ONLYOFFICE WorkspaceでPrivate Roomsを有効化して暗号化されたリアルタイム共同編集を行う

概要

ONLYOFFICE Workspaceはセルフホスト可能なオープンソースのチームコラボレーションプラットフォームです。主なコンポーネントは次のとおりです：

• ONLYOFFICE Docs - テキスト文書、表計算、プレゼン用オンラインエディタ（AGPL v.3）。
• ONLYOFFICE Groups - ドキュメント、プロジェクト、顧客、メールの管理と管理者パネルを含むコラボレーションプラットフォーム（Apache 2.0）。
• ONLYOFFICE Mail Server - 企業メールボックス作成・管理ソリューション（GPL v.2）。
• ONLYOFFICE XMPP Server - インスタントメッセージ交換アプリ（GPL v.2）。

この記事では、暗号化されたリアルタイム共同編集のためのPrivate Rooms（プライベートルーム）を有効化し、デスクトップアプリを接続して安全に共同編集する手順を説明します。

Private Roomsとは

Private Roomsは、クライアント側でデータを暗号化して共同編集を行う保護された作業スペースです。入力した各文字はAES-256アルゴリズムで暗号化され、暗号化されたままサーバーへ送信されます。クライアント側で暗号化・復号を行うため、編集時にもデータは常に保護されます。

重要点：Private Roomsは編集ツールと暗号化を統合しており、暗号化されたままの共同編集を可能にする点で従来の「暗号化ストレージ＋外部エディタ」とは異なります。

定義（1行）：Private Roomはクライアント側でAES-256による逐次暗号化を行う、ONLYOFFICEの暗号化共同編集環境です。

Private Roomsで許可される操作／制限される操作

できる操作：

• .docx, .xlsx, .pptx の新規作成とアップロード
• 自分が保護したファイルと共有された保護ファイルの参照
• フォルダの作成
• Private Room内でのファイル移動
• ファイルの完全削除
• 暗号化資格情報を持つユーザーとのファイル共有
• ドキュメントの同時編集（コ・エディティング）

できない操作：

• ファイルのコピー
• 共有ファイルの移動
• Private Room外へのファイル移動
• 暗号化資格情報を持たないユーザーへの共有
• フォルダのアップロード
• 上書きによるファイルの置き換え（移動やアップロードでの上書き）
• ファイルバージョンの復元

導入前のチェックリスト

• ONLYOFFICE Workspace（オンプレミス）が稼働している。
• 管理者アカウントでコントロールパネルへアクセス可能。
• クライアントにONLYOFFICE Desktop Editorsをインストールできる権限。
• サーバーとクライアント間のTLS/HTTPSが正しく構成されていること。
• 運用ポリシー（誰が暗号化資格情報を保持するか）を事前に決めている。

手順の全体像

1. Private Roomsの有効化（Workspace側）
2. ONLYOFFICE Desktop Editorsのインストール（クライアント）
3. デスクトップアプリをWorkspaceに接続してPrivate Roomへ入る

ステップ 1: Private Roomsを有効化する

新規にONLYOFFICE Workspaceを導入した場合は、Ubuntuなどでのインストール後にデフォルトで有効になっていることが多いです。確認方法：Documentsモジュールを開き、Private Roomフォルダが見えるかチェックします。見えない場合はコントロールパネルで有効化してください。

ステップ 2: ONLYOFFICE Desktop Editorsをインストールする

デスクトップエディタはクライアント側で暗号化／復号を実行します。最新のオープンソース版をインストールしてください。

DEBパッケージ（Debian/Ubuntu系）手順：

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys CB2DE8E5

任意のテキストエディタ（例：nano）を使って：

nano /etc/apt/sources.list

以下の行を /etc/apt/sources.list に追加します：

deb https://download.onlyoffice.com/repo/debian squeeze main

その後、次を実行します：

sudo apt-get update
sudo apt-get install onlyoffice-desktopeditors

snapパッケージを使う場合：

sudo apt update
sudo apt install snapd
snap install onlyoffice-desktopeditors

インストール後、ONLYOFFICE Desktop Editorsを起動して次のステップへ進みます。

ステップ 3: デスクトップアプリをクラウドに接続する

デスクトップアプリを起動し、「クラウドへ接続」（Connect to cloud）セクションであなたのONLYOFFICE WorkspaceのURLを入力してログインします。

ログイン後、Private Roomセクションに入って文書を編集・共同執筆できます。

これで完了です。Private Roomsは特別なコンポーネントや追加登録を必要としません。ユーザー視点では通常の編集と暗号化モードの差はほとんどありません。

運用上のベストプラクティス

• 暗号化資格情報（鍵）管理は厳格に行う。資格情報を紛失すると共有データは復号不可になります。
• サーバーは定期的にアップデートし、TLS証明書を最新に保つ。
• ログ監査：誰がいつどのファイルにアクセスしたかを記録し、アクセス制御と照合する。
• バックアップ：暗号化済みデータのバックアップは可能だが、復元時に必要な鍵の保管場所と手順を明確にする。

セキュリティ強化のヒント

• エンドポイントのディスク暗号化（例：LUKSやBitLocker）も併用して多層防御とする。
• HSM（ハードウェアセキュリティモジュール）あるいは企業の鍵管理システムと連携できる場合は導入を検討する。
• 2段階認証（2FA）をWorkspaceログインに必須化する。
• ネットワークレベルでのアクセス制御（VPNやIP制限）を設定する。

プライバシーとコンプライアンスに関する注意点

• Private Roomsはクライアント側で暗号化するため、サーバー管理者であっても暗号化されたデータの内容を読み取れません。これはプライバシー保護に有効ですが、法的なアクセス要件（例：法的保全や監査）と整合するか事前に確認してください。
• GDPRや国内の個人情報保護法に基づき、暗号化運用と鍵管理の責任者とプロセスを文書化しておくこと。

代替案と向かないケース

代替案：サードパーティのクラウドサービス（Microsoft 365 / Google Workspace）に組み込まれた機能や、Vault系の暗号化ストレージと外部エディタの組み合わせ。

向かないケース：

• オフサイトの共同編集を完全に管理外で行う必要があり、クライアント側のソフトウェアを配布できない場合。
• 暗号化を管理者が閲覧可能にしておく必要がある監査要件（Private Roomsはクライアント側で鍵を管理する想定のため、管理者一元アクセスと相性が悪い）。

ロール別チェックリスト

• 管理者：Private Roomsを有効化、ログと証明書管理、鍵管理ポリシーの策定。
• IT担当：デスクトップエディタ配布、自動アップデートの構成、VPN/IPアクセス設定。
• エンドユーザー：デスクトップエディタの使用方法を理解、資格情報の管理手順を順守。

受け入れ基準

• Private RoomフォルダがDocumentsモジュールに表示されること。
• デスクトップエディタからWorkspaceに接続し、暗号化された状態でドキュメントを新規作成・保存・共同編集できること。
• 暗号化資格情報を持たないユーザーはファイルを開けないこと。

簡易SOP（導入後初期運用）

1. 管理者がPrivate Roomsを有効化する。
2. ITがDesktop Editorsの配布パッケージを作成し、社内配布する。インストール手順書を配布。
3. 初回ログイン時にユーザー向け簡易トレーニング（30分）を実施する。
4. 鍵管理とバックアップの責任者を決め、手順書を保存。
5. 1か月運用後に監査ログをレビューし設定の微調整を行う。

トラブルシューティング（代表的なケース）

• 問題: ファイルが開けない／復号できない
  • 対処: ユーザーが正しい資格情報でログインしているか確認。資格情報の紛失であれば復号不可の可能性を伝える。
• 問題: サーバーに接続できない
  • 対処: TLS証明書の有効期限、DNS、プロキシ設定を確認。
• 問題: 共同編集が遅延する
  • 対処: ネットワーク遅延の確認、クライアントのCPU負荷、サーバーのリソース状況を確認。

マインドセット（運用者向けのヒューリスティック）

• 「暗号化はシステムの目的ではなく、保護手段」：業務フローを壊さずに保護を組み込むことを優先する。
• 「鍵は最も重要な資産」：鍵管理の失敗がデータ喪失につながる。
• 「可視化と監査」：暗号化してもアクセスや操作はログで追えるようにする。

簡単な意思決定フローチャート

flowchart TD
  A[共同編集が必要か？] -->|はい| B[クライアントにソフト配布可能か？]
  B -->|はい| C[Private Roomsを選択]
  B -->|いいえ| D[クラウドサービスや外部暗号化+エディタを検討]
  A -->|いいえ| E[暗号化ストレージのみで十分]

1行用語集

• AES-256: 強力な対称鍵暗号アルゴリズム。
• Private Room: クライアント側で暗号化しつつ共同編集するONLYOFFICEの機能。
• Desktop Editors: クライアント上で動作し暗号化/復号を行うアプリ。

まとめ

Private Roomsはオンプレミスで暗号化されたままリアルタイムに共同編集が可能な有力な選択肢です。導入はWorkspaceでの有効化とクライアント側のDesktop Editorsの配布で完了します。鍵管理、アクセス制御、ログ監査を運用ルールとして確立すれば、安全に共同編集を運用できます。

重要: 鍵（暗号化資格情報）を紛失すると復号はできないため、鍵管理ポリシーを必ず整備してください。