Office for the webで秘密度ラベルのユーザー定義アクセス許可を使うと、Word for web、Excel for web、PowerPoint for web上で、文書ごとに「誰が開けるか」「編集できるか」を指定しながらラベルを適用できます。これまでデスクトップ版で処理していたようなアクセス許可の指定を、ブラウザー上のOfficeファイルでも行いやすくなる点がポイントです。
ただし、単に「秘密度ラベルを選べばよい」機能ではありません。ラベルがMicrosoft Purviewで正しく作成・公開されていること、SharePointとOneDriveで秘密度ラベルが有効になっていること、暗号化ファイルの共同編集設定が有効になっていることなど、事前条件を満たしていないと、ラベルが表示されなかったり、相手がファイルを開けなかったりします。
2026年6月23日頃のMicrosoft 365 Roadmap情報では、Roadmap ID 468888として「Microsoft Purview: Apply sensitivity labels with user-defined permissions in Office for the web in Microsoft 365」が掲載され、対象製品はWord、Excel、PowerPoint、Microsoft Purview、プラットフォームはWeb、状態はLaunched、一般提供時期は2026年4月とされています。(Microsoft)
Office for the webのユーザー定義アクセス許可とは
秘密度ラベルは、ファイルに「社外秘」「機密」「公開不可」などの分類を付け、必要に応じて暗号化やアクセス制御を適用する仕組みです。ユーザー定義アクセス許可は、その中でも「ラベルを適用するユーザーが、適用時に相手や権限を指定できる」設定を指します。
たとえば、同じ「契約書レビュー用」という秘密度ラベルでも、A社との契約書ではA社担当者と社内法務部、B社との契約書ではB社担当者と営業責任者だけにアクセスを許可する、といった使い方ができます。Microsoftの説明でも、管理者があらかじめアクセス許可を固定する方法と、ユーザーがラベル適用時にアクセス許可を割り当てる方法が区別されています。(Microsoft Learn)
| 種類 | 権限を決める人 | 向いているケース | 注意点 |
|---|---|---|---|
| 管理者定義アクセス許可 | 管理者 | 「経理部のみ編集可」「全社員は閲覧のみ」など、対象が固定される文書 | 柔軟性は低いが、統制しやすい |
| ユーザー定義アクセス許可 | ラベルを適用するユーザー | 契約書、提案書、外部協業資料など、文書ごとに共有相手が変わる場合 | 指定ミスが情報漏えい・業務停止につながるため、運用ルールが必要 |
実務では、すべてをユーザー定義にするのではなく、「相手が毎回変わる高機密ファイル」に限定して使うのが安全です。部署単位で権限が決まるファイルは、管理者定義アクセス許可のラベルを使った方が運用ミスを減らせます。
Word for web・Excel for web・PowerPoint for webで何ができるようになるのか
今回のポイントは、Office for the web上でユーザー定義アクセス許可付きの秘密度ラベルを適用できる点です。Microsoft 365 Roadmapでは、Office for the web in Microsoft 365がユーザー定義アクセス許可付きの秘密度ラベルの適用をサポートすると説明されています。(Microsoft)
これにより、次のような作業をブラウザー中心で完結しやすくなります。
| 利用シーン | 具体例 | 効果 |
|---|---|---|
| 社外との契約書レビュー | Word for webで契約書を開き、社内担当者と外部弁護士だけにアクセスを許可 | デスクトップアプリを開かずに保護設定まで行える |
| 部門横断の予算資料 | Excel for webで予算表を開き、編集できる人と閲覧のみの人を分ける | ファイルのリンク共有だけではなく、ファイル自体の保護を追加できる |
| 提案資料の限定共有 | PowerPoint for webで提案書を開き、顧客ドメインや特定担当者に限定 | ダウンロード後もラベルと暗号化の保護を残しやすい |
特に大事なのは、SharePointやOneDriveの共有リンクとは別に、秘密度ラベルによる暗号化権限が効くことです。共有リンクを送っても、ラベル側のアクセス許可に含まれていない人は開けない場合があります。逆に、ラベルで許可されていても、SharePointやOneDrive上のファイルにアクセスする経路がなければ、ファイル自体にはたどり着けません。Microsoft Learnでも、SharePointやOneDriveでアクセス・ダウンロードされたファイルには、ラベルと暗号化設定が保持・適用されると説明されています。(Microsoft Learn)
一般ユーザー向けの基本的な使い方
実際の画面名はテナント設定や言語、更新状況によって多少変わることがありますが、基本的な流れは次のとおりです。
| 手順 | 操作 | 迷いやすいポイント |
| -: | ——————————————————————————– | ————————————————— |
| 1 | OneDrive、SharePoint、TeamsのファイルからWord for web、Excel for web、PowerPoint for webを開く | ローカルPC上のファイルではなく、Office for the webで開ける場所にあるファイルが前提 |
| 2 | 画面上部またはリボンの「秘密度」からラベルを選ぶ | ラベルが見えない場合は、ユーザーにラベルポリシーが公開されていない可能性がある |
| 3 | ユーザー定義アクセス許可付きのラベルを選択する | すべての秘密度ラベルで相手を指定できるわけではない |
| 4 | 許可するユーザー、グループ、組織、権限レベルを指定する | 個人名を直接並べるより、運用可能なグループを使う方が管理しやすい |
| 5 | 適用後、必要に応じてファイル共有リンクを送る | ラベルの許可とSharePoint/OneDriveの共有は別物として考える |
権限を付ける相手は、できるだけ個人ではなくグループで指定するのが実務向きです。Microsoft Learnでも、アクセス許可の構成をシンプルに保つベストプラクティスとして、ユーザー単位よりグループの利用が推奨されています。(Microsoft Learn)
設定場所で迷いやすいポイント
Office for the webでユーザー定義アクセス許可を使えるようにするには、利用者側の操作だけでなく、管理者側の設定が必要です。一般ユーザーが自分で有効化できる機能ではありません。
管理者が確認する主な設定場所
| 確認項目 | 主な場所 | 見るべきポイント |
|---|---|---|
| 秘密度ラベルの作成 | Microsoft Purviewポータル → Solutions → Information Protection → Sensitivity labels | ファイル向けのラベルとして作成されているか |
| ラベルの公開 | Label publishing policies | 対象ユーザーにラベルが公開されているか |
| アクセス制御 | ラベルのAccess control設定 | 「ユーザーがラベル適用時にアクセス許可を割り当てる」設定になっているか |
| SharePoint/OneDrive連携 | Microsoft Purviewポータル、またはSharePoint Online PowerShell | Office for the webでラベルを適用できる状態か |
| 暗号化ファイルの共同編集 | Microsoft Purviewポータル → Settings → Solution settings → Information Protection | Co-authoring for files with sensitivity labelsが有効か |
Microsoft Learnでは、秘密度ラベルを作成・公開するにはMicrosoft Purviewポータルを使い、ラベルポリシーを対象ユーザーに公開すると、対応アプリでラベルが表示されると説明されています。(Microsoft Learn)
また、SharePointとOneDriveでOfficeファイル向けの秘密度ラベルを有効にすると、Office for the webのリボンに秘密度ボタンが表示され、適用済みラベル名も確認できるようになります。(Microsoft Learn)
ユーザー定義アクセス許可として成立する条件
Microsoft Learnでは、ユーザー定義アクセス許可について、ラベルの暗号化設定で「Let users assign permissions when they apply the label」を使い、Word、PowerPoint、Excelでユーザーに権限指定を求めるチェックが選ばれている構成と説明されています。(Microsoft Learn)
つまり、ラベル名が「機密」だからといって、自動的にユーザー定義アクセス許可になるわけではありません。管理者がラベルの暗号化設定で、その動作を明示的に構成しておく必要があります。
導入前に確認したい前提条件
Office for the webで秘密度ラベルのユーザー定義アクセス許可を使う前に、少なくとも次の点を確認しておくと、導入後の問い合わせを減らせます。
| 確認項目 | なぜ重要か | 確認の目安 |
|---|---|---|
| Microsoft 365の対象ライセンス | 秘密度ラベルはサブスクリプション版Officeで利用する機能 | 買い切り版Officeだけの環境では期待どおり使えない |
| ラベルポリシーの公開範囲 | ユーザーごとに見えるラベルが異なる | テストユーザーにだけ先行公開して動作確認する |
| SharePoint/OneDriveの有効化 | Office for the webでラベルを表示・適用する前提 | Purviewポータルの「Turn on now」またはPowerShellで確認 |
| 共同編集設定 | 暗号化されたラベル付きファイルを複数人で扱うため | 有効化前にメタデータ変更の影響を確認する |
| 対応ファイル形式 | 古い形式や一部の構成では動作が制限される | .docx、.xlsx、.pptxなどの形式で検証する |
| 既存ファイルへの影響 | 既存の暗号化・ラベル設定は期待どおり変わらない場合がある | 新規作成ファイルと既存ファイルを分けてテストする |
Officeアプリで秘密度ラベルを使うには、サブスクリプション版Officeが必要で、スタンドアロン版OfficeではサポートされないとMicrosoft Learnに記載されています。(Microsoft Learn)
また、Office for the webでユーザー定義アクセス許可付きラベルを表示・変更する前に、暗号化された秘密度ラベル付きファイルの共同編集を有効にしておく必要があります。Microsoft Learnでは、この共同編集設定を有効にするとAutoSaveもサポートされる一方、ラベルメタデータの保存場所や形式に影響があるため、古いメタデータを読み書きするアプリやスクリプトがある場合は注意が必要とされています。(Microsoft Learn)
共同編集設定は「とりあえずオン」にしない
ユーザー定義アクセス許可をOffice for the webで使うとき、特に見落としやすいのが共同編集設定です。
Microsoft Learnでは、共同編集の有効化手順として、Microsoft Purviewポータルの「Settings → Solution settings → Information Protection → Co-authoring for files with sensitivity labels」から有効化し、環境全体に反映されるまで24時間待つ手順が示されています。(Microsoft Learn)
ただし、この設定は軽く扱うべきではありません。Microsoft Learnでも、共同編集設定を有効化すると、暗号化されていないファイルのラベル情報が従来のカスタムプロパティに保存されなくなると説明されています。古いスクリプト、DLP補助ツール、ファイル監査ツールなどがその情報を参照している場合、ラベルが未設定に見えたり、古いラベルが表示されたりする可能性があります。(Microsoft Learn)
導入前には、次のような確認を行うと安全です。
| 確認対象 | 確認内容 |
|---|---|
| 既存の監査スクリプト | Officeファイルのカスタムプロパティからラベル情報を読んでいないか |
| DLP・メールフロー連携 | 添付ファイルのラベル判定に古いメタデータを使っていないか |
| 外部共有先 | ゲストや外部ユーザーが古いOfficeアプリで開いていないか |
| ヘルプデスク | 「ラベルが消えた」「共同編集できない」という問い合わせに対応できるか |
ラベルが表示されないときの確認ポイント
Office for the webで秘密度ラベルが見えない場合、最初に疑うべきなのは「機能が未提供」ではなく「条件がそろっていない」ことです。
| 症状 | よくある原因 | 対処 |
|---|---|---|
| 「秘密度」ボタンが見えない | SharePoint/OneDriveで秘密度ラベルが有効化されていない | 管理者に有効化状況を確認する |
| 対象ラベルだけ表示されない | ラベルポリシーが自分に公開されていない | 自分が対象ユーザー・グループに入っているか確認する |
| ラベルは見えるが相手を指定できない | ラベルがユーザー定義アクセス許可として構成されていない | ラベルのAccess control設定を確認する |
| 適用後に相手が開けない | SharePoint共有権限とラベル権限のどちらかが不足 | 共有リンクとラベルの許可ユーザーを両方確認する |
| 古いファイルで動作しない | ファイル形式やファイル内部構造が制限に該当 | 新形式へ変換するか、デスクトップアプリで開く |
SharePointとOneDriveで秘密度ラベルを有効化するには、Microsoft Purviewポータルから有効化する方法と、SharePoint Online PowerShellで Set-SPOTenant -EnableAIPIntegration $true を実行する方法があります。Microsoft 365 Multi-Geo環境では、各地域に対して実行が必要です。(Microsoft Learn)
対応ファイル形式にも注意する
Office for the webで秘密度ラベルを扱う場合、ファイル形式によって利用できる範囲が変わります。Microsoft Learnでは、SharePointとOneDriveで秘密度ラベルを有効化した後、Office for the webまたはSharePointでラベルを適用できる形式として、Wordは.docxと.docm、Excelは.xlsx、.xlsm、.xlsb、PowerPointは.pptxと.ppsxが示されています。(Microsoft Learn)
古いOffice形式のまま運用している組織では、ここがつまずきやすいポイントです。たとえば、古い.docや.xlsのファイルをそのまま使っていると、Office for the webで期待どおりラベル適用できない場合があります。
| アプリ | Office for the webでラベル適用を考えるときの主な形式 |
|---|---|
| Word for web | .docx、.docm |
| Excel for web | .xlsx、.xlsm、.xlsb |
| PowerPoint for web | .pptx、.ppsx |
Excelファイルでは、Power Queryデータ、カスタムアドインのデータ、カスタムXMLパーツなどを含む場合にも注意が必要です。Microsoft Learnでは、こうした構成を持つファイルでは、SharePointとOneDriveが暗号化されたラベル付きファイルを処理できない場合があり、その場合は暗号化なしのラベルを使うか、デスクトップアプリで開くよう案内することが示されています。(Microsoft Learn)
権限指定で失敗しやすいポイント
個人を大量に指定しない
ユーザー定義アクセス許可は便利ですが、毎回個人を手入力していると、異動・退職・担当変更のたびに管理が破綻します。社内メンバーには、Microsoft 365グループやメール有効なセキュリティグループを使う方が現実的です。
外部共有では、特定のメールアドレスやドメインを指定できる場合があります。ただし、Microsoft Entra IDを使う組織のドメインを指定した場合、そのドメインだけに限定されず、そのテナントの検証済みドメインが含まれる点に注意が必要です。(Microsoft Learn)
「誰でも認証済みならOK」を安易に使わない
「認証済みユーザー」を許可する設定は、用途によっては便利ですが、「誰がアクセスできるか」を厳密に絞る目的には向きません。Microsoft Learnでも、この設定はコンテンツを暗号化しつつ利用方法を制限するもので、誰がアクセスできるかを厳密に制限する設定ではないと説明されています。(Microsoft Learn)
社外秘や個人情報を含むファイルでは、原則として具体的なユーザー、グループ、組織単位で指定する運用にした方が安全です。
ラベルを付けた人は強い権限を持つ
秘密度ラベルで暗号化を適用したユーザーは、Rights Management issuerとして扱われます。Microsoft Learnでは、ラベルを適用したユーザーは文書やメールに対して常にFull Control権限を持つと説明されています。(Microsoft Learn)
そのため、「自分自身も開けないようにする」「自分の編集権限を完全になくす」といった使い方は、この仕組みには向きません。情報オーナーを誰にするか、退職・異動時に誰が復旧できるかまで含めて設計する必要があります。
既存ファイルにはすぐ反映されない場合がある
ラベルの暗号化方式を変更しても、既存ファイルすべてが自動的に期待どおり変わるとは限りません。Microsoft Learnでは、「ユーザーが権限を割り当てる」暗号化オプションへの変更は、新しくラベル付けされた、または再ラベル付けされたアイテムに適用されると説明されています。(Microsoft Learn)
既存の重要ファイルに適用する場合は、代表的なファイルを使って「ラベル変更」「再保存」「別ユーザーでのアクセス確認」までテストしてから展開しましょう。
導入時のおすすめ運用ルール
Office for the webでユーザー定義アクセス許可を使うなら、機能をオンにするだけでなく、利用者に迷わせないルールを用意することが重要です。
| ルール | 具体例 |
|---|---|
| ラベル名で用途を分かるようにする | 「機密 – 相手を指定」「契約書 – 外部共有可」など |
| 個人指定よりグループ指定を優先する | 「営業1部レビュー担当」「法務レビュー担当」などのグループを用意 |
| 外部共有可のラベルを限定する | すべての機密ラベルで外部ドメイン指定を許可しない |
| テスト公開を必ず行う | 最初は数名に公開し、最低1日程度は動作を確認してから広げる |
| 共有リンクとラベル権限の違いを周知する | 「リンクを送るだけでは開けないことがある」と明記する |
| 問い合わせ時の確認項目を決める | ファイル形式、保存場所、ラベル名、指定した相手、共有リンクの種類を確認 |
Microsoft Learnでも、新しい秘密度ラベルや暗号化ラベルを公開する際は、最初に少数のテストユーザーへ公開し、少なくとも1時間待ってSharePointとOneDriveでの動作を確認し、標準ユーザーへ広げる前に少なくとも1日待つことが推奨されています。(Microsoft Learn)
この機能を使うべきケース・使わない方がよいケース
ユーザー定義アクセス許可は、柔軟性が高い反面、ユーザーの判断に依存します。次の基準で使い分けると失敗しにくくなります。
| 判断 | 向いているケース | 理由 |
|---|---|---|
| 使うべき | 案件ごとに共有相手が変わる契約書、提案書、共同研究資料 | 管理者が毎回ラベルを作るより現場対応が速い |
| 条件付きで使う | 外部パートナーとのExcel集計、PowerPoint提案資料 | 外部共有ルールと誤指定防止の教育が必要 |
| 使わない方がよい | 人事情報、役員会資料、監査資料など、対象者が厳密に固定される文書 | ユーザー判断ではなく管理者定義の権限で統制すべき |
| 使わない方がよい | 全社員向け資料、社内規程、公開予定資料 | ユーザー定義にする意味が薄く、管理が複雑になる |
独自の判断基準としては、「共有相手が文書ごとに変わるか」「誤って広く許可したときの影響が許容できるか」で分けるのが実用的です。前者がYesで、後者のリスクをルールや承認で抑えられる場合に、ユーザー定義アクセス許可が活きます。
まず何をすればよいか
Office for the webで秘密度ラベルのユーザー定義アクセス許可を使う場合、最初にやるべきことは、ユーザーに手順を配ることではありません。先に管理者側で、ラベル、公開ポリシー、SharePoint/OneDrive連携、共同編集設定、対応ファイル形式を確認することです。
一般ユーザーは、次の4点を確認すれば十分です。
| 確認すること | 確認内容 |
|---|---|
| ファイルの場所 | OneDrive、SharePoint、Teams上のOfficeファイルか |
| ラベルの表示 | Office for the webで目的の秘密度ラベルが見えるか |
| 権限の相手 | 個人ではなく、可能ならグループで指定しているか |
| 共有リンク | ラベル権限とは別に、相手がファイルへ到達できる共有設定になっているか |
管理者は、まず少数のテストユーザーに限定して、Word、Excel、PowerPointそれぞれで「ラベル適用」「権限指定」「別ユーザーで開く」「共有リンクとの組み合わせ」「デスクトップアプリとの共同編集」を確認しましょう。問題がなければ、利用部門を絞って段階的に展開するのが安全です。
Office for the webのユーザー定義アクセス許可は、社外共有や部門横断の共同作業を便利にする機能です。一方で、共有リンクとラベル権限の二重管理、共同編集設定の影響、既存ファイルへの反映差など、実務で迷いやすい点もあります。導入時は「誰が、どのラベルを、どの相手に使ってよいか」まで決めてから展開すると、セキュリティと使いやすさのバランスを取りやすくなります。
コメント