- Google Workspaceの「特権管理者」やMicrosoft 365の「グローバル管理者」は、会社のメールやファイル、社員のアカウントをまとめて動かせる“合鍵の束”です。1つ乗っ取られると会社全体に影響します。
- 2026年9月23日、Googleは管理者の権限に「期限」を付けられる機能を全Google Workspaceのお客様向けに公開しました。期限（30日など、最長1年）が来ると権限は自動で外れます。
- まずは「いま誰が管理者か」を画面で確かめ、1行ずつ台帳に書くことから。記事後半に、Google・Microsoftの推奨をもとにした守り方6つと、30分でできる棚卸しチェックリストをまとめました。
「会社のGoogleやMicrosoftの管理画面に入れる人は、誰ですか？」——こう聞かれて、すぐに名前を挙げられるでしょうか。立ち上げのときに社長が作ったまま、ホームページを作った制作会社に渡したまま、辞めた担当者のアカウントに付いたまま……という会社は珍しくありません。
2026年9月23日、GoogleはGoogle Workspaceの管理者の権限に「期限」を付けられる機能を公開しました。この記事では、この新機能をきっかけに、中小企業が自社の「管理者」を見直す手順を、GoogleとMicrosoftの公式ヘルプをもとに整理します。記事中の機能や推奨事項は、2026年9月27日に各社の公式ページの原文で確認したものです。
① 「管理者」は、会社のITの“合鍵の束”
Google WorkspaceやMicrosoft 365には、社員が使う普通のアカウントとは別に、会社全体の設定を変えられる「管理者」の権限があります。中でも一番強いのが、Googleの「特権管理者」と、Microsoftの「グローバル管理者」です。
Googleは管理者向けヘルプで、特権管理者のアカウントは「組織内のすべてのビジネスデータと従業員データへのアクセスを制御する」と説明しています。Microsoftも、グローバル管理者は「組織の設定とそのほとんどのデータにほぼ無制限にアクセスできます」と書いています。社員のアカウントを作ったり消したり、パスワードを変えたり、メールやファイル共有のルールを変えたりできる、いわば会社のITの“合鍵の束”です。
だからこそ、この鍵を「誰が・何本・いつまで」持っているかを会社として把握しておくことが大切です。
② まず「いま誰が管理者か」を画面で確かめる
最初の一歩は、今の管理者を画面で確かめることです。記憶や「たぶんあの人」ではなく、実際の設定を見ます。
- Google Workspace：Google管理コンソールで、メニューの［アカウント］→［管理者ロール］へ。ロールごとに、誰（どのユーザーやグループ）に割り当てられているかを確認できます。
- Microsoft 365：Microsoft 365 管理センターの［ロールの割り当て］へ。まずは「グローバル管理者」に誰が入っているかを確認します。
見つけた管理者は、「名前・アカウント／権限の種類／何のために／いつまで」の4列で、1行ずつ台帳に書き出しましょう（Office Nの提案）。書いてみると、「何のために」「いつまで」が答えられない権限が見つかるはずです。それが見直しの候補です。社員のアカウント全体を整理したい場合は、退職した人のアカウントの棚卸しガイドもあわせてご覧ください。
③ 中小企業でよく見る「危ない管理者」4つ
台帳を作ると、次の4つのどれかに当てはまる会社が多いはずです。いずれも、GoogleやMicrosoftが公式ヘルプで「避けるように」としている状態です。
- 1. みんなで使う「admin@」：Googleは、複数の人で1つの管理者アカウントを使うと、監査ログ（操作の記録）で「どの管理者の操作か」が分からなくなるとして、管理者ごとに別のアカウントを渡すよう勧めています。
- 2. 管理者が社長1人だけ：Googleは、複数の特権管理者を用意し、それぞれ別の人が管理することを勧めています。1つのアカウントが使えなくなっても、別の管理者が業務を続けられるからです。
- 3. 毎日のメールも管理者アカウントで：Googleは、特権管理者には管理用と日常業務用の2つのアカウントを持たせ、管理作業のときだけ管理用にログインするよう勧めています。
- 4. 外部の業者に管理者を渡しっぱなし：Microsoftは、管理者の役割を「特定の期間、特定のスコープに対する、特定の権限セット」で割り当てる考え方（最小特権。スコープは権限が及ぶ範囲のこと）を勧めています。作業が終わった業者に権限が残っているのは、この逆の状態です。
④ Google Workspace：管理者の権限に「期限」を付けられるように
「業者に一時的に管理者を渡したいけれど、あとで外し忘れそう」——この悩みに応えるのが、Googleが2026年9月23日に公開した新機能です。Google Workspace Updates（公式ブログ）によると、管理者ロールを、ユーザー・グループ・サービスアカウントに「決めた期間だけ」割り当てられるようになりました。期限が来ると、そのロールで与えた権限は自動的に取り消されます。
- 期間の決め方：用意された期間（30日など）を選ぶか、日付と時刻を指定します。管理者ヘルプによると、指定できるのは最長1年です。
- 設定する場所：管理コンソールの［アカウント］→［管理者ロール］でロールを選び、［管理者を割り当てる］で人を追加したあと、［有効期限を変更］で期間を選びます。操作には特権管理者としてのログインが必要です。
- 対象：英語の公式ブログでは、すべてのGoogle Workspaceのお客様が利用できる（Available to all Google Workspace customers）とされています。ただしヘルプには、完全にリリースされるまで期限の項目が画面に表示されない場合があるとも書かれています。
- できないこと：組織の「メインの管理者」は常に特権管理者の権限が必要なため、期限付きにはできません。
Googleは使いどころとして、短期のプロジェクト、社員が休んでいる間の代理、外部の監査などを挙げています。中小企業なら、制作会社やITの業者に作業を頼むときが一番の出番でしょう。「作業期間＋数日」で期限を付けておけば、終わったあとの外し忘れを防げます。
⑤ Microsoft 365の場合：グローバル管理者は「5人未満」に
Microsoft 365を使っている会社は、Microsoftの公式ドキュメント（Microsoft Learn）の推奨が目安になります。
- グローバル管理者は5人未満に：Microsoftは、グローバル管理者を組織内の5人未満にすることを勧めています。これらのアカウントはすべて多要素認証（2段階認証）で守る必要がある、とも書いています。
- 仕事に合った「小さい権限」を渡す：たとえば、ほかの人のパスワードを直してもらうだけなら、グローバル管理者ではなく「パスワード管理者」や「ヘルプデスク管理者」のような制限付きの役割を割り当てるよう勧めています。
- 1人きりにしない：グローバル管理者のパスワードは、別のグローバル管理者か「特権認証管理者」がリセットできます。そのため、グローバル管理者がロックアウトされた場合に備えて、少なくとも特権認証管理者を用意するよう勧めています。
Microsoftにも、必要なときだけ期限付きで管理者の権限を有効にする「Privileged Identity Management（PIM）」という仕組みがあり、Microsoftは利用を推奨しています。ただし、PIMの利用にはMicrosoft Entra ID P2などの上位ライセンスが必要です。契約しているプランで使えない場合は、②の台帳の「いつまで」欄を使い、期限が来たら手作業で外す運用で代えましょう。
⑥ 管理者アカウントの守り方6つ
管理者の人数を整えたら、次は管理者アカウントそのものを守ります。Googleの管理者ヘルプ「管理者アカウントのセキュリティに関するおすすめの方法」から、中小企業でもすぐできるものを6つに絞りました。
- 1. 2段階認証を必須にする：パスワードが盗まれても、もう1つの確認がなければログインできません。Googleは、2段階認証の方法の中でセキュリティキー（USBなどの小さな機器）が「フィッシング対策として最も安全性が高い」としています。
- 2. 管理者アカウントを共有しない：1人に1つ。誰の操作かを記録で追えるようにします。
- 3. 日常用と管理用を分ける：Googleの例では、「admin-maria@example.com」と「maria@example.com」のように2つを持ち、普段のメールや作業は管理者でないほうで行います。
- 4. 使い終わったらログアウトする：Googleは、特権管理者にログインしたままにしておくとフィッシング攻撃に遭うリスクが高まるとしています。
- 5. 管理者を1人きりにしない：別の人が持つ予備の管理者がいれば、1人がログインできなくなっても復旧できます。
- 6. 復旧の手段を先に用意する：再設定用の電話番号・メールアドレスの登録、予備のセキュリティキー、印刷したバックアップコードの安全な保管をGoogleは勧めています。
Googleはこのほか、不審なログインや別の管理者による設定変更をメールで知らせるアラートの設定や、管理コンソールの操作記録（管理ログ）の確認も勧めています。パスワードそのものの管理や、パスワードのいらないログインについては、パスワード管理と多要素認証の入門やパスキー入門もご覧ください。
⑦ 30分でできる「管理者の棚卸し」チェックリスト
最後に、ここまでの内容を8項目のチェックリストにまとめました（GoogleとMicrosoftの推奨をもとにしたOffice Nの提案）。社長と、ITに一番詳しい人の2人で、30分ほどで確認できます。
- □ 1. 管理者の一覧を画面で出した（Google［管理者ロール］／Microsoft 365［ロールの割り当て］）
- □ 2. 最上位の管理者（特権管理者・グローバル管理者）は2〜4人に収まっている（1人だけ、または5人以上なら見直す）
- □ 3. 共有の管理者アカウントがない
- □ 4. 退職者・外部業者に管理者の権限が残っていない（業者に渡すときは期限付きに）
- □ 5. 管理者は全員2段階認証をオンにしている
- □ 6. 毎日の仕事は管理者ではないアカウントでしている
- □ 7. 復旧用の情報とバックアップコードを安全な場所に保管した
- □ 8. 次の棚卸し日を決めた（例：半年に1回、入退社や業者の作業のあとにも）
「2〜4人」は、Googleの「複数の特権管理者アカウントを用意」する推奨とMicrosoftの「5人未満」の推奨を合わせた、Office Nの目安です。社員が数人の会社なら、社長と信頼できるもう1人の2人から始めれば十分です。
今日のまとめ — Office Nの考え：鍵は「数」と「期限」で管理する
管理者の権限は、一度渡すと、誰かが外さない限りずっと残ります。だからこそ、「何人が持っているか」と「いつまで持つか」を決めておくことが、いちばん安くて効く対策です。Googleの新しい期限付きの割り当ては、その「いつまで」を仕組みで守れるようにする機能だといえます。
- 管理画面で「いま誰が管理者か」を出し、4列の台帳に書く
- 共有の管理者・辞めた人・作業の終わった業者の権限を外す
- 管理者全員の2段階認証を確認し、次の棚卸し日をカレンダーに入れる
Office Nでは、Google WorkspaceやMicrosoft 365のアカウント整理、社内ルールづくりなど、中小企業の「どこから手を付ければいいか」を一緒に整理するお手伝いをしています。お気軽にご相談ください。
※本記事は2026年9月27日時点でGoogleとMicrosoftが公開している情報をもとに整理したものです。「危ない管理者4つ」「管理者の台帳」「守り方6つ」の選び方、チェックリスト、「2〜4人」の目安はOffice Nの整理・提案です。画面の名前や手順、利用できる機能は契約プランや時期によって異なる場合があるため、最新の公式ヘルプをご確認ください。台帳の記入例は架空のものです。まとめの写真はイメージです。
出典（すべて2026年9月27日に確認）
- Google Workspace Updates「Assign temporary administrator roles in the Google Admin console」（2026年9月23日）
https://workspaceupdates.googleblog.com/2026/09/assign-temporary-administrator-roles-in-the-Google-Admin-console.html - Google Workspace 管理者ヘルプ「特定の管理者ロールを割り当てる」
https://knowledge.workspace.google.com/admin/users/assign-specific-admin-roles?hl=ja - Google Workspace 管理者ヘルプ「管理者アカウントのセキュリティに関するおすすめの方法」
https://support.google.com/a/answer/9011373?hl=ja - Google Workspace 管理者ヘルプ「小規模ビジネス（ユーザー数: 1 ～ 100 人）向けのセキュリティ チェックリスト」
https://support.google.com/a/answer/9211704?hl=ja - Microsoft Learn「Microsoft Entra ロールのベスト プラクティス」
https://learn.microsoft.com/ja-jp/entra/identity/role-based-access-control/best-practices - Microsoft Learn「Microsoft 365 管理センターの管理者ロールについて」
https://learn.microsoft.com/ja-jp/microsoft-365/admin/add-users/about-admin-roles?view=o365-worldwide