取引先に見積もりのスプレッドシートを共有しようとして、共有先のメールアドレスを入れた瞬間に灰色のメッセージが出る。「この情報は、組織の Google Workspace アプリ内でのみ共有できます」。相手のアドレスは合っているし、タイプミスもない。それでも共有ボタンが押せない。
情シス窓口に来る質問として、これはかなり上位に入ります。そして、問い合わせてきた本人が何か操作を間違えたケースは、ほぼありません。このメッセージは、管理コンソール側で外部共有が閉じられているときにユーザーへ返る表示です。つまり原因は管理者側にあり、ユーザーの端末やブラウザをいくら見ても何も出てきません。
厄介なのは、外部共有の設定が1か所ではないことです。「外部共有をオンにしたはずなのに、まだ共有できない人がいる」という二次的な相談が発生するのは、ここが理由です。
締めている場所は4か所ある
Google ドライブの外部共有は、次の4つの層で制御されます。管理コンソールの「アプリ → Google Workspace → ドライブとドキュメント → 共有設定」が入り口です。
| 層 | 制御する範囲 | よくある設定 |
|---|---|---|
| 組織全体 | ドメイン配下の既定値 | 「オフ」にしたまま運用開始している |
| 組織部門（OU） | 部署・雇用形態ごとの上書き | 営業だけ開け、アルバイトOUは閉じる |
| 共有ドライブ個別 | そのドライブ単体の設定 | プロジェクト用ドライブだけ外部を許可 |
| 信頼できるドメインの許可リスト | 共有相手のドメインを限定 | 常駐先と主要取引先のみ登録 |
この4層で重要な性質がひとつあります。上位の層で制限したものを、下位の層で緩めることはできません。組織全体でオフにしていれば、OUや共有ドライブ側でどれだけ開けようとしても外部には出せません。「OUで許可したのに共有できない」という相談の大半は、この一方通行を見落としています。
上から順に見れば必ず特定できる
原因の切り分けは、層をまたいで推測するより、上から順に潰すほうが速く終わります。
- 対象がマイドライブのファイルか、共有ドライブのファイルかを確認する。この2つは設定系統が別なので、ここを取り違えると別の層を見続けることになります
- 組織全体の共有設定を見る。ここがオフなら、以降の層は見るだけ無駄です
- 申告してきたユーザーが所属するOUを特定し、そのOUの設定を見る。組織図上の部署ではなく、管理コンソール上でどのOUに置かれているかを見ます。ここが実態とずれている組織は珍しくありません
- 共有ドライブのファイルなら、その共有ドライブ個別の設定を見る
- 信頼できるドメインの許可リストを使っている場合は、相手のドメインが載っているかを見る
5まで来て初めて「相手のドメインが未登録だった」と分かることがあります。ここまでの手順を飛ばして許可リストだけ見に行くと、実は組織全体がオフだった、という遠回りが起きます。
OUの割り当てそのものが曖昧になっている場合は、共有設定より先にそちらを整理したほうが結果的に早く済みます。管理コンソールのどこに何があるかはGoogle Workspace 管理コンソール入門にまとめています。
「とりあえず全開」にしないための開け方
原因が特定できたあと、いちばんやってはいけないのが組織全体をオンにして解決とすることです。1件の共有のために、全社員が全ドメインに対して共有できる状態を作ってしまうからです。
段階的に開けるなら、上の層ほど慎重に扱うのが基本になります。
- 信頼できるドメインの許可リストを使う — 常駐先や主要取引先のように、共有相手が固定されている場合はこれが最も締まった形です。相手が増えるたびに登録の手間はかかりますが、その手間が事実上の承認プロセスとして機能します
- 共有ドライブ単位で開ける — 案件ごとに共有ドライブを切っている組織なら、その案件のドライブだけ外部を許可します。案件が終われば設定ごと閉じられます
- OU単位で開ける — 外部とのやり取りが業務に含まれる部署だけを開けます。ただし人の異動でOUが動くので、OUの棚卸しとセットでないと形骸化します
共有ドライブそのものの権限モデル（管理者・コンテンツ管理者・投稿者の違い）が整理できていないと、外部共有を開けた瞬間に想定外の範囲まで出ていきます。先に共有ドライブの権限ロールを設計するを確認しておくと事故が減ります。
見落とされやすい3つのずれ
1つめは、外部共有とゲストアカウントを混同することです。「取引先に共有したい」の解として、外部共有を開けるのではなくゲストとして招く選択肢もあります。用途と管理コストが違うので、Google Workspace のゲストアカウントで比較したうえで選んだほうが、後から締め直す作業が減ります。
2つめは、リンク共有と個別招待の扱いが別だという点です。「リンクを知っている全員」を閉じていても、メールアドレス指定の招待は通る設定にできます。逆もできます。ユーザーが「共有できない」と言うとき、どちらの操作をしていたのかを聞かないと、見る場所を間違えます。
3つめは、設定変更が既存ファイルにも及ぶことです。外部共有をオンにすると、これから作るファイルだけでなく、既に存在するファイルも共有できる状態になります。「これから慎重に運用します」では追いつかないので、開けるときは範囲を絞るという方針でしか制御できません。
なお、外部に出せる・出せないの線引きを人の運用だけで支えるのは限界があります。個人情報や機密情報が本文やファイルに含まれているかを機械的に見る仕組みはGoogle Workspace の統合DLPでGmailのデータ漏洩を止めるで扱っています。
次にやること
まず、自社の組織全体設定が今どうなっているかを見てください。「オフのまま運用していて、必要なときだけ個別に問い合わせが来る」状態なのか、「オンのまま誰も見ていない」状態なのか。この2つは見た目の平穏さが同じで、リスクが正反対です。
そのうえで、外部とやり取りする業務が実際にどの部署にあるかを洗い出せば、OUと共有ドライブのどちらで区切るべきかは自然に決まります。
組織構成に合わせた共有設計や、OUの切り直しを含めて相談したい場合は、グリームハブのIT・Google Workspace 無料相談で承っています。体制や取引先の数によって適切な区切り方は変わるため、個別にご相談ください。お問い合わせからどうぞ。
