共有リンクを開けるのに、秘密度ラベル付きのWord、Excel、PowerPointファイルだけが開けない、または閲覧できても編集できないことがあります。
この場合、共有リンクを送り直すだけでは解決しない可能性があります。保存先へアクセスするための共有権限と、暗号化された内容を開く・編集するための利用権限は別に判定されるためです。
最初に確認すべきなのは、受信者が実際に使用しているサインインIDです。そのうえで、ラベルの権限が管理者によって固定されているのか、ファイルの所有者が指定したのかを確認し、対象者、期限、閲覧・編集権限、オンライン再認証の条件を順番に切り分けます。([Microsoft Learn][1])
秘密度ラベル付きのOfficeファイルを開けない・編集できない理由
秘密度ラベルで暗号化されたOfficeファイルには、大きく分けて2段階のアクセス判定があります。
| 判定される権限 | 主な役割 | 確認する内容 |
|---|---|---|
| 共有権限 | ファイルの保存場所や共有リンクへ到達できるかを判定する | OneDrive、SharePoint、Teamsなどの共有設定 |
| 暗号化された内容の利用権限 | ファイルを復号して開けるか、編集・保存・コピー・印刷できるかを判定する | 秘密度ラベルの対象者、権限、期限、オフライン利用条件 |
共有リンクが届き、ファイル名や保存場所まで表示されたとしても、暗号化された内容を利用できるとは限りません。
Microsoft Purview Information Protectionによる暗号化では、ラベルの設定で許可されたユーザーだけが内容を復号できます。ファイルを別の場所へ移動したり、ファイル名を変更したりしても、暗号化は維持されます。([Microsoft Learn][1])
たとえば、SharePointの共有リンクではファイルへ到達できても、秘密度ラベルの対象者に受信者が含まれていなければ、Officeで内容を開く段階で拒否されることがあります。
まず症状から原因を切り分ける
発生している症状によって、最初に確認すべき場所が異なります。
| 症状 | 最初に疑うポイント |
|---|---|
| 共有リンク自体を開けない | 保存先の共有設定、リンクの対象者、有効期限 |
| ファイル名は見えるが、内容を開けない | 秘密度ラベルの対象者、サインインID、暗号化の期限 |
| ファイルは開けるが編集できない | Viewerなどの利用権限、編集・保存権限 |
| 以前は開けたが、現在は開けない | アクセス期限、オフライン利用期間、再認証後の権限変更 |
| 所有者は編集できるが、共有相手だけ編集できない | 共有相手に割り当てられた権限レベル |
「開けない」と「編集できない」は、同じ問題ではありません。
開けない場合は、対象者として許可されていない可能性があります。一方、開けるが編集できない場合は、閲覧権限だけが付与され、編集や保存に必要な権限が付与されていない可能性があります。([Microsoft Learn][1])
受信者が実際に使用しているサインインIDを確認する
最初に、ファイルを開こうとしているOfficeアプリやブラウザーで、どのアカウントを使用しているかを確認します。
確認するのは、共有通知を受け取ったメールアドレスだけではありません。Officeが暗号化権限の判定に使用しているサインインIDを確認する必要があります。
たとえば、次のような取り違えが考えられます。
- 職場または学校アカウントで許可されているのに、個人用Microsoftアカウントを選択している
- 共有先として指定されたメールアドレスとは別のアカウントでOfficeにサインインしている
- 複数のMicrosoft 365組織に所属しており、別組織のアカウントを使用している
- 共有リンクを転送してもらったが、転送先の利用者には暗号化権限が付与されていない
暗号化では、ユーザーのIDと許可された対象者を照合してアクセスが判定されます。特定のユーザー、グループ、メールアドレス、ドメインなどを対象として設定できるため、「リンクを受け取った人」と「暗号化の対象者」が同じであるとは限りません。([Microsoft Learn][1])
所有者へ確認する内容
ファイルの所有者には、次の2点を確認します。
- どのメールアドレスまたはアカウントを対象者として登録したか
- 受信者はどのアカウントでOfficeにサインインすべきか
アカウントを切り替えて確認するときは、ブラウザーだけでなく、Word、Excel、PowerPoint側でも同じ受信者アカウントを使用します。
ラベルの権限を誰が指定したのか確認する
秘密度ラベルによる暗号化では、権限の決め方が大きく2種類あります。
| 権限の決め方 | 設定する人 | 確認先 |
|---|---|---|
| 管理者が事前に権限を指定 | 秘密度ラベルの管理者 | ラベルを管理するMicrosoft 365管理者 |
| ラベル適用時に利用者が権限を指定 | ファイルにラベルを適用した利用者 | ファイルの所有者またはラベル適用者 |
管理者が事前に権限を指定する方式では、ラベルごとに対象ユーザーやグループ、権限レベル、期限、オフライン利用条件などが設定されます。
一方、ラベル適用時に利用者が権限を指定する方式では、Word、Excel、PowerPointでラベルを適用した利用者が、対象者と権限を選択します。したがって、同じ名前の秘密度ラベルが付いていても、ファイルごとに共有相手や権限が異なる可能性があります。([Microsoft Learn][1])
所有者へ問い合わせる際は、単に「このラベルは外部共有できますか」と聞くのではなく、次のように確認すると原因を特定しやすくなります。
このファイルの権限は、秘密度ラベルの管理者が固定したものですか。それとも、ラベル適用時にファイル所有者が対象者を指定したものですか。
ラベル付きファイルを開けない場合の確認項目
ファイルそのものを開けない場合は、次の順番で確認します。
対象者に受信者が含まれているか
最初に、受信者の実際のサインインIDが、次のいずれかに含まれているかを確認します。
- 個別に指定されたユーザー
- 許可されたグループ
- 許可された外部組織またはドメイン
- 認証済みユーザーとして許可された対象
グループで権限を付与している場合は、受信者がそのグループの有効なメンバーであるかも確認します。
「組織内の全員」にゲストが含まれると思い込まない
秘密度ラベルの暗号化設定にある「組織内の全員」は、テナントのメンバーを対象とする設定であり、ゲストアカウントは除外されます。
そのため、SharePointやTeamsではゲストとして共同作業できていても、暗号化されたファイルでは対象外になることがあります。外部利用者やゲストに開かせる必要がある場合は、そのユーザー、組織、ドメインなどが暗号化の対象者として適切に設定されているかを確認します。([Microsoft Learn][1])
アクセス期限を過ぎていないか
管理者指定の暗号化設定では、次のような期限を設定できます。
- 指定した日付まで
- ラベル適用後、指定した日数まで
- 期限なし
期限を過ぎた利用者は、共有リンクが残っていても暗号化された内容を開けません。
所有者や管理者には、共有リンクの有効期限だけでなく、秘密度ラベル側のアクセス期限も確認してもらいます。([Microsoft Learn][1])
オフライン利用と再認証の条件を確認する
暗号化されたファイルには、オフラインで利用できる期間を設定できます。
設定例には、次のようなものがあります。
- 常にオフライン利用を許可する
- オフライン利用を許可しない
- 指定した日数だけオフライン利用を許可する
オフライン利用期間を過ぎると、利用者は再認証と再認可を求められます。その時点でラベル設定やグループ所属が再評価されるため、以前は開けていたファイルが開けなくなる場合もあります。([Microsoft Learn][1])
対象者と期限に問題がない場合
暗号化の対象者、期限、サインインIDに問題がない場合は、管理者側の設定も確認します。
Microsoft Entraのクロステナントアクセス設定や条件付きアクセスの構成によっては、権限を持つ利用者でも暗号化された内容へのアクセスを妨げられることがあります。組織外の利用者だけが開けない場合は、外部共有設定だけでなく、Microsoft Entra側の制御も管理者に確認してもらいます。([Microsoft Learn][1])
ファイルは開けるが編集できない場合の確認項目
ファイルを開いて内容を閲覧できる場合、対象者としては認証されています。
それでも編集できない場合は、付与された利用権限を確認します。
閲覧・編集・保存は別の権限
暗号化されたOfficeファイルでは、操作ごとに利用権限を分けて設定できます。
| 利用権限 | 許可される主な操作 |
|---|---|
| View、Open、Read | ファイルを開いて内容を閲覧する |
| Edit Content、Edit | 内容を変更、並べ替え、書式変更する |
| Save | 変更内容を保存する |
| Copy | 内容をコピーする |
| 印刷する | |
| Save As、Export | 別名保存やエクスポートを行う |
| Full Control | 暗号化の変更や解除を含む完全な操作 |
「Edit Content」の権限だけでは、編集後の保存まで保証されません。編集と保存を必要とする利用者には、それぞれに対応する権限が必要です。
また、コピー、印刷、別名保存も編集権限とは別に制限できます。編集できるからといって、すべての操作が許可されているとは限りません。([Microsoft Learn][2])
Viewerなどの権限レベルを確認する
個々の利用権限をまとめた権限レベルが使用されていることもあります。
代表的な権限レベルは次のとおりです。
| 権限レベル | 主な用途 |
|---|---|
| Viewer | ファイルの閲覧を許可する |
| Restricted Editor | 閲覧、編集、保存を許可しつつ、一部の操作を制限する |
| Editor | 閲覧、編集、保存に加え、コピーや印刷などを広く許可する |
| Owner | 完全な操作権限を付与する |
Viewerが割り当てられている利用者は、ファイルを開いて読めても編集はできません。
なお、権限レベルの名称や各権限の実装は、使用するアプリや環境によって表示が異なることがあります。問題を切り分ける際は、権限レベルの名前だけでなく、「編集」「保存」「コピー」「印刷」など、実際に必要な操作が許可されているかを確認します。([Microsoft Learn][2])
所有者または管理者へ権限修正を依頼する
権限修正を依頼するときは、「開けません」だけでは情報が不足します。
次の内容をまとめて伝えると、管理者や所有者が確認しやすくなります。
対象ファイル：
共有リンクを受け取ったメールアドレス：
実際にOfficeへサインインしているID：
アカウントの種類：職場・学校アカウント／個人用Microsoftアカウント
現在の症状：開けない／閲覧のみ可能／編集できない／保存できない
必要な操作：閲覧／編集・保存／コピー／印刷
エラーが発生した日時：
以前は開けたか：
確認希望：
対象者、権限レベル、アクセス期限、オフライン利用条件を確認してください。管理者指定の権限だった場合
ラベル管理者に、次の項目を確認してもらいます。
- 受信者または受信者が所属するグループが対象に含まれているか
- Viewerなど、必要な操作に合わない権限が付与されていないか
- アクセス期限が切れていないか
- オフライン利用や再認証の条件が適切か
- ゲストや外部組織を対象とする設定になっているか
管理者指定の権限を変更した場合、既存の暗号化ファイルにも新しい設定が適用されることがあります。ただし、利用者が有効な利用ライセンスを保持している間は、再認証やライセンスの更新まで変更が反映されない場合があります。([Microsoft Learn][1])
利用者が権限を指定した場合
ファイル所有者またはラベル適用者に、対象者と利用権限を修正してもらいます。
利用者が個別に指定した権限は、管理者がラベルの標準設定を変更しただけでは、既存ファイルへ同じように反映されないことがあります。必要に応じて、所有者側で対象者を指定し直し、適切な権限で暗号化を再適用する対応が必要です。([Microsoft Learn][1])
修正後は、所有者が許可したものと同じ受信者アカウントで、もう一度ファイルを開きます。別のアカウントで確認すると、権限を修正しても同じエラーが続きます。
既定の解決策にしないほうがよい対応
同じ共有リンクを送り直す
暗号化権限が変わっていなければ、同じリンクを送り直しても結果は変わりません。
リンクの再発行が必要なのか、秘密度ラベルの対象者や利用権限を修正する必要があるのかを分けて判断します。
共有リンクの範囲だけを広げる
OneDriveやSharePointの共有範囲を広げても、ファイルに設定された暗号化権限が変わるとは限りません。
「リンクを知っている人がアクセス可能」といった共有設定と、秘密度ラベルによる対象者・利用権限は別に確認します。
「組織内の全員」ならゲストも開けると判断する
組織内の全員を対象とした暗号化設定には、ゲストアカウントが含まれません。外部ユーザーには、別途適切な対象者設定が必要です。([Microsoft Learn][1])
ラベルを外す、暗号化を解除する
トラブルを解消するためだけに秘密度ラベルを外したり、暗号化を解除したりする方法は、既定の対応にすべきではありません。
ラベルや暗号化には、機密情報を許可された相手と操作だけに制限する目的があります。安易に解除すると、組織の情報保護方針から外れる可能性があります。
また、暗号化の変更や解除は、誰でも実行できるわけではありません。ExportやFull Controlなどの権限を持つ利用者、Rights Managementの所有者、管理上の権限を持つ利用者などに限られます。([Microsoft Learn][1])
別形式へコピーして回避する
内容を新しいファイルへコピーしたり、別形式で送り直したりすると、元の秘密度ラベルや暗号化が引き継がれない可能性があります。
必要な相手に必要な権限を正しく付与することが本来の解決策です。形式変更は、情報管理責任者やラベル管理者が必要性と安全性を判断した場合に限って検討します。
秘密度ラベル付きファイルの確認順序
共有リンクが届いたのに、ラベル付きOfficeファイルを開けない、または編集できない場合は、次の順番で確認します。
- Officeとブラウザーで実際に使用しているサインインIDを確認する
- 所有者が許可したIDと一致しているか確認する
- 権限が管理者指定か、ラベル適用者による個別指定か確認する
- 開けない場合は、対象者、ゲスト扱い、期限、オフライン利用条件を確認する
- 開けるが編集できない場合は、Viewer、編集、保存などの利用権限を確認する
- ラベル管理者または所有者へ必要な権限修正を依頼する
- 修正後も同じ受信者アカウントを使用して再確認する
重要なのは、共有リンクへ到達できることと、暗号化された内容を利用できることを分けて考えることです。
共有設定だけを繰り返し変更するのではなく、サインインID、ラベルの権限指定方式、対象者、期限、必要な操作権限を順番に確認すれば、原因を効率よく切り分けられます。
[1]: https://learn.microsoft.com/en-us/purview/encryption-sensitivity-labels “Apply encryption using sensitivity labels | Microsoft Learn”
[2]: https://learn.microsoft.com/en-us/purview/rights-management-usage-rights “Configure usage rights for the Azure Rights Management service | Microsoft Learn”
コメント