、原因の特定に時間がかかることもあります。

まずは社外共有ポリシーの現在の設定を確認する

エラーの原因を切り分けるために、最初にBox管理コンソールで現在の社外共有ポリシーを確認します。以下の手順で確認できます。

1. Box管理コンソールに管理者アカウントでログインします。
2. 左メニューの「設定」をクリックし、「セキュリティ」タブを開きます。
3. 「共有」セクションにある「社外共有ポリシー」の設定を確認します。
4. ポリシーが「外部共有を許可しない」「特定ドメインのみ許可」「全ドメイン許可」のいずれかを確認します。
5. 特に「外部共有を許可しない」の場合、外部ユーザーを含むグループは同期できません。
6. グループ同期のエラーログを確認する場合は、「ユーザーとグループ」→「グループ同期」から該当の同期設定を開き、エラー詳細を参照します。

ポリシーが厳格に設定されている場合、そのままではグループ同期が失敗します。また、現在の同期設定が「外部ユーザーを許可しない」になっているにもかかわらず、同期対象のグループに外部ユーザーが存在するとエラーになります。

社外共有ポリシーの見直し手順と注意点

社外共有ポリシーを変更する際は、全社の共有ポリシーに影響を与えるため、慎重に検討する必要があります。以下に安全な手順を示します。

ポリシー変更の手順

1. 影響範囲を評価する:現在のポリシーで許可されている外部共有の有無、外部ユーザー数を把握します。
2. 一時的にポリシーを緩和する:「特定のドメインのみ許可」に切り替え、同期に必要な外部ドメインのみ許可します。
3. グループ同期を再試行する:ポリシー変更後、グループ同期を手動で実行し、エラーが解消されたか確認します。
4. 問題なければ、必要に応じてポリシーを元に戻すか、恒久的に緩和します。
5. 同期が成功した後も、外部ユーザーの権限が適切か定期的に監査します。

ただし、セキュリティポリシーを緩和する場合は、情報漏洩リスクが高まるため、他の制限(フォルダ単位の共有制限やウォーターマークなど)とのバランスを考慮してください。

具体的なポリシー設定の比較

ポリシー設定	外部ユーザーとの共有	グループ同期への影響
外部共有を許可しない	不可	外部ユーザーを含むグループは同期不可
特定ドメインのみ許可	許可されたドメインのみ	許可ドメインの外部ユーザーがいるグループは同期可能
全ドメイン許可	全ドメイン可能	外部ユーザー制限なし、ただしセキュリティリスク大

この表を参考に、現在のポリシーとグループ同期の要件を照らし合わせてください。

失敗パターンとその対処法

実際によくある失敗パターンを3つ紹介します。自社の状況と照らし合わせてみてください。

1. パターン1:ポリシーは緩和済みだが、グループ単位の共有設定が禁止されている
   社外共有ポリシーが「特定ドメイン許可」でも、グループのフォルダ単位で「社外との共有を禁止」に設定されていると、同期が失敗します。この場合は、該当グループのフォルダ設定を確認し、必要に応じて変更します。
2. パターン2:同期対象のグループに削除された外部ユーザーが残っている
   グループに外部ユーザーを追加した後、そのユーザーがBox上から削除されても、グループのメンバーシップにゴミとして残ることがあります。この場合、グループから該当ユーザーを手動で削除してから再同期してください。
3. パターン3:ポリシー変更後もキャッシュが残っていて反映されない
   Boxではポリシー変更が即時反映されない場合があります。最大1時間程度待ってから再試行するか、Boxサポートに問い合わせてキャッシュクリアを依頼してください。

これらのパターンは経験上よく発生するため、事前に確認しておくとスムーズです。

管理者に確認しておくべき情報

グループ同期のトラブルシューティングでは、以下の情報を管理者に確認しておくと原因特定が早まります。

• 現在の社外共有ポリシーの設定値(スクリーンショットがあるとベター)
• グループ同期の設定内容(同期元のIDプロバイダー、同期方向、同期対象グループ)
• エラー発生時のBox管理コンソールのログ(イベントログや監査ログ)
• 同期対象グループ内の外部ユーザー一覧
• ポリシー変更の可否に関する社内セキュリティポリシー

これらの情報をまとめておくことで、問い合わせ対応がスムーズになります。

よくある質問(FAQ)

Q1. グループ同期のエラーは社外共有ポリシー以外に原因がありますか?
A. はい、同期元のIDプロバイダーの設定ミスや、Boxのライセンス不足、グループの上限数超過なども原因になります。ただし、権限に関するエラーであれば、まずはポリシーを確認するのが近道です。

Q2. ポリシーを変更せずにグループ同期を成功させる方法はありますか?
A. 外部ユーザーをグループから除外するか、外部ユーザー専用のグループを別途作成して、ポリシーが緩いフォルダに割り当てる方法があります。

Q3. グループ同期の頻度はどの程度ですか?
A. Boxでは通常、数分から1時間程度の間隔で同期が行われます。手動で即時同期を実行することも可能です。

Q4. ポリシーを「外部共有を許可しない」から変更したくない場合はどうすればよいですか?
A. その場合、グループ同期を利用せず、手動で社内ユーザーのみのグループを作成するか、外部ユーザーをBoxに招待しない運用に切り替える必要があります。

まとめ

Boxのグループ同期で「権限が足りない」エラーが出た場合、まずは社外共有ポリシーの設定を確認しましょう。ポリシーが厳格すぎると、外部ユーザーを含むグループの同期がブロックされます。適切なポリシーへの変更や、グループ構成の見直しによって、多くのケースで問題は解決します。ただし、ポリシー変更は全社のセキュリティに影響するため、影響範囲を十分に評価してから実施することが重要です。本記事の手順を参考に、原因を切り分けてスムーズにトラブルを解決してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。