ユーザーの OneDrive コンテンツへのアクセスをグループ内のユーザーに制限する

サイト アクセス制限ポリシーを使用して、個々のユーザーの OneDrive コンテンツへのアクセスをセキュリティ グループまたは Microsoft 365 グループのユーザーに制限できます。 指定したグループに含まれていないユーザーは、以前のアクセス許可や共有リンクがあった場合でも、コンテンツにアクセスできません。

その OneDrive 内のファイルMicrosoft Entraアクセスできるユーザーを含むセキュリティ グループまたは Microsoft 365 グループを使用して、ポリシーを適用します。

ポリシーを適用すると、指定したグループ内のユーザーには、ファイルに対するアクセス許可が直接付与されません。 OneDrive の所有者は、通常と同じようにコンテンツを共有する必要があります。 サイト アクセス制限ポリシーを使用すると、セキュリティ グループまたは Microsoft 365 グループに含まれていないユーザーが OneDrive コンテンツと共有されている場合でも、OneDrive コンテンツにアクセスできなくなります。

アクセス制限ポリシーは、ユーザーがファイルにアクセスしようとしたときに適用されます。 ユーザーは、ファイルへの直接アクセス許可を持っている場合でも検索結果にファイルを表示できますが、指定したグループに属していない場合はファイルにアクセスできません。

OneDrive サービス自体へのアクセスをセキュリティ グループ内のユーザーに制限することもできます。 詳細については、「 セキュリティ グループによる OneDrive アクセスの制限」を参照してください。

開始する前に

organizationが SharePoint 高度な管理 の前提条件 (SharePoint Online PowerShell モジュールの要件など) を満たしていることを確認します。

organizationのサイト アクセス制限を有効にする

ユーザーの OneDrive 用に構成する前に、organizationのサイト アクセス制限を有効にする必要があります。

SharePoint 管理センターでorganizationのサイト アクセス制限を有効にするには:

  1. [ ポリシー] を 展開し、[ アクセス制御] を選択します。

  2. [ サイト アクセス制限] を選択します。

  3. [ アクセス制限を許可する] を選択し、[保存] を選択 します。

    sharepoint 管理センター ダッシュボードのサイト アクセス制限のスクリーンショット。

PowerShell を使用してorganizationのサイト アクセス制限を有効にするには、次のコマンドを実行します。

Set-SPOTenant -EnableRestrictedAccessControl $true

コマンドが有効になるまでに最大 1 時間かかる場合があります。

注:

Microsoft 365 Multi-Geo ユーザーの場合は、目的の地域の場所ごとに個別にこのコマンドを実行します。

ユーザーの OneDrive コンテンツへのアクセスを制限する

各 OneDrive に最大 10 個のMicrosoft Entra セキュリティまたは Microsoft 365 グループを割り当てます。 グループを追加すると、グループ内のユーザーだけが、共有した OneDrive 内のコンテンツにアクセスできます。 ユーザー プロパティに基づいてグループ メンバーシップをベースにする場合は、 動的セキュリティ グループを使用します。

重要

OneDrive の所有者は、指定したセキュリティグループまたは Microsoft 365 グループのいずれかに含める必要があります。または、OneDrive とそのコンテンツへのアクセス権を失う必要があります。

OneDrive のアクセス制限を管理するには、このセクションの PowerShell コマンドを使用します。

特定の OneDrive ライブラリのアクセス制限を有効にする

セキュリティまたは Microsoft 365 グループを追加する前に、次のコマンドを実行します。

Set-SPOSite -Identity <siteurl> -RestrictedAccessControl $true

セキュリティ グループまたは Microsoft 365 グループを追加する

次のコマンドを実行します。

Set-SPOSite -Identity <siteurl> -AddRestrictedAccessControlGroups <comma separated group GUIDS>

セキュリティ グループまたは Microsoft 365 グループを編集する

次のコマンドを実行します。

Set-SPOSite -Identity <siteurl> -RestrictedAccessControlGroups <comma separated group GUIDS>

セキュリティ グループまたは Microsoft 365 グループを表示する

次のコマンドを実行します。

Get-SPOSite -Identity <siteurl> Select RestrictedAccessControl, RestrictedAccessControlGroups

セキュリティ グループまたは Microsoft 365 グループを削除する

次のコマンドを実行します。

Set-SPOSite -Identity <siteurl> -RemoveRestrictedAccessControlGroups <comma separated group GUIDS>

サイトのアクセス制限をリセットする

次のコマンドを実行します。

Set-SPOSite -Identity <siteurl> -ClearRestrictedAccessControl

サイト共有と制限付きサイト アクセス ポリシー

制限付きアクセス制御ポリシーに従って許可されていないユーザーとグループの OneDrive サイト共有をブロックします。

共有コントロール機能は既定で無効になっています。 有効にするには、次のコマンドを実行します。

Set-SPOTenant -AllowSharingOutsideRestrictedAccessControlGroups $false

ユーザーとの共有

制限付きアクセス制御グループの一部であるユーザーとの共有のみを許可します。 次の図に示すように、制限付きアクセス制御グループの外部のユーザーとの共有をブロックします。

グループとの共有

制限付きアクセス制御グループの一覧に含まれる Microsoft Entra Security または Microsoft 365 グループと共有できます。 外部ユーザーや SharePoint グループを除くすべてのグループを含め、他のすべてのグループと共有することはできません。

注:

現在、制限付きアクセス制御グループの一部である入れ子になったセキュリティ グループとサイトとそのコンテンツを共有することはできません。

アクセス拒否エラー ページの詳細情報のリンクを構成する

制限付きサイト アクセス制御ポリシーのために OneDrive サイトへのアクセスが拒否されたユーザーに通知する "詳細情報" リンクを構成します。 このカスタマイズ可能なエラー リンクを使用すると、ユーザーに詳細情報とガイダンスを提供できます。

注:

"詳細情報" リンクは、アクセス制御ポリシーが有効になっているすべての OneDrive サイトに適用されるテナント レベルの設定です。

次のコマンドを実行します。

Set-SPOTenant -RestrictedAccessControlForSitesErrorHelpLink "<Learn more URL>"

次のコマンドを実行します。

Get-SPOTenant | select RestrictedAccessControlForSitesErrorHelpLink

構成済みの詳細情報のリンクは、ユーザーが [ここでorganizationのポリシーの詳細を知る] リンクを選択すると起動します。

制限付きサイト アクセス ポリシーの分析情報

IT 管理者は、次のレポートを表示して、制限付きサイト アクセス ポリシーで保護された OneDrive サイトに関するより多くの洞察を得ることができます。

  • 制限付きサイト アクセス ポリシーによって保護されたサイト (RACProtectedSites)
  • 制限されたサイト アクセスによるアクセス拒否の詳細 (ActionsBlockedByPolicy)

注:

各レポートの生成には数時間かかることがあります。

制限付きサイト アクセス ポリシー レポートによって保護されたサイト

レポートを生成、表示、ダウンロードするには、次のコマンドを使用します。

レポートを生成する

次のコマンドを実行します。

Start-SPORestrictedAccessForSitesInsights -RACProtectedSites

このコマンドは、制限付きサイト アクセス ポリシーによって保護されたサイトの一覧を生成します。

レポートを表示する

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID>

このコマンドは、ポリシーによって保護されているページ ビューが最も高い上位 100 のサイトを表示するレポートを作成します。

レポートをダウンロードする

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -Action Download

このコマンドは管理者として実行する必要があります。 ダウンロードしたレポートは、コマンドが実行されたパスにあります。

制限付きサイト アクセスで保護されているサイトの割合を表示する

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -RACProtectedSites -ReportId <Report GUID> -InsightsSummary

このレポートには、サイトの総数のうち、ポリシーによって保護されているサイトの割合が表示されます。

制限付きサイト アクセス ポリシーによるアクセス拒否

このセクションのコマンドを使用して、制限されたサイト アクセス レポートによるアクセス拒否のレポートを作成、フェッチ、および表示します。

アクセス拒否レポートを作成するには

次のコマンドを実行します。

Start-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

このコマンドは、アクセス拒否の詳細を取得するための新しいレポートを作成します。

アクセス拒否レポートの状態を取得するには

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy

このコマンドは、生成されたアクセス拒否レポートの状態をフェッチします。

過去 28 日間の最新のアクセス拒否を確認するには

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content AllDenials

このコマンドは、過去 28 日間に発生した最新の 100 件のアクセス拒否の一覧を作成します。

アクセスが拒否された上位ユーザーの一覧を表示するには

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopUsers

このコマンドは、最も多くのアクセス拒否を受け取った上位 100 人のユーザーの一覧を作成します。

アクセス拒否が最も多い上位サイトの一覧を表示するには

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content TopSites

このコマンドは、アクセス拒否が最も多かった上位 100 のサイトの一覧を作成します。

さまざまな種類のサイト間でのアクセス拒否の分散を確認するには

次のコマンドを実行します。

Get-SPORestrictedAccessForSitesInsights -ActionsBlockedByPolicy -ReportId <Report ID> -Content SiteDistribution

このコマンドは、さまざまな種類のサイト間でのアクセス拒否の分散を示します。

注:

最大 10,000 件の拒否を表示するには、レポートをダウンロードします。 管理者として download コマンドを実行します。 ダウンロードされたレポートは、コマンドが実行されたパスにあります。

監査

Microsoft Purview ポータルには、サイト アクセス制限アクティビティを監視するのに役立つ監査イベントが用意されています。 システムは、次のアクティビティの監査イベントをログに記録します。

  • サイトへのサイト アクセス制限の適用
  • サイトのサイト アクセス制限の削除
  • サイトのサイト アクセス制限グループの変更
  • Last updated on