「経理の共有ドライブは誰のもの？」
チケットは短いものです。経理が新しいメンバーを共有ドライブに追加したいのにできない。チームに残っている人の中に管理者がいないからです。そのドライブを作った人は去年の春に辞めました。1つのドライブの話ですが、同じようなものが20はあるだろうと、あなたは察しています。
共有ドライブはマイドライブの所有権問題を解決しました – ファイルは個人ではなくチームのものになります – その代わりにメンバーシップの問題、社外ゲストの問題、そして管理者の問題を持ち込みました。この3つを管理コンソールから監査する方法、コンソールが止まる場所、そして残りを埋めるものを見ていきます。
「共有ドライブを管理」から始める
メニュー → アプリ → Google Workspace → ドライブとドキュメント → 共有ドライブを管理。管理者は、メンバーであるかどうかに関わらず組織内のすべての共有ドライブを見られます。メンバーの追加と削除、アクセス権限の変更、ドライブの共有設定の調整、組織部門ごとの既定値の設定、ドライブの削除と復元ができます。Googleは対応エディションとしてBusiness StandardとPlus、Enterprise、Education、Essentials、Nonprofitsを挙げ、Business Starterには「except as noted」と付しています。お使いのエディションについてはページを確認してください。
フィルタこそが監査です。初めてこのページを開いたら、2つ実行してください。
– メンバー不在 – 中に誰もいないドライブ。たいていは去ったユーザーか終わったプロジェクトの置き土産です。 – 管理者不在 – メンバーはいるが、メンバーを追加したり設定を変えたりドライブを削除したりできる人がいないドライブ。これが経理のチケットの、20倍の姿です。
それぞれの一覧を処理し、管理者を割り当てるか、ドライブを削除します。どちらにしたか、なぜかを記録してください。
アクセス権限と、管理者の問題が起きる理由
共有ドライブには5つのアクセス権限があります。管理者はすべてを行え、メンバーと共有設定の管理、ドライブの削除も含みます。コンテンツ管理者は閲覧・コメント・編集・作成・ファイル追加ができ、ドライブの設定が禁じていなければフォルダも共有できますが、メンバー管理はできません。投稿者は閲覧・コメント・編集・作成・ファイル共有ができます。コメント投稿者と閲覧者は名前のとおりです。
要点となる一行：メンバーを追加できるのは管理者だけ – そして管理コンソールからのWorkspace管理者だけ – です。唯一の管理者が去ったドライブは凍結します。誰も人を入れられず、チケットが来るまで誰も気づきません。逆の失敗も同じくらい多い。初日に全員を管理者にしてしまい、誰でも社外ゲストを追加でき、丸ごと削除もできる状態です。
重要なドライブごとに2つ問いを立ててください。まだ在籍している管理者が2人以上いるか。コンテンツ管理者で足りる人が管理者権限を持っていないか。
外部メンバーと外部共有は同じではない
社外の人が共有ドライブに入れるかどうかは2つの設定で決まり、置かれている場所が違います。
1つめは組織全体：メニュー → アプリ → Google Workspace → ドライブとドキュメント → 共有設定 → 共有オプション。ここで外部共有はオフ、許可リストのドメインに限定、またはオンになります。Google アカウントを持つ外部ユーザーは共有ドライブのメンバーになれます。持たない人には訪問者共有の有効化が必要です。
2つめはドライブごと。各ドライブには独自の設定があり、「[自組織]外のユーザーが共有ドライブ内のファイルにアクセスすることを許可する」もそこに含まれます。Googleの注記は正確です。「When unchecked, external users can't have access, even if you allow users to share files outside of your organization.」ドライブはドメインより厳しくはできますが、緩くはできません。
つまりメンバー一覧にいるゲストは、2つの門を通っています。各ドライブのメンバー一覧を確認し、自ドメイン以外のアドレスをすべて抜き出してください。どのドライブか、どのアクセス権限か、その取引はまだ続いているか。元代理店のスタッフがマーケティングのドライブで投稿者権限を持っている、というのが典型的な発見で、放置アクセスのガイドの主題です。
確認する価値のあるドライブ単位の設定
外部アクセスのチェックボックスのほかに、確認する価値のあるドライブ単位の制限が3つあります。「共有ドライブのメンバーでないユーザーをファイルに追加することを許可する」「コンテンツ管理者がフォルダを共有することを許可する」「閲覧者とコメント投稿者によるファイルのダウンロード、印刷、コピーを許可する」。最初のものが最も見落とされます。オンのままだと、ドライブ内の1つのファイルがそのメンバーでない人に共有され、その人はメンバー一覧に決して現れません。
「共有ドライブを管理」が見せないもの
ここが管理コンソールの限界です。慎重に書きます。「共有ドライブを管理」のページはドライブとそのメンバーを一覧します。ドライブ内のファイル単位の共有 – 非メンバー、社外アドレス、公開リンクに共有された個別の文書 – は一覧しません。それらはファイルの権限であってドライブのメンバーシップではなく、メンバー一覧にその列はありません。
Googleの標準的な経路はドライブのログです。メニュー → レポート → 監査と調査 → ドライブのログイベント、可視性変更の属性で絞り込みます – これは検索属性の中にあり、イベント名の下ではありません。ファイルが共有ドライブにある場合、各行には共有ドライブIDが付くので1つのドライブに絞れます。ただしログはイベントであって現在の状態ではなく、既定は7日間、保持は6か月です。去年ドライブから共有されたファイルは入っていません。ファイル公開レポートとドライブ インベントリのエクスポートは現在の姿を与えます – Frontline Plus、Enterprise Plus（インベントリのエクスポートはEnterprise Standard）、Education StandardとPlus、Enterprise Essentials Plusで、Businessにはありません。その隙間はお使いのWorkspaceエディションに含まれないレポートで扱っています。
全共有ドライブを含む、組織全体のスキャン
Drive Guard for AdminsはWorkspace管理者がGoogle Workspace Marketplaceから一度インストールし、全ユーザーに配布されます。組織内の全ユーザーのマイドライブと全共有ドライブをスキャンし、公開リンク・外部共有・放置されたアクセスを1つのダッシュボードにエクスポート付きで表示します。共有ドライブについては、これがメンバー一覧では見せられないファイル単位の層です – 各ドライブ内の、社外やリンクに共有されているすべてのファイル – そしてマイドライブについても同じビューが並ぶので、1つのエクスポートで全体をカバーできます。
報告はしますが、まだ何も変更しません。ツール内から共有を取り消すのはロードマップ上で、利用できません。修正は今もあなたの手で、ドライブの設定かファイル上で行い、どこへ行けばよいかはエクスポートが教えます。
続けられるルーティン
四半期ごと、そしてどこかで管理者だった人が退職したあとに：管理者不在とメンバー不在を実行し、外部メンバーをドライブごとに確認し、財務・人事・顧客データを抱えるものについてドライブ単位の制限を抜き取りで点検し、そのうえでログかスキャンからファイル単位の確認を行う。件数と日付を書き留めてください。マイドライブと退職処理まで含むより広い方法は組織全体のGoogle ドライブ アクセスを監査するにあります。
出典
- 管理者として共有ドライブを管理する – 管理コンソールの階層、管理者は全ドライブを閲覧可、「メンバー不在」「管理者不在」のフィルタ、メンバーの追加／削除、アクセス変更、ドライブ単位の共有設定、組織部門ごとの既定値、削除／復元、ドライブ単位の制限項目、「When unchecked, external users can't have access, even if you allow users to share files outside of your organization」、エディション一覧。
- 共有ドライブのアクセス権限 – 管理者、コンテンツ管理者、投稿者、コメント投稿者、閲覧者。メンバー追加は管理者のみ。
- 組織の外部共有を管理する – 共有オプションの階層、オフ／許可リストのドメイン／オン、Google アカウントを持つ外部ユーザーは共有ドライブのメンバーになれること、持たない人には訪問者共有。
- ドライブのログイベント – 階層、可視性変更と共有ドライブIDの属性、既定7日間。
- データの保持期間と遅延 – ドライブのログイベントは6か月保持。
- ファイル公開レポート – エディション一覧。
- 組織のドライブ インベントリをエクスポートする – エディション一覧、共有ドライブのメタデータもエクスポート。