退職者のアカウントを停止したい、共有ドライブを管理したい、二段階認証を必須にしたい。このような操作で必要になるのが、Google Workspaceの管理者権限です。Workspace 管理者権限 とは、組織のGoogleアカウント、セキュリティ、サービス設定などを管理コンソールから変更できる権限を指します。
ただし、管理者にすれば何でも解決するわけではありません。強すぎる権限を多くの人に渡すと、誤操作や情報漏えいのリスクが上がります。Google Workspaceを安全に運用するポイントは、担当業務に必要な範囲だけを付与する「最小権限」の考え方です。
Workspace 管理者権限とは何か
Google Workspaceでは、社員やメンバーが使う通常のGoogleアカウントと、組織全体を設定する管理者アカウントが分かれています。通常ユーザーはGmail、Googleドライブ、カレンダーなどを利用できますが、会社全体の設定は変更できません。
一方、管理者権限を持つユーザーは、Google管理コンソールにログインし、ユーザーの追加・削除、グループ管理、端末管理、セキュリティポリシー、ライセンスの割り当てなどを行えます。つまり、個人の利用環境ではなく、組織のGoogle Workspace環境そのものを管理する立場です。
管理者権限はメールアドレスに自動で付くものではありません。導入時に最初の管理者が作成され、その管理者がほかのユーザーへロールを割り当てます。担当者が変わったときは、アカウントの引き継ぎではなく、新担当者へ管理者ロールを付与し、旧担当者から外す運用が基本です。
一般ユーザーと管理者の違い
一般ユーザーが操作できるのは、原則として自分のアカウントや、自分に共有されたファイルの範囲です。たとえば、自分のパスワード変更、カレンダー予定の作成、共有ファイルの編集などはできます。
管理者は、組織のルールを作り、適用する側です。新入社員のアカウント発行、退職者の利用停止、社外共有の制限、Google Meetの利用条件、Gmailの迷惑メール対策といった設定を扱います。設定内容によっては全従業員の業務に影響するため、操作前に対象範囲を確認する必要があります。
特に注意したいのは、管理者であっても、すべてのユーザーのメール本文やマイドライブ内のファイルを自由に閲覧できるわけではない点です。データへのアクセス可否は、共有設定、保持ポリシー、監査や電子情報開示に関する機能、法務上の手続きなどに左右されます。「管理者だから中身を見られる」という理解は正確ではありません。
管理者ロールの主な種類
Google Workspaceには、すべての管理機能を扱える特権管理者と、業務ごとに権限を絞った管理者ロールがあります。小規模な組織では特権管理者だけで始めがちですが、利用者が増えるほど役割分担が必要になります。
特権管理者
特権管理者は、もっとも強い権限を持つロールです。ユーザー管理、セキュリティ設定、請求、ドメイン設定、ほかの管理者ロールの付与まで操作できます。管理コンソールからロックアウトされる事態にも対応できるため、組織内に複数名は必要です。
ただし、日常的な問い合わせ対応をする担当者へ安易に付与する権限ではありません。特権管理者のアカウントが乗っ取られると、組織全体の設定変更やアカウント停止につながる可能性があります。通常業務用のアカウントと分けるか、少なくとも二段階認証を必須にし、復旧方法を管理してください。
ユーザー管理・グループ管理の権限
人事や総務、情報システム担当者には、ユーザー管理やグループ管理に限定したロールが向いています。入社時のアカウント作成、部署異動に伴うグループ変更、退職者アカウントの停止といった定型業務を任せられます。
この権限でも、ユーザーを削除する操作には注意が必要です。停止と削除は別の処理です。退職者については、まずログインを停止し、メールやドライブのデータ移管、ライセンス回収、転送設定の確認を済ませてから削除を判断すると、引き継ぎ漏れを防げます。
サービス・端末・セキュリティ管理の権限
GoogleドライブやGoogle Meetの設定を担当する場合は、対象サービスを管理できる権限を割り当てます。会社貸与のスマートフォンやPCを管理するなら、端末管理の権限も必要です。
また、セキュリティ担当者には、監査ログの確認、アラートの確認、二段階認証の適用、外部共有のルール設定などを担当させる方法があります。請求情報まで見せる必要がない担当者には、請求関連の権限を付けないことが重要です。担当範囲が異なるなら、権限も分けるべきです。
管理者権限を付与する基本手順
管理者ロールの付与は、特権管理者がGoogle管理コンソールで行います。管理画面の名称や配置は更新されることがありますが、基本的には「アカウント」内の「管理者ロール」から対象ロールを選び、ユーザーを割り当てます。
付与前には、対象者が組織のGoogle Workspaceアカウントであることを確認してください。個人のGmailアカウントには、通常、組織の管理者ロールを直接割り当てません。
作業後は、対象者に管理コンソールへログインしてもらい、必要なメニューだけが表示されるかを確認します。権限不足で業務が止まることはありますが、最初から特権管理者を渡すより、必要な権限を追加するほうが安全です。
付与前に確認したい4つのポイント
管理者権限は、一度付与したまま放置されやすい設定です。次の4点は、少なくとも担当変更や組織改編のタイミングで確認しましょう。
- 業務範囲を明確にする: アカウント発行だけなのか、セキュリティ設定まで必要なのかを先に決めます。
- 特権管理者を複数確保する: 1名だけにすると、休職・退職・ログイン不能時に管理不能になるおそれがあります。
- 二段階認証を必須にする: 特に特権管理者は、認証アプリやセキュリティキーを含めた強い認証を設定します。
- 不要になった権限を外す: 異動、退職、委託終了時には、ユーザー停止だけでなく管理者ロールも確認します。
よくある失敗と対処法
もっとも多い失敗は、「管理者にしたのに設定画面が見えない」というケースです。これは、付与したロールに目的の権限が含まれていないことが原因です。必要な作業を具体的に洗い出し、既存ロールで足りるか、カスタムロールが必要かを確認してください。
次に多いのが、特権管理者が1人しかいない状態です。その担当者が退職し、復旧用の電話番号や二段階認証の端末にもアクセスできない場合、復旧は大きな負担になります。少なくとも2名以上の信頼できる担当者を特権管理者にし、連絡先や復旧手順を社内で管理しましょう。
また、共有アカウントを管理者として使う運用も避けるべきです。誰が操作したのか追跡しにくく、パスワード変更や退職時の処理も曖昧になります。管理操作は必ず個人に紐づくアカウントで行い、監査ログで確認できる状態を保つことが基本です。
Google Workspaceの管理は、設定を一度済ませれば終わりではありません。新しいサービスの導入、部署変更、外部共有の増加によって、必要な権限は変わります。まずは現在の特権管理者と各担当者のロールを棚卸しし、「この人に本当にこの権限が必要か」を確認するところから始めてください。それだけで、日々の運用トラブルと重大なセキュリティ事故の両方を減らせます。