Microsoft SharePoint
Microsoft SharePointの接続方法
1. 接続を作成
- 接続から「接続を作成」をクリックします。
2. 接続設定
- 接続名を設定して、「接続する」をクリックします。
3. SharePointへのアクセス許可を与える
- 管理者アカウントを選んでログインします。
- アプリに許可を行います。
4. 「保存」を押して接続名が設定されていることを確認する。
- 「保存」を押して接続名が設定されていることを確認します。
⚠️ Microsoft系アプリで管理者の同意が必要な場合
企業のMicrosoftセキュリティポリシーにより、外部アプリへのアクセス許可がブロックされている場合、接続時に以下のようなメッセージが表示されることがあります。
「workrunには、組織内のリソースへのアクセス許可が必要です。このアクセス許可を付与できるのは管理者のみです。」
この場合、貴社の情シス部門にMicrosoft Entra IDでの管理者同意（Admin Consent）の付与を依頼してください。
【標準のworkrun接続を利用している場合に、情シス担当者へ共有する情報】
- アプリ表示名：workrun
- クライアントID：f099e7f6-b923-41ce-9362-ee72073805f4
自社Azureアプリを利用している場合は、自社で登録したアプリの表示名とクライアントIDを共有してください。
管理者同意の具体的な手順は、以下のMicrosoft公式ドキュメントをご参照ください。
管理者同意の付与後、再度Microsoft SharePointへのアクセス許可を行ってください。
アクセス許可とセキュリティ上の注意
Microsoft SharePointをworkrunへ接続するとき、Microsoftの同意画面で「すべてのファイルへのアクセス」など、広い範囲のアクセス許可が表示される場合があります。
アクセス許可の表示だけを見て「組織内のすべてのSharePointファイルを無条件に閲覧できる」と判断する必要はありません。標準接続では、接続に使用したMicrosoftアカウントがアクセス可能な範囲が基準になります。
接続アカウントの権限範囲について
標準のworkrun接続では、Microsoftへのサインイン時に許可したアカウントの権限を使ってSharePointを操作します。
- 接続アカウントが閲覧できるサイト・ファイルは、workrunからも取得できる可能性があります。
- 接続アカウントが編集できる対象は、更新・移動・削除などの操作を行うピースから変更できる可能性があります。
- 接続アカウント自身に権限がないSharePointリソースへ、workrunが自動的に追加権限を持つわけではありません。
そのため、SharePointとの接続には、workrunで利用する業務に必要な範囲だけアクセスできるアカウントを使用することを推奨します。
「すべてのファイルへのアクセス」は危険ですか？
アクセス許可の範囲が広いほど、接続アカウントがアクセスできるデータをworkrunのフローから扱える範囲も広くなります。
例えば、接続アカウントが複数部署のSharePointサイトを閲覧・編集できる場合、誤ったサイトID・ファイル・フォルダを指定したフローを作成すると、本来対象としていなかったデータを取得・更新する可能性があります。
「危険かどうか」はアクセス許可名だけで決まるものではなく、接続アカウントが実際に持っている権限と、workrunチーム内の利用者・フロー構成をあわせて確認してください。
workrunチーム内での利用範囲
workrunでは、同じチーム内でアプリへの接続情報を共有して利用できます。
接続時のアクセストークンなどの値そのものが他のメンバーに表示されるわけではありませんが、同じチームのメンバーは、その接続を選択してフローで利用できます。
そのため、個人アカウントや権限の広い管理者アカウントではなく、チームで共有して利用しても問題のない権限範囲のMicrosoftアカウントで接続することを推奨します。
SharePointから取得したデータの表示について
SharePointから取得したファイル情報・リストデータなどは、フローの後続処理で利用されます。
また、workrunの実行履歴では各ピースの入出力情報を確認できるため、取得したデータの一部または全部が実行履歴に表示される場合があります。
SharePointで機密情報を扱う場合は、Microsoft側のアクセス権だけでなく、そのworkrunチームに誰を参加させるかも含めて管理してください。
Power Automateなど他の自動化ツールとの考え方
SharePointへ接続する自動化ツールでは、一般に「どのアカウントまたはアプリで認証するか」と「どの権限を許可するか」によって操作可能範囲が決まります。
そのため、Power Automateなどでも、権限の広いアカウントを接続すると操作可能範囲が広くなるという基本的なリスクの考え方は共通します。
各サービスで使用する認証方式や要求される権限は異なるため、完全に同じ権限仕様という意味ではありません。
アクセス範囲を限定したい場合
標準接続よりもSharePointへのアクセス範囲を厳密に限定する必要がある場合、Microsoft Entra IDで専用アプリを用意し、Microsoft Graphの を利用して、許可するSharePointサイトを限定する構成があります。
- ：個別に権限を割り当てたSharePointサイトのみを対象にする
- ：テナント内のSharePointサイトに対する広い読み書き権限を持つ
を利用する場合は、Microsoft 365 / Entra IDの管理者によるアプリ登録・管理者同意・対象サイトへの権限割り当てが必要です。
これは標準の「Microsoftアカウントで接続する」方法とは異なる個別構成です。単にworkrunの接続画面で設定を変更するだけで に切り替えられるものではありません。