Teamsの外部アクセスは初期状態で有効、閉じ過ぎない制限手順

Microsoft Teamsの外部アクセスは既定で有効です。必要な社外チャットを残しながら未知の相手からの接触を減らすには、全面停止を出発点にせず、許可ドメイン、管理外Teamsアカウントからの会話開始、ユーザー別ポリシーの順に対象を絞ります。Microsoftの外部チャット案内 も、外部アクセスが自動的に有効になる一方、管理者が無効化または制限できると説明しています。

この設定で直接制御するのは、主に別組織のTeamsユーザーや管理外Teamsアカウントとの通信です。招待済みゲストによるチーム利用と、サインインしていない参加者の会議参加は別の経路なので、一括して同じ結果になるとは考えず、個別に設定と動作を確認します。

外部アクセス、ゲスト、匿名会議の違い

最初に、制限したい接触がどの機能を通っているかを判定します。外部アクセスの相手には、自社のチーム、サイト、その他のMicrosoft 365リソースへの権限が自動的に付与されません。チームやチャネルで共同作業させる場合は、ゲストアクセスまたは共有チャネルを構成します。

• 外部アクセス：別のMicrosoft 365組織とのチャットや会議、管理外Teamsアカウントとの通信を制御する。
• ゲストアクセス：招待した外部ユーザーがチーム、チャネル、共有リソースを利用できる範囲を制御する。
• 匿名会議参加：サインインしていない参加者などを会議へ参加させるか、ロビーでどう扱うかを制御する。

外部ドメインをブロックしても、匿名参加が許可されていれば、そのドメインの利用者が匿名として会議に入れる場合があります。したがって「社外チャットを制限する」「ゲストの共同作業を止める」「匿名参加を禁止する」は、別々の管理目的として扱います。

手順1：許可ドメインで必要な組織だけを残す

継続的に通信する取引先が特定できるなら、組織全体の外部アクセスを無効にするより、許可ドメイン方式の方が業務経路を明示できます。Microsoft Learnの管理手順 によると、外部ドメインは既定ですべて許可され、許可リストを設定すると記載されていないドメインがブロックされます。反対に、ブロックリスト方式では記載したドメイン以外との通信が残ります。

1. Teams管理センターで「ユーザー」から「外部アクセス」を開く。
2. 外部組織のTeamsおよびSkype for Businessユーザーに関する項目で「特定の外部ドメインのみを許可する」を選ぶ。
3. 「外部ドメインの追加」で、業務上必要なドメインを登録して完了する。
4. 許可した取引先側でも、自社ドメインとの外部アクセスが認められているか確認する。

双方の組織で外部アクセスが許可されていなければ、片側の許可リストだけでは通信できません。また、ブロックリストでは親ドメインを指定してもサブドメインが自動的にブロックされないため、ブロック方式を選ぶ場合は対象範囲を別途確認する必要があります。

許可リストへ移行する前に、現在連絡している取引先だけでなく、新規案件や緊急連絡で必要になる組織も洗い出します。追加申請の窓口、承認者、反映期限を決めておかないと、正当な新規連絡まで長期間止める運用になりかねません。

手順2：管理外アカウントからの開始だけを止める

Teams Freeなどの管理外Teamsアカウントは、Microsoft 365組織のドメイン許可とは別に制御できます。Teams管理センターの「ユーザー」「外部アクセス」で、まず「組織内のユーザーが管理外Teamsアカウントと通信できる」設定を確認します。

自社から管理外アカウントへ連絡する必要はあるものの、相手からの予期しない接触を減らしたい場合は、通信自体を有効にしたまま「管理外Teamsアカウントを持つ外部ユーザーが組織内のユーザーに連絡できる」設定をオフにします。この組み合わせでは、管理外ユーザーはメールアドレスで社内ユーザーを検索して会話を開始できず、社内側から通信を始める必要があります。

個人アカウントとの業務連絡を一切認めない場合は、管理外Teamsアカウントとの通信自体をオフにします。前者は着信方向だけを狭める設定、後者は経路そのものを閉じる設定であり、影響が異なります。

手順3：ユーザー別ポリシーで例外を限定する

外部連携の必要性が職務ごとに違う場合は、組織設定に加えて外部アクセスのカスタムポリシーを使います。Teams管理センターで「ユーザー」「外部アクセス」「ポリシー」の順に開き、「追加」から名前、説明、許可する機能を設定し、対象のユーザーまたはグループへ割り当てます。

組織設定は利用可能な外部アクセスの土台であり、ユーザーポリシーは誰がその機能を利用できるかを決めます。通信には両方の許可が必要なので、テナント全体の外部アクセスを無効にした状態をユーザーポリシーだけで覆すことはできません。

ドメインを細かく指定するカスタムポリシーでは、ユーザーに割り当てたドメイン設定が組織設定より優先されます。カスタムポリシーのないユーザーは組織設定を継承するため、営業や調達だけに承認済み取引先との通信を許可する、といった分離が可能です。

1. 組織全体で有効にする外部アクセス機能を決める。
2. 社外連絡が必要な職務と対象グループを特定する。
3. 必要な通信だけを有効にしたカスタムポリシーを作る。
4. ユーザーまたはグループへ割り当て、対象者と非対象者の双方で確認する。
5. 異動、職務変更、契約終了に合わせて割り当てを見直す。

PowerShellではテナント設定とポリシーを分ける

複数テナントへの展開や変更記録の保存には、Microsoft Teams PowerShellを併用できます。テナント全体のフェデレーションとドメイン一覧はSet-CsTenantFederationConfiguration、ユーザーごとの外部アクセス方針はSet-CsExternalAccessPolicyで扱うため、同じ階層の設定として混在させないことが重要です。

Set-CsTenantFederationConfigurationの仕様 では、AllowFederatedUsersがテナント全体のマスタースイッチで、falseの場合はAllowedDomains、BlockedDomains、外部アクセス各ポリシーの値にかかわらず外部ドメインとの通信が止まると定義されています。管理外Teamsアカウントとの通信はAllowTeamsConsumer、管理外アカウントによる検索と会話開始はAllowTeamsConsumerInboundで分けて制御します。

1. 変更前にテナント構成、ドメイン一覧、外部アクセス方針、割り当て状況を取得する。
2. テナント設定で、フェデレーションのマスタースイッチと許可・ブロック対象を構成する。
3. 管理外アカウントとの通信と、相手側からの会話開始を別々に構成する。
4. 必要なユーザーポリシーを作成または更新し、対象者へ割り当てる。
5. 設定を再取得し、変更前との差分と実際の割り当てを確認する。

AllowedDomainsとBlockedDomainsは単純な文字列ではなく所定のオブジェクトで扱われ、更新方法によっては既存リストを置換します。実行前に現在値を保存し、導入済みのMicrosoft Teams PowerShellモジュールに対応する公式構文を確認してから、限定した利用者で適用結果を確かめます。

変更後は通信経路ごとに検証する

管理センターで保存できたことだけでは、業務上必要な経路が残ったとは判断できません。設定の反映後、送信側と受信側、組織アカウントと管理外アカウントを分けて確認します。

• 許可済み取引先：双方から相手を検索し、新規チャットを開始できるか。
• 未登録の組織：検索、着信、新規チャットが意図どおり制限されるか。
• 管理外Teamsアカウント：社内から開始した通信は成立し、管理外側からの開始だけが止まるか。
• 招待済みゲスト：割り当て済みのチームやチャネルを引き続き利用できるか。
• 匿名の会議参加者：会議ポリシーとロビー設定に従って処理されるか。

閉じ過ぎを避ける順序は、必要な組織を許可リストで残し、管理外アカウントからの会話開始を別に止め、職務差がある部分だけをユーザーポリシーで分けることです。最後にゲストアクセスと匿名会議を別経路として確認すれば、外部連携を全面停止せずに接触範囲を狭められます。