権限

概要

このページでは、このエージェントのアクセス権限とアクセスモデルについて説明します。 このエージェントは、 読み取り専用アクセス Microsoft Intune および Microsoft Entra ID のデータへ、次のものを通じて Microsoft Graph API と Security Copilot プラグイン。 これは、環境に変更を加えることなく、構成設定、デバイス割り当て、ポリシーの準拠状況を分析するために設計されています。

---

仕組み

このエージェントは、Microsoft Graph API のエンドポイントを使用してテナントに安全に接続し、Intune と Entra ID のデータを取得します。 この情報を処理して、構成の健全性、割り当てのカバレッジ、準拠状況の整合性を評価します。

すべての操作は以下の原則に従います:

• 読み取り専用アクセス: このエージェントは、構成の変更、作成、削除はできません。
• 最小権限: Intune と Entra ID のデータを読み取るために必要な最小限のアクセス許可のみが使用されます。
• 透明性: すべてのデータアクセスは、文書化された Graph API のエンドポイントを通じて行われ、Microsoft Entra で監査できます。

---

必要な Entra ID ロール

エージェントをインストールして実行する管理者アカウントに、次のロールを割り当ててください:

ロール	説明
Intune Reader	Intune の構成、準拠、およびデバイス データへの読み取り専用アクセスを提供します。
Directory Reader	Entra ID のユーザー、グループ、およびディレクトリ情報への読み取り専用アクセスを付与します。
Security Reader	変更権限なしでセキュリティの洞察とレポートを可視化できるようにします。

これらのロールは最小権限の原則に従います。組織のセキュリティおよびガバナンス ポリシーに基づいて調整してください。

---

データアクセスの透明性

次の表は、エージェントがどのデータにアクセスできるか、およびその目的を示しています。

データの種類	アクセス レベル	目的
Intune の構成プロファイルとポリシー	読み取り専用	展開構成、準拠設定、およびポリシーの状態を分析するため。
デバイスとユーザーの割り当て	読み取り専用	ターゲティング、準拠、および構成のカバレッジに関する洞察を生成するため。
Entra ID のディレクトリ データ	読み取り専用	レポート作成のために、ユーザー、グループ、デバイスの関係を関連付けるため。
セキュリティ インサイトとアラート	読み取り専用	潜在的な構成ミスや準拠リスクに関する可視性を向上させるため。

データの取り扱い:

• このエージェントは 、 テナントの境界外に顧客データを変更またはエクスポートしません。
• すべてのデータアクセスは、 Microsoft Graph API 委任権限またはアプリケーション権限を使用して
• すべてのアクセス アクティビティは Microsoft Entra の監査ログ に記録され、追跡可能性とコンプライアンスが確保されます。

---

エージェントの設定

このエージェントは、分析の範囲と深さを調整するための設定可能なパラメーターをサポートしています。

設定	オプション	説明
Scope	devices, ポリシー, 割り当て	分析に含める Intune の領域を決定します。
モード	quick, standard, deep	分析の深さとパフォーマンスのトレードオフを定義します。 • quick — 構成の基本概要。 • standard — ほとんどのメトリックを含むバランスの取れた分析（推奨）。 • deep — 詳細なレポート作成と相互チェックを伴う詳細な検査。

エージェントを実行する前に、必要なすべてのロールが管理者アカウントに割り当てられていることを確認してください。

---

セキュリティとコンプライアンスに関する考慮事項

• Microsoft Graph とのすべての通信は HTTPS を使用して暗号化され、Microsoft の ID サービスによって保護されています。
• このエージェントは Microsoft の ゼロトラスト および 最小権限 の原則に従います。
• アクセスはいつでも Entra ID のロール割り当て または アプリケーションの同意管理.

---

次の手順

• 管理者アカウントに必要なロールがすべて割り当てられていることを確認してください。
• 組織の最小権限およびロール割り当てポリシーを確認してください。