SaaS

Google Driveを制限しつつ、BoxでGoogle形式のファイルとして開く

はじめに

こんにちわ、セキュリティチームのむろです。

今回はGoogle Driveの利用を制限しつつ、Box上でGoogle形式のファイルとして開く方法をご紹介します。

本ブログ内ではGoogleドキュメント、スプレッドシート、スライドの総称として「Google形式のファイル」と表現します。

本ブログの内容は、2023年5月25日時点までの情報を元に作成しておりますが、クラウドサービスの仕様変更等に伴い、将来的に状況が変化することがございます。当社側で仕様変更が確認できた場合は可能な限り修正をしますが、最新の情報を常に維持することは難しい点についてはご了承ください。

Google Workspaceの環境でBoxを利用している場合に、クラウドストレージがGoogle DriveとBoxの2つ存在する状態になりますが、

といった要件が上がることが想定されます。

しかし、Google Driveのサービスをオフにすると、以下の機能のBox上でGoogle形式のファイルが開くことができなくなってしまい、利便性が下がってしまう問題があります。

Boxから「Google形式のファイル」として開ける機能が利用できないのは悲しいです。

実際にGoogle Driveのサービスをオフした場合は以下のようにGoogle形式のファイルがBoxから開けなくなります。

このように利便性が落ちることからBox導入後もGoogle Driveを閉塞しない選択を取るケースもあるかと思います。

先ほどの例ではGoogle Drive自体のサービスをオフにしましたが、制限方法を変えることでGoogle Driveの利用を制限しつつ、BoxでGoogle形式のファイルとして開ける状態を維持する事ができます。

具体的にはGoogle Driveに対して「ファイルの新規作成、アップロードを制限する」設定で対応します。

Google Workspaceの管理画面から「Google Workspace」 > 「ドライブとドキュメント」 > 「ドライブとドキュメントの設定」 > 「機能とアプリケーション」を開く
「ユーザーがどのファイルも作成、アップロードできるようにする」のチェックを外して設定を保存する

制限後はGoogle Driveに対してファイルの新規作成やアップロードが行えなくなります。
- 既存ファイルの削除、ゴミ箱からの復元は可能な状態です。
- 移動先の共有ドライブがファイルの新規作成が制限されていなければファイルの移動も可能です。

自社がGoogle Driveの利用をやめたとしても、他社からGoogle Drive内のファイルの共有を受けることは引き続き起こり得ると思います。

「ファイルの新規作成、アップロード」が制限されている状態であっても以下のように外部から共有されたGoogle Driveのファイルを開けることを確認しています。

上記以外の個別のユースケースにおいては事前に検証し、動作をご確認ください。

既にお気づきかもしれませんが、Google Driveへのアクセス自体の制限ではなく、あくまでもファイルの新規作成を制限する設定のため、既存のファイルは残ったままとなります。

Google Drive側に残ったファイルを削除したい場合などは以下の対応が必要です。

共有ドライブに対しては利用ユーザーをメンバーから外したり、管理者側でファイルの削除やデータ移行が可能です。
- ファイルの新規作成が行えないものの、管理が煩雑となるので合わせて「共有ドライブの新規作成」も制限しておくと良いかと思います。
一方で各ユーザーのマイドライブは管理者権限で自由にアクセスできないため、各ユーザーに削除やデータ移行を行ってもらう必要があります。
- 各ユーザーが対応したかどうかについては、例えばVaultで「-in:trash」演算子（ゴミ箱を対象から除外）を利用し、各ユーザーに残っているマイドライブ上のファイルを監査する方法が考えられます。