SharePointサイトアクセスレビューの変更点｜対象・手順・OneDrive非対応を解説

SharePoint / OneDriveのData Access Governanceレポートから開始するサイトアクセスレビューは、過剰共有が疑われるSharePointサイトについて、管理者がサイト所有者へ確認と是正を依頼し、完了状況まで追跡するための機能です。

結論からいうと、レビュー依頼の対象はSharePointサイトのみで、OneDriveアカウントには現在対応していません。Data Access Governanceレポート自体はOneDriveを対象に生成できる場合がありますが、レポートからサイトアクセスレビューを開始できる範囲とは区別して考える必要があります。(Microsoft Learn)

2026年7月時点の現行手順では、管理者が依頼メールを送信前にカスタマイズしてプレビューでき、レポートの種類ごとに文面を保存できます。ただし、アクセス権が自動修正されるわけではありません。実際の共有リンク削除やグループメンバー整理はサイト所有者が行い、最後にレビューを完了させます。

また、2026年7月10日付として確認される今回の情報は、新機能の一斉展開開始を意味するものではありません。Microsoft Learn上の最終更新日は2026年7月9日と表示されており、サイトアクセスレビューの基本機能は2024年11月時点ですでに公式リリースノートに掲載されています。したがって、管理者は将来の展開を待つのではなく、自組織で利用条件と管理画面を確認する段階にあります。(Microsoft Learn)

SharePointのサイトアクセスレビューで何が変わるのか

「Initiate site access reviews for Data access governance reports」は、Data Access Governanceレポートで問題を検出するだけだった運用を、サイト所有者による確認・是正までつなげる仕組みです。

典型的な流れは次のとおりです。

SharePoint管理者がData Access Governanceレポートを確認する
共有範囲が広すぎる可能性のあるサイトを選ぶ
サイト所有者へアクセスレビューを送信する
サイト所有者が共有リンク、グループ、ファイルやフォルダーの権限を確認する
不要な権限を削除または変更する
サイト所有者がレビューを完了し、必要に応じてコメントを返す
管理者が完了状況を追跡する

現行仕様の要点を整理すると、次のようになります。

確認項目	現行仕様
レビュー対象	SharePointサイト
OneDriveへのレビュー依頼	現在は非対応
管理画面	SharePoint管理センター
Web画面から一度に選べるサイト数	最大100サイト
100サイトを超える場合	SharePoint Online Management Shellを使用
所有者への通知	電子メールで送信
メール文面	送信前にカスタマイズとプレビューが可能
進捗確認	「自分のレビュー要求」またはPowerShell
権限の修正	サイト所有者が手動で実施
完了操作	サイト所有者が「レビューの完了」を実行

Web画面は少数から中規模のレビューに適しています。一方、多数のサイトに対して一括で運用する場合は、PowerShellによる処理を前提に計画した方が効率的です。(Microsoft Learn)

重要なのは「検出」ではなく「是正を完了させること」

Data Access Governanceレポートを作成しただけでは、過剰共有は解消されません。サイトアクセスレビューは、レポートで見つけた問題をサイト所有者のタスクとして明確化し、管理者が完了を確認できるようにする機能です。

そのため、運用では次の3段階を分けて考える必要があります。

検出：共有リンクや広すぎるアクセス権をレポートで把握する
是正：サイト所有者が不要なリンクや権限を削除する
確認：管理者がレビューの完了状況とコメントを確認する

「レビューが完了した」というステータスだけを成果にすると、内容を十分に確認せず完了操作だけが行われる可能性があります。重要なサイトについては、共有リンクやグループ構成が実際に見直されたかをサンプリング確認する運用が必要です。

対象プラットフォームと対象者

サイトアクセスレビューの対象は、Microsoft 365上のSharePointサイトです。

プラットフォーム・環境	対応状況	管理上の考え方
SharePoint Online	対応	サイト所有者へレビューを依頼できる
OneDrive for Business	レビュー依頼は非対応	Data Access Governanceレポートの対象になっても、同じレビュー機能は利用できない
SharePoint Server	対象外	Microsoft 365向け機能として案内されている
Microsoft 365商用環境	対応	ライセンスと管理者ロールの確認が必要
GCC、GCC High、DoD	対応	クラウドごとの提供状況も確認する
21Vianet運用環境	非対応	必要なライセンスがあっても利用できない

SharePoint Advanced Managementのサービス説明では、サイトアクセスレビューが商用環境、GCC、GCC High、DoDで利用可能とされています。一方、Microsoft 365 operated by 21Vianetは、必要なライセンスを持つ場合でも対象外です。(Microsoft Learn)

SharePoint管理者が行うこと

SharePoint管理者またはSharePoint Advanced Management管理者は、主に次の作業を担当します。

Data Access Governanceレポートの作成と確認
レビュー対象サイトの選定
依頼メールの作成と送信
保留中、完了、失敗などのステータス確認
未対応サイトへの再連絡やエスカレーション
運用ルールと期限の設定

管理者がすべてのファイルや権限を直接調査するのではなく、サイトの用途を理解している所有者へ確認を委任できる点が大きな特徴です。

サイト所有者が行うこと

サイト所有者は、メールから専用のアクセスレビューページを開き、対象となった共有設定を確認します。

確認後は、必要に応じて次の操作を行います。

不要な共有リンクを削除する
リンクの共有範囲を狭める
SharePointグループから不要なユーザーを削除する
「外部ユーザー以外のすべてのユーザー」など、広範囲な主体を削除する
ファイル、フォルダー、リストのアクセス権を変更する
対応内容をコメントに記載してレビューを完了する

サイト所有者がレビューを完了するまでは、管理者側のステータスは保留中のままです。(Microsoft Learn)

サイトアクセスレビューを開始できるレポート

サイトアクセスレビューは、すべてのData Access Governanceレポートから開始できるわけではありません。公式情報では、主に次のレポートが対象です。(Microsoft Learn)

レポート	検出する内容	サイト所有者が確認するポイント
共有リンクレポート	広い範囲に公開された共有リンク	リンクが現在も必要か、共有範囲が適切か
外部ユーザー以外のすべてのユーザーとの共有	組織内の広範囲なユーザーに付与されたアクセス権	全社公開が必要か、特定メンバーだけに限定できないか
アクセス許可を使用した過剰共有ベースラインレポート	アクセス可能なユーザー数が多いサイトやコンテンツ	グループ、共有リンク、直接権限が過剰になっていないか

共有リンクレポート

共有リンクレポートでは、次のようなリンクを確認できます。

Anyoneリンク
組織内のユーザー向けリンク
特定のユーザー向けリンクのうち、外部ユーザーと共有されているもの

サイト所有者には、対象ファイル、リンクの作成日、リンクを作成したユーザーなどが表示されます。所有者は「アクセス許可の管理」から不要な共有リンクを削除できます。

特に注意が必要なのは、以前のプロジェクトや一時的なファイル共有で作成したリンクです。業務終了後もリンクが残り、想定以上の範囲からアクセスできる状態になっていることがあります。

「外部ユーザー以外のすべてのユーザー」との共有

「Everyone except external users」に相当する主体が付与されている場合、原則として組織内のほぼすべてのユーザーがアクセスできます。

アクセスレビューでは、次の情報を確認できます。

広範囲な主体を含むSharePointグループ
追加された日時
追加したユーザー
最近共有されたファイル、フォルダー、リスト
各コンテンツのアクセス権

公式手順では、過去28日間に共有されたファイル、フォルダー、リストを確認できます。全社ポータルのように広範囲な公開が必要なサイトもあるため、検出されたことだけを理由に一律削除するのではなく、サイトの目的と照らして判断します。(Microsoft Learn)

アクセス許可を使用した過剰共有ベースライン

過剰共有ベースラインでは、アクセス許可を持つユーザー数が多い項目から優先的に表示されます。

ただし、このユーザー数は一意の人数とは限りません。同じユーザーが直接権限、グループ、共有リンクなど複数の経路でアクセスできる場合、重複して数えられる可能性があります。数値だけで危険度を断定せず、どの経路で権限が付与されているかを確認する必要があります。(Microsoft Learn)

SharePoint管理センターからレビューを開始する手順

Web画面からサイトアクセスレビューを開始する基本手順は次のとおりです。

SharePoint管理センターを開く
左側メニューから「レポート」を開く
「データアクセスガバナンス」を選択する
対応しているレポートの「レポートの表示」を開く
対象のレポートを選択する
レビューを依頼するサイトを選択する
「サイトアクセスレビューの開始」を選択する
「電子メールのカスタマイズとプレビュー」を開く
サイト所有者へのメッセージを設定する
内容を確認して送信する

Web画面から一度にレビューを開始できるのは最大100サイトです。100サイトを超える場合は、PowerShellを使用します。(Microsoft Learn)

最初から大量送信しない

初回運用では、いきなり100サイトへ依頼を送るのではなく、5～10サイト程度で試行する方法が安全です。

試行では、次の点を確認します。

サイト所有者にメールが届くか
送信元や件名が不審なメールに見えないか
所有者がレビュー画面を開けるか
どの権限を確認すべきか理解できるか
問い合わせ先が明確になっているか
レビュー完了後に管理者側へ反映されるか

試行で問い合わせ内容を集めてから、メール文面や内部手順書を修正すると、本格展開時の混乱を抑えられます。

100サイトを超える場合はPowerShellを使用する

多数のサイトを対象にする場合は、SharePoint Online Management Shellを利用します。

サイトアクセスレビューの開始にはStart-SPOSiteReview、状況確認にはGet-SPOSiteReviewを使用します。

# 指定したサイトにアクセスレビューを送信
Start-SPOSiteReview `
  -ReportID <ReportIDのGUID> `
  -SiteID <SiteIDのGUID> `
  -Comment "共有リンクとサイトメンバーを確認し、不要な権限を削除してください。"

# 保留中のレビューを確認
Get-SPOSiteReview -Status Pending

Start-SPOSiteReviewを実行すると、対象サイトの所有者へメールが送信されます。Get-SPOSiteReviewでは、保留中、完了、失敗などの状態を条件にしてレビューを確認できます。(GitHub)

Data Access Governance関連のPowerShell機能を利用するには、対応するSharePoint Online Management Shellが必要です。公式ドキュメントでは、バージョン16.0.25409以降が案内されていますが、実際の導入時には最新バージョンを使用するのが安全です。(Microsoft Learn)

月間上限を誤解しない

「組織全体のサイトアクセス許可」に関するレポートから開始するサイトアクセスレビューには、暦月あたり最大1,000件の上限があります。上限は月が変わるとリセットされます。(Microsoft Learn)

この1,000件という値を、すべての種類のレビューに共通する一律上限と解釈しないよう注意が必要です。公式情報では、アクセス許可に基づくレポートから開始するレビューの上限として説明されています。

大規模環境では、次のように優先順位を付けると運用しやすくなります。

機密情報を扱うサイト
外部共有が有効なサイト
Anyoneリンクが残っているサイト
所有者が明確なサイト
アクセス可能人数が多いサイト
長期間更新されていないサイト

単純に検出件数の多い順で送信すると、所有者不在のサイトや利用実態のないサイトが大量に含まれ、対応が停滞しやすくなります。

サイト所有者が受け取るメールとレビュー画面

サイト所有者には、対象となった過剰共有の問題に合わせたメールが届きます。

メールには主に次の情報が含まれます。

レビューの件名
管理者からの説明
サイト所有者に求める対応
詳細なアクセスレビューページへのリンク

サイト所有者はリンクを開き、対象となるグループ、共有リンク、ファイル、フォルダーなどを確認します。必要な修正を行った後、「レビューの完了」を選択し、コメントを入力して送信します。コメントは管理者側でも確認できます。(Microsoft Learn)

複数のレビュー依頼を受けている所有者は、各メールのリンクに加え、対象サイトの設定画面から「サイトレビュー」を開いて確認できます。

レビューのステータス

管理者は、Data Access Governanceのランディングページにある「自分のレビュー要求」から状況を確認できます。

ステータス	意味	管理者の対応
保留中	サイト所有者がまだ完了していない	期限を過ぎた場合は再連絡する
完了	所有者がレビューを完了した	コメントと対応内容を確認する
失敗	レビュー依頼を正常に処理できなかった	所有者情報やメールアドレスを確認する

完了したレビューでは、レビューを行ったユーザー、完了日時、コメントを確認できます。サイト所有者のメール情報が無効な場合などは、送信に失敗することがあります。(Microsoft Learn)

依頼メールをカスタマイズするときのポイント

現行の公式手順では、レビュー送信前に電子メールをカスタマイズしてプレビューできます。

設定できる主な項目は次のとおりです。

送信元アドレス
メールの件名
サイト所有者へのメッセージ
追加コメント
詳細手順を掲載したSharePointページや文書へのリンク

設定した内容はレポートの種類ごとに保存できます。同じ種類のレポートから次回レビューを開始するときにも保存済みの文面が使われます。新たに保存すると以前の設定が上書きされ、「リセット」を選ぶと製品の既定値に戻ります。(Microsoft Learn)

ただし、Microsoft Learnにはページ更新前後の詳細な差分が掲載されていません。そのため、メールカスタマイズが2026年7月9日または10日に初めて追加されたと断定するのは適切ではありません。現時点で利用できる公式手順として確認し、自組織の管理画面に同じ項目が表示されるかを検証してください。

実務で使いやすいメール文面の例

件名は、依頼元、作業内容、期限が一目で分かるようにします。

【情報システム部】SharePointサイトのアクセス権確認依頼

本文には、少なくとも次の情報を含めます。

データアクセスガバナンスレポートにより、
共有範囲が広い可能性のあるSharePointサイトが検出されました。

リンク先で、共有リンク、サイトメンバー、グループ、
ファイルおよびフォルダーのアクセス権を確認してください。

不要な権限がある場合は削除または共有範囲の変更を行い、
確認後に「レビューの完了」を選択してください。

対応期限：2026年7月31日
問い合わせ先：情報システム部 Microsoft 365担当
操作手順：社内SharePointのアクセスレビュー手順書を参照

「適切に対応してください」だけでは、所有者が何を確認すべきか判断できません。確認対象、必要な操作、期限、問い合わせ先まで具体的に記載することが重要です。

送信元アドレスは組織プロファイルを確認する

レビュー画面の送信元アドレスは、Microsoft 365管理センターの組織プロファイルで構成したカスタムユーザー名などを基に自動反映されます。

組織独自ドメインからシステム通知を送る場合は、Microsoft 365管理センターの次の場所を確認します。

「設定」を開く
「組織設定」を開く
「組織プロファイル」を選択する
「ドメインからメール通知を送信する」を設定する

設定が反映されるまで最大24時間かかる場合があります。また、なりすましメールと判定されにくくするため、SPF、DKIM、DMARCなどのDNS設定も確認します。(Microsoft Learn)

送信元の変更はサイトアクセスレビューだけに閉じた設定ではありません。ほかの対応するMicrosoft 365通知にも影響する可能性があるため、メール管理担当者と調整してから変更するのが安全です。

必要なライセンスと管理者ロール

サイトアクセスレビューを利用するには、SharePoint Advanced Managementの前提条件を満たす必要があります。

主な基本サブスクリプションとして、次のプランが案内されています。

Office 365 E3、E5、A5
Microsoft 365 E1、E3、E5、A5
Microsoft 365 GCC、GCC High、DoD

さらに、次のいずれかの条件が必要です。

組織内の少なくとも1人にMicrosoft 365 Copilotライセンスが割り当てられている
対象となるSharePointプランに加えて、SharePoint Advanced Management Plan 1アドオンを契約している
Microsoft 365 E7の対象サブスクリプションを利用している

組織内の少なくとも1人にMicrosoft 365 Copilotライセンスが割り当てられている場合、そのユーザー自身がSharePoint管理者である必要はありません。SharePoint管理者が、Copilot展開を支援するSharePoint Advanced Management機能を利用できる状態になります。(Microsoft Learn)

操作する管理者には、次のいずれかのMicrosoft Entraロールが必要です。

SharePoint管理者
SharePoint Advanced Management管理者

ライセンスがあるのにメニューが表示されない場合は、まずライセンスの割り当て状況と管理者ロールを確認します。

2026年7月の更新をどう判断すべきか

2026年7月10日付として取り上げられる公式情報について、管理者が押さえるべき点は「これから新機能が展開される」という理解ではなく、現行仕様と現在の運用手順を確認することです。

Microsoft Learnのページには、最終更新日として2026年7月9日が表示されています。一方で、サイトアクセスレビューの基本機能は、2024年11月のMicrosoft 365 Copilotリリースノートに「Site Access Review for scalable governance」として掲載されています。(Microsoft Learn)

したがって、2026年7月の更新日から次のような展開スケジュールを想定するのは適切ではありません。

2026年7月10日から段階的展開が始まる
2026年7月以降に初めて管理画面へ表示される
すべてのテナントで同日に有効化される
OneDriveにも同時対応する

公式ページには、2026年7月から始まる新たなロールアウト期間は記載されていません。今回の情報は、現時点の対応範囲、手順、制限事項を確認するための更新として扱うのが妥当です。

管理画面に機能が見つからない場合は、展開待ちと判断する前に、次の項目を確認してください。

SharePoint Advanced Managementの利用条件を満たしているか
Microsoft 365 Copilotまたは必要なアドオンが割り当てられているか
SharePoint管理者などの適切なロールがあるか
対応しているMicrosoft 365クラウドを利用しているか
SharePoint管理センターのData Access Governanceを開いているか
サイトアクセスレビューに対応するレポートを選んでいるか

自組織で対応が必要かを判断する基準

次の表を使うと、対応の優先度を判断しやすくなります。

組織の状況	対応要否	推奨する対応
SharePoint Advanced Managementを利用している	高い	管理画面と対象レポートを確認する
Microsoft 365 Copilotを導入している	高い	Copilot展開前後の過剰共有対策に組み込む
Anyoneリンクや外部共有が多い	高い	共有リンクレポートから試行する
サイト数が多く、管理者だけでは確認できない	高い	サイト所有者へレビューを委任する
サイト所有者が未設定または退職者のまま	事前対応が必要	所有者情報を修正してからレビューを送る
100サイトを超えて一括処理したい	PowerShell対応が必要	対象抽出と送信スクリプトを準備する
OneDriveだけをレビューしたい	本機能では対応不可	OneDrive向けレポートと別の是正手順を検討する
SharePoint Advanced Managementの条件を満たさない	直ちには利用不可	ライセンス導入の必要性を評価する
21Vianet環境を利用している	利用不可	代替のアクセス権レビュー手順を整備する

特にMicrosoft 365 Copilotを導入している組織では、既存のSharePointアクセス権がCopilotによって新たに付与されるわけではないものの、利用者がアクセス可能な情報を見つけやすくなるため、過剰共有の整理が重要になります。サイトアクセスレビューは、サイト所有者を巻き込んで既存権限を見直す手段として活用できます。

管理者が今準備すべきこと

ライセンスとロールを確認する

最初に、SharePoint Advanced Managementの利用条件と管理者ロールを確認します。

確認対象は次のとおりです。

Microsoft 365の基本サブスクリプション
Microsoft 365 Copilotの割り当て状況
SharePoint Advanced Managementアドオン
SharePoint管理者ロール
SharePoint Advanced Management管理者ロール
利用中のMicrosoft 365クラウド

ライセンス確認を後回しにすると、運用手順やメール文面を準備した後で機能が利用できないことが判明する可能性があります。

サイト所有者を整理する

サイトアクセスレビューは、適切なサイト所有者が登録されていることを前提にしています。

次のようなサイトは、レビューを送る前に所有者を見直します。

所有者が退職している
異動前の担当者だけが所有者になっている
共有メールアドレスや無効なアドレスが登録されている
所有者が1人しかいない
サイトの現在の管理部署が不明
長期間利用されていない

所有者情報が不正確な状態で大量送信すると、失敗や未対応が増え、管理者が個別調査する負担が大きくなります。

社内向け手順書を用意する

サイト所有者が迷いやすいのは、検出された項目が本当に不要かどうかの判断です。

社内手順書には次の内容を含めます。

Anyoneリンクを残してよい条件
外部共有を許可する業務上の条件
全社公開サイトと部門限定サイトの違い
共有リンクを削除する手順
SharePointグループからメンバーを削除する手順
判断できない場合の問い合わせ先
レビュー完了時に記載するコメント例
対応期限と未対応時の扱い

製品の操作方法だけでなく、自組織の判断基準を示すことが重要です。

少数サイトで試行する

最初の対象は、所有者が明確で、管理部門と連絡を取りやすいサイトから選びます。

試行対象として適している例は次のとおりです。

情報システム部門が管理する検証サイト
現在も利用中の部門サイト
共有リンクが少数だけ検出されたサイト
所有者が複数登録されているサイト
機密度が極端に高くないサイト

最初から重要機密サイトや数百サイトを対象にすると、操作上の問題と運用ルール上の問題を切り分けにくくなります。

未対応時のエスカレーションを決める

レビュー送信時点で、期限を過ぎた場合の対応も決めておきます。

例えば、次のようなルールです。

送信から7日後に1回目のリマインド
14日後にサイト所有者の上長へ連絡
21日後に部門の情報管理責任者へエスカレーション
所有者不明の場合はサイト管理部署を調査
高リスクな共有リンクは管理者が個別に確認
使用実態のないサイトはアーカイブまたは削除候補とする

自動的にアクセス権が修正される機能ではないため、未対応レビューを放置しない仕組みが必要です。

運用で失敗しやすいポイント

OneDriveもレビューできると思い込む

Data Access Governanceの一部レポートは、SharePointとOneDrive for Businessを対象に生成できます。しかし、レポート生成の対象範囲と、サイトアクセスレビューを開始できる対象範囲は同じではありません。

OneDriveアカウントへのレビュー依頼は現在非対応です。OneDriveの問題を検出した場合は、管理者による確認、ユーザーへの別メール、共有リンクの管理など、別の運用を準備します。(Microsoft Learn)

完了ステータスだけを成果にする

サイト所有者が「レビューの完了」を選択すれば、管理者側では完了として記録されます。しかし、完了したことと、不要な権限が十分に削除されたことは同義ではありません。

高リスクなサイトについては、次の点を追加確認します。

Anyoneリンクが削除されたか
外部ユーザーが整理されたか
広範囲なグループが残っていないか
所有者のコメントに具体的な対応内容があるか
業務上必要として残した権限に理由があるか

所有者情報を確認せず大量送信する

無効なメールアドレスや退職済み所有者が含まれると、レビューが失敗したり、保留中のまま残ったりします。

大量展開前に、少なくとも次の情報を一覧化します。

サイトURL
サイト名
所有者
所有者のメールアドレス
最終アクティビティ
外部共有の有無
検出された問題
レビュー送信日
対応期限
現在のステータス

数値だけで危険なサイトを判断する

過剰共有ベースラインのアクセス可能ユーザー数には、同じユーザーが複数の付与経路で重複して含まれる場合があります。

人数が多いサイトでも、全社ポータルや社内規程サイトであれば適切なことがあります。一方、人数が少なくても、外部ユーザーや匿名リンクが含まれていれば優先確認が必要です。

件数だけでなく、次の要素を組み合わせて判断します。

データの機密性
外部共有の有無
共有リンクの種類
サイトの利用目的
所有者の有効性
最終利用日
アクセス権の付与経路

まず1種類のレポートから試行する

SharePointのサイトアクセスレビューは、Data Access Governanceレポートで検出した過剰共有を、サイト所有者による確認と是正につなげる機能です。

管理者が最初に押さえるべきポイントは次のとおりです。

レビュー依頼の対象はSharePointサイトであり、OneDriveには現在対応していない
2026年7月の文書更新は、新規ロールアウト開始を示すものではない
Web画面からは最大100サイトを選択できる
大規模運用ではPowerShellを使用する
メール文面はレポートの種類ごとにカスタマイズして保存できる
権限は自動修正されず、サイト所有者による対応が必要
管理者は保留中、完了、失敗の状態を追跡する
ライセンス、管理者ロール、サイト所有者情報を事前に確認する

まずはライセンスと管理者ロールを確認し、SharePoint管理センターでData Access Governanceレポートを開きます。そのうえで、所有者が明確な5～10サイトを選び、共有リンクレポートなど1種類のレポートから試行するのが現実的です。

試行後は、メール文面、問い合わせ内容、完了率、実際の権限修正状況を確認し、未対応時のエスカレーションを整えてから対象を拡大します。

この記事を書いた人

佐藤健司

実務の現場で詰まりがちなポイントを地図にするITブログ「IT trip」を運営。Windows／Office（Teams・Excel）からSQL、サーバ運用、ガジェットまで、再現性のある手順と“なぜそうなるか”を丁寧に解説します。読んだらすぐ試せること、そして迷った人の次の一歩が見えることを大切にしています。