【SharePoint】承認ワークフローが会社ポリシーでブロックされる時の確認ポイント

SharePointの承認ワークフローは、社内の文書管理や申請業務に欠かせない機能ですが、突然「このワークフローは会社のポリシーによりブロックされました」というエラーが表示されて使えなくなるケースがあります。このエラーは、多くの場合テナント全体のポリシー設定やセキュリティ強化が原因ですが、ユーザー側の環境要因で発生することもあります。本記事では、ポリシーブロックが発生したときに、どこを確認すれば原因を特定できるのかを、具体的な手順とともに解説します。会社PCで作業している皆さんが、管理者と適切に連携できるようになるまでをゴールとします。

ブロックの原因を理解する

承認ワークフローがポリシーでブロックされる場合、その原因は大きく分けて三つあります。一つ目はSharePointテナントレベルでのワークフロー制限、二つ目はMicrosoft 365のセキュリティポリシー(条件付きアクセスなど)、三つ目はローカル環境のネットワーク制限です。これらのうちどれが該当するかを特定するために、まずエラーメッセージの内容を正確に読み取りましょう。

会社ポリシーの種類

会社ポリシーと一口に言っても、SharePoint自体の設定、統合管理(Intune)、Azure ADの条件付きアクセスなど、複数のレイヤーが存在します。例えば、「従来のワークフローを無効化する」ポリシーはSharePoint管理センターで設定され、特定のIPアドレスからのアクセスを制限する条件付きアクセスはAzure ADで設定されます。エラーメッセージに「SharePoint admin policy」や「Conditional Access policy」のような文言が含まれている場合は、管理者が設定したポリシーが直接原因である可能性が高いです。

管理者設定との関係

SharePoint Onlineでは、2020年以降、従来のワークフロー(SharePoint 2010/2013ワークフロー)が非推奨となり、テナント管理者が明示的に有効化しない限り利用できません。そのため、もし古いワークフローを使っている場合は、管理者が「Allow use of 2013 workflows」をオフにしているとブロックされます。また、Power Automateを使用した最新の承認フローであっても、テナント全体でPower Automateへのアクセスが制限されていると同様のブロックが発生します。

端末環境の確認ポイント

ポリシーブロックはサーバー側だけでなく、自分の端末環境が原因となることもあります。以下の手順で端末側の問題を切り分けてください。

1. ブラウザのシークレットモード(InPrivate/シークレットウィンドウ)でSharePointにアクセスし、承認ワークフローを試す。これでブロックが解除される場合は、ブラウザの拡張機能やキャッシュが原因です。
2. 使用しているブラウザを変えて試す(例:EdgeからChromeへ)。Microsoft 365はEdge最適化されていますが、Chromeでも動作します。ブラウザを変えるだけで解消するケースもあります。
3. 会社のVPN接続を一時的に切断して試す。VPN経由でアクセスしている場合、VPNの出口IPが条件付きアクセスの制限に引っかかっている可能性があります。ただし、会社のポリシーでVPN切断が禁止されている場合は行わないでください。
4. ブラウザの拡張機能をすべて無効にする。特に広告ブロッカーやセキュリティ拡張機能(uBlock Origin、Kaspersky Protectionなど)がSharePointのスクリプトを誤ってブロックすることがあります。
5. プロキシ設定を確認する。会社で自動構成スクリプト(PACファイル)を使用している場合、特定のURLがプロキシから除外されていないとワークフローが正常に動作しないことがあります。

アカウントとアクセス許可の確認

次に、自分のアカウントに問題がないかを確認します。SharePointの承認ワークフローを実行するには、適切なライセンスとアクセス許可が必要です。

ライセンスの確認

承認ワークフロー機能(特にPower Automateを利用したもの)には、ユーザーに適切なMicrosoft 365ライセンスが割り当てられている必要があります。例えば、Power Automateの使用にはOffice 365 E3以上、またはPower Automate単体ライセンスが必要です。管理者に自分のライセンスが正しいか確認してもらいましょう。

アクセス許可のトラブルシューティング

SharePointサイトに対する権限も重要です。承認ワークフローを作成・開始するには、少なくとも「編集」権限が必要です。また、ワークフロー内で承認者に割り当てられたユーザーがサイトにアクセスできないと、ワークフローが停止またはブロックされることがあります。サイトのアクセス許可を確認し、自分が必要な権限を持っているか、また承認者が適切に設定されているかをチェックしましょう。

管理センターとポリシー設定の確認

端末とアカウントに問題がない場合、管理者が設定したポリシーが原因です。以下の比較表を参考に、どのポリシーが影響しているかを推測できます。

これらのポリシーはSharePoint管理センターの「設定」→「クラシック設定」、またはAzure ADの「条件付きアクセス」から確認できます。ただし、一般ユーザーはこれらの設定画面にアクセスできないため、管理者に連絡して確認してもらう必要があります。

失敗パターンと対処法

実際によくある失敗例をいくつか挙げ、その対処法を説明します。

失敗パターン1:「SharePoint 2013ワークフローがブロックされる」場合。管理者がテナント設定で2013ワークフローを無効にしている可能性が高いです。この場合は、Power Automateで新しい承認フローに移行するか、管理者に有効化を依頼します。ただし、セキュリティ上の理由で無効化しているケースもあるため、代替案を提案しましょう。

失敗パターン2:「承認フローを開始しようとするとポリシーエラーが出る」場合。Power Automateのライセンスがない、またはPower Automate自体がテナントで無効化されている可能性があります。管理者にライセンス割り当てを確認してもらい、どうしても使えない場合は従来のメールベースの承認に切り替えるなどの暫定対応を相談します。

失敗パターン3:「外出先からアクセスするとブロックされる」場合。条件付きアクセスポリシーが会社ネットワーク外からのアクセスを制限している可能性があります。VPN接続を確実に行うか、IT部門にモバイルアクセス用のポリシー緩和を依頼してください。

よくある質問

Q1. エラーメッセージに「管理者に連絡してください」と書いてあるのですが、どこに連絡すればいいですか?
A1. 通常は社内のITヘルプデスク、またはSharePoint管理者です。エラーメッセージのスクリーンショットを添えて、発生時刻、操作内容、影響を受けるワークフロー名を伝えてください。

Q2. 従来のワークフローとPower Automateフロー、どちらがブロックされやすいですか?
A2. 従来のワークフローは非推奨のため、ブロックされる可能性が高いです。現在MicrosoftはPower Automateへの移行を推奨しており、新しいポリシーはPower Automateを許可する方向にあります。まずはPower Automateが使えるかどうかを確認しましょう。

Q3. 自分でポリシー設定を変更できますか?
A3. 一般ユーザーがポリシーを変更することはできません。SharePoint管理センターやAzure ADへのアクセス権が必要であり、変更は管理者のみが行えます。自己判断で設定を変えようとせず、必ず管理者に依頼してください。

まとめ

SharePointの承認ワークフローが会社ポリシーでブロックされた場合、まずはエラーメッセージの内容を確認し、端末環境、アカウント、管理設定の順に切り分けていきましょう。特に、従来のワークフローを使い続けているとブロックのリスクが高いため、可能であればPower Automateへの移行を検討してください。原因が管理者設定にある場合は、具体的なポリシー名と状況を伝えることでスムーズな対応が期待できます。本記事の手順を参考に、問題解決のための的確な情報を整理し、IT部門と連携してください。