【SharePoint】外部共有の棚卸しで確認したいゲストユーザーとリンク期限

SharePoint Onlineの外部共有機能は、企業が取引先やクライアントとファイルを共同編集する際に欠かせない一方で、セキュリティリスクも伴います。ゲストユーザーの増加や共有リンクの期限切れ漏れは、情報漏えいや不正アクセスの原因になり得ます。そのため、定期的な棚卸しによって、不要なゲストユーザーの削除やリンクの有効期限設定を確認する必要があります。この記事では、具体的な確認手順と判断基準を解説します。特に、ゲストユーザーと共有リンクの期限という二つの側面に焦点を当て、実際の現場で役立つ情報をまとめました。

1. なぜ外部共有の棚卸しが必要なのか

SharePointの外部共有を有効にしていると、ゲストユーザーは組織外からもファイルにアクセスできるようになります。しかし、一度招待したゲストユーザーがずっとアクセス可能な状態が続くと、退職した協力者や役割の変わったメンバーが不要な権限を持ち続けるリスクがあります。また、共有リンクに期限を設定していない場合、リンクを知っていれば誰でもアクセスできる状態が半永続的に続きます。棚卸しは、これらのリスクを可視化し、適切な対策を打つために不可欠です。

棚卸しの目的

棚卸しの目的は、以下の3点です。第一に、現在有効なゲストユーザーをリストアップし、アクセス権が適切かを確認すること。第二に、共有リンクの期限設定が適正かどうかをチェックすること。第三に、不要な権限を削除してセキュリティを向上させることです。定期的な棚卸しは、内部統制やコンプライアンスの観点からも推奨されます。

2. ゲストユーザーの棚卸しで確認すべきポイント

ゲストユーザーの棚卸しでは、ユーザーごとの有効性と権限を確認します。以下の手順で実施してください。

確認手順(Microsoft Entra ID)

1. Microsoft Entra管理センター(entra.microsoft.com)にサインインします。
2. 左メニューから「ユーザー」→「すべてのユーザー」を選択し、ユーザーの種類が「ゲスト」のフィルターを適用します。
3. 一覧から各ゲストユーザーの「最終サインイン日」や「招待の状態」を確認します。招待が「承認済み」でも長期間アクセスがないユーザーは削除候補です。
4. 不要なゲストユーザーを選択し、「削除」を実行します。削除後もサイト内の権限は残る場合があるため、SharePoint側でも権限を確認してください。
5. SharePoint管理センター(admin.microsoft.com → SharePoint)の「外部共有」で、ドメインレベルの制限(許可リスト・禁止リスト)も併せて確認します。

注意すべき点

ゲストユーザーを削除しても、そのユーザーが所有していた共有リンクやアイテムのアクセス権は自動的にはクリアされません。特に「特定のユーザー」リンクで共有していた場合、そのゲストユーザーが削除されてもリンクは無効になりますが、「組織内のユーザー」リンクなどは影響を受けません。また、ゲストユーザーの削除は元に戻せないため、事前にバックアップや確認を徹底してください。

3. 共有リンクの期限設定と棚卸し手順

共有リンクの期限は、テナントレベルとサイトレベルで設定できます。いずれも管理者が確認・変更できますが、一般ユーザーは自分が作成したリンクの期限をSharePoint上で確認することも可能です。

リンク期限の確認手順(ユーザー向け)

1. SharePoint Onlineの対象サイトにアクセスします。
2. ファイルまたはフォルダを選択し、上部メニューの「共有」ボタンをクリックします。
3. 「リンクのコピー」画面で「リンク設定」を開き、現在のリンク種別と期限を確認します。
4. 「リンクの期限」欄が空欄の場合は期限なし、日付が表示されている場合はその日時が有効期限です。
5. 必要に応じて期限を変更または「リンクを削除」で無効化します。

管理者によるテナント全体の期限設定確認

SharePoint管理センターの「ポリシー」→「共有」で、テナントレベルのリンク期限(「これらのリンクは指定した日数後に期限切れになります」)を確認できます。サイトレベルでは、サイト設定の「外部共有」タブで個別に上書き可能です。棚卸しでは、各サイトの設定がテナントポリシーと整合しているかチェックしてください。

4. 状況別:ゲストユーザーとリンク期限の比較表

以下の表は、ゲストユーザーの有効性とリンク期限の状態を組み合わせた場合のリスクと推奨アクションをまとめたものです。

ゲストユーザー状態	リンク期限	リスク	推奨アクション
アクティブ(最終アクセスが1週間以内)	期限なし	中。当面は利用継続想定だが、リンクが永久に有効	リンクに適切な期限を設定(30日後など)
アクティブ(最終アクセスが1ヶ月前)	期限なし	高。不要な権限が残っている可能性	ゲストユーザーに利用継続の確認を取り、不要なら削除
招待受け入れ済みだが未使用(アクセスなし)	期限なし	高。無期限のゲストアカウント	すぐにゲストユーザーを削除(Entra ID)し、リンクも削除
招待未承認(保留中)	期限なし	中。招待自体は無効だが、再送信で有効に	招待をキャンセルまたは期限を設けて再送
削除済み	期限なし	低。ユーザーはアクセス不可	リンクが残っていても無害だが、整理のためリンクも削除

5. よくある失敗パターンと対処法

棚卸しを実施する際、以下のような典型的なミスが発生します。事前に把握しておくことで、効率的に進められます。

失敗パターン1: ゲストユーザーの削除がリンクに影響しないと考えている

ゲストユーザーをEntra IDから削除しても、そのユーザー名を使った個別招待リンクは無効になりますが、「リンクを知っているすべてのユーザー」に設定されたリンクは引き続き有効です。このため、リンク自体も個別に棚卸しする必要があります。

失敗パターン2: リンク期限のデフォルト値を知らずに運用している

テナントの既定のリンク期限が設定されていない場合(「期限なし」)、すべてのリンクが無期限になります。管理者は一度確認し、必要に応じて30日や90日などの期限をテナント全体に適用することを検討してください。

失敗パターン3: サイトレベルの設定でテナントポリシーが上書きされていることに気づかない

サイト管理者が個別に「リンクの期限なし」を許可していると、テナントポリシーで期限を強制しても一部サイトで無期限リンクが作成可能です。棚卸しでは、すべてのサイトの外部共有設定を一覧で確認できるPowerShellスクリプトを利用する方法もあります。

6. 管理者に確認すべき設定項目

棚卸しの結果を踏まえて、管理者は以下の設定をチェックし、必要に応じて変更してください。

• テナント全体のリンク期限:SharePoint管理センター→「ポリシー」→「共有」→「リンクの期限」が「日数指定」になっているか。
• ゲストアクセスの期限設定:Entra IDの「外部コラボレーション設定」でゲストユーザーの有効期限(日数)を設定できるか(Azure AD Premiumライセンスが必要)。
• 許可ドメインリスト:外部共有が許可されているドメインを制限することで、不特定多数からのアクセスを防止できます。
• SharePoint管理センターの「外部共有」ページで、サイトごとの外部共有設定をエクスポートして一括確認します。
• 監査ログの活用:Microsoft 365監査ログで、ゲストユーザーのアクセス状況やリンク作成/削除の履歴を追跡します。

これらの設定は、組織のセキュリティポリシーに合わせて定期的に見直すことをお勧めします。

よくある質問(FAQ)

Q1. ゲストユーザーを削除すると、そのユーザーが以前に共有したファイルはどうなりますか?

A. ゲストユーザーが削除されると、そのユーザーはログインできなくなり、共有アイテムへのアクセス権を失います。ただし、他のユーザー(組織内のユーザー)との共有リンクや、ファイル自体の権限は影響を受けません。

Q2. 共有リンクの期限を過ぎた場合、ファイルは自動的に非公開になりますか?

A. はい。リンクの有効期限が切れると、そのリンクからファイルにアクセスできなくなります。ただし、ファイル自体の権限(サイトメンバーなど)が別途付与されている場合はアクセス可能です。

Q3. 棚卸しの頻度はどのくらいが適切ですか?

A. 最低でも四半期に1回、可能であれば毎月実施することを推奨します。ゲストユーザーの数が多い場合や、機密性の高いデータを扱う場合は、より頻繁な棚卸しが必要です。

7. まとめ

SharePointの外部共有における棚卸しは、ゲストユーザーと共有リンクの期限を定期的に確認することで、セキュリティリスクを低減できます。最初にEntra IDでゲストユーザーの有効性を確認し、次にSharePoint管理センターでリンク期限の設定状況をチェックする流れが効率的です。また、サイトごとの設定やテナントポリシーが適切に連携しているかを確認し、必要に応じて是正してください。棚卸しの結果を組織のポリシーに反映させることで、外部共有の安全性を継続的に維持できます。

👥

Teams/Outlookトラブル完全解決データベース サインイン、接続エラー、メール送受信の不具合など、特有のトラブル解決策を網羅。困った時の逆引きに活用してください。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。