SharePoint 2007 のグループとアクセス許可レベル

SharePoint に限らず、どのようなグループウェアでもややこしいのがアクセス権限の管理です。
しかし、これを理解しないでは、運用がままなりません。
とにかく、いろいろと触ってみることにします。

SharePoint 2007 のアクセス権限管理は [アクセス許可レベル] [グループ] そして [ユーザ] という要素で成立しています。

さらにこれを利用して、サイトコレクション、サイト、リスト（ライブラリ）、フォルダ、アイテム（ファイル）単位でコントロールすることができます。

コントロールについては、デフォルトでは サイトコレクション→サイト→リスト→フォルダ→アイテム と、上位の権限は下位にそのまま継承されます。ただしどの段階でも、この継承を中止して（サイトであれば [固有の権限] 、リスト以下であれば [権限の編集] ）独自の制御を持つことが可能です。

権限は、[アクセス許可レベル] と [グループ] [ユーザ] の組合せで構成されます。

[アクセス許可レベル] はアクセス権限のセットです。
[グループ] や [ユーザ] に対して指定するチェックボックスの内容です。

この権限セットは自由にカスタマイズすることが可能です。
しかし、この設定場所が判りにくい。

[サイトの設定]→[権限の設定（詳細）]→[設定／アクセス許可レベル]

既存のアクセス許可レベルのうち、 [フル コントロール] と [制限付きアクセス] は削除・変更ができませんが、それ以外は全てカスタマイズ（削除も）可能です。

ただ、[閲覧] と [投稿] は次のグループのからみがありますので、編集はしても削除しないことをお勧めします。

アクセス許可レベルをカスタマイズすることで「投稿はできるが編集はできない」「編集はできるが削除はできない」など、デフォルトにはない権限を作成することができます。ひとつの許可レベルをコピーして、次のレベルを作成することのできるのが便利です。

注意点は、デフォルトでは [メンバ] グループには表示だけでなく、追加・編集・削除も可能な [投稿者] 権限が付与されていることです。この権限を持つユーザは、発行機能で作成されているページについて、新規ページ作成・編集（Webパーツの追加や削除、設定変更）が出来てしまいます。これを防ぐには、あらかじめ [ページ] ライブラリの権限を編集して、[メンバ] 権限を弱めておく必要があります。

個人的には、[投稿] をカスタマイズして文字とおり投稿のみの権限として、それ以外に [編集] [削除] [承認][アクセス権限変更] という権限レベルを作成すると、より細かな運用ができるのではないかと考えています。

次にグループです

SharePoint グループは、それを作成したサイト（つまりどのサイトの [ユーザーとグループ] 画面から新規作成したか）に紐づきます。

各サイトの [ユーザーとグループ] 画面では、左側のナビには、まずそのサイトで作成されたグループのみが表示され、[その他…] をクリックすると、サイトコレクションに存在する全てのグループを表示するようになっています。

このグループをメンテナンスする権限は、通常のアクセス権とは別個にグループ毎に指定するようです。
グループ所有者（一人or特定グループ）はグループの設定を全て変更できます。

グループに対して、登録ユーザを表示できる範囲（メンバのみ or すべてのユーザー ）や、登録ユーザの変更を許す範囲（グループの所有者のみ or グループメンバ全員）を設定することができます。
グループに対する参加/脱退の要求を許可するかどうかもここで指定します。

作成時に [固有の権限] を持つことにしたサイトには、デフォルトで三つのグループが作成されます（ホームはデフォルトで）

（サイト名）のメンバ
（サイト名）の閲覧者
（サイト名）の所有者

メンバにはデフォルトで [投稿] 権限が、閲覧者には [閲覧] 権限が、所有者には [フルコントロール] が設定されます。

ただ、これらには「デフォルトでグループが作成されていて、権限も設定されている」という以上の意味は無いようです。設定されている権限を変更したり（閲覧者にフルコントロール権限をつけたり）グループ自体を削除することも可能です。[所有者] グループも削除できます。

なお、誤って削除してしまった場合には [サイトの操作]→[サイトの設定／ユーザとグループ]→[グループ]→[設定／グループのセットアップ] で戻すことができます。また、アクセス許可レベルをカスタマイズしていて、該当するアクセス許可レベルが無くなっている場合は、グループと解説文だけが設定され、権限は付与されません。

SharePoint 2007 のアクセス制御は「使える」のか？