Copilot と SharePoint のアクセス許可の解説

By Mirko Peters · 2026-04-21 · Updated 2026-07-28

Copilot と SharePoint のアクセス許可は、ビジネス上の成果、承認されたデータアクセス、そして人による説明責任を軸に設計すべきです。まずは最も小さく有用なシナリオから始め、アクセス許可とポリシーの境界を検証し、代表的なユーザーでテストし、拡張する前に担当者を文書化してください。明確な制御があれば、情報を露出させたりサポート対象外のプロセスを生み出したりすることなく、ソリューションを役立てることができます。

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot and SharePoint Permissions Explained

Copilot と SharePoint のアクセス許可: 実践チェックリスト

ユースケース、担当者、承認済みのデータ境界を定義します。
パイロットで、アクセス許可、ポリシー、ユーザー体験を検証します。
サポート、レビュー、エスカレーションの判断を記録します。

最新のガイダンスについては Microsoft Learn を参照してください。

最終レビュー: 2026 年 7 月

Microsoft Copilot は、Microsoft 365 全体でユーザーがより賢く働けるよう支援する存在として、急速に注目を集めています。しかし Copilot は SharePoint などの場所からデータを取り込むため、Copilot がどの情報を参照できるのかを正確に把握し、アクセス許可の設定が単なる技術的な細目ではない理由を理解しておくことが不可欠です。これを正しく行うことは生産性のためだけでなく、組織のデータを安全に保ち、コンプライアンス上の問題を避けるためにも重要です。

本ガイドでは、Copilot が SharePoint のアクセス許可とどのように連携するかを解説し、主要なセキュリティの概念を順に説明するとともに、機密情報を守りながらユーザーを支援するために必要な事実をお伝えします。アクセス許可の境界が重要な理由、問題になりうる点、そして AI を活用したアクセスを安全に保つ方法を示します。読み終える頃には、Microsoft 365 のエコシステムの中で SharePoint のアクセス許可が Copilot にできることとできないことをどう決めるのかが分かるはずです。

Microsoft 365 における Microsoft Copilot の理解

Microsoft Copilot は、Microsoft 365 に組み込まれた人工知能アシスタントです。Word、Excel、Outlook、そしてもちろん SharePoint など、普段お使いのアプリの中に常駐する仕事のパートナーのような存在です。Copilot は、自然言語のプロンプトを入力するだけで、ドキュメントの要約、メールの下書き、ファイルの検索、膨大な情報の整理を支援します。

従来型のアシスタントとは異なり、Copilot は Microsoft 365 アカウントに密接に接続されています。つまり、ユーザーがアクセスできる範囲でのみ動作し、ユーザーのデータを扱います。そのため、SharePoint などのツールでアクセス許可と共有がどのように機能するかを理解している必要があります。この統合は大きな生産性向上をもたらしますが、同時にセキュリティ、プライバシー、適切な構成は必須であることを意味します。要するに、Copilot の能力は、Microsoft 365 と SharePoint の設定が許す範囲によって決まります。

SharePoint のアクセス許可の主な機能

SharePoint のアクセス許可は、どのユーザーがどのサイト、ライブラリ、フォルダー、ファイルに入れるかを制御する、入口の門番のような役割を果たします。アクセス許可によって、個人やグループが何を閲覧でき、何を実行できるかが決まります。ドキュメントを表示するだけなのか、コンテンツを編集・削除できるのかも含まれます。アクセス許可にはいくつかのレベルがあり、それぞれ特定の操作を許可します。

アクセス許可の継承とは、フォルダーやファイルなどの子要素が、ライブラリやサイトなどの親要素と同じルールから開始することを意味します。ただし、固有のアクセス許可を設定してこの連鎖を切った場合は除きます。多くのコンテンツを管理するうえで便利ですが、注意しないと扱いが難しくなることがあります。アクセス許可はグループに割り当てれば大規模なチームを管理しやすくなり、個別に設定することもできます。こうした基本を理解することが、SharePoint 内で Copilot の到達範囲がどのように決まるかを理解する土台になります。

Copilot が SharePoint のアクセス許可を利用する仕組み

Copilot は、SharePoint 上の他のすべてのユーザーと同じルールに従います。Copilot が情報の検索やコンテンツの要約を支援する際には、ユーザーのアカウントがアクセス権を持つ情報だけを参照します。言い換えれば、ユーザー自身がその権限を持っていない限り、Copilot が制限されたファイルを探り出したり、アクセスしたりすることはできません。

この仕組みにより、Copilot は既存のセキュリティ境界を維持します。ファイルへのアクセス権があれば、Copilot はそのファイルを使って質問に答えたりコンテンツを生成したりできます。アクセス権がなければ、そのファイルは見えないままです。この整合性はセキュリティとコンプライアンスの観点から好ましいものですが、一方で、過度に広いアクセス許可や SharePoint 上のミスが、Copilot を介した意図しないデータ露出の入口になりかねないことも意味します。

SharePoint のアクセス許可の種類とレベル

読み取りこのアクセス許可レベルでは、ユーザーはページの表示、サイトコンテンツの閲覧、ドキュメントのダウンロードはできますが、内容を変更することはできません。見るだけで触る必要がない人に最適です。
投稿ユーザーは既存のライブラリやリストに項目を追加、編集、削除できます。「読み取り」より強力で、コンテンツの作成に積極的に関わるチームメンバーに多く選ばれています。
編集「投稿」に加えて、編集では列の追加や削除など、リストやライブラリの管理ができます。サイト全体の管理権限はありません。一般的にはコンテンツ管理者に付与されます。
フルコントロールその名のとおり最も強力なレベルで、ユーザーはアクセス許可の管理、サイト設定、構造の変更を含め、あらゆる操作ができます。通常はサイト所有者や管理者のために用意されています。
カスタムアクセス許可組織によっては、個々の操作を組み合わせて独自のアクセス許可レベルを作成します。たとえば、ドキュメントのアップロードは許可するが削除は許可しない、といった設定です。カスタムアクセス許可は固有のニーズに対応できますが、慎重に管理しないとすぐに複雑になります。

SharePoint では、アクセス許可の継承も使われます。つまり、フォルダー内のファイルなどの下位コンテンツは、個別に変更しない限り親のアクセス許可を引き継ぎます。特定のフォルダーやファイルで継承を解除すると、その項目に固有のアクセス許可が設定されます。継承の解除は便利な一方で、後から見えないアクセス権や混乱を招くおそれがあります。AI によるデータアクセスが関わる場合は特に重要です。Copilot がアクセスできるのはアクセス許可で認められた範囲のコンテンツだけであり、どのレベルでのミスも、意図より広い範囲へのアクセスにつながる可能性があります。そのため、これらのレベルを理解しておくことが欠かせません。

Copilot のアクセス許可要求とデータアクセス

Copilot に SharePoint のコンテンツの検索や操作を依頼すると、すべての Microsoft 365 サービスを接続する API である Microsoft Graph を通じてデータ要求が行われます。これらの要求はユーザー ID で認証されるため、Copilot が別のシステムとして動作したり、アクセス権を迂回したりすることはありません。

Copilot が取得または生成するすべての内容は、SharePoint における既存のアクセス許可によってフィルタリングされます。サイトやファイルのアクセス許可で設定されたプライバシーの境界を、Copilot が尊重するよう技術的な制御が働きます。要するに、SharePoint で閲覧や開くことができないものは、Copilot も利用できません。つまり、設計段階からプライバシーに配慮した仕組みになっています。

Copilot 時代に起こりやすい SharePoint のアクセス許可の落とし穴

継承の解除フォルダーやファイルなど、想定外の場所に設定された固有のアクセス許可は見落とされがちです。その結果、アクセスの抜け穴や管理されない例外が生じるおそれがあります。Copilot が、他のユーザーがアクセスできることに気づいていないドキュメントを表示するようになると、リスクはさらに高まります。
過度に広いアクセス許可利便性のために、大きなグループに「編集」や「フルコントロール」を付与するのはよくあることです。しかし残念ながら、これにより制限されているはずのライブラリが誰でも自由に使える状態になりかねません。特に、Copilot がそのアクセス許可に基づいてコンテンツを表示する場合は注意が必要です。
放置されたゲストアクセスゲストアカウントは、プロジェクト終了後も残りがちです。管理されていない場合、ゲストが機密性の高いコンテンツにアクセスできたままになる可能性があり、Copilot が意図せずその内容を検索結果に表示するおそれもあります。この問題が重要な理由は、ゲストアカウントのリスクに関するこのガイドで確認できます。
適切な制御のない外部共有適切な制御なしに共有された外部リンクは、意図しないデータ漏えいの原因になることがあります。問題が起きる前に危険な共有を見つけるには、外部共有に関するこの資料で紹介されている方法を参照してください。

Copilot と共有データの関係

Copilot は、共有データに関して特別扱いをすることはありません。アカウントがアクセスできるデータだけを対象とします。ドキュメントやフォルダーがあなたと共有されていれば、Copilot は検索、要約、回答にそれを含めることができます。チームや組織と共有されているデータについても同様です。

ただし、「リンクを知っている全員」のような共有設定が広すぎると、公開を意図していなかったデータを Copilot が誤って表示するおそれがあります。これはコラボレーションやコンプライアンスを複雑にします。リスクを減らす鍵は、共有リンクとアクセス許可を定期的に見直し、Copilot が有効な職場環境にふさわしい最小限の範囲に絞ることです。

Copilot によって管理されるデータアクセス: リスクと対策

コンプライアンス上のギャップ権限の境界が適切に維持されていないと、Copilot が機密情報にアクセスする可能性があります。Data Loss Prevention (DLP) や秘密度ラベルを使用していないと、規制面の問題につながるおそれがあります。最小特権の原則を徹底し、Microsoft 365 のすべてのコンテンツに DLP ポリシーを適用してください。詳しくはこちらの実践的な Copilot ガバナンスのガイドで解説しています。
シャドー IT の拡大Copilot のような AI アシスタントは、意図せず新たな「シャドー IT」エージェントとして動作し、管理者が監視していない形でデータにアクセスする可能性があります。これを抑えるには、Entra ID のロールグループを使用し、未承認の Copilot の利用を監視してください。シャドー IT のリスクと対策について詳しくは、こちらのディスカッションをご覧ください。
検索と要約を通じたデータ漏えいユーザーのアクセス許可で到達可能なファイルであれば、Copilot が生成した回答に機密ファイルの一部が表示されることがあります。漏えいを防ぐには、重要なデータに秘密度ラベルを適用し、Purview Audit などのツールで Copilot のアクティビティを定期的に監査してください。
対策定期的なアクセスレビューを実施し、最小特権の原則を徹底して、アクセスを厳格に管理します。Copilot のアクセス許可を監視し、退職者のアクセス削除を自動化するとともに、DLP ラベルを価値の高いすべてのコンテンツに拡張してください。不適切なアクセスを早期に発見するには、監査と実行時の監視が欠かせません。

SharePoint で Copilot を安全に展開するためのベストプラクティス

定期的なアクセス許可のレビューSharePoint で誰が何にアクセスできるかを定期的に確認する習慣をつけてください。古くなった不要なアクセス許可は速やかに削除します。継続的なアクセスレビューには自動化が役立ちます。
ロールベースのアクセス制御 (RBAC) の利用個々のユーザーではなくグループを使ってロールを割り当て、アクセス許可を職務要件に合わせてください。RBAC を使うと、組織の成長に伴ってもアクセス許可を管理しやすい状態に保てます。実践的なガバナンスの進め方については、こちらの詳しい Copilot ガバナンスのガイドをご覧ください。
継続的な監視と監査Microsoft Purview などのツールで監査を有効にし、不審なアクティビティのアラートを設定してください。アクセス許可の変更と Copilot のアクセスパターンを継続的に監視します。
データラベルと DLP ポリシーの適用データを分類し、Data Loss Prevention ポリシーを適用することで、Copilot からアクセスされる場合でも、機密性の高いコンテンツにフラグを立てて制御できます。
ユーザートレーニングと意識向上への投資アクセス許可の重要性、安全な共有方法、そして Copilot がユーザーのアクセス権をどのように利用するかについて、従業員に教育してください。利用促進とセキュリティ強化を同時に進めるには、Copilot Learning Center のような体系的な学習リソースの活用も検討してください。

SharePoint における Copilot アクセスの監査と監視

SharePoint データに対して Copilot が何をしているかを把握することは、単に良い習慣であるだけでなく、多くの場合コンプライアンス上の要件でもあります。Microsoft 365 には、ユーザーと AI のアクティビティを記録する Purview Audit などのツールがあり、誰が、いつ、何にどのようにアクセスしたかを記録します。

高度な監査を有効にして包括的なログを保持し、Copilot の要求を追跡するとともに、通常と異なる動作のアラートを設定してください。監査証跡に抜けや不審な操作がないか定期的に確認し、より詳細な分析が必要な場合は Premium Purview へのアップグレードも検討してください。監査の設定手順については、ユーザーアクティビティの監査に関するこちらのガイドをご覧ください。また、アクセスガバナンスに関するこちらの資料で解説しているとおり、明確な責任者とレビュープロセスを整備して、全体的なガバナンスを強化してください。

Copilot と SharePoint のガバナンス戦略

DLP と秘密度ラベルポリシーの適用Data Loss Prevention と秘密度ラベルをすべての SharePoint データに適用し、これらの制御を Copilot のアクセスにも拡張して漏えいを防いでください。詳しくは、高度な Copilot ガバナンスに関するこちらの資料をご覧ください。
Entra ロールグループでアクセス許可の範囲を絞り込むアクセス許可はグループ単位で割り当て、Entra ID の制御によって AI エージェントのアクセスを分離して管理します。職務ごとに職務を分けることで、各 Copilot インスタンスのスコープを狭められます。
アクセスの自動化と定期的な見直しアクセス許可の定期的な見直しを計画し、入社・退社時のプロセスを自動化します。このように先手を打つことで、放置された孤立アクセスを減らせます。こうしたアクセスは Copilot を通じたデータ露出の原因になりかねません。
分離された制御プレーンを実装するEntra Agent ID と構造化されたツール契約を使って、AI エージェント(Copilot など)の境界を設定し、無制限なアクセスを防ぎます。大規模なガバナンスには多層的な制御が必要です。その仕組みについてはこちらのエージェントのガバナンスに関する解説をご覧ください。
ポリシーによる強制適用とインシデント対応共有、監査、秘密度マーキングについて、ポリシーベースの強制適用を確立します。また、重要な業務システムと同様に、Copilot 向けのインシデント対応戦略を準備してください。

シャドー IT と Copilot のデータリスクへの対応

管理されていない共有と確認されていないアクセス許可は、特にユーザーが Copilot に頼り、自分のデータの及ぶ範囲を十分に理解していない場合に、シャドー IT を助長する可能性があります。共有が確認されないままだと、Copilot は想定外の場所に保存されたデータを表示することがあり、データ露出やコンプライアンスのギャップという深刻なリスクにつながります。

シャドー IT を防ぐには、Microsoft Purview などのツールを活用して、データの所有権を強制し、DLP による制御を適用するとともに、AI ワークロードを継続的に可視化してください。新たなリスクと対策について詳しくは、AI 時代のシャドー IT に関するこちらの解説をご覧ください。

SharePoint で Copilot 向けの条件付きアクセスを設定する

条件付きアクセスポリシーは、Copilot と SharePoint に対するゲートキーパーの役割を果たし、信頼されたユーザーが、信頼されたデバイスから、信頼された場所を通じてのみ機密データにアクセスできるようにします。これらのポリシーを構成することで、ユーザーの ID、デバイスのコンプライアンス、場所、リスクシグナルに基づいて、Copilot を通じて SharePoint データに照会できるユーザーを制限できます。

まずは、すべてのユーザー種別を対象とする幅広いポリシーから始め、その後、例外や高リスクのシナリオに対する精密なルールで絞り込んでください。意図せずセキュリティの穴を生むような重複や除外設定がないかを継続的に監視することが重要です。基準となる安全な展開計画については、強力な条件付きアクセスポリシーに関するこちらのガイドを参照してください。拡張性のあるアプローチについては、ID ガバナンスに関するこちらのポッドキャストをご覧ください。

Copilot と SharePoint のアクセス許可の実例

チームドキュメントの制限マーケティング担当のユーザーが Copilot に予算のスプレッドシートを探すよう依頼しますが、財務フォルダーは財務部門のスタッフに限定されています。Copilot は「結果が見つかりません」と返します。これらの境界を越えることはできないためです。
継承されたアクセス許可の過剰な広がりアクセス許可の継承が解除されていなかったため、SharePoint サイトのメンバー全員が人事ポリシーフォルダーを閲覧できる状態になっていました。このフォルダーには給与見直しの草案が含まれています。Copilot は全社向けの検索でこれを表示してしまい、継承の管理がいかに重要かを示しています。
外部ゲストの招待元請け業者のゲストアカウントが、技術ドキュメントへのアクセス権を保持したままになっていました。新入社員が Copilot にインストールガイドを尋ねると、AI はそのゲストも閲覧できるコンテンツを取得します。IT 部門が古いアクセス許可を削除するまで、この状態が続きます。
役員向けのカスタムアクセス許可役員チームのフォルダーには固有のアクセス許可が設定されており、取締役会メンバーのみに「編集」が許可されています。Copilot は取締役会メンバーの要約リクエストには応答しますが、それ以外の同僚が同じことを尋ねると沈黙します。カスタムレベルを適切に尊重していることがわかります。
過剰な共有リンクのリスクドキュメントセットが「リンクを知っている全員」の設定で社外に共有されていました。社内ユーザーの Copilot プロンプトが、検索中にこれらの公開ファイルを表示し始めたため、IT 部門はこの発見を受けて共有ポリシーを厳格化しました。

SharePoint で Copilot のアクセスに関する問題をトラブルシューティングする

Copilot が想定しているファイルを見つけられないユーザーが少なくとも「読み取り」アクセス許可を持つライブラリにファイルがあるかを確認してください。フォルダーの継承が壊れている場合、一部のファイルが非表示になっている可能性があります。正しい継承を復元するか、必要に応じてアクセス許可を調整してください。
アクセス許可の設定ミスSharePoint グループからユーザーを削除しても、直接割り当てた権限を消し忘れていることで、アクセスが残ってしまうことがあります。SharePoint の詳細なアクセス許可チェッカーを使い、すべてのグループと固有のアクセス許可を確認してください。
アクセス許可変更の反映遅延サイトやフォルダーのアクセス許可を変更した直後は、Copilot の結果が遅れて表示されることがあります。Microsoft 365 全体でアクセス許可が同期されるまで、少し時間を置いてください。
ゲストユーザーや外部ユーザーの問題ゲストがアクセスできない場合、招待の期限切れや取り消しが原因になっていることがよくあります。こちらのゲストアカウント管理ガイドの推奨事項に従い、ゲストアカウントを定期的に監査して、非アクティブなアカウントや古いアカウントを整理してください。
想定外のデータ公開ユーザーが本来見られないはずの機密データを Copilot で閲覧している場合は、直ちに該当するライブラリーやフォルダーのアクセス許可レベルを監査してください。さらに詳しく調査するには、SharePoint の監査ログと Purview を使用します。

Copilot と SharePoint のアクセス許可に関するよくある質問

Copilot は SharePoint のすべてにアクセスできますか?いいえ。Copilot がアクセスできるのは、ユーザーが SharePoint で表示する権限をすでに持つファイルとデータだけです。現在の権限を超えて利用範囲が広がることはありません。
Copilot は外部と共有されたファイルを参照できますか?Copilot は、組織外から共有されたものも含め、自分のアカウントに共有されたファイルやフォルダーを参照できます。そのため、外部共有の設定が Copilot からアクセスできる範囲に直接影響します。
Copilot は機密性の高いコンテンツや保護されたコンテンツをどのように扱いますか?Copilot は、ファイルに適用された DLP ポリシーや秘密度ラベルを尊重します。そのため、極秘のコンテンツは保護され、Copilot の応答から除外される場合があります。
存在はわかっているのに、Copilot で文書が表示されないのはなぜですか?必要なアクセス許可がない、またはそのファイルに固有のアクセス許可が設定されている可能性があります。自分のアクセス権やグループのメンバーシップを確認するか、管理者にアクセス許可の設定を確認してもらってください。
IT 部門は Copilot のデータアクセスをさらに制限できますか?はい。ロールベースのアクセス制御を使用し、より厳格な DLP 管理を適用し、アクセス許可を定期的に見直すことで、Copilot やユーザーがアクセスできる範囲を絞り込めます。自動監査とアラートを設定すれば、異常なアクセスもすばやく検出できます。

安全に Copilot と SharePoint を利用するためのチェックリスト

不要なアクセスを減らすため、アクセス許可を定期的に見直して整理してください。
すべての機密データに DLP ポリシーと秘密度ラベルを適用してください。
条件付きアクセスを使用して、Copilot の利用を安全なデバイスと信頼できる場所に限定してください。
Purview などのツールで Copilot のアクティビティを監査し、監視とコンプライアンスを確保してください。
Copilot が有効な環境では、共有やアクセス許可の変更が及ぼす影響について、ユーザーに教育してください。

Copilot、SharePoint、セキュリティに関する最後のまとめ

AI が日々の業務に深く入り込むにつれて、SharePoint のアクセス許可管理はこれまで以上に重要になっています。Copilot は生産性を大きく高めますが、セキュリティの基本が盤石であって初めて安全に使えます。誰が何にアクセスできるのかを継続的に確認し、最も機密性の高いデータにラベルを付けて保護し、監査とポリシーの更新を先手で進めてください。

今日準備したことが、明日の Copilot の動作を形作ります。引き続き警戒を怠らず、Microsoft 365 に組み込まれたツールを活用し、Microsoft の AI の進化に合わせて対応を続けてください。それがユーザーに力を与えつつ、組織のデータを管理下に置く方法です。

🎧 あわせて聴きたいエピソード

AI エージェント – 分かりやすい解説
AI を活用した業務の、ガバナンスの基礎を学びます。
Microsoft Entra のID ガバナンス
アクセスとライフサイクルの管理について理解を深めます。
Microsoft 365 ガバナンスの運用モデル
持続可能な所有者モデルと意思決定モデルを探ります。