【Microsoft Purview】外部共有時に承認フローが始まらない場合の対処法

Microsoft Purviewの外部共有承認フローは、組織の情報保護ポリシーに基づき、機密データを外部と共有する際に承認を要求する仕組みです。しかし、設定が正しいにもかかわらず承認フローが開始されないトラブルが発生することがあります。この記事では、承認フローが機能しない原因を切り分け、具体的な対処手順を説明します。とくに、データを別経路に移して回避する行為は情報漏洩のリスクを高めるため、必ず正規のフローを利用するようにしてください。

1. 承認フローが開始されない原因の切り分け方

承認フローが動作しない原因は、ユーザー自身の操作や端末環境、アカウントの設定、管理センターのポリシーなど多岐にわたります。最初に、自分がどの段階で問題に直面しているのかを整理しましょう。たとえば、外部共有リンクを作成した直後に承認リクエストが送信されないのか、承認リクエストは送信されたが管理者に届いていないのか、あるいは承認されたのに共有が完了しないのか。これらの症状によって確認すべきポイントが異なります。

承認フローに関わるコンポーネントの理解

Microsoft Purviewの外部共有承認フローは、主に以下の要素が連携して動作します。

• データ損失防止(DLP)ポリシー: 機密情報を含むファイルに外部共有の制限をかけ、承認が必要な場合にトリガーします。
• Azure AD エンタイトルメント管理: ゲストユーザーの招待やアクセスパッケージを管理し、承認ワークフローを提供します。
• SharePoint Online / OneDrive for Business: サイトやフォルダーの外部共有設定が、ユーザー単位で許可されているかどうかを制御します。
• Power Automate 承認フロー: DLPポリシーやエンタイトルメント管理と連携し、実際の承認プロセスを実行します。

これらのコンポーネントのいずれかで設定不足や競合が発生すると、承認フローが正しく開始されません。次のセクションから、ユーザーが確認できる範囲と管理者に依頼すべき範囲を順に見ていきます。

2. 端末側で確認すべき設定と操作手順

まずは自分が使用しているパソコンやブラウザに問題がないかを確認します。承認フローはWebブラウザやOfficeアプリ経由で実行されるため、キャッシュやCookie、サインイン状態が原因で動作しないことがあります。

ブラウザとクライアントアプリの状態確認

以下の手順を順に試して、問題が解決するかを確認してください。

1. ブラウザのキャッシュとCookieをクリアする。 古いポリシーや認証情報が残っていると、承認フローの検出に失敗する場合があります。ブラウザの設定から「キャッシュのクリア」を実行し、ブラウザを再起動してください。
2. シークレットウィンドウ(プライベートブラウジング)で再試行する。 拡張機能や保存済みの設定の影響を排除できます。Microsoft EdgeのInPrivateウィンドウやGoogle Chromeのシークレットモードで、共有操作を行ってみてください。
3. 別のブラウザを試す。 現在使用しているブラウザが原因の可能性もあります。Microsoft Edge、Google Chrome、Mozilla Firefoxなど、別のブラウザで同じ操作を試してください。
4. Officeアプリからサインアウトし、再度サインインする。 OneDriveやSharePointの同期クライアント、Outlookなどでアカウントの認証トークンが古くなっている場合があります。Officeアプリケーションからサインアウトしてから、もう一度サインインしてください。
5. 会社のネットワークポリシーを確認する。 プロキシやファイアウォールが承認フローに必要なURL(*.microsoft.com、*.sharepoint.comなど)をブロックしていないか、IT部門に確認を依頼してください。自宅など社外ネットワークでも症状が再現するかを試すと、切り分けに役立ちます。

これらの手順で改善しない場合は、端末側の問題ではない可能性が高いため、次のアカウントと管理設定の確認に進みます。

3. アカウントと管理センターの設定確認

次に、自分のアカウントに外部共有が許可されているか、管理センターの基本設定を確認します。ただし、これらの設定は通常、管理者のみが変更できるため、詳細を確認する必要がある場合は管理者に問い合わせてください。

外部共有の基本許可の確認

自身で確認できる範囲として、以下の項目をチェックします。管理センターの設定は変更できませんが、現状を把握することで管理者への報告がスムーズになります。

• 外部共有リンクの種類: 共有しようとしているファイルのリンクが「特定のユーザー」に設定されているか、「社内のみ」など制限されていないかを確認します。承認フローは通常「特定のユーザー」リンクで動作します。
• 共有相手のドメインが許可されているか: 相手のメールアドレスのドメインが組織の許可リストに含まれている必要があります。許可されていないドメインへの共有は、承認フロー以前にブロックされることがあります。
• 自分のライセンス: 承認フローを利用するには、Azure AD Premium P1またはP2、Exchange Online Plan 2などのライセンスが必要な場合があります。マイアカウントの「サブスクリプション」から自分に割り当てられているライセンスを確認できますが、詳しくは管理者に問い合わせてください。

管理センターの外部共有設定

管理者のみが確認・変更できる設定も、原因として考えられます。管理者に以下の点を確認してもらうよう依頼してください。

• 組織レベルの外部共有設定: Microsoft 365管理センターの「設定」→「組織設定」→「外部共有」で、外部共有自体が有効になっているか、また共有のレベル(すべてのユーザー、新しいゲスト、既存のゲストなど)が適切か確認します。
• SharePoint Onlineのサイトレベル設定: 各SharePointサイトの「外部共有」設定が、ユーザーの操作を許可しているか確認します。たとえば、チームサイトでは「新しいゲスト」が許可されていても、コミュニケーションサイトでは「既存のゲストのみ」など制限がある場合があります。
• ゲスト招待の制限: Azure ADの「外部ID」→「外部共同作業の設定」で、ゲストユーザーの招待が全員許可されているか、特定の管理者のみかなどが設定されています。これにより、通常ユーザーが招待できない場合があります。

よくある原因として、外部共有は有効だがゲスト招待が制限されているケースがあります。この場合、承認フローを開始してもゲストが追加できず、承認が完了しないことがあります。

症状	考えられる原因	確認・依頼先
共有リンク作成後、すぐに外部ユーザーにアクセス可能になる	DLPポリシーが未構成、またはスコープが間違っている(例:OneDriveのみに適用されSharePointに適用されていない)	管理者にDLPポリシーの設定を確認してもらう
「承認が必要」というメッセージが表示されない	ブラウザのポップアップブロック、または承認フロー自体が正しくトリガーされていない(Power Automateフローの停止など)	ポップアップを許可し、Power Automateの実行履歴を確認
承認リクエストは送信されたが、管理者に届かない	承認者の設定ミス(承認者が不在、グループが空)、メール配信の遅延	承認者が正しく設定されているか、スペルミスがないか確認
承認フローが途中で停止し、共有が完了しない	ゲスト招待の制限、またはライセンス不足(Azure AD Premiumなど)	Azure ADの外部ID設定とユーザーライセンスを確認

4. 承認フローの設計とスコープの確認

承認フローが正しく設計されていないと、そもそもトリガーされないことがあります。管理者が確認すべきポイントを以下にまとめます。ユーザーは管理者にこれらの項目を確認するよう依頼してください。

DLPポリシーのスコープとアクション

DLPポリシーが外部共有を検出して承認を要求するには、以下の設定が必要です。

• ポリシーの対象範囲: ポリシーがOneDrive for Business、SharePoint Online、Teamsチャットとチャネルなど、適切な場所に適用されているか確認します。たとえば、外部共有の承認は主にSharePointとOneDriveで必要になるため、これらが含まれている必要があります。
• 条件とアクション: ポリシーの条件に「外部ユーザーとの共有」が含まれ、アクションとして「承認を要求する」または「カスタムポリシーヒントを表示する」が設定されている必要があります。また、通知方法(メール、ポリシーヒント)も確認します。
• Power Automateフローとの統合: DLPポリシーから承認フローをトリガーするには、Power Automateで定義された承認フローが関連付けられている必要があります。フローが無効化されていないか、最新バージョンであるか確認します。

Power Automate承認フローの動作確認

承認フローがPower Automateで構成されている場合、その実行履歴を確認することで問題を特定できます。

1. Power Automate管理センター(make.powerautomate.com)にサインインし、「フロー」の一覧から該当のフローを選択します。
2. 「実行履歴」タブで、最近の実行を確認します。失敗している場合、エラーメッセージから原因を特定できます。
3. フローのトリガー条件が正しく設定されているか確認します。たとえば、トリガーが「ファイルが外部ユーザーと共有されたとき」になっている必要があります。
4. 承認アクションで承認者が正しく指定されているか、また期限切れの設定がないか確認します。承認者がグループの場合、グループにメンバーが存在するかも重要なポイントです。

多くの場合、承認フローが正しくトリガーされない原因は、DLPポリシーとPower Automateフローの紐付けが断たれているか、フロー自体が無効化されていることです。

5. それでも解決しない場合の管理者への報告と再発防止

端末、アカウント、管理設定のいずれも問題がないように見える場合は、管理者に詳細な情報を提供して調査を依頼します。その際、以下の情報を整理しておくとスムーズです。

管理者に伝えるべき情報

• 発生日時と再現手順: 問題が発生した日時、どのファイルを、誰と共有しようとしたか、どの操作をしたかを具体的に記載します。スクリーンショットがあれば添付します。
• エラーメッセージや動作の詳細: 「承認が必要」というポリシーヒントが表示されなかったのか、承認リクエストが送信されたが応答がないのかなど、正確な状態を伝えます。
• 自分のライセンス情報: Microsoft 365管理ポータルの「ユーザー」→「アクティブユーザー」で確認できる割り当てライセンスを伝えます。
• 実行したトラブルシューティング: ブラウザのキャッシュクリア、シークレットモードでの試行、別ブラウザの使用など、自分で試したことを列挙します。

再発防止策

同じトラブルを繰り返さないために、組織として以下の対策を検討することをおすすめします。

• 定期的なポリシーテスト: 承認フローを含むDLPポリシーを定期的にテストし、正常に動作するか確認します。テスト用のファイルと外部ユーザー(またはテナント内のゲスト)を使って、実際のフローを検証します。
• ユーザー教育の実施: 外部共有時の正しい手順や、承認フローが開始されない場合の連絡先を周知します。また、承認フローを回避するリスクについても教育します。
• ポリシーの文書化とレビュー: 外部共有ポリシーや承認フローの設計をドキュメント化し、定期的にレビューします。変更があった場合はその影響をテストしてから本番適用します。

よくある質問

Q1: 承認フローが始まらず、ファイルが直接共有できてしまう。原因は?

最も多い原因は、DLPポリシーが適用されていない、またはスコープが正しく設定されていないことです。また、ファイルに機密ラベルが付与されていないと、ポリシーの条件を満たさない場合があります。管理者にポリシーの設定を確認してもらってください。

Q2: 承認リクエストのメールが届かない。

承認者のメールが迷惑メールフォルダに振り分けられている可能性があります。また、承認者がグループの場合は、グループにメンバーが存在しないか、メール配信が無効になっている可能性があります。Power Automateの実行履歴で、承認アクションの結果を確認すると原因が特定できます。

Q3: 機密ラベルが付いたファイルだけ承認が必要?

その可能性があります。DLPポリシーは、機密ラベルや機密情報の種類(クレジットカード番号など)を条件として設定できます。機密ラベルがなくても、特定の情報が含まれている場合にトリガーされることもあります。管理者にポリシーの条件を確認してください。

まとめ

Microsoft Purviewの外部共有承認フローが開始されない場合、まずは端末のブラウザやサインイン状態を確認し、次に管理センターの外部共有設定やDLPポリシーのスコープを調べます。問題が解決しない場合は、正確な情報を整理して管理者に報告し、根本原因の特定を依頼してください。承認フローを回避して個人メールやUSBでファイルを送信することは、情報漏洩のリスクが高く、コンプライアンス違反となるため絶対に行わないでください。組織としてポリシーの定期的なテストとユーザー教育を実施することで、同様のトラブルを未然に防ぐことができます。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。