権限の棚卸しをすると、たとえばこんな割り当てが見つかることがあります。3か月前の移行作業のために付けた管理者ロールが、作業が終わったあとも付いたまま残っている。付けた本人は覚えておらず、外した記録もない。悪意があって起きたことではなく、「終わったら外す」という工程が誰の担当でもなかっただけです。
この種の権限は、付与の判断より剥がす工程のほうが難しい。Google Workspaceの管理コンソールに、その工程を仕組みに寄せる変更が入りました。
期限を決めて渡し、期限で自動的に剥がれる
2026年9月23日の告知で、管理者ロールを「期間を決めて」割り当てられるようになりました。告知では、すべてのGoogle Workspaceのお客様が対象で、Rapid Release・Scheduled Releaseのどちらのドメインでもすでに使えるとされています。指定した期限に達すると、そのロールで与えられていたアクセス権が自動的に取り消されます。
渡せる相手はユーザーだけではありません。グループ、サービスアカウントも対象です。期間は、特権管理者がロールを割り当てるときに、30日といったあらかじめ用意された選択肢から選ぶか、日時を自分で指定します。管理者向けヘルプによると、指定できるのは最長1年です。
告知が挙げている例外は1つです。組織のプライマリ管理者には期限付きロールを割り当てられません。プライマリ管理者は恒久的な特権管理者の権限を必要とするためで、ここは従来どおりです。
何が減るのかを取り違えない
この機能で減るのは、権限そのものではなく「棚卸しの対象」です。
恒久的に付いている権限は、定期的に一覧を出して1件ずつ要否を判断する必要があります。期限付きで渡したものは、その判断が不要になります。棚卸しのときに見るべき対象が、期限のないものだけに絞られる。1人のIT担当が兼務で管理コンソールを見ているような組織では、この差が実際の作業時間として効いてきます。
逆に言えば、期限を付けずに渡した権限は何も変わりません。誰にどのロールを渡すかという設計そのものは、管理者権限の委任と最小権限で整理した考え方が引き続き必要です。期限は、その設計の上に乗る運用の道具です。
期限をどこに置くか
実務で迷うのは日付の決め方です。作業の終了予定日をそのまま入れると、足りなくなることがあります。検収前の手直しや、切り替え直後の問い合わせ対応が残るためです。
| 渡す相手 | 期限の置き方 |
|---|---|
| 短期プロジェクトの担当者 | 検収予定日ではなく、切り替え後の様子見期間の終わりに置く |
| 休職・長期不在の代理 | 復帰予定日。延びたら延長するほうが、最初から長く取るより安全 |
| 外部監査・調査の対応 | 報告書の提出日。作業期間ではなく成果物の締切に合わせる |
どの場合も、期限が切れたときに何が止まるかを先に確認しておきます。管理者ロールに紐づいた自動処理がある場合、権限が切れるとその処理が静かに失敗することがあります。サービスアカウントへ期限付きで渡すときは特に注意が必要です。
外部の業者に管理者権限を渡すとき
移行作業や設定変更を外部に頼むとき、管理者権限をどう渡すかは毎回の交渉事になりがちです。期限付きロールが使えるなら、この交渉は単純になります。
- 作業範囲に必要なロールだけを、作業期間に合わせた期限付きで渡す
- 特権管理者が必要な作業と、そうでない作業を先に分けてもらう
- 延長の依頼が、そのまま作業が長引いた記録になる
権限が特定の人に集まっている状態の危うさは特権管理者の集中と委任に書きました。期限付きで渡せるようになったことで、「権限を渡すのが怖いから自社の担当者が全部やる」という選択を取らずに済む場面が増えます。
見落としやすいところ
期限で失効するのはロールによるアクセス権であって、アカウントそのものではありません。外部の担当者に発行したアカウントが残っていれば、その人はログインできます。ロールの期限とアカウントの停止は別の作業です。
グループにロールを付けている場合も注意が要ります。グループへの期限付きロールは、そのグループのメンバー全員に効きます。期限内にメンバーが追加されれば、その人にも権限が渡ります。
今週やること
管理コンソールでロールごとの割り当て先を確認し、「いつまで必要か答えられない割り当て」に印を付けてください。それが、期限を付け直す候補です。全部を一度に切り替える必要はなく、次に権限を渡すときから期限付きにするだけでも、半年後の棚卸しの量は変わります。
2026年9月25日に、Google Workspace Updatesの2026年9月23日付の告知と、管理者向けヘルプ「Assign specific admin roles」（9月18日更新）の該当箇所を確認しました。対象（すべてのGoogle Workspaceのお客様）と提供状況は告知、最長1年の上限はヘルプの記述です。ヘルプには、機能の提供が完了するまで一部の利用者には管理コンソールに期限の選択肢が表示されない場合がある、との注記が残っています。管理コンソールでの割り当て操作、期限到達時の挙動、サービスアカウントへの適用結果は未検証です。本記事は適用条件と運用設計の整理です。
管理者権限の棚卸しや、外部に作業を頼むときの権限設計は、グリームハブへご相談ください。
