Google Workspaceの管理者権限の分け方｜管理者ロールを安全に設計する方法

Google Workspaceの導入が進み、社員のアカウント作成や共有ドライブの運用などを始めると、次に考えたいのが「誰に、どこまで管理者権限を持たせるか」という管理体制です。

専任のIT担当者がいない中小企業では、

「管理画面を操作する人には、とりあえず一番強い権限を渡している」

「総務担当者にもスーパー管理者を付けている」

「最初に作った管理者アカウントを複数人で共有している」

といった運用になってしまうことがあります。

しかし、Google Workspaceの管理者は、社員のアカウントや各種サービス、セキュリティ設定など会社全体に関わる操作を行えます。

必要以上に強い権限を与えると、設定ミスやアカウント侵害が発生した場合の影響範囲も大きくなります。

結論からお伝えすると、Google Workspaceの管理者権限は、

「必要な人に、必要な範囲だけ付与する」

ことが基本です。

Google Workspaceには、ユーザー管理、グループ管理、サービス管理など、業務ごとに権限を分けられる「管理者ロール」が用意されています。さらに、既存のロールでは権限が広すぎる場合は、必要な管理権限だけを組み合わせたカスタム管理者ロールも作成できます。

この記事では、スーパー管理者とその他の管理者ロールの違いから、中小企業での権限設計例、管理者ロールの付与方法、スーパー管理者を安全に運用するためのポイントまで分かりやすく解説します。

権限設計を含む導入直後の確認事項は、「Google Workspaceの初期セキュリティ設定」で全体を整理しています。

Google Workspaceの管理者ロールとは

Google Workspaceの管理者ロールとは、Google管理コンソールで実行できる管理操作を、ユーザーごとに割り当てるための仕組みです。

管理者ロールを付与されたユーザーはGoogle管理コンソールへアクセスできますが、実際に確認・操作できる範囲は付与されたロールや権限によって異なります。

たとえば、

• 社員アカウントを作成・削除する
• パスワードを再設定する
• Googleグループを管理する
• Google Workspaceのサービス設定を変更する

といった業務を、それぞれ別の担当者へ任せることができます。

これにより、

「管理画面を操作する人＝全員スーパー管理者」

という状態を避けられます。

スーパー管理者とは

スーパー管理者（Super Admin）は、Google Workspaceで最も強い権限を持つ管理者です。

Google公式では、スーパー管理者はGoogle管理コンソールとAdmin APIのすべての機能へアクセスでき、組織のアカウント全体を管理できるロールとされています。

たとえば、スーパー管理者だけが実行できる重要な操作には、

• 管理者ロールの作成・割り当て
• 他の管理者アカウントの管理
• 削除したユーザーの復元
• ユーザー削除時のファイル所有権移管
• 2段階認証に関する重要設定
• Marketplaceアプリのインストール
• ドメイン全体の委任
• SAMLアプリやIDプロバイダ関連の設定

などがあります。

そのため、スーパー管理者のアカウントが侵害された場合、ユーザー管理やセキュリティ設定、管理者権限など、組織全体へ影響する重要な操作を悪用される可能性があります。

管理者権限を必要な範囲だけに分ける3つの理由

管理者権限を分ける理由は、単純に「セキュリティを厳しくするため」だけではありません。

1. 操作ミスの影響範囲を小さくできる

たとえば、社員のアカウントを追加するだけの総務担当者が、Google Workspace全体のセキュリティ設定まで変更できる必要はありません。

ユーザー管理に必要な権限だけを付与しておけば、誤操作した場合でも影響範囲を限定できます。

2. 管理者アカウントが侵害された場合のリスクを抑えられる

すべての管理者がスーパー管理者だった場合、どのアカウントが侵害されても強い管理権限を悪用される可能性があります。

一方、

• ユーザー管理
• グループ管理
• ヘルプデスク

など役割を分ければ、1つの管理者アカウントが侵害された場合の影響範囲を抑えやすくなります。

Googleも、日常的な管理業務ではスーパー管理者ではなく、必要な権限だけを持つ管理アカウントへ管理業務を委任する「最小権限」の考え方を推奨しています。

3. 誰が何を担当しているか分かりやすくなる

管理者ロールを業務ごとに分けると、

「アカウント作成は総務」

「グループ管理は部門担当者」

「重要なセキュリティ設定はスーパー管理者」

といった役割分担を明確にできます。

なお、複数人で同じ管理者アカウントを共有すると、監査ログを確認しても「実際に誰が操作したのか」を識別できなくなります。

Googleも、管理者ごとに個別の管理アカウントを用意し、管理者アカウントを共有しないことを推奨しています。

Google Workspaceの主な管理者ロール

Google Workspaceには、一般的な管理業務を想定した「事前定義された管理者ロール」が複数用意されています。

ここでは、中小企業で特に利用を検討しやすい代表的なロールを整理します。

管理者ロール	主な役割	向いている担当者
スーパー管理者	Google Workspace全体の管理	IT・システムの最終責任者
ユーザー管理者	一般ユーザーの作成・削除・パスワード変更など	総務・人事担当者
グループ管理者	Googleグループの作成・メンバー・設定管理	部署や社内グループの管理担当者
ヘルプデスク管理者	一般ユーザーのパスワード再設定など	社内問い合わせ担当者
サービス管理者	一部のGoogle Workspaceサービス設定を管理	社内IT・サービス設定担当者

Google Workspaceにはこのほかにも、Mobile Admin、Storage Admin、Directory Sync Adminなど複数の事前定義済みロールがあります。利用しているサービスや会社の業務内容に応じて選択します。

ユーザー管理者

ユーザー管理者（User Management Admin）は、管理者ではない一般ユーザーについて、

• アカウント作成・削除
• ユーザー名変更
• パスワード変更
• 一部のユーザーセキュリティ設定
• ユーザー情報管理

などを行えるロールです。

一方、他の管理者へ管理者権限を付与したり、管理者のパスワードを変更したりすることはできません。

また、ユーザー管理者は、必要に応じて管理対象を特定の組織部門へ限定できます。

そのため、

入社・退職に伴うユーザー管理だけを総務へ任せたい

という中小企業では使いやすいロールです。

ユーザー追加の実務と必要な確認項目は、「Google Workspaceで社員を追加する方法」で整理しています。

グループ管理者

グループ管理者（Groups Admin）は、Googleグループを管理するためのロールです。

主に、

• Googleグループの作成
• メンバー追加・削除
• グループのアクセス設定
• グループ削除

などを行えます。

部署別のメーリングリストや、Googleグループを利用したアクセス権管理を担当する社員へ付与できます。

ただし、グループ管理者だから共有ドライブそのものを直接管理できるわけではありません。

Googleグループを共有ドライブのメンバーとして登録している場合は、グループのメンバー変更によって共有ドライブへのアクセス権も間接的に変更できます。

ヘルプデスク管理者

ヘルプデスク管理者（Help Desk Admin）は、

• 一般ユーザーのパスワード再設定
• ユーザープロフィールの確認
• 組織部門の確認

などを行えるロールです。

ユーザーアカウントの作成・削除まで行う必要がなく、

「社員からログインできないと相談された場合の一次対応だけ任せたい」

といったケースに向いています。

ヘルプデスク管理者も、必要に応じて管理対象を特定の組織部門に限定できます。

サービス管理者

サービス管理者（Services Admin）は、Google管理コンソール上でGoogle Calendar、Google Drive、Googleドキュメントなど、一部のGoogle Workspaceサービスやデバイスに関する設定を管理するロールです。

たとえば、

• 一部サービスの有効・無効
• サービス設定や権限
• カレンダーリソース
• 一部の端末管理
• Google Takeout設定

などを管理できます。

ただし、Google Workspaceのすべてのサービスのすべての設定を自由に操作できるロールではありません。

実際に任せたい管理業務と、サービス管理者の権限範囲を確認してから付与しましょう。

お支払い業務だけ任せたい場合は「課金管理」権限を検討する

Google Workspaceには、現在の事前定義済み管理者ロールとして「Billing Admin」という名称のロールが用意されているわけではありません。

一方、管理者権限には「課金管理（Billing Management）」が用意されています。

そのため、

「経理担当者には支払い・請求関連だけを管理させたい」

という場合は、必要な権限を確認したうえでカスタム管理者ロールとして付与する方法を検討できます。

経理担当者だからといって、スーパー管理者を付与する必要はありません。

標準ロールで足りない場合はカスタム管理者ロールを使う

Googleが用意した管理者ロールでは権限が広すぎる場合、カスタム管理者ロールを作成できます。

カスタムロールでは、

管理コンソール上の特定の管理操作だけを組み合わせて独自の管理者ロールを作成

できます。

たとえば、

「ユーザー情報は確認できるが削除はできない」

「特定の端末管理だけを任せる」

「課金関連の必要な操作だけ任せる」

といった設計が考えられます。

中小企業では、最初から複雑なカスタムロールを大量に作る必要はありません。

まず事前定義済みロールで運用できるか確認し、必要な業務を実現できない場合だけカスタムロールを検討すると管理しやすくなります。

管理対象を特定の組織部門に限定できる場合もある

管理者ロールの中には、組織全体ではなく特定の組織部門だけを管理対象にできるものがあります。

たとえばユーザー管理者では、

「営業部のユーザーだけ管理」

「東京拠点のユーザーだけ管理」

といった範囲指定が可能です。

カスタム管理者ロールについても、ユーザー管理やChrome管理など特定の権限については組織部門へ範囲を限定できます。

ただし、すべての管理者ロール・すべての権限を組織部門単位に制限できるわけではありません。

ロールを付与するときに、管理コンソール上で設定可能な範囲を確認してください。

中小企業向けの管理者権限設計例

管理者権限は、会社の人数だけではなく、

• 誰が社員アカウントを管理するか
• 誰が問い合わせ対応をするか
• 誰がサービス設定を変更するか
• 誰が最終的な管理責任を持つか

によって決めます。

以下はあくまで設計例です。

10名程度の会社

小規模な会社では、細かく管理者を分けすぎると運用が複雑になる場合があります。

例：

スーパー管理者

• 経営者・IT責任者など信頼できる複数の担当者

その他

• 原則一般ユーザー
• 必要になった業務だけ限定ロールを検討

Googleは、スーパー管理者について少なくとも2人用意することを推奨しています。

1人がログインできなくなった場合に、もう1人がアカウント復旧などに対応できるためです。

ただし、「2人以上なら多いほどよい」という意味ではありません。

必要以上にスーパー管理者を増やさず、信頼できる担当者に限定します。

30〜50名程度の会社

総務・人事など、実務担当者が明確になってきた会社では管理権限を分担しやすくなります。

例：

スーパー管理者

• IT・管理の最終責任者
• 複数名を確保

ユーザー管理者

• 総務・人事担当者
• 入退社時のユーザー作成・削除など

ヘルプデスク管理者

• 社内問い合わせ担当
• パスワード再設定など

課金関連のカスタムロール

• 必要に応じて経理担当者

総務担当者が社員アカウントを管理するためだけに、スーパー管理者になる必要はありません。

100名程度の会社

業務がさらに分かれてきた場合は、管理業務も役割別に分けます。

例：

スーパー管理者

• Google Workspace全体の最終責任者

ユーザー管理者

• 人事・総務

グループ管理者

• Googleグループ管理担当

ヘルプデスク管理者

• 社内サポート担当

サービス管理者

• Google Workspaceサービス設定担当

カスタム管理者

• 自社独自の管理業務がある場合

人数に合わせて機械的にロールを増やすのではなく、

「この担当者は何を管理する必要があるのか」

から逆算して権限を決めることが重要です。

Google Workspaceで管理者ロールを付与する手順

他の社員へ管理者権限を付与するときは、Google管理コンソールから設定します。

手順1：Google管理コンソールへログインする

管理権限を持つアカウントでGoogle管理コンソールへログインします。

スーパー管理者など、対象ロールを割り当てられる権限が必要です。

手順2：「ディレクトリ」から「ユーザー」を開く

Google管理コンソールで、

ディレクトリ → ユーザー

を開きます。

手順3：管理者にしたいユーザーを選択する

ユーザー一覧から、管理者ロールを付与する社員を選択します。

手順4：「管理者ロールと権限」を開く

対象ユーザーの詳細画面から、

管理者ロールと権限

を開きます。

手順5：必要な管理者ロールを割り当てる

付与したいロールを選択し、「割り当て済み」の状態へ変更します。

このとき、

「念のためスーパー管理者にしておこう」

とするのではなく、本当に必要なロールだけを選択してください。

手順6：保存する

内容を確認して保存します。

Google公式では、管理者権限は通常数分程度で利用できるようになりますが、反映まで最大24時間かかる場合があります。

すぐに管理コンソールの機能が表示されなくても、誤って何度も設定を変更せず、反映状況を確認してください。

スーパー管理者を安全に運用する4つのポイント

スーパー管理者はGoogle Workspace全体を管理できるため、通常の管理者以上に慎重な運用が必要です。

Google公式でも、スーパー管理者向けに複数のセキュリティ対策を推奨しています。

1. 管理者アカウントを複数人で共有しない

たとえば、

admin@example.com

という1つの管理者アカウントを作り、総務担当者や経営者が同じID・パスワードを共有する運用は避けましょう。

複数人で同じアカウントを使用すると、管理ログを確認しても、実際に誰が操作したのか識別できません。

管理者には、それぞれ識別できる個別アカウントを用意します。

2. スーパー管理者を日常業務で常用しない

Googleは、スーパー管理者アカウントで日常業務を行わず、必要な管理操作をするときだけログインすることを推奨しています。

日常的に、

• Gmailを読む
• ファイルを編集する
• Webサイトを閲覧する
• 外部サービスへログインする

といった作業を行うアカウントと、スーパー管理者用アカウントを分ける方法が有効です。

たとえば、

日常業務
takahashi@example.com

スーパー管理者
admin-takahashi@example.com

のように分けます。

重要な管理作業が終わったら、スーパー管理者アカウントからログアウトします。

3. スーパー管理者を少なくとも2人確保する

Googleは、組織に少なくとも2人のスーパー管理者を用意することを推奨しています。

1人しかいない場合、その管理者がパスワードを忘れたりログインできなくなったりすると、復旧が難しくなるためです。

ただし、スーパー管理者を必要以上に増やす必要はありません。

「少なくとも2人確保する」ことと「必要最小限にする」ことを両立させる

という考え方が重要です。

4. 2段階認証と復旧手段を準備する

Googleは現在、Google Workspaceの管理者アカウントについて2段階認証を強制しています。

管理者アカウントでは、

• Googleプロンプト
• Google Authenticator
• セキュリティキー
• パスキー
• バックアップコード

など、会社のセキュリティ方針に合わせて認証方法を整えます。

特にGoogleは、セキュリティキーをフィッシングへの耐性が高い2段階認証方式として推奨しています。また、管理者には予備のセキュリティキーやバックアップコードを安全な場所へ保管しておくことも案内しています。

復旧用メールアドレスや電話番号も最新の状態にしておきましょう。

ただし、スーパー管理者が自分自身でアカウントを復旧できるかどうかは、組織のセルフリカバリ設定によって異なります。

そのため、

「電話番号を登録しているから必ず復旧できる」

と考えるのではなく、

• 複数のスーパー管理者
• 予備の認証手段
• バックアップコード
• 復旧情報
• スーパー管理者の自己復旧設定

まで含めて確認しておくことが重要です。

管理者アカウントを含む2段階認証の導入・強制は、「Google Workspaceの2段階認証の運用方法」で確認できます。

異動・退職時は管理者権限も必ず見直す

管理者権限は、一度設定して終わりではありません。

社員の、

• 部署異動
• 担当業務変更
• 昇格
• 退職

などに合わせて見直す必要があります。

たとえば、

「以前は人事担当だったのでユーザー管理者だったが、現在は営業部へ異動している」

という場合、その管理者権限は原則として見直します。

退職者についても、Google Workspaceアカウントの停止・削除だけを見るのではなく、

その社員がどの管理者ロールを持っているか

を必ず確認してください。

特にスーパー管理者が退職する場合は、権限解除前に他のスーパー管理者が正常に管理コンソールへアクセスできることを確認しておくことが重要です。

退職時は管理者ロールの解除だけでなくデータ引き継ぎも必要です。全体手順は「Google Workspaceの退職者アカウント対応」を参照してください。

管理者権限を定期的に棚卸しする

異動や退職のタイミングだけでなく、定期的に管理者権限を見直すこともおすすめします。

確認する内容はシンプルです。

• 現在スーパー管理者は誰か
• スーパー管理者が必要以上に増えていないか
• 退職・異動した社員の権限が残っていないか
• 現在の業務に不要な管理者ロールがないか
• カスタムロールの権限が広すぎないか
• 共有されている管理者アカウントがないか

Google公式で「半年に1回」など固定された棚卸し周期が指定されているわけではありません。

そのため、自社で継続できる周期を決めましょう。

コエドテックでは、半年に1回など定期的な確認日をあらかじめ決めておく方法をおすすめします。

社員の異動が多い会社であれば、より短い周期で確認してもよいでしょう。

【筆者経験】管理権限は「便利だから広げる」のではなく「必要だから付ける」

筆者がこれまでシステム運用や認証・権限管理などに関わってきた中でも、権限を必要以上に広げるほど、設定変更による影響範囲や確認しなければならない対象も大きくなると感じています。

管理者権限では、

「この人なら詳しいから全部操作できるようにしておこう」

ではなく、

「この担当者の仕事をするためには、どこまでの権限が必要なのか」

から考えることが重要です。

たとえば、

• アカウント作成担当者にはユーザー管理
• パスワード問い合わせ担当にはヘルプデスク
• グループ管理担当にはグループ管理
• 組織全体の重要設定はスーパー管理者

というように役割を分けます。

また、異動や退職が発生したときには「新しい権限を追加すること」だけではなく、以前の業務で使っていた権限を外すことも重要です。

権限は追加するだけでは徐々に蓄積していきます。

定期的に、

「この権限は今も必要か」

を確認し、不要であれば解除する。

この運用を続けることが、Google Workspaceを安全に管理するうえで重要だと考えています。

まとめ｜Google Workspace管理者権限チェックリスト

Google Workspaceの管理者権限を安全に運用する基本は、

「必要な人に、必要な権限だけ付与する」

ことです。

管理コンソールを操作する社員全員へスーパー管理者を付与する必要はありません。

ユーザー管理、グループ管理、ヘルプデスク、サービス管理など、担当業務に合わせて管理者ロールを使い分けましょう。

最後に、現在の管理体制を確認するためのチェックリストをまとめます。

Google Workspace管理者権限チェックリスト

• 現在のスーパー管理者が誰なのか把握している
• Googleが推奨する少なくとも2人のスーパー管理者を確保している
• スーパー管理者を必要以上に増やしていない
• 管理者アカウントを複数人で共有していない
• スーパー管理者と日常業務用アカウントを分けている
• スーパー管理者を日常業務で常用していない
• 管理者アカウントの2段階認証を確認した
• 予備の認証方法やバックアップコードを準備した
• 管理者の復旧情報を確認した
• 総務・人事担当には必要なユーザー管理権限だけを付与した
• パスワード対応だけの担当者にはヘルプデスク管理者を検討した
• グループ担当者にはグループ管理者を検討した
• 標準ロールで権限が広すぎる場合はカスタムロールを検討した
• 必要に応じて管理対象の組織部門を限定した
• 異動・業務変更時に不要な管理権限を解除している
• 退職時の管理者権限解除を運用手順に入れている
• 自社で決めた周期で管理者権限を定期的に棚卸ししている

Google Workspaceの管理者権限を適切に分けられたら、次に整えたいのが2段階認証の継続的な運用です。

管理者については特に強い認証が重要ですが、会社全体の情報を守るためには、一般社員についても2段階認証を無理なく定着させる必要があります。

次の記事では、

「Google Workspaceの2段階認証の運用方法｜社員への設定・強制・機種変更時の対応を解説」

について詳しく解説します。

出典・参考情報

• Google Workspace 管理者ヘルプ「About administrator roles」
• Google Workspace 管理者ヘルプ「Prebuilt administrator roles」
• Google Workspace 管理者ヘルプ「Administrator privilege definitions」
• Google Workspace 管理者ヘルプ「Assign specific admin roles」
• Google Workspace 管理者ヘルプ「Make a user an admin」
• Google Workspace 管理者ヘルプ「Create, edit, and delete custom admin roles」
• Google Workspace 管理者ヘルプ「Security best practices for administrator accounts」
• Google Workspace 管理者ヘルプ「Avoid account lockouts when 2-Step Verification is enforced by your organization」
• Google Workspace 管理者ヘルプ「Recover an account protected by 2-Step Verification」