権限

概要

このページでは、の権限とアクセスモデルについて説明します。 Insider Risk Profiler. エージェントは、を使用します 読み取り専用アクセス を通じて Microsoft Purview Insider Risk Management、Microsoft Defender、および Microsoft Entra ID のデータに対して、ドキュメント化された Microsoft Graph API および Security Copilot Plugins. 内部リスクのアラート、ユーザーのリスクレベル、デバイスの準拠性、および DLP イベントを分析するよう設計されています 変更を加えずに あなたの環境に対して。

---

仕組み

エージェントは Microsoft Purview と Defender に安全に接続して収集します Insider Risk Management (IRM) アラート、識別リスクのシグナル、およびメール、クラウドアプリケーション、ファイル操作などの複数のアクティビティソースにわたる行動テレメトリ。 アラートを Defender と Entra ID のコンテキストデータで強化し、複合的なリスクスコアを算出し、調査と修復のための優先順位付きキューと推奨事項を生成します。

すべての操作は次の基本原則に従います：

• 読み取り専用アクセス： エージェントはデータを変更または削除しません。

• 最小特権： 相関付けと強化に必要な最小限の権限のみが要求されます。

• 透明性： すべてのアクセスは文書化された Microsoft Graph エンドポイントを介して行われ、Microsoft Entra のアクティビティログで完全に監査可能です。

---

必要な Entra ID および Purview ロール

エージェントを実行する管理者アカウントまたは管理対象 ID に次のロールと権限を割り当ててください：

ロール	説明
Insider Risk Management アナリスト	Microsoft Purview 内の Insider Risk Management (IRM) アラートへの直接的な読み取り専用アクセスを提供します。
Security Reader	Defender と Sentinel 全体のセキュリティアラート、インシデント、および行動シグナルの可視性を付与します。
Directory Reader	アラートの相関付けとレポート作成のために Entra ID のユーザーおよびグループのメタデータへの読み取り専用アクセスを可能にします。
Intune Reader （オプション）	管理対象エンドポイントにリンクされたアラートを分析する際にデバイスの準拠性コンテキストを提供します。

これらのロールは、に準拠しています 最小特権の原則 必要に応じて特定のデータセットやグループにスコープできます。

---

データアクセスの透明性

以下の表はエージェントがアクセスするデータソースとその目的を示します：

データタイプ	アクセスレベル	目的
Insider Risk Management アラート	読み取り専用	アラートのメタデータを取得し、優先順位付けされたリスクキューを生成するため。
セキュリティアラートおよびインシデント	読み取り専用	コンテキスト強化のために Defender データを照合するため。
リスキーなユーザーと識別イベント	読み取り専用	ユーザーレベルの識別リスク指標と侵害可能性を評価するため。
Advanced Hunting テレメトリ	読み取り専用	行動スコアリングのためにファイル、メール、クラウド、および認証イベントを分析するため。
DLP ポリシー違反	読み取り専用	機密データの取り扱いの異常や持ち出しパターンを検出するため。
デバイスの姿勢と準拠性	読み取り専用 （オプション）	デバイスの状態情報でユーザーのリスクプロファイルを強化するため。
ディレクトリのユーザーおよびグループデータ	読み取り専用	ユーザーの識別を標準化し、割り当てを相関させ、レポートの明確さを向上させるため。

データの取り扱い：

• エージェントはレコードを変更、作成、または削除することは決してありません。

• すべての処理と強化はお客様の Microsoft 365 テナント境界内で行われます。

• データアクセスは、委任されたまたは承認されたアプリケーション権限を使用して Microsoft Graph および Security Copilot Plugins 経由で実行されます。

• すべてのアクセスイベントはログに記録され、コンプライアンスのために Microsoft Entra の監査ログで追跡可能です。

---

エージェント設定

エージェントは解析の深さ、処理範囲、および出力構造を制御する構成パラメーターをサポートします：

設定	オプション	説明
スコープ	アラート, ユーザー, デバイス, dlp	解析に含める Insider Risk コンポーネントを定義します。
モード	クイック, 標準, ディープ	強化と相関の深さを決定します。
	• クイック – 主要な識別およびリスク要因を使用したアラートの基本的なトリアージ。
	• 標準 – 識別、活動、DLP データにわたるバランスの取れた強化とスコアリング。 （推奨）
	• ディープ – デバイスの姿勢と異常解析を含むフルマルチソース強化。
時間ウィンドウ	7、14、30 日	アラートおよびリスクイベントをどれだけ遡って解析するかを定義します。

解析を開始する前に、割り当てられた ID または管理者アカウントに必要なすべてのロールとデータソース権限があることを確認してください。

---

セキュリティおよびコンプライアンスに関する考慮事項

• エージェント、Microsoft Graph、および Defender API 間のすべての通信は、を使用して保護されています HTTPS および、で認証されます Microsoft のアイデンティティサービス.

• エージェントは Microsoft のに準拠しています ゼロトラスト および 最小特権 設計原則。

• 権限はいつでもレビュー、制限、または取り消すことができます、を通じて Microsoft Entra のロール割り当て または、 アプリケーション同意管理.

• 解析中にデータは書き込まれたり変更されたりせず、完全な運用上の安全性とコンプライアンスの整合性が確保されます。

---

次のステップ

1. Insider Risk Management アナリスト、Security Reader、Directory Reader の必要なロールが、エージェントを実行するアカウントまたは ID に割り当てられていることを確認してください。

2. Microsoft Graph の権限を介して Microsoft Purview と Defender のデータアクセスを検証してください。

3. 本番環境でエージェントを有効にする前に、組織のデータガバナンスおよびロール割り当てポリシーを確認してください。