日々の業務に欠かせないMicrosoft TeamsとSharePointですが、デフォルトのメンバー権限「編集」が課題となるケースは少なくありません。たとえば、社内文書の閲覧のみを許可したいのにファイルを改変されてしまうリスクがあったり、Teamsの自動連携で意図せずアクセスレベルが広がってしまったり。そんな悩みを解決するカギは、SharePoint固有の権限レベルやグループの再編成、さらにはIRMの活用やPowerShellによる自動化にあります。本記事では、これらのベストプラクティスを余すことなく徹底解説します。ぜひご参考ください。
Teams/SharePointで起こりがちなメンバー権限の問題とは
SharePointサイトのメンバー権限は、Teamsと連携すると自動的に「Owners（フルコントロール）」「Members（編集）」「Visitors（閲覧）」の3種類が作成されます。特に課題となるのが「Members」グループの既定権限が「編集」になっている点です。
一般的には以下のような問題が生じやすいでしょう。
1. 「Members」権限が直接変更できない
SharePoint管理画面上から権限レベルを切り替えようとしても、編集オプションがグレーアウトしている場合があります。たとえば「Edit User Permissions（ユーザー権限の編集）」が選べず、既定の「編集」権限を「閲覧」に下げられないケースです。これはSharePoint側で「Members」グループがサイトの既定グループに設定されているために発生することが多いです。
2. 「Members」グループ削除のリスク
「編集」レベルを不要と考えてグループそのものを削除すると、Teamsとの連携に想定外の影響が出る可能性があります。たとえば、元々「Members」グループに属していたユーザーがチーム内のファイルに一切アクセスできなくなるなどのトラブルが考えられます。
3. 作成したカスタム権限が反映されない
「Read Only」や「Contribute」など、新たに作成したカスタム権限レベルやグループを適用しても、サイトの既定グループが「Members」のままだと、権限の継承や上書きにより想定通りに機能しないことがあります。
権限を柔軟に管理するための基本アプローチ
Teams/SharePoint連携でメンバー権限を制御するには、いくつかの手順や考え方があります。以下では、それぞれのアプローチとポイントを詳しく紹介します。
1. 新規グループをサイトの既定グループに設定する
「Members」の既定権限がグレーアウトしている場合、まずは新しいグループを「サイトの既定グループ」に変更することが有効です。たとえば「Contribute（投稿・編集のみ可能）」や「Read Only（閲覧のみ）」といったカスタム権限レベルを作成し、それを既定グループに指定します。すると、「Members」グループを編集する際にグレーアウトが解除され、自由に権限を変更できるようになることがあります。
作業フロー例
- SharePoint管理画面で「サイトの権限」から「詳細設定」を選択
- 新規グループ（例：ContributeGroup）を作成し、権限を「Contribute」などに設定
- 「サイトの既定グループ」に指定する
- 既定グループが変わったら、元の「Members」グループを開き、「編集」から「閲覧」や「Contribute」などに変更
2. 「Members」グループを削除しない運用を基本とする
Teamsとのシームレスな連携を保ちつつ、余計なトラブルを避けるためには、「Members」グループの削除は避けるのが無難です。権限を変更した上で必要ならユーザーを別途作成したグループに移行し、「Members」グループの役割を最小化します。
- 既存ユーザーが「Members」グループから外れても問題ないなら、新グループへ順次移行
- 「Members」グループには極力ユーザーを残さず、最終的にサイト管理者や運用担当のみ（または誰もいない状態）にしておく
このようにすれば、Teamsが裏側で要求する「Members」グループの存在は確保しつつ、運用上の実質的なメンバー管理は独自グループへ移行できます。
3. 権限継承の解除（Break Inheritance）のタイミングを見極める
SharePointのサイトやライブラリは、上位階層から権限を引き継いでいる場合があります。特定のライブラリやフォルダー、ファイル単位で異なる権限を設定したい場合には、「権限の継承を停止（Break Inheritance）」してから独自権限を適用します。
ただし、継承を解除すると管理が複雑化しやすいため、本当に必要な部分にのみ適用し、全体としてはできるだけシンプルな階層構造を維持することが望ましいです。
「読み取り専用」やダウンロード制限を実装するには
「Members」グループに対して「閲覧」レベルを与えるだけでなく、ファイルをダウンロードさせたくない場合もあります。SharePointの標準機能や設定では完全にダウンロードを封じるのは難しい部分がありますが、一定の制限をかける方法としては以下が挙げられます。
1. IRM(Information Rights Management)の活用
SharePointライブラリ単位でIRMを有効にすると、ドキュメントを閲覧するユーザーに対してドキュメントの保存や印刷を制限できる場合があります。ただし、デバイスのスクリーンキャプチャや外部ツールによる抜け道は残るため、「完全に」ダウンロードやコピーを禁止できるわけではありません。
2. 共有リンクのオプションでダウンロード制限
リンク共有時に「表示のみ」を選択し、「ダウンロードを禁止」にチェックを入れると、Webブラウザ経由でのダウンロードボタンが非表示になります。ただし、ユーザーがブラウザの機能を用いてローカルに保存する可能性はゼロではないため、「簡易的な制限」と考えるのが実務的です。
IRM設定の手順例
- SharePoint管理センターもしくはサイトの「ライブラリの設定」を開く
- 「IRMの設定」を選択し、有効化する
- 必要に応じて「ドキュメントのダウンロードを制限する」「オフラインで利用できないようにする」などにチェックを入れる
- 変更内容を保存し、ユーザーに適用されることを確認
大量のサイトやチームを作成・管理する場合の自動化
企業全体でTeamsを活用し、多数のSharePointサイトが生成される状況では、手動で権限を調整する作業は負荷が高くなります。そこで役立つのが以下の自動化手段です。
1. PowerShellスクリプトの活用
Microsoft 365関連の管理タスクをPowerShellで一括処理することで、作成時に自動的に「Members」の権限を切り替えたり、独自グループを追加したりできます。
特にPnP PowerShell（PnP.PowerShellモジュール）を使うと、SharePointサイトのグループや権限を細かく制御しやすいです。
# PnP.PowerShellを使用したサンプルスクリプト例
# Connect-PnPOnlineでサイトに接続
Connect-PnPOnline -Url https://tenant.sharepoint.com/sites/SampleSite -Interactive
# 新しい権限レベルの作成（例：Contribute Custom）
Add-PnPRoleDefinition -RoleName "Contribute Custom" -Description "投稿・編集のみ可能" -BaseRole 'Contribute'
# 新しいグループの作成
New-PnPGroup -Title "ContributeGroup" -Owner "Administrator"
# 作成したグループに権限レベルを付与
Set-PnPGroupPermissions -Identity "ContributeGroup" -AddRole "Contribute Custom"
# 既定グループに設定
Set-PnPWeb -AssociatedMemberGroup "ContributeGroup"
# 既存のMembersグループ権限を変更（例：閲覧へ）
Set-PnPGroupPermissions -Identity "Members" -RemoveRole "Edit" -AddRole "Read"上記のように、サイトに接続してから権限レベルを新規作成し、グループを作成して結び付け、最後に既定グループを切り替えつつ既存「Members」グループの権限を変更するといった流れが自動化できます。
2. Teamsテンプレート/プロビジョニング機能
Microsoft Teamsのテンプレートやプロビジョニング機能を利用し、チーム作成時に特定の権限設定を自動で反映させる方法も検討に値します。たとえば、組織内でプロジェクトを起こす際には、テンプレート化したチームの作成をトリガーに、PnP PowerShellを連携してSharePointサイトの権限レベルを同時に調整する仕組みを組み込めば、属人的な操作ミスを減らし効率化できます。
運用上のポイント：新規ユーザー追加と既存メンバー移行
「Members」グループを既定の編集権限から切り離す運用を選択した場合は、今後のユーザー管理方法も計画しておきましょう。
1. 新規ユーザーは新グループに追加する
これまで「Members」グループに自動追加されていたユーザーを、新しく作成した「Read Only」や「Contribute」グループに割り当てることで、意図した権限レベルを確実に適用できます。
Teams上からメンバーを追加した場合、自動的に「Members」グループに入ってしまうことがあるため、管理者が後からSharePoint管理画面でグループを切り替えるフローを組むか、PowerShellなどでプロビジョニングの際に制御する必要があります。
2. 既存メンバーの権限移行
すでに多数のユーザーが「Members」グループに含まれている場合は、いきなり削除せずに段階的に移行します。以下のステップが考えられます。
- SharePointサイトの既定グループを「ContributeGroup」など新グループに切り替える
- 「Members」グループの権限を「閲覧」や「なし」に変更し、既存メンバーに対して「ContributeGroup」などの新グループ権限を付与
- 誤操作を防ぐため「Members」グループのメンバー数を定期的に確認し、必要に応じて移行しきれていないユーザーを手動で再割り当て
このように段階的に移行していけば、既存のワークフローに最低限の影響で権限構造を再設計できます。
SharePoint権限管理の全体像を理解する
SharePointの権限は、「サイトコレクション」→「サイト」→「ライブラリ/リスト」→「フォルダー」→「アイテム/ドキュメント」という階層構造で継承されます。標準の権限レベルとしては以下のようなものがあります（代表的なものを一部抜粋）。
| 権限レベル | できること |
|---|---|
| フルコントロール | サイト全体の設定変更、ライブラリやリストの作成/削除、アクセス管理などすべて |
| 編集 (Edit) | アイテムの追加、編集、削除、リストやライブラリの構造変更など |
| 投稿 (Contribute) | アイテムの追加、編集、削除は可能だがリストやライブラリの構造変更は不可 |
| 閲覧 (Read) | アイテムの表示のみ可能（ダウンロード含む） |
| 表示のみ (View Only) | ブラウザ上での表示のみ。Officeファイルのプレビュー可能だがダウンロードは不可（場合によっては制限が緩い） |
これらを踏まえて、カスタム権限レベルを作成し、グループごとに割り当てることで柔軟なセキュリティ構成が可能となります。Teamsとの連携による自動生成グループに惑わされず、「どのユーザーがどの範囲まで操作できるべきか」を明確にしたうえで権限設計すると、ミスやトラブルを大幅に減らせます。
運用フェーズで役立つ追加のヒント
最後に、実運用において権限管理をよりスムーズにするためのヒントをいくつか紹介します。
1. 権限レビューを定期的に実施
メンバーの入退社や異動に伴い、権限の見直しを定期的に行う体制づくりが重要です。特にTeamsは組織内外のコラボレーションで利用されることが多いため、「外部ゲストが意図せず機密情報にアクセスしていないか」「退職者が残ったままになっていないか」などを定期的に点検しましょう。
2. グループ化の考え方を整理する
SharePointで権限を設定するときは、ユーザーごとではなくグループ単位で管理するのが基本です。複雑な組織構造をそのまま反映するのではなく、「プロジェクト別」「部門別」「機能別」など運用しやすい粒度でグループを作り、後から例外対応が必要なら個別に権限を付与するといった手順が望ましいです。
3. 実際にユーザー視点でアクセス権をテストする
権限設定が複雑化すると、「管理者から見る画面」と「一般ユーザーから見る画面」の挙動がかけ離れる場合があります。設定後にはテスト用アカウントを用いて、実際にファイルにアクセスしたり編集を試みたりして、「想定外の編集ができてしまわないか」などを確認することが重要です。
4. コミュニケーションとガイドラインの共有
最終的には、ユーザー自身が「どのライブラリにアップロードすれば誰に見られるのか」を理解していることが理想です。TeamsやSharePointの使い方とあわせて、権限ポリシーや編集ルールを周知し、間違った場所にファイルを保存してしまわないように運用ルールを明確にすることが求められます。
まとめ：Teams/SharePoint権限をスマートに管理するために
- Teamsを作成すると自動生成されるSharePointの「Members」グループは「編集」権限が既定のため、直接変更がグレーアウトするケースがある
- 解決策として、新規グループを既定グループに変更してから「Members」グループの権限を下げたり外したりするのが効果的
- 「Members」グループを削除するのはリスクが伴うので、基本的には残しながら運用で実質的な権限を変える
- ダウンロード制限が必要な場合は、IRMや共有リンクのダウンロード禁止機能を活用
- 大量のサイトを扱う場合は、PnP PowerShellやTeamsテンプレートで自動化し、運用コストを削減
- 最終的には「誰がどこまで操作できるか」を明確にし、グループベースでシンプルかつ定期的な権限レビューを実施することが望ましい
これらを意識し、TeamsとSharePointを連携したコラボレーション環境を整備すれば、よりセキュアで効率的な業務が実現できるでしょう。
コメント