「とりあえず管理者にしておけば早い」は、Google Workspace運用で最も後から困りやすい判断です。Google Workspace 権限 管理は、管理コンソールの操作権限だけでなく、Googleドライブの閲覧・編集権限、共有ドライブ、Googleグループ、組織部門の設定まで関係します。設定する人、使う人、データの所有者を混同しないことが、安全で引き継ぎやすい環境づくりの出発点です。
本記事では、非エンジニアの管理担当者でも判断できるように、権限の全体像と実務で外せない設定手順を整理します。新規導入時だけでなく、「退職者のファイルが残っている」「外部共有が心配」「管理者が一人しかいない」といった状態の見直しにも使えます。
Google Workspace 権限 管理で最初に分けるべき4つ
権限トラブルの多くは、「どの権限の話か」が曖昧なまま設定を変えることで起こります。まずは次の4つを別のものとして考えてください。
1つ目は、管理コンソールを操作するための管理者権限です。ユーザーの追加、パスワードの再設定、セキュリティ設定、ライセンスの割り当てなどを行えます。最上位の特権管理者は非常に強い権限を持つため、日常業務のために広く配るものではありません。
2つ目は、ユーザーを設定単位で分ける組織部門です。たとえば営業部と管理部で外部共有の可否や端末管理のルールを変えたいときに使います。組織部門はフォルダではなく、ポリシーを適用する単位です。
3つ目は、メール配信や共有設定をまとめるGoogleグループです。「sales@example.com」のようなグループを作り、関係者を追加しておけば、メンバーの異動時も個別のファイル共有先を一つずつ直す必要が減ります。
4つ目が、ドライブやドキュメントなどのデータへのアクセス権です。閲覧者、コメント可、編集者といった権限が該当します。管理者であっても、原則として個人のマイドライブ内にあるファイルを自由に閲覧できるわけではありません。この点は誤解されがちです。
管理者権限は「役割」で渡す
特権管理者を複数人にすると安心に見えますが、設定ミスやアカウント乗っ取りの影響範囲も広がります。特権管理者は、経営者または責任者を含めて2人以上に限定し、普段の管理作業は役割別の管理者権限で行うのが基本です。
たとえば、人事担当者にはユーザーの作成・停止に必要な権限、ヘルプデスク担当者にはパスワード再設定の権限、端末担当者にはモバイル端末管理の権限を割り当てます。請求やライセンス管理も、担当者が明確なら分けたほうが監査しやすくなります。
設定は管理コンソールの「アカウント」から「管理者の役割」を開き、既存の役割を割り当てます。既存の役割で不足する場合だけ、必要な権限を選んだカスタムの役割を作成してください。最初から細かく作り込みすぎると運用が複雑になるため、担当業務が明確な領域から分ける方法が現実的です。
なお、特権管理者には必ず2段階認証プロセスを適用します。可能であれば、通常のメール業務に使うアカウントとは別に、管理専用アカウントを用意する選択肢もあります。小規模組織では管理の手間との兼ね合いがありますが、重要な設定を扱う担当者だけでも分離すると事故への耐性が上がります。
「一人しか管理者がいない」を放置しない
代表者だけが特権管理者で、休職・退職・ログイン不能になったときに誰も設定を変えられないケースは珍しくありません。少なくとも2名の特権管理者を置き、それぞれの連絡先と2段階認証の復旧手段を定期的に確認してください。
ただし、退職済みの元担当者を保険として特権管理者に残すのは危険です。引き継ぎが完了したら、アカウントの停止と権限削除を同時に行います。
組織部門とグループを混同しない
組織部門は、セキュリティやサービス利用のルールを適用するための仕組みです。たとえば全社員は外部共有を許可しつつ、機密情報を扱う部署だけ外部共有を制限する、といった設計に向いています。
一方、グループは人の集合です。営業部の全員に資料を共有したい、問い合わせメールを複数人で受けたい、といった場面ではグループを使います。部署異動が起きても、グループのメンバーを更新すればアクセス権を追従させられます。
ここで注意したいのは、組織部門を変更しても、既存のファイル共有権限が自動で整理されるわけではないことです。異動した人が以前の部署のグループに残っていれば、資料を見続けられます。人事異動の手順には、組織部門の変更と対象グループの追加・削除を必ずセットで入れましょう。
ファイルは共有ドライブ中心に設計する
個人のマイドライブに業務ファイルを置くと、作成者の退職や異動で管理が難しくなります。特に見積書、顧客リスト、社内マニュアル、契約関連のように組織の資産として残すものは、共有ドライブに保存する運用が適しています。
共有ドライブでは、ファイルの所有主体が個人ではなく組織側になります。そのため、作成者が退職してもファイルが消えにくく、後任への移管も容易です。メンバーには閲覧者、投稿者、コンテンツ管理者、管理者などの役割を割り当てられます。
便利だからといって全員を管理者にする必要はありません。通常の担当者は投稿者またはコンテンツ管理者、構成変更やメンバー管理を担う少人数だけを管理者にするのが目安です。削除・移動・共有設定の変更がどこまで必要かで決めると迷いません。
外部ユーザーとの共有は、共有ドライブ単位で許可範囲を考えます。取引先と共同作業が頻繁にあるなら、外部共有専用の共有ドライブを分ける方法が有効です。社内限定の資料と同じ場所に置くより、誤共有のリスクを下げられます。
退職・異動時は「停止前」にデータを確認する
退職者のアカウントを即座に削除すると、メールやファイルの引き継ぎが不完全になる場合があります。まずアカウントを停止してログインを止め、業務メール、予定、マイドライブのファイル、共有ドライブのメンバー権限を確認します。その後、必要なデータ移管と転送設定を行い、保存期間のルールに沿って削除またはアーカイブを判断します。
重要なのは、退職者が作ったファイルすべてを後任に丸ごと渡すことではありません。個人用の下書きや不要な複製まで移管すると、後の検索性と管理負荷が悪化します。継続業務に必要なデータを共有ドライブへ移し、今後も使うグループから退職者を外すことを優先してください。
月1回の権限点検で事故を防ぐ
権限管理は、初期設定で終わりではありません。異動、委託先の変更、プロジェクト終了のたびに権限は増えやすく、不要なアクセス権は自然には減りません。
月1回、または少なくとも四半期に1回は、特権管理者の一覧、外部ユーザーが含まれるグループ、共有ドライブの管理者、停止予定アカウントを確認します。大きな組織では部門責任者に確認を依頼する運用も有効ですが、小規模事業者なら対象を絞って管理者が確認するだけでも効果があります。
権限を厳しくしすぎると、現場が個人アカウントや別のツールにデータを持ち出す原因にもなります。安全性と業務スピードの両方を守るには、「誰が何をするために必要か」を基準に、最小限の権限を渡すことが大切です。まずは特権管理者の一覧を開き、不要な管理者がいないかを確認するところから始めてください。