2026.11.03 プラットフォーム

SharePoint管理センターの初期設定｜外部共有・アクセス制御の設定項目とPowerShell一括適用

SharePoint管理センターは、SharePointとOneDriveのテナント全体の設定を変える管理画面です。開くには SharePoint管理者以上のロールが要り、URLは https://テナント名-admin.sharepoint.com の形になります。初期設定で必ず触るのは、外部共有の範囲、共有リンクの既定値、非管理デバイスやIPアドレスによるアクセス制御の3つです。この記事では、管理センターの開き方とメニュー構成、共有ポリシーとサイト単位の共有設定、アクセス制御の各項目の副作用、Set-SPOTenantで設定を一括適用して変更前後を記録する手順までを、Microsoft Learnの記載とコード例で整理しました。

まとめ：SharePoint管理センターは共有の上限と既定リンクを初日に決める

最初に決めるのは、組織レベルの外部共有を4段階のどこに置くかと、共有リンクの既定を何にするかです。組織レベルの設定はすべてのサイトとOneDriveの上限になり、サイトごとにはそれより緩くできません。上限を「新規および既存のゲスト」に置き、既定リンクを「特定のユーザー」にしておけば、認証なしで誰でも開けるリンクが意図せず配られる事故はほぼ防げます。

非管理デバイスの制限、アイドルセッションのサインアウト、IPアドレス制限は、Entra IDの条件付きアクセスが前提で、業務アプリを止める副作用もあります。全社に一度に入れず、ライセンスと利用アプリを確かめてから段階的に有効にする手順です。設定はPowerShellで適用し、変更前後の値をCSVに残しておくと、後から誰が何を変えたかを説明できます。

SharePoint管理センターを開くURLと必要な管理者ロール・メニューの構成

管理画面のURL形式とSharePoint管理者ロールで操作できる範囲

管理センターのURLは、テナント名が contoso なら https://contoso-admin.sharepoint.com です。Microsoft 365 管理センターの左メニューで「すべて表示」から「SharePoint」を選んでも同じ画面に移ります。

SharePoint 管理者ロールについてによると、このロールでできるのはサイトの作成と管理、サイト管理者の指定、共有設定の管理、Microsoft 365グループの作成・削除・復元です。グローバル管理者はこれらをすべて含みますが、Microsoftは権限の小さいロールを使うよう勧めています。ロールを割り当ててから管理センターに入れるまで約1時間かかるので、割り当て直後に開けなくても慌てる必要はありません。なお、SharePoint管理者でも全サイトの中身が自動で見えるわけではなく、API アクセスの承認だけはアプリケーション管理者ロールが別に必要です。

左メニューのサイト・ポリシー・設定と初期設定で触る4つの画面

初期設定で開く画面は、左メニューの次の4か所に集まっています。アクセス制御の行の4項目は、画面上では「管理されていないデバイス」「アイドルセッションのサインアウト」「ネットワークの場所」「先進認証を使わないアプリ」という名前で並びます。

メニュー	画面	初期設定で決めること
ポリシー	共有	共有4段階・ドメイン制限・ゲスト期限・既定リンク
ポリシー	アクセス制御	端末・無操作・接続元IP・旧認証アプリの制限
サイト	アクティブなサイト	サイト別の共有範囲・管理者・容量・ハブ関連付け
設定	サイトの作成	サイト作成の可否・既定のタイムゾーンと容量

SharePoint 管理センターのサイトを管理するの記載では、アクティブなサイトの一覧にOneDrive（/personal/）やTeamsのチャネルサイトは並ばず、Microsoft 365 管理センターの使用状況レポートとは件数が合いません。容量の確認や削減はSharePointの容量確認と削減の手順で扱っています。

Microsoft 365 管理センターとSharePoint管理センターの役割の分け方

ユーザーの追加、ライセンスの割り当て、管理者ロールの付与、多要素認証はMicrosoft 365 管理センターとEntra 管理センターの仕事です。SharePoint管理センターが受け持つのは、ファイルとサイトをどこまで社外に出すか、どの端末から開かせるかという、データの出口の設定に限られます。

順番としては、Microsoft 365 管理センターで管理者アカウントの分離とMFAを済ませてから、こちらの設定に進みます。前段の手順はMicrosoft 365 管理センターの初期設定と権限設計にまとめています。

外部共有ポリシーを組織レベルで4段階から選び既定リンクを決める手順

すべてのユーザーから組織内のみまで外部共有4段階の違いを比べる表

「ポリシー」から「共有」を開くと、SharePointとOneDriveのそれぞれにスライダーがあります。4段階の中身はSharePoint と OneDrive の共有設定を管理するの記載どおりで、PowerShellの値と対応しています。

画面の表示	相手に求める認証	新しいゲストの招待
すべてのユーザー	なし（リンクを知る人が開ける）	できる
新規および既存のゲスト	サインインか確認コード	できる
既存のゲスト	ディレクトリ登録済みのゲストのみ	できない
組織内のユーザーのみ	外部共有は無効	できない

Set-SPOTenant の SharingCapability では、上の行から順に ExternalUserAndGuestSharing、ExternalUserSharingOnly、ExistingExternalUserSharingOnly、Disabled を指定します。

取引先とファイルをやり取りする会社なら「新規および既存のゲスト」が標準の置き場所です。「すべてのユーザー」を選ぶ場合は、リンクの有効期限を必須にし、権限を表示のみに絞る詳細設定も同時に入れます。外部共有を絞ると、ゲストは通常1時間以内に開けなくなります。

OneDriveはSharePointより緩くできずサイトは組織設定以下になる制約

OneDriveのスライダーは、SharePoint側より厳しくはできても緩くはできません。各サイトの共有範囲も、組織レベルと同じかそれより狭い値しか選べない仕組みです。組織の上限を下げると、それを超えていたサイトの共有リンクは動かなくなります。

見落としやすいのが、外部共有をいったん止めてから戻したときの挙動です。組織全体で外部共有を戻すと、以前のゲストのアクセスも戻ります。特定のサイトのゲストを確実に締め出したいなら、組織の設定を戻す前に、そのサイトの外部共有を先に止めておきます。

ドメイン制限とゲストの有効期限と確認コードの再認証の詳細設定

「その他の外部共有設定」には、運用で効く項目が並びます。実務で入れる順に挙げると次のとおりです。

ドメインごとに外部共有を制限する：許可リストかブロックリストで最大5,000ドメイン
ゲストアクセスの自動期限切れ：Set-SPOTenantでは30〜730日の範囲で指定
ゲストに所有していないアイテムの共有を許可する：既定はフルコントロールを持つ場合のみ
確認コードを使う人の再認証の日数：1〜365日

取引先が固定されているなら、ドメインの許可リストが最も効きます。ただし、Entra IDの外部コラボレーション設定で許可・ブロックしたドメインも共有に効くため、両方を同じ内容にそろえないと「SharePointでは許可したのに招待できない」という問い合わせが来ます。

ファイルとフォルダーのリンクの既定を特定のユーザーにする理由

共有ボタンを押したときに最初に選ばれているリンクの種類が「ファイルとフォルダーのリンク」です。選択肢は「特定のユーザー」「組織内のユーザーのみ」「リンクを知っているすべてのユーザー」の3つで、Set-SPOTenantの DefaultSharingLinkType ではDirect、Internal、AnonymousAccessにあたります。

利用者の多くは既定のまま送信します。既定を「特定のユーザー」にしておけば、転送されたリンクが宛先以外に開かれることはありません。リンクの既定の権限（DefaultLinkPermission）は既定値がEditなので、閲覧だけで足りる文書が多い会社はViewに変えておきます。BoxやGoogle ドライブとの共有方式の違いはSharePointとBoxの比較で触れています。

サイト単位の共有設定とサイト作成の制御を管理センターで分けて運用する

アクティブなサイトのその他の共有設定でサイトごとに範囲を絞る手順

組織の上限より狭くしたいサイトは、サイトの共有設定を変更するの手順で個別に絞ります。この変更はSharePoint管理者以上にしかできず、サイト所有者は触れません。サイト所有者の側で決める権限レベルや継承の切り方はSharePointのアクセス権設定で扱っています。

「サイト」から「アクティブなサイト」を開き、対象のサイトを選ぶ
「設定」タブの「その他の共有設定」を選ぶ
外部共有の段階を選び、必要ならドメイン制限を入れる
ゲストの有効期限や既定リンクを変えるなら「組織レベルの設定と同じ」を外して値を入れる
「保存」を選ぶ

新しく作られるサイトの既定値は種類で違います。コミュニケーションサイトとグループなしのチームサイトは「組織内のユーザーのみ」、グループ接続のチームサイトはグループ所有者が社外の人を追加できる設定なら「新規および既存のゲスト」です。OneDriveとルートのサイト（テナント名.sharepoint.com）は「すべてのユーザー」から始まるため、ルートサイトは初日に絞っておきます。

サイト作成の制御はTeamsとグループ作成の抜け道まで含めて決める

「設定」の「サイトの作成」では、利用者がSharePointの画面やREST APIからサイトを作れるかを決めます。SharePoint のサイト作成を管理するによると、既定では全員がコミュニケーションサイトとグループ接続のチームサイトを作れます。

ここでサイト作成を止めても、TeamsのチームやMicrosoft 365グループを作るたびにサイトは1つずつ増えます。数を本気で抑えるなら、グループ作成を特定のセキュリティグループに限る設定まで入れる必要があるため、こちらも制御の対象です。作成権限の設定画面と申請制への切り替えはSharePointサイトの作り方と作成権限の制御、Teams側の命名規則はTeamsとSharePointの関係と乱立を防ぐ運用ルールで扱っています。

アクセス制御で非管理デバイスとアイドルセッションとIP制限を設定する

非管理デバイスの3択と条件付きアクセスポリシーの自動作成と24時間

「アクセス制御」の「管理されていないデバイス」では、Intuneに準拠していない端末やハイブリッド参加していない端末からのアクセスを、フルアクセス・制限付きのWebのみ・ブロックの3つから選びます。アンマネージドデバイスからのアクセスを制御するによると、制限付きのWebのみでは、ブラウザーで閲覧はできてもダウンロード・印刷・同期とデスクトップ版Officeでの編集ができません。

この画面で保存すると、Entra IDに条件付きアクセスポリシーが自動で作られ、同じ画面から以前作ったポリシーは無効になります。反映は最大24時間で、既にサインインしているセッションには効きません。もう1つの落とし穴は「すべてのユーザー」リンクです。認証しないリンクにはこの制限がかからないため、制限をかけるサイトでは「すべてのユーザー」リンクを無効にしておく必要があります。

アイドルセッションのサインアウトは約15分で反映しEntra ID P1が前提

アクティブでないユーザーをサインアウトするの設定は、ブラウザーでSharePointとOneDriveを一定時間操作しなかった人に警告を出し、その後Microsoft 365全体からサインアウトさせます。組織全体にしか設定できず、Entra ID P1またはP2が必要です。

マウスの移動やスクロールは操作に数えず、クリックなどSharePointへの要求だけが数えられます。管理されたデバイスや、サインイン時に「サインインしたまま」を選んだ人はサインアウトされません。共用PCや個人のPCからの閲覧を想定した設定であり、社給PCの利用者には効かないことを周知しておきます。

ネットワークの場所の制限で管理者自身が締め出される失敗と対象アプリ

「ネットワークの場所」で許可するIPアドレスの範囲を入れると、その外からのアクセスはブラウザー、デスクトップアプリ、モバイルアプリのすべてで止まります。ネットワークの場所ベースのアクセスは、管理者自身のIPを必ず含めるよう警告しています。この制限は管理センターとPowerShellの実行にも効き、締め出されたらサポートに連絡するしかありません。

影響はアプリにも及びます。場所ベースのポリシーに対応しているのはTeams、Viva Engage、Exchangeだけで、Power Automate、Power Apps、Power BI、Plannerなどは社内のIPから使っていても止まります。在宅勤務がある会社や、Power Automateで業務を自動化している会社では、この設定は入れません。

先進認証を使わないアプリのブロックと24時間以内の反映を待つ手順

非管理デバイスの制限を入れても、先進認証に対応していない古いOfficeやサードパーティ製アプリは条件付きアクセスを素通りします。そのため、同じ「アクセス制御」の「先進認証を使わないアプリ」もブロックにするのが前提です。

Set-SPOTenantでは LegacyAuthProtocolsEnabled がこの項目にあたり、既定値は$Trueです。$Falseにすると反映まで最大24時間かかり、先進認証に対応していないサードパーティ製の業務ツールからの接続も止まる場合があります。変更前に、監査ログでこれらのアプリからのアクセスがあるかを確かめてから切り替えます。

PowerShellで初期設定を一括適用し変更前後の値をCSVで記録する手順

Set-SPOTenantで共有ポリシーとアイドルセッションを一括設定するコード

画面で1項目ずつ変えると、何を変えたかの記録が残りません。SharePoint Online 管理シェルのSet-SPOTenantで、変更前の値の保存から適用までを1本のスクリプトにします。

Connect-SPOService -Url https://contoso-admin.sharepoint.com

# 比較する項目（Get-SPOTenant のプロパティ名）
$props = "SharingCapability","OneDriveSharingCapability","DefaultSharingLinkType",
         "DefaultLinkPermission","ExternalUserExpirationRequired","ExternalUserExpireInDays",
         "PreventExternalUsersFromResharing","SharingDomainRestrictionMode",
         "SharingAllowedDomainList","LegacyAuthProtocolsEnabled"

# 1. 変更前の値を保存する
Get-SPOTenant | Select-Object $props |
  Export-Csv .\spo-tenant-before.csv -NoTypeInformation -Encoding UTF8

# 2. 共有の上限・既定リンク・ゲスト期限・ドメイン許可リストを適用する
Set-SPOTenant -SharingCapability ExternalUserSharingOnly `
  -OneDriveSharingCapability ExistingExternalUserSharingOnly `
  -DefaultSharingLinkType Direct -DefaultLinkPermission View `
  -ExternalUserExpirationRequired $true -ExternalUserExpireInDays 90 `
  -PreventExternalUsersFromResharing $true `
  -SharingDomainRestrictionMode AllowList `
  -SharingAllowedDomainList "partner-a.co.jp partner-b.co.jp"

# 3. 45分無操作で警告し、60分でサインアウトさせる（Entra ID P1 以上が前提）
Set-SPOBrowserIdleSignOut -Enabled $true `
  -WarnAfter (New-TimeSpan -Minutes 45) -SignOutAfter (New-TimeSpan -Minutes 60)

# 4. 変更後の値を保存して差分だけ表示する
Get-SPOTenant | Select-Object $props |
  Export-Csv .\spo-tenant-after.csv -NoTypeInformation -Encoding UTF8
Compare-Object (Get-Content .\spo-tenant-before.csv) (Get-Content .\spo-tenant-after.csv)

ドメインの許可リストはスペース区切りで渡し、ブロックリストにするなら SharingDomainRestrictionMode を BlockList にして SharingBlockedDomainList を使います。SignOutAfter は WarnAfter より大きくしないとエラーになり、アイドルセッションの設定は約15分で全体に効きます。

サイト単位の非管理デバイス制限をSet-SPOSiteで個別に上書きする方法

全社は制限せず、人事や経理のサイトだけ非管理デバイスからの閲覧を絞る構成もとれます。この場合はEntra 管理センターで「アプリによって適用される制限」を使う条件付きアクセスポリシーを手動で作ったうえで、サイトに値を設定します。

# 人事サイトだけブラウザーでの閲覧に限り、編集もさせない
Set-SPOSite -Identity https://contoso.sharepoint.com/sites/jinji `
  -ConditionalAccessPolicy AllowLimitedAccess -AllowEditing $false

# 全社に入れる場合（このページから作った以前のポリシーは無効になる）
# Set-SPOTenant -ConditionalAccessPolicy AllowLimitedAccess

組織レベルで制限を入れている場合、サイトの値はそれ以上に厳しくなければなりません。ReadOnlyForUnmanagedDevices を$trueにするとサイト全体が読み取り専用になり、LimitedAccessFileType でプレビューできるファイルの種類も絞れます。機密ラベルでサイトごとに制限を配る方法はMicrosoft Purviewの守備範囲と課金で解説しています。

情シスの初期設定チェックリストと入れないほうがよい設定の判断基準

導入初日にSharePoint管理センターで確認する7項目のチェックリスト

導入初日に上から順に確かめる項目です。上の4つは全社共通で、下の3つはライセンスと業務アプリを確かめてから決めます。

外部共有の上限を「新規および既存のゲスト」以下にし、OneDriveを同じか狭い値にする
既定リンクを「特定のユーザー」、既定の権限を表示にする
ルートサイトのサイト単位の共有を絞る
ゲストの有効期限を有効にし、日数を決める（例：90日）
先進認証を使わないアプリをブロックするか決める
非管理デバイスを制限付きのWebのみにするか決める
アイドルセッションのサインアウトの時間を決める

それぞれの変更日と値は、前の章のCSVと一緒に保管しておきます。半年後に「誰がすべてのユーザーリンクを許可したのか」と聞かれたとき、答えられるのはこの記録だけです。

IP制限やWebのみアクセスを入れないほうがよい会社の条件と相談先

ネットワークの場所による制限は、社員の多くが在宅や外出先から使う会社、Power AutomateやPower Appsで業務を回している会社では採用しません。対応アプリが3つしかなく、社内のIPから実行していても自動化が止まるからです。端末で絞りたいなら、IP制限ではなく非管理デバイスの制限を選びます。

非管理デバイスの制限付きWebのみも、取引先が自社のPCから共同編集する運用では見送ります。ゲストの端末は自社の管理下にないため、ゲスト全員がダウンロードできなくなるからです。この場合は、確認コードで共有した相手を除外する ApplyAppEnforcedRestrictionsToAdHocRecipients の設定まで含めて設計します。当社の支援対象は、外部共有の範囲とアクセス制御の設計から、Set-SPOTenantによる適用と記録の仕組み作りまでです。これらをMicrosoft 365・Copilot導入支援としてお受けしています。現在の Get-SPOTenant の出力があれば、変えるべき項目を具体的にご提案できます。

よくある質問

SharePoint管理センターについて、情シスの担当者からよく寄せられる質問をまとめました。

SharePoint管理センターにアクセスできないのはなぜですか？

多くはロールが足りないか、割り当て直後で反映を待っている状態です。管理センターに入るにはSharePoint管理者以上のロールが必要で、割り当てから使えるようになるまで約1時間かかります。ネットワークの場所による制限を入れている場合は、許可したIPの範囲外からは管理センターも開けません。その場合は許可済みのネットワークから接続するか、締め出されたならMicrosoftのサポートに連絡します。

SharePoint管理センターのURLはどこで確認できますか？

URLは https://テナント名-admin.sharepoint.com の形です。テナント名は、普段使っているSharePointのURL（テナント名.sharepoint.com）の先頭部分と同じです。分からなければ、Microsoft 365 管理センターの左メニューで「すべて表示」を選び、管理センターの一覧から「SharePoint」を選べば移動できます。

外部共有はサイトごとに変えられますか？

変えられます。「アクティブなサイト」でサイトを選び、「設定」タブの「その他の共有設定」から段階を選びます。ただし、組織レベルの設定より緩くはできず、同じか狭い範囲しか選べません。変更できるのはSharePoint管理者以上で、サイト所有者は変えられません。PowerShellなら Set-SPOSite の SharingCapability で同じ設定ができます。

OneDriveの共有設定もSharePoint管理センターで変えられますか？

変えられます。「ポリシー」の「共有」に、SharePointと並んでOneDriveのスライダーがあります。OneDriveはSharePointより厳しくはできても、緩くはできません。特定の社員のOneDriveだけ範囲を変える設定も別に用意されています。

ゲストのアクセスに有効期限を付けられますか？

付けられます。「ポリシー」の「共有」にある「その他の外部共有設定」で、ゲストアクセスを指定日数で自動的に期限切れにする項目を有効にします。PowerShellでの指定は、ExternalUserExpirationRequired が$true、ExternalUserExpireInDays が30〜730日の範囲の日数です。サイトごとに別の日数を使いたい場合は、サイトの共有設定で組織と同じ設定のチェックを外して値を入れます。