- 操作環境：
- OS：Windows 11
- Webブラウザー：Edge
- 使用プラン：Microsoft 365 Business Premium(試用版)
- ゲストユーザー：Microsoftアカウントに登録済の個人のGmailメールを使用
ゲストユーザー招待の要件整理
プロジェクトAの開始にあたり、Teamsに新たなチームを用意し、ゲストユーザーを含めたコラボレーションができるようにします。
- 所有者：System Admin(システム管理者)
- メンバー：User Aaaさん(組織内ユーザー)、User Bbbさん(組織内ユーザー)、XXXさん(ゲストユーザー)
- アプリ：Teamsの「Project_A」チーム
- メール：上記チームにグループメールアドレスを用意し、外部との送受信を可能とする
- ドキュメント：Teamsのファイルタブ(SharePoint)でドキュメントを管理する
- 権限(ゲストユーザーの招待・本人確認は組織全体のルールとして設定)：
- ゲストユーザーの招待：システム管理者(guest_invite_membersグループ)しか実施できないようにする
- ゲストユーザーの本人確認：定期的に確認コードによる本人確認を必要とする
- チームメンバーの変更：メンバーが勝手にユーザーを追加・削除しないよう、所有者はシステム管理者のみとする
- チーム内ドキュメント：ゲストユーザーを含め、編集閲覧可能とする
ゲストユーザー招待の全体設定調整
Entra管理C ゲストユーザー招待者グループ作成
Webブラウザーより、Microsoft Entra管理センターにアクセスし、左メニューの[グループ>概要]を選択し、[新しいグループ]を選択します。
以下の通り設定し、[作成]を選択します。
- グループの種類：セキュリティ
- グループ名：(ゲストユーザーを招待できる人のグループであることが分かる名前)
- グループにMicrosoft Entra IDロールを割り当てることができる：はい
- 所有者・メンバー：システム管理者(System Admin)
- 役割：ゲスト招待元
確認メッセージが表示されたら、[はい]を選択します。
Entra管理C ゲストユーザー招待の制限設定変更
左メニューの[ユーザー>ユーザー設定]を選択し、画面下部の[外部ユーザー]の[外部コラボレーションの設定を管理します]を選択します。
[ゲスト招待の設定>ゲスト招待の制限]の[特定の管理者ロールに割り当てられているユーザーのみがゲストユーザーを招待できる]を選択し、[保存]を選択します。
SP管理C SharePointの共有設定変更
Microsoft 365管理センターにアクセスし、左メニューの[すべて表示]を選択します。
展開された左メニューの[SharePoint]を選択します。
左メニューの[ポリシー>共有]を選択し、以下の通り設定を見直します。
- コンテンツを共有できる相手：新規および既存のゲスト
- 特定のセキュリティグループのユーザーのみに外部共有を許可する
- セキュリティグループの管理：(図表2-6で作成したゲストユーザーを招待できるセキュリティグループを選択)
前の画面の下半分です。設定変更したら、[保存]を選択します。
- 確認コードを使用するユーザーは、この日数の後に再認証を行う必要があります：30
- リンクの種類：特定のユーザー(ユーザーが指定したユーザーのみ)
Intune管理C ゲストユーザーの多要素認証要求除外
多要素認証の要求に関する条件付きアクセスポリシーが設定済かつゲストユーザーに要求したくない場合、割り当てから除外します。
Microsoft Intune管理センターにアクセスし、左メニューの[デバイス]を選択し、サブメニューの[デバイスの管理>条件付きアクセス]を選択します。
サブメニューの[ポリシー]を選択し、多要素認証の要求ポリシーを選択します。
左が変更前、右が変更後の例です。この例では、すべてのユーザーを対象としていたのを、組織内のメンバーグループのみを対象とする形で、ゲストユーザーを対象から除外しています。
チーム作成、グループメール設定
Teams管理C チーム作成
Microsoft 365管理センターにアクセスし、左メニューの[すべて表示]を選択します。
展開された左メニューの[Teams]を選択します。
左メニューの[チーム>チームを管理]を選択し、[追加]を選択します。
[新しいチームの追加]画面で以下の通り設定し、[適用]を選択します。
- 名前：Project_A
- 所有者：システム管理者
- プライバシー：プライベート
Teams管理C 組織内メンバー追加
図表3-2で作成したチームを選択します。
画面上部のメールアドレスがこのチームのグループメールアドレスです。メンバーなら使用可能です。
[メンバーの追加]を選択し、一旦組織内のメンバーを追加します。
なお、Teams管理センターの画面は次の工程でまた使用しますので、閉じずにそのままにしておいてください。
Exchange管理C グループメール設定変更
Microsoft 365管理センターにアクセスし、左メニューの[すべて表示]を選択します。
展開された左メニューの[Exchange]を選択します。
左メニューの[受信者>グループ]を選択し、図表3-4で作成したチームのグループメールを選択します。
[設定]タブを選択し、全般設定の上二つにチェックをつけ、[保存]を選択します。
ゲストユーザー招待・メンバー追加
Entra管理C ゲストユーザー招待
Microsoft Entra管理センターの左メニューの[ユーザー>すべてのユーザー]を選択し、[新しいユーザー>外部ユーザーの招待]を選択します。
ゲストユーザーのメールアドレスと表示名を入力し、招待メッセージを適宜入力し、[レビューと保存]を選択します。
設定内容を確認し、問題なければ[招待]を選択します。
Teams管理C ゲストユーザーのメンバー追加
再びTeams管理センターの画面に戻り、[メンバーの追加]を選択します。
図表4-2のEntra管理センターで登録したゲストユーザーを追加します。
ゲストユーザーがチームのメンバーになりました。
この後、このゲストユーザーでTeamsのチームにアクセスを試してみます。
ゲストユーザーのアクセス確認
ゲストユーザー(XXXさん)のメールボックスに招待メールが届いています。[招待の承諾]を選択します。
[コード送信]を選択します。
ゲストユーザー(XXXさん)のメールボックスに確認コードが届きますので、これをコピーします。
図表5-2でコピーした確認コードをペーストし、[サインイン]を選択します。
[承諾]を選択します。
[次へ]を選択します。
マイアプリ画面に遷移しますが、Teamsのアイコンがない場合は、デスクトップアプリを開きます。
なお、デスクトップアプリがない場合は、公式サイトからダウンロード・インストールします。
Teamsにサインインすると、右上の通知アイコンにメッセージが届いている筈です。これを選択します。
招待元のTeamsが起動したら、左メニューの[チーム]を選択します。招待されたProject_Aチームが表示されます。
チームメンバーとのやり取りができれば問題ありません。
続けてTeamsの[ファイル]タブ(SharePointのドキュメント機能と同じ)のドキュメント閲覧・編集が行えるどうかを確認します。
最後に、これはゲストユーザーの作業という訳ではありませんが、プロジェクトメンバー外(ゲストユーザーではない)のアドレスからグループメールにメールを送信し、ゲストユーザー・組織内ユーザーが受信できるか確認します。
おわりに
こうして手順化してみると、ゲストユーザーの招待のために意外とやることが多いと感じます。しかし、工程2は初回のみの作業のため、以降はそれほど手間ではありません。
工程2のSharePoint管理センターのポリシー設定の「コンテンツを共有できる相手」に関して補足します。デフォルト設定のままですとリンクを知っていたら誰でもアクセスできる状態であり、組織の機密情報を扱う場合においてはセキュリティが緩いです。外部のユーザーとのコラボレーションを開始する前に、見直しを検討することをお奨めします。
当ブログの関連記事
