条件付きアクセスを活用した SharePoint のダウンロード制御

近年、リモートワークやモバイルワークの普及により社外からのアクセスや個人端末での業務が一般化してきました。

このような環境化では「情報漏えいのリスク」への対策が重要となってきます。特に、機密ファイルのダウンロードについては慎重な制御が求められます。

そこで利用する機能が、Microsoft Entra ID の条件付きアクセスポリシーを活用した「ダウンロード制御」です。

本記事では、SharePoint Online でのファイルのダウンロード制御の概要と設定方法について、わかりやすく解説します。

Microsoft Entra ID における条件付きアクセスを利用して、特定の条件下ではファイルのダウンロードを禁止する／制限する機能です。

「ファイルの閲覧は許可するがダウンロードはブロックする」といった柔軟な制御が可能です。

すべてのデバイスが制御対象となるわけではなく、実際に制御が適用されるのは以下のデバイスです。

※Microsoft Entra ハイブリッド参加、Intune準拠している端末には上記制御はかかりません*1 *2
※条件付きアクセスによる制御は基本的にブラウザーでの制御になるため、アプリに対してダウンロード制御することはできません*3

以下の手順を実施することで、アンマネージドデバイス（管理されていない端末）から SharePoint Online 上のファイルに対するダウンロード制御を適用することができます。

1. SharePoint管理センターへアクセスし、[ポリシー] < [アクセスの制御] をクリックします。

2. [アクセスの制御] から [管理されていないデバイス] をクリックします。

3. [管理されていないデバイス] にて、以下の[制限されたWebのみのアクセスを許可する

]を選択して [保存] をクリックします。

4. [Confirm allow limited, web-only access] が表示された場合は [Confirm] をクリックします。

5. Entra管理センターにて、[条件付きアクセス] > [ポリシー] をクリックして以下2点のポリシーが作成され、有効になっていることを確認します。

[SharePoint admin center]Block access from apps on unmanaged devices - xxxx/xx/xx
[SharePoint admin center]Use app-enforced Restrictions for browser access - xxxx/xx/xx

※xxxx/xx/xxには設定を有効にした年月日が入る

作成/有効化されたポリシーの内容を以下に記載いたします。

[SharePoint admin center]Block access from apps on unmanaged devices - xxxx/xx/xx
- アンマネージドデバイスからデスクトップ/モバイル版のSharePointあるいはOneDriveアプリへアクセスした場合にアクセスをブロックする
[SharePoint admin center]Use app-enforced Restrictions for browser access - xxxx/xx/xx
- アンマネージドデバイスからWeb版のSharePointあるいはOneDriveアプリへアクセスした場合に制御がかかる
- ファイルの閲覧は可能だが、ダウンロードと印刷が不可となる

なお、ポリシー内の設定における以下の[アプリによって適用される制限を使用する]の項目が、ダウンロード制御を実現する項目となります。