権限

概要

このページでは、このエージェントの権限とアクセスモデルについて説明します。 エージェントは 読み取り専用アクセス を介して Privileged Identity Management (PIM) データ、監査ログ、およびアイデンティティ活動情報にアクセスします。 Security Copilot プラグイン。 設定を変更することなく、PIM のアクティベーション、特権アクセスの挙動、およびコンプライアンス指標を分析するように設計されています。

---

動作の仕組み

エージェントは Security Copilot プラグインを通じて Microsoft Entra 環境に安全に接続し、PIM アクティベーションデータ、監査ログ、およびサインイン情報を取得します。 役割の使用パターン、アクティベーションポリシーへの準拠、および特権アクティビティの異常検出を評価します。 オプションで、エージェントは継続的な PIM 監視と可視化のための Azure Workbook を生成できます。

すべてのやり取りは次の原則に従います：

• 読み取り専用アクセス： エージェントは役割を変更または割り当てたり、PIM 設定を変更したり、監査データを改変したりしません。

• 最小権限： PIM および監査データを読み取るために必要な権限のみが使用されます。

• 透明性： すべてのデータアクセスは Microsoft Entra で監査可能であり、Microsoft のコンプライアンス基準に従います。

---

必要な Entra ID ロール

エージェントをインストールして実行する管理者アカウントに次のロールを割り当ててください：

ロール	説明
特権ロール管理者	PIM のロール割り当てとアクティベーション履歴の可視性を提供します。
セキュリティ リーダー	セキュリティのインサイトとアイデンティティリスクデータへのアクセスを付与します。
レポート リーダー	使用状況および監査レポートへのアクセスを許可します。
グローバル リーダー	包括的な分析のために Entra ID テナント全体への読み取り専用アクセスを可能にします。

これらのロールは推奨される最小権限の構成を表します。組織のセキュリティおよびコンプライアンス方針に基づいて調整してください。

---

データアクセスの透明性

以下の表は、エージェントがどのデータにアクセスし、どの目的で使用するかを概説しています。

データ種別	アクセスレベル	目的
PIM のロールアクティベーションと割り当て	読み取り専用	アクティベーション頻度、ロールの使用状況、および最小権限の順守を評価するため。
監査ログ	読み取り専用	アクティベーションイベント、多要素認証（MFA）検証、および承認ワークフローを追跡するため。
サインインおよびアイデンティティリスクログ	読み取り専用	特権アクセスの異常な挙動を識別するため。
ロール定義とポリシー	読み取り専用	内部ガバナンス基準との構成整合性を評価するため。

データ取り扱い：

• エージェントは しません テナント境界の外にデータを変更、削除、またはエクスポートしません。

• すべてのアクセスは次を通じて行われます： Security Copilot プラグイン 委任またはアプリケーションレベルの権限を使用して。

• アクセスイベントは次に記録されます： Microsoft Entra 監査ログ 可視性と追跡可能性のために。

---

エージェント設定

エージェントを実行する際、分析とレポート出力を調整するためのオプション設定を構成できます。

設定	例	説明
TimeRange	30 または 2025-01-01/2025-01-31	PIM アクティベーションイベントを分析する期間を定義します。
GenerateWorkbook	true	継続的な PIM 監視のための Azure Workbook ファイルを生成します。
出力形式	概要 または 詳細	レポートの詳細レベルと含まれる指標を指定します。

例クエリ

• 「過去 30 日間の PIM アクティベーションを分析する」

• 「今週のグローバル管理者のアクセスを表示して」

• 「前四半期の PIM コンプライアンスレポートを生成する」

• 「Azure Workbook で特権アクセスの異常を検出する」

---

Azure Workbook の生成

が指定されている場合、 GenerateWorkbook: true エージェントは Azure Workbook 構成ファイル を生成し、継続的な PIM 監視のために展開できます。

ワークブックには次のダッシュボードが含まれます：

• リアルタイムの PIM アクティベーショントレンド

• 失敗したアクティベーション試行

• ロール使用状況および頻度の指標

• アクティベーション理由のコンプライアンス追跡

• 異常アラートとリスクの可視化

ワークブックを Azure ポータルにデプロイするには： Monitor → Workbooks → インポート → 構成ファイルをアップロード

---

データ要件

正確で有意義な結果を確保するために、次を確認してください：

• PIM が積極的に使用されている ロールアクティベーションが定期的に発生していること。

• アクティベーション理由 コンプライアンス分析のために PIM ポリシーで必須とされていること。

• 少なくとも 7～30 日のアクティベーションデータ が利用可能であること。

• MFA が強制されている PIM アクティベーションに対して。

• 監査ログ記録 が Microsoft Entra で有効になっていること。

• Entra ID の監査ログは Microsoft Sentinel インスタンスに保存されます

• と記載されています Microsoft Sentinel インスタンスは次と統合されている必要があります： Microsoft Defender XDR （旧称 Microsoft Security Center）統合されたセキュリティ運用と高度な分析のために。

---

セキュリティおよびコンプライアンスに関する考慮事項

• Security Copilot プラグインを通じたすべての通信は HTTPS を使用して暗号化され、Microsoft のアイデンティティサービスで認証されます。

• エージェントは Microsoft の ゼロトラスト および 最小権限 の原則に従います。

• アクセスはいつでも次を通じてレビューまたは取り消すことができます： Entra ID のロール割り当て または アプリケーション同意の管理.

---

次のステップ

• 管理者アカウントに必要なすべてのロールが割り当てられていることを確認してください。

• エージェントを実行して PIM アクティベーション活動とコンプライアンス状況を分析します。

• 継続的な特権アクセス監視のために、オプションの Azure Workbook をデプロイします。