SharePoint 管理センターにおけるセキュリティ関連の設定項目

2025年8月18日

管理センターには設定項目が膨大にありますが、その中でセキュリティ関連の設定項目を抜粋して紹介させていただきます（とりあえず、セキュリティ確保して、M365をユーザに使わせたいと考えられている管理者の方向けの記事となります）

何をもって、セキュリティ関連としているかは、個人の主観となっております（セキュリティ自体の定義/範囲が愛網ですので）

1. （セキュリティ関連度：★★★）外部共有関連
- 1.1. 外部共有設定（設定箇所：ポリシー > 共有）
2. （セキュリティ関連度：★★★）アクセス制御関連
- 2.1. アクセスの制御（設定箇所：ポリシー > 共有）
- 2.2. APIアクセスの制御（設定箇所：詳細 > APIアクセス）
3. （セキュリティ関連度：★★）サイト作成の制御
- 3.1. サイト作成の制御（設定箇所：設定 > サイトの作成）
- 3.2. スクリプトの管理（設定箇所：詳細 > スクリプトソース）

（セキュリティ関連度：★★★）外部共有関連

外部共有設定（設定箇所：ポリシー > 共有）

組織外のユーザーとの共有可否や、ドメインごとの制御などが可能

<公開情報>

タイトル : Microsoft 365 で SharePoint と OneDrive の共有設定を管理する

アドレス : https://learn.microsoft.com/ja-jp/sharepoint/turn-external-sharing-on-or-off

（セキュリティ関連度：★★★）アクセス制御関連

アクセスの制御（設定箇所：ポリシー > 共有）

テナント内のユーザーを含むアクセスの制御が可能

管理されていないデバイス

非準拠またはドメイン未参加のデバイスからのアクセスを制限

<公開情報>

タイトル : IT 管理者 – SharePoint と OneDrive アンマネージドデバイスのアクセス制御

アドレス : https://learn.microsoft.com/ja-jp/sharepoint/control-access-from-unmanaged-devices

—– 以下抜粋 —–

Microsoft 365 の SharePoint 管理者のアクセス許可を少なくとも使用すると、非管理対象デバイス (ハイブリッド AD 参加またはIntuneに準拠していないデバイス) から SharePoint および OneDrive コンテンツへのアクセスをブロックまたは制限できます。

—– 抜粋以上 —–

アイドルセッションのサインアウト

非アクティブなブラウザーセッションからユーザーを自動的にサインアウトします。

<公開情報>

タイトル : アクティブでないユーザーをサインアウトする

アドレス : https://learn.microsoft.com/ja-jp/sharepoint/sign-out-inactive-users?WT.mc_id=365AdminCSH_spo

—– 以下抜粋 —–

アイドルセッションサインアウトを使用すると、SharePoint と OneDrive でブラウザーが一定の時間非アクティブになった後に、ユーザーに警告が表示され、後で Microsoft 365 からサインアウトされる時刻を指定できます。

—– 抜粋以上 —–

ネットワーク上の場所

特定の IP アドレスからのアクセスのみを許可します。

<公開情報>

タイトル : ネットワークの場所に基づいて SharePoint と OneDrive のデータへのアクセスを制御する

アドレス : https://learn.microsoft.com/ja-jp/sharepoint/control-access-based-on-network-location?WT.mc_id=365AdminCSH_spo

—– 以下抜粋 —–

許可される IP アドレス範囲を 1 つ以上指定することにより、信頼されたネットワークの境界を定義します。このネットワーク境界の外側から (任意のデバイスの Web ブラウザー、デスクトップアプリ、またはモバイルアプリを使用して) SharePoint および OneDrive にアクセスしようとするユーザーはすべてブロックされます。

—– 抜粋以上 —–

先進認証を使用していないアプリ

すべての先進認証を使用していないアプリ（サードパーティー製のアプリを含む）からのアクセスを制御する

■ 先進認証とは
先進認証は、より安全なユーザー認証と承認を提供する ID 管理の方法です。
一方、先進認証を使用していないアプリ（レガシー認証）は、基本認証（Basic Auth）を使っており、ユーザー名とパスワードだけで認証されるため、セキュリティリスクが高くなります。

<公開情報>
タイトル : ハイブリッド先進認証の概要とオンプレミスの Skype for Business および Exchange サーバーで使用する前提条件
アドレス : https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/hybrid-modern-auth-overview?view=o365-worldwide

—–以下抜粋—–
先進認証とは何ですか?
最新の認証は、クライアント (ノート PC やスマートフォンなど) とサーバー間の認証と承認方法の組み合わせと、既に使い慣れている可能性のあるアクセスポリシーに依存するセキュリティ対策の総称です。内容は以下のとおりです。
認証方法: 多要素認証 (MFA);スマートカード認証。クライアント証明書ベースの認証
承認方法: Microsoft が提供する Open Authorization (OAuth) の実装
条件付きアクセスポリシー: モバイルアプリケーション管理 (MAM) と Microsoft Entra 条件付きアクセス
—–抜粋以上—–

タイトル : Microsoft 365 の ID インフラストラクチャをデプロイする
アドレス : https://learn.microsoft.com/ja-jp/microsoft-365/enterprise/deploy-identity-solution-overview?view=o365-worldwide

タイトル : IT 管理者 – SharePoint と OneDrive アンマネージドデバイスのアクセス制御
アドレス : https://learn.microsoft.com/ja-jp/sharepoint/control-access-from-unmanaged-devices

—–以下抜粋—–
非管理対象デバイスからのアクセスをブロックまたは制限する場合は、先進認証を使用していないアプリからのアクセスをブロックすることもお勧めします。一部のサードパーティ製のアプリや Office 2013 より前の Office のバージョンでは、先進認証を使用しないため、デバイスベースの制限を適用することができません。
—–抜粋以上—–

■ 対象となるアプリの例
============
・ Office 2013以前のバージョン
・ Outlook 2010、Outlook for Mac 2011
・ POP/IMAPを使ったメールクライアント
・ PowerShellスクリプトでCredentialパラメータを使った接続
・一部の旧式なサードパーティ製ファイル同期ツールやモバイルアプリ