Blog
ブログ
Teamsの権限管理で情シスが確認すべきポイント
2026.09.07
組織のコミュニケーション基盤として欠かせないMicrosoft Teamsですが、デフォルト設定のまま運用すると「機密情報の漏洩・野良チームの乱立・外部ゲストの放置」といった深刻なリスクを招きます。
利便性を損なわずに安全性を担保するためには、情シスによる“適切な権限管理とガバナンス”が不可欠です。
この記事では、Teams権限管理の基本・情シスが確認すべきポイント・安全な運用ルール作りの手順を、現場の課題解決に直結する形で整理しました。
結論：Teamsの権限管理は「4つの統制」が鍵
Teamsがカオス化する原因は、機能の多さよりも「誰に何を許可するか」のルールが不在であることに尽きます。押さえるべき基本の4つはこれです。
- 統制1：作成権限（誰がチームを作れるか）
- 統制2：外部アクセス（ゲスト招待と外部共有の制限）
- 統制3：アプリ管理（サードパーティ製アプリの利用可否）
- 統制4：ライフサイクル（使われなくなったチームの棚卸しと削除）
つまりTeamsの権限管理とは、「ユーザーの利便性を保ちつつ、事故が起きないガードレール」を構築することです。
Teamsの権限管理とは？
Teamsは単なるチャットツールではなく、裏側でSharePointやExchange、Entra ID（旧Azure AD）と深く連携しています。
そのため、Teams上での「所有者」「メンバー」「ゲスト」の権限設定は、そのままファイルの閲覧権限やシステムへのアクセス権に直結します。
権限管理の目的は「ガチガチに縛る」ことではなく、「安全な枠組みの中で現場が自由に活動できる状態」を作ることです。
なぜ管理が必要か（情シスでよくある“詰み”）
放置すると起きる深刻なトラブル
- 全社員がチームを作れるため、用途不明な「野良チーム」が数百個乱立する
- 退職した外部パートナー（ゲスト）のアカウントがずっと残り続けている
- 機密ファイルが「リンクを知っている全員」に共有されている
- 所有者が退職し、誰も設定変更できない「ゴーストチーム」が発生する
後から手動で整理するのは限界があります。「作成・運用・破棄のルール」を仕組み化することで、情シスの運用負荷は劇的に下がります。
よくある誤解の整理
よくある誤解（ガバナンスが崩れる原因）
- 「とりあえず外部アクセスを全面禁止すれば安全」→ ❌（シャドーIT・個人LINEの業務利用を誘発する）
- 「チーム作成は情シスへの申請制にする」→ △（情シスのボトルネック化で現場が疲弊）
- 「Teams管理センターだけ見ればOK」→ ❌（ファイルの権限はSharePoint側の知識も必要）
- 「所有者を1名決めておけば安心」→ ❌（異動や退職に備え、必ず2名以上設定すべき）
成功する運用は、最初から“自動化と監視”を組み込みます。
情シスが確認すべき具体的なポイント（4分類）
① チーム作成権限と命名規則（プロビジョニング）
- 全社許可ではなく、特定のセキュリティグループのみ作成可能にする
- プレフィックス（例: [PRJ]〇〇）を用いた命名規則の強制
- 承認ワークフローの導入（Power Automate活用など）
② 外部・ゲストアクセス権限の制御
- 「外部アクセス（別組織のTeamsとの連携）」と「ゲストアクセス」の使い分け
- 許可するドメイン・ブロックするドメインのホワイトリスト/ブラックリスト化
- ゲスト招待を許可するチーム/許可しないチームの分離
③ アプリと機能の利用制限
- サードパーティ製アプリのインストールブロック（許可リスト運用）
- カスタムアプリのアップロード制限
- 会議の録画権限や、プライベートチャットの無効化（必要に応じて）
④ 監査とライフサイクル管理
- 所有者不在（オーファン）チームの検知と再割り当て
- 非アクティブなチームの有効期限ポリシー（自動アーカイブ/削除）
- 定期的なアクセスレビュー（Entra ID P2機能の活用）
M365サービスとの権限の連動（比較表）
Teamsの権限は、裏側にある各種M365サービスと連動しています。ここを理解することが権限管理の第一歩です。
| ツール | 保存されるデータ | アクセス権のベース | 情シスが注意すべき点 |
|---|---|---|---|
| Teams（チーム） | チャネルの会話履歴・設定 | M365グループ（所有者/メンバー） | チーム作成と同時にグループが作られる |
| SharePoint | チームチャネルで共有されたファイル | SharePointサイトの権限 | 外部共有リンクの有効期限・スコープ制御 |
| OneDrive | 個人チャットで共有されたファイル | ファイル送信者の個人フォルダ権限 | 退職者のファイル消失とアクセス権の引き継ぎ |
セキュリティリスクと対策（情シス向け対応表）
Teams特有のリスクを事前に潰すための設定方針です。
| リスク | 起きやすい原因 | 情シスが行うべき対策 |
|---|---|---|
| 情報漏洩 | ゲストの放置・リンクの過剰共有 | アクセスレビュー定期実施・共有リンク制限（組織内限定等） |
| 野良チームの乱立 | 誰でも自由に作成できる設定 | M365グループ作成権限の制限・申請ワークフロー化 |
| 不正アプリ連携 | サードパーティアプリの野放し | アプリポリシーでの一律ブロック＋申請・許可リスト運用 |
| 所有者不在（放置） | 異動・退職時の引き継ぎ漏れ | チーム作成時に所有者を2名以上必須にする・有効期限ポリシー |
ツールを導入する前に、まずは「自社のセキュリティ基準」に沿ってデフォルト設定をチューニングすることが不可欠です。
チーム作成から廃棄までの安全ゲート
Teamsのライフサイクル管理では、各フェーズに“安全ゲート”を設けます。
Teams管理者の1日の運用例
例：M365全体を管理する情シス担当者の場合
- 9:30：チーム作成・ゲスト招待の申請確認（ワークフロー承認）
- 11:00：アラート確認（大量のファイル削除や異常なサインイン検知）
- 14:00：アクセスレビュー状況の確認（現場にゲスト棚卸しのリマインド）
- 16:00：Teamsアプリの追加申請に対するセキュリティ評価・許可対応
- 17:30：不要になったゴーストチームの棚卸しとアーカイブ処理
特徴：ルールをガチガチにするのではなく、“現場の業務をブロックせずに異常を検知・処理する”のが運用の中心です。
30日ガバナンス見直しロードマップ
現状のカオス状態から、30日で“安全な運用基盤”を整える現実的ステップです。
最初は「アプリの制限」と「外部アクセスのルール化」に絞ると、短期間で大きなセキュリティ向上が見込めます。
あなたの組織のTeams安全度チェック
現在の設定がどれだけリスクを抱えているか確認しましょう。
- 全社員が自由に新しいチームを作れる設定になっていないか
- 「所有者」が1名だけのチームが存在していないか
- 外部ゲストのアカウント定期的な棚卸し（レビュー）を行っているか
- サードパーティ製アプリの追加が許可制（ホワイトリスト）になっているか
- SharePointの外部共有リンクが「すべてのユーザー（匿名）」で有効になっていないか
「いいえ」がある場合は、すぐに“Teams管理センター”および“Entra ID”の設定を見直すことをおすすめします。
管理に必要なスキルと設定知識
必須になりやすい領域
- Teams管理センター（ポリシー・設定の全体管理）
- Microsoft Entra ID（旧Azure AD：グループ管理・条件付きアクセス）
- SharePoint管理センター（ファイル共有の権限設定）
- Microsoft Purview（コンプライアンス・監査ログ・データ損失防止/DLP）
- PowerShell（一括設定変更・レポート抽出・自動化）
役立つ資格・ツール
評価されやすいカテゴリ
- MS-700（Microsoft Teams Administrator Associate）
- SC-300（Microsoft Identity and Access Administrator）
- MS-900（Microsoft 365 Fundamentals）
ただし実務では、「PowerShellを使った定期レポート作成」ができると運用効率が跳ね上がります。
権限見直しをどう始めるか？
いきなり全てを制限すると現場が混乱します。まずは現状把握→不要な機能のブロック→ルールの周知の順で進めるのが近道です。
おすすめの順番（現実的ルート）
目指すべき運用体制
- 情シスだけが管理するのではなく、各チームの所有者に責任を持たせる
- 手動の棚卸しは避け、Entra IDなどの自動レビュー機能を活用する
- 利便性を奪うだけの「禁止ルール」ではなく「安全に使うための代替案」を提示する
- 定期的に監査ログを確認し、シャドーITの兆候を察知する
高度なセキュリティ（ゼロトラスト）への展開
Teamsのガバナンスが効くようになれば、次はM365全体のゼロトラストセキュリティへステップアップできます。
- 基本の権限管理 → 条件付きアクセス（社外からのアクセス制御・多要素認証）
- チーム単位の制御 → Microsoft Purviewによるファイル単位の機密ラベル（DLP）
- 手動管理 → Power Platformを用いたガバナンス自動化（プロビジョニングツール作成）
- Intuneを絡めたデバイス管理（BYODデバイスからのTeamsアクセス制御）
よくある質問（FAQ）
クレームは「作成まで何日も待たされる」ことが原因です。FormsとPower Automateを組み合わせ、「申請後すぐに自動作成されるワークフロー」を組むことで不満は解消できます。
「M365グループの有効期限ポリシー」を設定し、一定期間動きがないチームの所有者に自動で通知が行き、応答がなければ自動アーカイブ・削除される仕組みを作ると安全です。
その場合はチームに招待せず、SharePointやOneDriveから「特定のユーザーへのリンク」機能を使ってファイル単体・フォルダ単体で共有するようにルール化してください。
Teamsの権限管理は、「チームの作成・ゲストの招待・アプリの追加・不要チームの廃棄」という4つのライフサイクルを情シスがコントロールすることで成立します。
成功の鍵は、現場の利便性を潰すのではなく「自動化と定期レビュー（棚卸し）」の仕組みを作ることです。
まずは“現在のゲスト数とチーム数を可視化する”ところから、管理体制を見直してみてください。
※本記事は一般的な情報提供を目的としています。実際の設定にあたっては、組織のセキュリティポリシーやM365のライセンス状況（E3/E5など）に沿って設計・検証を行ってください。
▼ITフリーランス・エンジニア案件をお探しの方
ジェイテックフリーランスへ →
▼ 採用情報はこちら
採用情報ページへ →
▼ Microsoft 365 / AI導入のご相談
お問い合わせフォームへ →