【SharePoint】ゲストのダウンロードだけ禁止したい時の条件付きアクセスと共有設定

SharePoint Onlineで外部ゲストユーザーとファイルを共有する際、閲覧のみ許可してダウンロードを禁止したいケースは少なくありません。例えば、取引先に資料を見せたいが、データの持ち出しは防ぎたいという要件です。しかし、実際に設定しようとすると、条件付きアクセスや共有設定の組み合わせが複雑で、思うように制御できないことが多くあります。この記事では、ゲストのダウンロードだけを禁止するための具体的な方法を、条件付きアクセスとサイトの共有設定の両面から解説します。誤った設定でダウンロードが許可されてしまう失敗パターンや、管理者に確認すべきポイントも詳しく説明します。

1. ダウンロード禁止を実現する2つのアプローチ

SharePoint Onlineでゲストのダウンロードを禁止するには、主に2つの方法があります。ひとつはAzure ADの条件付きアクセスを使い、ゲストセッションに「表示のみ許可(View Only)」のコントロールを適用する方法です。もうひとつはSharePointサイトの共有設定で、「表示権限(閲覧者)」を付与し、ダウンロードを禁止する方法です。ただし、後者は完全にダウンロードをブロックできるわけではなく、別名保存や印刷などが可能な場合があるため注意が必要です。実際の運用では、両方を組み合わせることが推奨されます。

1-1. 条件付きアクセスによる「表示のみ許可」

条件付きアクセスの「セッションコントロール」には、アプリケーションの制限として「表示のみ許可」を適用できます。この設定を有効にすると、ゲストユーザーはブラウザ上でファイルを表示できますが、ダウンロード、印刷、同期、ローカル保存などの操作がブロックされます。この機能は、Azure AD Premium P1またはP2ライセンスが必要です。また、対象となるクラウドアプリとして「Office 365 SharePoint Online」を選択します。

1-2. SharePointサイトの共有設定による制御

SharePointサイトの「アクセス許可」で、ゲストユーザーを「閲覧者」グループに追加すると、そのユーザーはファイルの表示はできますが、編集やダウンロードはできないように見えます。しかし、実際には「閲覧者」権限でも、サイト設定によっては「ダウンロード」ボタンが表示される場合や、Office Onlineから「別名で保存」が可能なケースがあります。そのため、サイトレベルでのダウンロード禁止を確実にするには、「サイトの共有設定」で「表示者のファイルダウンロードを禁止する」を有効にする必要があります。この設定は、SharePoint管理センターの「共有」ページで行います。

設定方法	効果の範囲	必要なライセンス	確実性
条件付きアクセス(表示のみ許可)	全サイト、全ファイルに適用	Azure AD Premium P1以上	高い(印刷・保存も禁止)
サイト共有設定(ダウンロード禁止)	特定サイトのみ	不要(SharePoint Online標準)	中程度(別名保存など回避可能)
両方の組み合わせ	テナント全体+特定サイト	条件付きアクセスのライセンス必須	非常に高い

2. 条件付きアクセスポリシーの設定手順

ここでは、Azure ADの条件付きアクセスを使ってゲストユーザーに「表示のみ許可」を適用する手順を説明します。この操作は、グローバル管理者またはセキュリティ管理者の権限が必要です。対象はゲストユーザーのみとし、社内ユーザーには影響を与えないように設定します。

1. Azure AD管理センター(https://aad.portal.azure.com)に管理者アカウントでサインインします。
2. 左側メニューから「Azure Active Directory」→「セキュリティ」→「条件付きアクセス」を選択します。
3. 「新しいポリシー」をクリックし、ポリシー名を「ゲストのダウンロード禁止」などと入力します。
4. 「ユーザーとグループ」で「すべてのゲストユーザーと外部ユーザー」を選択します。具体的には、「ユーザーとグループ」→「含める」→「ユーザーとグループの選択」→「すべてのゲストユーザーと外部ユーザー」を選びます。
5. 「ターゲットリソース」で「クラウドアプリ」を選択し、「アプリを選択」から「Office 365 SharePoint Online」を選択します。必要に応じてOneDriveも含めます。
6. 「条件」は特に変更せず、デフォルトのままでも構いません。ただし、特定の場所からアクセスする場合のみ適用したい場合は、場所の条件を設定します。
7. 「許可」または「セッション」の設定で「セッション」タブを開き、「アプリケーションの制限制御」で「表示のみ許可(View Only)」を選択します。これにより、ゲストユーザーのセッションが読み取り専用になります。
8. 「ポリシーの有効化」を「オン」に設定し、「作成」をクリックして完了します。

このポリシーを適用すると、ゲストユーザーがSharePoint Onlineにアクセスした際、ブラウザ上ではファイルの表示が可能ですが、ダウンロードボタンが非表示になるか、クリックしてもブロックされます。また、Office Onlineからの「別名で保存」も無効になります。ただし、この設定だけでは、ゲストがファイルの直接URLにアクセスした場合にダウンロードできる可能性があるため、後述のサイト設定と組み合わせることをお勧めします。

3. SharePointサイトの共有設定でダウンロードを禁止する手順

条件付きアクセスと併用して、SharePointサイトごとに「表示者のファイルのダウンロードを禁止する」設定を行います。この設定は、テナント全体の共有設定またはサイトコレクション単位で変更できます。以下の手順は、新しいSharePoint管理センターでの操作です。

1. SharePoint管理センター(https://admin.microsoft.com/SharePoint)に管理者アカウントでサインインします。
2. 左側メニューから「ポリシー」→「共有」を選択します。
3. 「ファイルとフォルダーのリンク」セクションで、「詳細設定」をクリックします(画面によっては「共有設定」のリンクがあります)。
4. 「表示者のファイルのダウンロードを禁止する」にチェックを入れます。このオプションは、ビューアー権限(表示権限)のユーザーに対して、ファイルのダウンロードを禁止します。ただし、この設定はテナント全体に適用されます。
5. 特定のサイトだけに適用したい場合は、サイトコレクションの設定で個別に変更します。サイトの「設定」→「サイトのアクセス許可」→「共有設定」から同様のオプションを有効にできます。
6. 設定後、ゲストユーザーをサイトの「閲覧者」グループに追加します。これにより、ゲストはファイルの表示のみ可能になります。

ただし、この「表示者のファイルのダウンロードを禁止する」設定は、ゲストがブラウザでファイルを開いた場合にのみ有効で、以下のようなケースではダウンロードを防げない可能性があります。

• ゲストがデスクトップ版Officeアプリでファイルを開いた場合(アプリが同期機能を持っている場合)
• ゲストが「OneDrive同期クライアント」を使用している場合
• ゲストがファイルの直接ダウンロードリンクを取得した場合

そのため、確実な制御には条件付きアクセスの「表示のみ許可」との併用が必須です。

4. 失敗パターンとその対策

ゲストのダウンロード禁止がうまくいかない原因として、以下のような失敗パターンがよく見られます。それぞれの対策を説明します。

失敗パターン1:条件付きアクセスのポリシーがゲストに適用されていない

条件付きアクセスポリシーは、設定後すぐに有効になりますが、ゲストが既にセッションを持っている場合は、次回の再認証まで適用されません。また、ポリシーの「ユーザーとグループ」でゲストユーザーが正しく選択されているか確認してください。「すべてのゲストユーザーと外部ユーザー」ではなく「特定のユーザー」を選択している場合、対象外になっていることがあります。対策として、ポリシーの「含める」で「すべてのゲストユーザーと外部ユーザー」を選択し、必要に応じて「除外」で特定のゲストを除外するようにします。

失敗パターン2:サイトの共有設定で「表示者のファイルのダウンロードを禁止する」が無効

この設定は、テナント全体および各サイトで個別に有効にする必要があります。テナント全体で有効にしても、特定のサイトが独自の設定で上書きしている場合、そのサイトではダウンロードが許可されることがあります。対策として、SharePoint管理センターで「共有」設定を確認し、対象サイトの設定も個別にチェックします。

失敗パターン3:ゲストが代替手段でダウンロードしている

条件付きアクセスで「表示のみ許可」を適用しても、ゲストがブラウザの開発者ツールを使ってファイルのURLを直接取得する、またはSharePointの「ダウンロード」ボタンが表示されなくても、ファイルを開いてから「Ctrl+S」で保存するなどの操作が可能な場合があります。対策として、条件付きアクセスとサイト設定に加え、Azure ADの「使用条件」や「セッション制御」で「多要素認証を必須にする」など、追加の制限をかけるとより堅牢になります。

5. 管理者に確認すべき情報

実際に設定を変更する前に、自社のMicrosoft 365環境の管理者に以下の点を確認してください。

• Azure AD Premium P1またはP2のライセンスがテナントに割り当てられているか。条件付きアクセスの「表示のみ許可」はこれらのライセンスが必要です。
• 現在、他の条件付きアクセスポリシーが競合していないか。特に、「すべてのユーザー」を対象とするポリシーがある場合、ゲストにも適用される可能性があります。
• ゲストユーザーの認証方法に影響はないか。条件付きアクセスで多要素認証や使用条件が併用されている場合、ゲストのユーザーエクスペリエンスが変わることがあります。
• SharePointの「表示者のファイルのダウンロードを禁止する」設定が、テナント全体とサイトレベルのどちらで管理されているか。また、この設定が社内ユーザーにも影響するかどうか。
• ゲストユーザーがOneDrive同期クライアントを使用しないように制限する必要があるか。同期クライアントをブロックするには、条件付きアクセスで「OneDrive同期アプリ」も対象に含めるか、SharePoint管理センターの「デバイスアクセス」設定を確認します。

これらの確認事項を事前にすり合わせることで、無用なトラブルを避けられます。

6. よくある質問(FAQ)

Q1. ゲストがファイルを開いても「表示のみ許可」が機能しないのはなぜ?

最も多い原因は、条件付きアクセスポリシーが正しく適用されていないことです。ポリシーの「ターゲットリソース」に「Office 365 SharePoint Online」が含まれているか確認してください。また、ゲストが既存のセッションを持っている場合、サインアウトしてから再度サインインする必要があります。

Q2. 「表示のみ許可」を有効にすると、社内ユーザーにも影響がありますか?

影響を防ぐには、条件付きアクセスポリシーの「ユーザーとグループ」で、対象を「すべてのゲストユーザーと外部ユーザー」に限定し、社内ユーザーを含めないようにします。社内ユーザーには別のポリシーが適用されている場合は、競合に注意してください。

Q3. ゲストがモバイルアプリからSharePointにアクセスした場合もダウンロードは禁止されますか?

条件付きアクセスの「表示のみ許可」は、ブラウザベースのアクセスにのみ有効です。モバイルアプリ(SharePointアプリ)からのアクセスは、セッションコントロールの対象外となることがあります。モバイルアプリを制限したい場合は、条件付きアクセスの「クライアントアプリ」条件で「モバイルアプリとデスクトップアプリ」をブロックするか、アプリ保護ポリシー(Intune)を併用する必要があります。

Q4. ゲストに「編集」権限を与えずにファイルのダウンロードだけを禁止することは可能ですか?

「表示のみ許可」では、ダウンロード、印刷、編集がすべて禁止されます。もし「編集は許可するがダウンロードは禁止」という要件は、SharePointの標準機能では実現できません。そのような場合は、Microsoft Purview Information Protection(感度ラベル)を使って、ダウンロードのみを制限するカスタムポリシーを検討する必要がありますが、複雑になるため、専門家の支援を推奨します。

まとめ

SharePointでゲストのダウンロードだけを禁止するには、条件付きアクセスの「表示のみ許可」とサイトの共有設定「表示者のファイルのダウンロードを禁止する」を組み合わせることが最も効果的です。ただし、どちらか一方だけでは完全ではありません。特に、条件付きアクセスはライセンスが必要なため、管理者と相談の上で導入してください。また、ゲストが代替手段でダウンロードできないように、OneDrive同期クライアントのブロックや、アプリ保護ポリシーの適用も合わせて検討すると良いでしょう。設定後は必ず複数のブラウザや端末で動作を確認し、意図した制御ができているかを検証してください。

☁

OneDrive・SharePointトラブル完全解決データベース同期、共有、権限、ライブラリ、復元、Teams連携で止まる原因を横断的に確認できます。