【Box】閲覧者にした相手がアップロードできる場合の権限確認

Boxでファイルやフォルダを共有する際、相手に「閲覧者」権限を付与したにもかかわらず、相手がファイルをアップロードできてしまうケースがあります。この問題は、意図しない情報の混入やセキュリティリスクにつながるため、早急に原因を特定して修正する必要があります。本記事では、閲覧者に設定したユーザーがアップロードできる原因を具体的に切り分け、正しい権限設定を確認する手順を解説します。権限の基本からトラブルシューティングまでを網羅し、再発防止のためのポイントもお伝えします。

閲覧者とアップロード権限の基本

Boxには複数の共同作業者権限が存在し、それぞれに異なる操作が許可されています。閲覧者(Viewer)は、フォルダ内のファイルを閲覧・ダウンロードできる一方、アップロードは原則としてできません。しかし、類似した名前の「閲覧者アップローダー(Viewer Uploader)」という権限もあり、誤ってそちらを付与してしまうことがよくあります。まずはBoxの主な権限を理解しておきましょう。

Boxの主な権限種類

• 共同作業者(Co-owner): フォルダの管理・編集・共有・アップロード・削除など、オーナーに近いすべての操作が可能です。
• 編集者(Editor): ファイルの編集、アップロード、ダウンロード、削除、共有設定の変更ができます。
• 閲覧者アップローダー(Viewer Uploader): ファイルの閲覧・ダウンロードに加えて、新しいファイルのアップロードが可能です。ただし、既存ファイルの上書き削除はできません。
• 閲覧者(Viewer): ファイルの閲覧・ダウンロードのみ可能で、アップロードはできません。
• アップローダー(Uploader): フォルダ内は参照できませんが、ファイルのアップロードのみ可能です。

閲覧者がアップロードできてしまう原因

閲覧者として招待したはずの相手がアップロードできる場合、以下のような原因が考えられます。一つずつ確認していきましょう。

権限設定の誤り(Viewer Uploaderになっている)

最も多い原因は、共同作業者追加時に誤って「閲覧者アップローダー」を選択してしまっているケースです。Boxの権限選択画面では「閲覧者」と「閲覧者アップローダー」が隣り合って表示されるため、うっかりクリックミスを起こしやすい箇所です。招待後、該当ユーザーの権限がViewerではなくViewer Uploaderに設定されていないか確認する必要があります。

共有リンクの設定(アップロード許可)

フォルダに共有リンクを作成する際、リンク設定で「アップロードを許可する」を有効にしていると、リンクを知っている全員がアップロードできます。この設定は、特定の共同作業者権限とは独立して機能します。つまり、相手が閲覧者権限でも、共有リンク経由でアップロードできてしまうことがあります。リンクのアクセス権限が「会社の全員」や「リンクを知っている全員」になっている場合に特に注意が必要です。

フォルダの継承設定(親フォルダの権限を継承)

Boxでは、子フォルダが親フォルダの権限を継承する設定になっている場合が多くあります。もし親フォルダで閲覧者アップローダーや編集者などの上位権限が付与されていると、子フォルダでもその権限が引き継がれます。閲覧者に設定したはずのフォルダが、実は親フォルダの権限を継承していて、結果としてアップロードが許可されている可能性があります。フォルダのプロパティで「権限継承」の状態を確認しましょう。

他の共同作業者経由での権限

対象ユーザーが、あなたが設定した以外の共同作業者(別の管理者など)によって、直接またはグループ経由で別の権限を付与されている場合も考えられます。特に大規模な組織では、Boxグループを使って一括権限付与が行われていることがあり、個人に設定した権限よりもグループ権限が優先されることがあります。ユーザーの所属グループを確認することも重要です。

権限確認の手順

それでは、実際にBoxのWebインターフェースを使って権限を確認する手順を説明します。以下の手順を順番に実施することで、原因を特定できます。

1. フォルダを開き、右上の「…」メニューから「共同作業者」をクリックします。 一覧に招待したユーザーが表示されます。該当ユーザーの権限が「閲覧者」か「閲覧者アップローダー」かを確認します。
2. 画面右側の「共有リンク」タブを開き、共有リンクの設定を確認します。 「アクセス権限」の下にある「詳細設定」で「アップロードを許可」がオンになっていないか確認してください。オンになっている場合はオフに変更します。
3. フォルダの「詳細」を開き、「権限継承」の状態を確認します。 「このフォルダは親フォルダの権限を継承しています」と表示されている場合、親フォルダの権限が子フォルダに影響しています。必要に応じて継承を解除し、個別に権限を設定し直します。
4. ユーザーが所属するBoxグループを確認します。 管理者でない場合は、対象ユーザーに直接グループ加入状況を聞くか、管理者に問い合わせてグループ経由の権限がないか確認します。
5. フォルダの「監査ログ」を確認します(管理者権限が必要な場合があります)。 誰がいつどのように権限を変更したかが記録されているため、意図しない変更がないか確認できます。一般ユーザーは見られない場合もあるため、必要に応じて管理者に依頼してください。
6. ただし環境によっては、管理者ポリシーによってアップロード制限が緩和されていることがあります。 たとえば、外部ユーザーに対してデフォルトで「閲覧者アップローダー」権限が付与されるようなポリシーが設定されている場合があります。この場合は管理者にポリシーの変更を依頼する必要があります。

状況別比較表

以下の表で、各共同作業者権限におけるアップロード・ダウンロード・編集の可否をまとめました。権限設定時の参考にしてください。

権限	アップロード	ダウンロード	編集(上書き)	削除
共同作業者	○	○	○	○
編集者	○	○	○	○
閲覧者アップローダー	○	○	×	×
閲覧者	×	○	×	×
アップローダー	○	×	×	×

失敗パターンと対処方法

実際に発生しやすい失敗例と、その対処方法を紹介します。

パターン1:共同作業者追加時に「閲覧者アップローダー」を選択

招待メールを送る際、権限ドロップダウンで「閲覧者」のすぐ下に「閲覧者アップローダー」があるため、誤選択しやすいです。対処方法は、共同作業者一覧で該当ユーザーの権限を「閲覧者」に変更するだけです。変更後すぐに反映され、相手に通知が届きます。

パターン2:共有リンクで「アップロードを許可」をオンにしている

フォルダの共有リンク設定で「アップロードを許可」にチェックが入っていると、リンクを知っている全員がアップロード可能になります。この場合、ユーザーごとの権限は「閲覧者」でも、リンク経由でアップロードできてしまいます。対処方法は、共有リンク設定の「詳細設定」で該当オプションをオフにします。ただし、リンクを外部公開している場合は、リンクを再発行するなどの対応も検討してください。

パターン3:親フォルダの権限を誤って継承

子フォルダに特別な権限を設定していないつもりでも、親フォルダの権限を継承している場合があります。たとえば、親フォルダに編集者権限を持つユーザーがいる場合、そのユーザーは子フォルダでも編集者権限を持ちます。対処方法は、子フォルダの「権限継承」を解除し、個別に権限を設定し直します。継承を解除すると、親フォルダからの権限がすべて削除されるため、必要な権限を再度付与する必要があります。

管理者へ依頼する前に確認すべき情報

上記の対処を行っても問題が解決しない場合、会社のBox管理者に問い合わせる必要があります。その際、以下の情報を整理しておくとスムーズです。

• 問題のフォルダのパス(例:/営業部/共有資料/)。
• アップロードできてしまうユーザーのメールアドレス。
• そのユーザーに設定したつもりの権限(閲覧者)。
• 実際にユーザーがアップロードしたファイル名と日時。
• フォルダの権限継承設定がどうなっているか(継承中か個別設定か)。
• 共有リンクの有無とそのアクセス権限設定。

管理者は、これらの情報をもとにBoxの管理コンソールでポリシーやグループ設定、監査ログを確認できます。特に、組織全体のデフォルト権限や外部共有制限などが影響している可能性があるため、積極的に協力を仰ぎましょう。

よくある質問

Q1. 閲覧者なのにアップロードボタンが表示されるのはなぜですか?
A1. 主な原因は、権限が「閲覧者アップローダー」になっているか、共有リンクでアップロード許可がオンになっていることです。もしくは、親フォルダの権限を継承している可能性があります。本記事の手順で確認してください。

Q2. 共有リンクでアップロードを許可すると、誰でもアップロードできてしまいますか?
A2. リンクのアクセス権限によります。「リンクを知っている全員」に設定していると、リンクを入手したすべての人がアップロード可能になります。会社内のみに制限するか、特定ユーザーのみにすることを推奨します。

Q3. 権限継承を解除すると、何が起こりますか?
A3. 継承を解除すると、そのフォルダは親フォルダの権限設定を一切引き継がなくなります。そのため、現在の共同作業者の権限がすべて削除されます。必要な権限は改めて付与する必要があります。

Q4. ユーザーをグループで管理している場合、個人の権限とグループの権限はどちらが優先されますか?
A4. Boxでは、最も強い権限が優先されます。つまり、個人に「閲覧者」が設定されていても、グループで「編集者」権限を持つ場合は編集者として動作します。グループ経由の権限も確認してください。

まとめ

閲覧者に設定したユーザーがアップロードできてしまう原因として、権限設定の誤り、共有リンク設定、権限継承、グループ権限の4つが主なものです。まずは共同作業者一覧と共有リンク設定を確認し、次に権限継承の状態をチェックすることで、大部分の問題は解決できます。それでも解決しない場合は、Box管理者にグループポリシーや監査ログの確認を依頼してください。適切な権限管理を維持することで、情報の誤混入やセキュリティインシデントを未然に防ぐことができます。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。