権限

概要

このページは、このエージェントの権限とアクセスモデルについて説明します。 エージェントは、 読み取り専用アクセス Microsoft Defender、Microsoft Purview、および関連する Microsoft 365 サービスからのコンプライアンス、監査、およびセキュリティ データに対して、を介してアクセスします。 Security Copilot プラグイン。 その目的は、組織の の評価、コンプライアンス上の潜在的なギャップの特定、および構成を変更することなくインサイトを生成することです。 データ保護ベースライン（DPB） 姿勢を評価し、潜在的なコンプライアンスのギャップを特定し、構成を変更することなくインサイトを生成します。

---

仕組み

エージェントは Microsoft Graph API エンドポイントを使用してテナントに安全に接続し、コンプライアンス、セキュリティ、および監査ログ データを取得します。 この情報を Microsoft データ保護ベースラインや GDPR などのデータ保護およびコンプライアンス フレームワークに対して評価し、改善の機会やリスク領域を明らかにします。

すべてのやり取りは次の原則に従います：

• 読み取り専用アクセス： エージェントは構成、ポリシー、またはフレームワークを変更または作成しません。

• 最小特権： コンプライアンスおよびセキュリティ データを読み取るために必要な最小限の権限のみが要求されます。

• 透明性： すべてのデータアクセスは文書化された Graph API エンドポイントを介して行われ、Microsoft Entra 内で完全に監査可能です。

---

必要な Entra ID ロール

エージェントをインストールおよび実行する管理者アカウントに以下のロールを割り当ててください：

ロール	説明
コンプライアンス データ管理者	Microsoft Purview とコンプライアンス データへの読み取り専用アクセスを提供します。
セキュリティリーダー	Microsoft Defender のセキュリティ イベントおよびアラートに対する読み取り専用の可視性を付与します。
レポート閲覧者	Microsoft 365 サービス全体の監査およびレポート データへの読み取り専用アクセスを有効にします。

これらの役割は最小特権の原則に沿っています。組織のコンプライアンスおよびガバナンス要件に基づいて調整してください。

---

データアクセスの透明性

次の表はエージェントがアクセスするデータとその目的を示します。

データ型	アクセスレベル	目的
コンプライアンスおよびポリシー構成データ	読み取り専用	データ保護ベースラインおよびコンプライアンス フレームワークとの整合性を評価するため。
セキュリティインシデントとアラート	読み取り専用	コンプライアンス姿勢をセキュリティ イベントやリスク シグナルと相関させるため。
監査ログ	読み取り専用	データ保護コントロールに関連するユーザーおよび管理者の活動を評価するため。
データ分類およびラベリング データ	読み取り専用	データ保護および保持ポリシーのカバレッジギャップを特定するため。

データの取り扱い：

• エージェントは 顧客データをテナント境界の外に テナント境界外へ顧客データを変更、削除、またはエクスポートしません。

• すべてのアクセスは を介して行われます。 Microsoft Graph API 委任権限またはアプリケーション権限を使用して制限されます。

• アクセス イベントは に記録されます。 Microsoft Entra 監査ログ 可視性およびコンプライアンス追跡のためです。

---

エージェント設定

エージェントは、分析の深さ、フレームワーク、および期間をカスタマイズするためのオプション パラメーターをサポートします（任意）。

設定	オプション / 例	説明
フレームワーク	デフォルト: データ保護ベースライン（DPB）および GDPR	評価するコンプライアンスまたは保護フレームワークを定義します。
追加のフレームワーク テキスト	「ISO 27001 は保存データおよび転送中のデータの暗号化を要求します...」	拡張されたコンプライアンス評価のためにカスタムのフレームワーク テキストを追加できるようにします。
フレームワーク URL	「https://learn.microsoft.com/en-us/azure/compliance/offerings/offering-soc-2」	比較のための外部コンプライアンス フレームワークまたはガイダンス ドキュメントを参照します。
TimeRange	30 または 90 （日）	コンプライアンスおよび監査データ分析の対象期間を定義します。

正確な結果を得るには、少なくとも を確保してください。 30 日間のコンプライアンスおよびセキュリティ データ をエージェント実行前に利用可能にしてください。

---

セキュリティおよびコンプライアンスの考慮事項

• Microsoft Graph とのすべての通信は HTTPS を使用して暗号化され、Microsoft アイデンティティ サービスによって保護されます。

• エージェントは Microsoft の に準拠しています。 ゼロトラスト および 最小特権 の原則に従います。

• アクセスは でいつでもレビューまたは取り消すことができます。 Entra ID のロール割り当て または アプリケーション同意管理.

---

次のステップ

• 管理者アカウントに必要な役割が割り当てられていることを確認してください。

• Microsoft Defender と Purview のデータ収集が少なくとも 30 日間アクティブであることを確認してください。

• 権限の詳細については、 を参照してください。 Microsoft Graph の権限リファレンス.