Google Workspaceのビジター共有機能を使ってみる

2020年8月31日、Google Workspaceにて、以前からアナウンスのあった「ビジター共有機能」が公開されました。利用するにあたっては管理コンソールから変更と、情報流出に関する注意点があるので、気をつけて運用する必要があります。

概要

外部の協力会社や協業を行うメンバーとの間でこれまで、相手がGoogleアカウントが無い場合には、１つのスプレッドシートなどで共同作業が出来ませんでした。しかしこの機能を使うことで、アカウント無しでPINコードを使ってログインし、作業が出来るようになるというもの。Businessプラン以上で利用が可能です。この機能の対象となるのは

1. ドライブ
2. スプレッドシート
3. ドキュメント
4. スライド
5. サイト

のメインとなるアプリです。但し利用するには管理コンソールから有効化する必要があると同時に、組織外とのファイル共有もONにする必要があります。メリットとしては

1. PINコードは連絡用メアドがあれば発行して通知まで一括で行えます
2. Googleアカウント同様に、そのメアドに対して編集や閲覧などの権限付与をコントロール可能
3. 相手はアカウントなしで編集作業が出来る
4. こちらは相手にわざわざファイルをダウンロードや変換して、メールベースで渡し合いの手間を掛ける必要がなくなる

しかし、組織外との共有を必要とするため、リスクとして

1. 外部共有されたままファイルの管理が放置され、外部流出の可能性が高まる
2. 無関係のファイルまで外部共有オッケーになってしまうため、意図せず外部共有してしまい流出の可能性が高まる
3. 第三者にPINコードが漏れることで、協業相手以外にファイルを改竄される可能性もある

ということで、日本では正直なかなか使うにはユーザのITリテラシーや管理手法（外部共有用に別ドメイングループをGoogle Workspaceに設けてそこで共有させるなど）が必要になってくるので、なかなか使えるかどうか・・・

ということで、ビジター共有を使う場合はより一層のセキュリティ設定を施したほうがベターです。以下のエントリーにまとめていますので参考にしてみてください。

Google Workspaceで高度なアクセス制限を実現する

使えるようにする

管理者権限で管理コンソールから機能をオンにする必要があります。デフォルトではオフになっています。また、前項のようにリスクがある機能なので、よく考えた上でONにする必要があります。

1. 管理コンソールに入る
2. アプリ⇒Google Workspace⇒ドライブとドキュメントの設定に入る
3. 共有設定を開く
4. 共有オプションをクリックする
5. オン – オーナーが hogehogeのユーザーであるファイルは、hogehogeの外部で共有できます。この設定はすべての共有ドライブのファイルに適用されます。を有効にする。
6. ウェブ上でファイルを公開したり、一般公開ファイルや限定公開ファイルとして一般ユーザーが閲覧できるようにしたりすることを officeforest のユーザーに許可する。をオンにする
7. また、一個上のホワイトリストを用いた許可の場合には、hogehogeの外部にいる、Google アカウントを持たないユーザーに共有の招待状を送信することを hogehoge のユーザーに許可する。を有効にする必要がある。こちらのほうがリスクは低くなるが、ホワイトリスト管理にドメイン登録必要。

図：人数の多い組織だとちょっと不安な設定

PINコードの発行と共有方法

実際に、特定のファイルを企業外部の人間にPINコードで共有できるように作業をしてみましょう。以下の手順で行います。

1. Googleスプレッドシート等のファイルを右クリック⇒共有をクリック
2. メアド欄に普通に相手のメールアドレスを入れる
3. 組織外のメンバーと共有しますか？と出るので、「このまま共有」をクリック
4. 相手に共有メールが飛んでいく
5. メールの中の「Open in Sheets」をクリックする
6. メールアドレスの確認画面が出るので「送信」をクリックする
7. Google確認コードというPINコードメールが再度自動でメールで送られてくる
8. PINコードをログイン画面に入力して、次へをクリック
9. You’re Currently Signed in as と出るので、OKをクリックして編集作業へ

ただ、現在はまだログイン後のUIが英語のままで変更方法が見当たらない。

図：送り手はこれまで通り普通にメアド入れて送信するだけ

図：相手はこのメールを受け取る

図：PINコードメールが届く

図：アカウント名がVisitorになってる

図：一時的な権限の場合編集できず、編集権限だと期限を設定できず

どうしても外部共有メアドが入れられない

このケースは色々な要因があるため、調べるべき項目がいくつもあります。

• 共有を設定しようとしてるアカウントが「管理者」であるかどうか？
• また対象のユーザが外部共有できる組織部門に所属しているかどうか？
• 管理者であっても、管理コンソールの共有ドライブに於ける共有設定⇒共有オプションに於いて、適切な設定がなされていない。
  • xxxxの外部との共有がオフになっていないか？
  • 許可リスト登録済みドメインの場合は、ホワイトリストに対象ユーザのドメインが追記されているか？（Google Workspaceアカウントである必要がある）
  • xxxx のユーザーまたは共有ドライブが、ビジターとの共有機能を使用して.... にチェックが入っているかどうか？（入っていないとGoogle Workspaceアカウントではないユーザや、Gmailアカウントの人は追加出来ません）。ちなみにこの場合、ホワイトリストに登録出来るのは、Google Workspaceアカウントである必要があります。
  • xxxxの外部との共有がオンの場合には、相手がGoogleアカウントではないものであっても共有が可能になります（例：onmicrosoft.comなど）。gmail.comのアカウントの場合もこちらの設定である必要がある。
  • 共有ドライブ自体の設定にて、「xxxx 外のユーザーにファイルへのアクセスを許可する」がオフ場合、外部共有そのものが出来ません。
  • 共有ドライブ自体の設定にて、「共有ドライブのメンバー以外のユーザーにファイルへのアクセスを許可する」がオフの場合、共有ドライブのメンバー以外のアクセスが遮断されてしまいます。
• 対象の共有ドライブがそもそも外部共有化としてる組織部門に所属していない。こちらで設定可能です。

共有ドライブは作成するとルート直下に配属されるようになっているため、ルート直下が外部共有禁止となっている場合にはどうがんばっても外部メンバーを追加することはできません。

また外部メンバーがgmail.comの個人用アカウントの場合、ホワイトリストには追加することが出来ません。