SharePoint・OneDriveの外部共有を見直す｜ゲストアカウント必須化への対応と、共有設定の点検手順
SharePoint・OneDrive の外部共有は、共有設定と Microsoft Entra ID のゲスト設定をあわせて見直すだけで、情報漏えいのリスクを大きく下げられます。
SharePoint と OneDrive の外部共有は、SharePoint 管理センターの共有設定だけでなく、Microsoft Entra ID の外部コラボレーション設定と条件付きアクセスでも決まります。3か所を同じ方針で揃えれば、Microsoft 365 E3 や Business Premium の範囲で、共有できる相手・リンク・端末を絞り込めます。
外部共有の設定は、導入したときの既定のまま使われていることが多いものです。既定では、社内の誰でもゲストを招待でき、どのドメインの相手にも共有できます。設定を見直すときにも、次の点は Microsoft の公開情報を読まないと気づきにくいところです。
- ファイルを共有した相手に Microsoft Entra ID の招待の制限やドメインの制限が効くのは、SharePoint・OneDrive と Microsoft Entra B2B の統合が有効な場合だけ
- 管理外の端末を Web だけに絞っても、「すべてのユーザー」リンクにはその制限が効かず、ダウンロードできる
- サイトの共有レポートには、「すべてのユーザー」リンクが載らない
この記事では、外部共有を決める3か所の関係から始めて、共有レベルと既定のリンク、ゲストの招待と有効期限、管理外の端末の制限、共有の点検までを、Microsoft Learn の公開情報をもとに解説します。
（2026年11月更新）
補足：2026年に、社外の相手と共有すると必ずゲストアカウントが作られる仕組みに変わり、SharePoint 独自のワンタイムパスコードも廃止されました。変更点は「社外の人がどうやって入ってくるか」の章で、以前の共有への影響と対応は「共有の状況を定期的に点検する」の章で補足しています。Teams で社外の人とチャットや会議をするときの設定はTeamsの外部チャットを使ったなりすましを防ぐで解説しています。
目次
株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へ Microsoft 365・Azure の導入支援と、AIの業務活用（AIプライベート）の支援を提供しているIT企業です。
外部共有はどこで決まるのか｜SharePoint・OneDrive・Microsoft Entra IDの関係
外部共有の設定は1か所ではありません。次の3か所の設定が重なり、いちばん厳しい設定が効きます。
- SharePoint 管理センター：組織全体とサイトごとの共有レベル、既定のリンク、ゲストの有効期限。OneDrive の共有レベルもここで決める
- Microsoft Entra 管理センターの外部コラボレーション設定：誰がゲストを招待できるか、どのドメインの相手を招待できるか
- 条件付きアクセス：どの端末から、どこまで操作できるか（管理外の端末は Web だけ、など）
Entra の設定が SharePoint の設定より厳しいときは、Entra の設定が優先されます。ただし、Entra の設定が効くのは、サイトの共有では常にですが、ファイルとフォルダーの共有では SharePoint・OneDrive と Microsoft Entra B2B の統合（以下、B2B 統合）が有効な場合だけです。B2B 統合は、後の章で説明します。
外部共有の4段階と、組織・サイト・OneDriveの関係
SharePoint 管理センターの「ポリシー」→「共有」で、SharePoint と OneDrive の外部共有のレベルを、次の4段階から選びます。
| 共有レベル | 共有できる相手 | 向いている使い方 |
|---|---|---|
| すべてのユーザー | サインインなしで開ける「すべてのユーザー」リンクを作れる。サイトは、新規および既存のゲストに共有できる | 機密でないファイルを手軽に渡す |
| 新規および既存のゲスト | 職場や学校のアカウント、Microsoft アカウント、またはメールで届く確認コードで本人確認した相手 | 取引先と継続的に共有する |
| 既存のゲスト | ディレクトリにすでにいるゲストだけ | ゲストの追加は管理者が行い、利用者は既存の相手とだけ共有する |
| 組織内のユーザーのみ | 外部共有をしない | 社外と共有しない |
組織・サイト・OneDrive の関係には、次の2つの決まりがあります。
- サイトの共有レベルは、組織と同じか、それより厳しくしかできない
- OneDrive の共有レベルは、SharePoint より厳しくはできるが、緩くはできない
組織の設定は「許す上限」と考え、サイトごとに必要な分だけ開けるのが基本です。新しく作ったサイトの既定は種類で変わり、Teams につながるサイトは「新規および既存のゲスト」、コミュニケーション サイトは「組織内のユーザーのみ」です。
OneDrive は個人の判断で外部共有されやすい
OneDrive は利用者個人の場所なので、サイトのように所有者を決めて共有を管理する運用になじみません。社外とのやり取りはチームのサイトで行うと決めているなら、OneDrive の共有レベルを SharePoint より1段厳しくしておくと、個人の判断での外部共有を減らせます。
なお、外部共有のレベルを下げたり外部共有をやめたりすると、ゲストは通常1時間以内にアクセスできなくなります。組織の外部共有を一度オフにして再びオンにすると、以前のゲストのアクセスも戻ります。戻したくないサイトがあれば、先にそのサイトの外部共有をオフにしておきます。
社外の人がどうやって入ってくるか｜ゲストアカウントとワンタイムパスコード
「新規および既存のゲスト」で共有した相手がどうやってサインインするかは、B2B 統合が有効かどうかで変わります。
| 項目 | B2B 統合が無効 | B2B 統合が有効 |
|---|---|---|
| ファイル・フォルダーの共有 | ゲストアカウントは作られない（ほかの経路で作られたゲストアカウントがあれば、それを使う） | ゲストアカウントが必ず作られる |
| サイトの共有 | ゲストアカウントが作られる | ゲストアカウントが作られる |
| Entra の招待・ドメインの制限 | ファイル・フォルダーの共有には効かない | 効く |
| 多要素認証などのアクセス ポリシー | ゲストアカウントの無い相手には当てられない | ゲストとして対象にできる |
| 職場のアカウントなどを持たない相手 | SharePoint 独自の確認コード（ワンタイムパスコード）で本人確認する | Microsoft Entra のメールのワンタイムパスコードで本人確認する |
B2B 統合を有効にすると、社外の相手はすべてディレクトリのゲストとして見えるようになり、招待の制限、ドメインの制限、条件付きアクセスを同じルールで当てられます。有効にしても共有の設定そのものは変わらず、外部共有をオフにしているサイトはオフのままです。テナントによっては、この統合がまだ有効になっていません。SharePoint Online 管理シェルで設定を確かめ、有効にしておくことをお勧めします。
（2026年11月更新）
補足：2026年5〜7月に、商用テナントでは B2B 統合が自動で有効になり、無効にはできなくなりました。新しい外部共有では、相手ごとにゲストアカウントが作られます。SharePoint 独自のワンタイムパスコードは2026年10月中に順次廃止されました。Microsoft Entra のメールのワンタイムパスコードは引き続き使えます。
ゲストアカウントのある相手は、一覧で管理できる
ゲストアカウントがあれば、Microsoft 365 管理センターの「ユーザー」→「ゲスト ユーザー」で一覧を確かめ、取引の終わった相手を削除できます。同じ相手にあとから別のファイルを共有しても、ゲストアカウントが重ねて作られることはありません。
既定のリンクと「すべてのユーザー」リンクの絞り方
利用者が共有するときに最初に選ばれているリンクの種類と権限は、組織とサイトで変えられます。リンクの種類は次の3つです。
- 特定のユーザー：指定した相手だけが開ける。最も制限が強い
- 組織内のユーザー：転送されても、組織内の人なら誰でも開ける
- すべてのユーザー：リンクを知っていれば誰でも、サインインなしで開ける。誰が開いたかは追えない
社外との共有が多い組織では、既定を「特定のユーザー」にしておくと、うっかり広く共有する事故を減らせます。社内で広く共有し、社外とはまれにしか共有しない組織なら「組織内のユーザー」が向いています。既定の権限も「表示」にしておけば、編集を許すときだけ利用者が選び直します。
「すべてのユーザー」リンクを残すなら、期限と権限を絞る
共有レベルを「すべてのユーザー」にしている場合は、このリンクに次の2つの制限をかけられます。
- 有効期限：すべての「すべてのユーザー」リンクに期限を必須にし、最大の日数を決める。日数を短くすると、作成済みのリンクの期限も新しい日数に合わせて短くなる
- 権限：ファイルとフォルダーのリンクを「表示」だけにする
「すべてのユーザー」リンクはサインインを求めないので、誰が開いたかを追えません。後の章で説明する管理外の端末の制限も効かず、共有レポートにも載りません。機密を扱うサイトでは、サイトの共有レベルを「新規および既存のゲスト」以下にして、このリンクを使えないようにします。
招待できる相手を絞る｜外部コラボレーション設定とドメインの制限
Microsoft Entra 管理センターの「External Identities」→「外部コラボレーションの設定」では、ゲストを招待できる人と、招待できる相手のドメインを決めます。既定はどちらも最も緩い設定です。
| 設定 | 既定 | 見直しの例 |
|---|---|---|
| ゲストの招待の設定 | 組織内の誰でも（ゲストを含む）ゲストを招待できる | メンバーと特定の管理者ロールだけにする。さらに絞るなら、ユーザー管理者と「ゲスト招待元」ロールを持つ人だけにする |
| コラボレーションの制限 | すべてのドメインへの招待を許可する | 取引先のドメインだけを許可するか、個人向けメールのドメインを拒否する |
| ゲスト ユーザーのアクセス | ディレクトリのオブジェクトのプロパティとメンバーシップへのアクセスが制限される | ゲストが見られるのを、自分のディレクトリ オブジェクトだけにする |
招待できる人を管理者だけに絞ると、B2B 統合が有効な環境では、利用者は新しい社外の相手に直接共有できなくなり、既存のゲストとだけ共有できます。新しい相手は申請を受けて管理者が招待する、という運用とあわせて決めます。
ドメインの制限は、SharePoint と Entra の両方を確認する
ドメインの許可・拒否のリストは、SharePoint 管理センターの共有設定（組織で最大5,000ドメイン）と、Entra の外部コラボレーション設定の両方にあります。Entra のリストはサイトの共有に効き、B2B 統合が有効ならファイルとフォルダーの共有にも効きますが、SharePoint のリストとは別のものです。
Entra のリストは、許可と拒否のどちらか一方しか作れず、すでに招待を受け入れたゲストには効きません。片方だけを設定して安心せず、両方を同じ方針で揃え、既存のゲストは一覧で見直します。
ゲストの有効期限を決める
SharePoint 管理センターの共有設定で、サイトや OneDrive へのゲストのアクセスが自動で切れるまでの日数を、30〜730日の範囲で決められます。取引の続く相手は期限が来る前にサイトの所有者が延長し、終わった相手は自然に外れる運用にできます。
管理外の端末からはWebだけで開かせる
自宅の私物の PC など、会社で管理していない端末にファイルをダウンロードされると、その先は管理が届きません。SharePoint 管理センターの「アクセス制御」→「管理されていないデバイス」で、次の3つから選べます。
- フル アクセスを許可する：制限しない
- 制限付きの Web のみのアクセスを許可する：ブラウザーで見られるが、ダウンロード・印刷・同期はできない。デスクトップの Office アプリからも開けない
- アクセスをブロックする：開けない
ここでいう管理されている端末は、Intune で準拠している端末か、ハイブリッド参加の端末です。この設定は Microsoft Entra ID の条件付きアクセスを使うため、Microsoft Entra ID P1（Microsoft 365 E3・Business Premium に含まれる）が要ります。効くまでに最大24時間かかることがあります。
「すべてのユーザー」リンクには効かない
この制限は、社外のゲストにも効きます。一方、サインインのない「すべてのユーザー」リンクを持つ人は、この制限にかかわらずダウンロードできます。Microsoft Learn も、この制限をかけるサイトでは「すべてのユーザー」リンクを無効にするよう勧めています。
また、SharePoint だけに制限をかけると、Teams のチャットは開けるのに「ファイル」タブだけ開けない、といった食い違いが起きます。Microsoft 365 全体で揃えるなら、条件付きアクセスで Office 365 を対象にしたポリシーを作ります。
（2026年11月更新）
補足：管理外の端末を制限するポリシーを、ほかの条件付きアクセスのポリシーと矛盾なく組み立てる方法は条件付きアクセスをポリシープランで整理するで解説しています。ブラウザーでの操作をファイルごとに細かく制御する方法はPurview・条件付きアクセス・MDCAによるファイルの持ち出し制御で解説しています。
共有の状況を定期的に点検する
設定を整えても、共有はその後も日々増えていきます。点検には、次の方法を使い分けます。
| 方法 | 分かること | 注意 |
|---|---|---|
| サイトの共有レポート | サイトや OneDrive のファイル・フォルダーごとに、誰にどの権限やリンクで共有しているか（CSV） | サイト管理者が実行する。「すべてのユーザー」リンクと、送っただけで開かれていないリンクは載らない |
| 監査ログ（Microsoft Purview） | 共有した、リンクを作った、ゲストが開いた、などの操作の記録 | 標準の保存期間は180日 |
| Microsoft 365 管理センターの「ゲスト ユーザー」 | ディレクトリにいるゲストの一覧 | ゲストアカウントの無い共有相手は載らない |
| アクセス レビュー | ゲストのアクセスを、所有者などに定期的に見直してもらう | Microsoft Entra ID P2 以上が要る |
（2026年11月更新）
補足：SharePoint 独自のワンタイムパスコードの廃止後は、同じメールアドレスのゲストアカウントが無い相手は、以前送った「特定のユーザー」リンクを開けません。管理者が同じアドレスでゲストを作るか、その相手に1件だけ共有し直せば、過去のリンクも開けます。対象の相手は、共有レポートの「User E-mail」列で洗い出せます。
SharePoint Advanced Management を契約していれば、データ アクセス ガバナンスのレポートで、組織全体の共有リンクや外部共有の多いサイトをまとめて確かめられます。上位のプラン向けの機能なので、まずは共有レポートと監査ログから始めます。
なお、秘密度ラベルや DLP でファイルそのものを守る方法、Teams のゲストと外部アクセスの設定は、この記事では扱いません。
外部共有を見直す手順
- Entra の外部コラボレーション設定で、ゲストを招待できる人と相手のドメインを決める
- SharePoint の組織の共有レベルを上限として決め、サイトごとに必要な分だけ開ける。OneDrive は SharePoint 以下にする
- B2B 統合が有効かを確かめ、社外の相手をゲストとして管理する
- 既定のリンクを「特定のユーザー」か「組織内のユーザー」にし、「すべてのユーザー」リンクには期限と表示のみの制限をかける
- ゲストの有効期限と、ドメインの制限を SharePoint・Entra の両方で揃える
- 管理外の端末は Web だけにし、対象のサイトでは「すべてのユーザー」リンクを止める
- 共有レポートと監査ログで、定期的に点検する
弊社の支援
弊社は、Microsoft 365 と Azure の導入とセキュリティ設定を支援しています。外部共有の設定は画面の数こそ少ないものの、どのサイトを誰とどこまで共有するかを決める作業に時間がかかります。
共有の現状の棚卸しから、Entra と SharePoint の設定の揃え方、管理外の端末の制限、点検の手順づくりまでをご一緒に進めます。端末の守り方はMicrosoft 365の端末セキュリティ対策（Defender for Endpoint編）で、セキュリティ対策の全体像はゼロトラストとはで解説しています。
資料のご案内
Microsoft 365 セキュリティ対策ガイド【ファイル共有編】
SharePoint・OneDrive の外部共有の設定と、ゲストや管理外の端末の扱い方をまとめています。
よくあるご質問
こちらをクリックして「よくある質問」を表示
社外の相手が Microsoft 365 を使っていなくても共有できますか？
できます。職場や学校のアカウントも Microsoft アカウントも持たない相手は、メールで届く確認コードで本人確認して開きます。B2B 統合が有効なら Microsoft Entra のメールのワンタイムパスコードが使われ、相手はゲストとしてディレクトリに追加されます。
「すべてのユーザー」リンクは禁止したほうがよいですか？
一律に禁止する必要はありませんが、誰が開いたかを追えず、管理外の端末の制限も効かないリンクです。組織では有効期限と表示のみの制限をかけ、機密を扱うサイトでは使えないようにする、という分け方が現実的です。
サイトごとに外部共有を許すかどうかを変えられますか？
変えられます。ただし、サイトの共有レベルは組織の設定と同じか、それより厳しくしかできません。外部共有を使うサイトがあるなら、組織の設定はそのサイトに必要なレベルにし、ほかのサイトを個別に厳しくします。
ゲストを招待できる人を、情報システムの担当者だけにできますか？
できます。Entra の外部コラボレーション設定で、招待できる人を特定の管理者ロールだけにし、担当者に「ゲスト招待元」ロールを割り当てます。B2B 統合が有効なら、利用者は既存のゲストとだけ共有できるようになるので、新しい相手を申請する手順もあわせて用意します。
共有した相手にファイルをダウンロードさせないようにできますか？
管理外の端末を「制限付きの Web のみのアクセス」にすると、社外のゲストもブラウザーで見るだけになり、ダウンロード・印刷・同期はできません。ただし「すべてのユーザー」リンクには効かないため、対象のサイトではこのリンクを使えないようにしておきます。
取引が終わった相手のアクセスを確実に止めるには、どうすればよいですか？
Microsoft 365 管理センターでゲストアカウントを削除するのが確実です。止め忘れを防ぐには、SharePoint のゲストの有効期限を決めておき、Microsoft Entra ID P2 以上があればアクセス レビューで定期的に所有者に見直してもらいます。
外部共有は、止めすぎれば業務が回らず、開けすぎれば誰に何を渡したかが分からなくなります。SharePoint と Entra の設定を同じ方針で揃え、点検の手順まで決めておけば、安心して社外と共有できます。お使いの環境の共有の状況をお聞かせいただければ、見直しの進め方をご提案します。お問い合わせよりお気軽にご相談ください。
関連サービス・関連コラム
- セキュリティ強化支援（ゼロトラスト）
- クラウド導入支援（Microsoft 365）｜安全で生産性の高い働き方の基盤を構築
- Microsoft 365の端末セキュリティ対策（Windows LAPS・BitLocker編）｜ローカル管理者パスワードと回復キーをIntuneで管理する
- Microsoft 365の端末セキュリティ対策（Defender for Endpoint編）｜P1・P2・Defender for Businessの違いと、入れただけでは効かない設定
- Microsoft 365・Azureの特権ID管理｜PIMで管理者権限を必要なときだけ有効にする
- ゼロトラストとは｜中小企業がMicrosoft 365で始めるセキュリティ
- Copilot導入前にSharePointのアクセス権を見直す｜過剰共有（オーバーシェアリング）による情報漏洩を防ぐ手順
まずは無料トライアルで、効果をご確認ください
「AIプライベート」は短期・低コストで試せます。帳票入力（AI-OCR）・電話対応（AI-Voice）・計画づくり（AI-Enhance）の自動化から、クラウド（Azure・Microsoft 365）・DXのご相談まで、お気軽にどうぞ。
