電子情報開示でコンプライアンス境界を設定する

コンプライアンス境界は、電子情報開示マネージャーが検索できるメールボックス、OneDrive アカウント、SharePoint サイトなどのユーザー コンテンツの場所を制御する論理的な境界をorganization内に作成します。 コンプライアンス境界は、データ セキュリティ調査の検索にも適用されます。 コンプライアンス境界は、organization内の法務、人事、またはその他の調査を管理するために使用される電子情報開示ケースにアクセスできるユーザーを制御します。 コンプライアンス境界は、電子情報開示と DSI 内の検索範囲のみを制御します。 他の Microsoft Purview または Defender ソリューションへのアクセスは制限されません。

多くの場合、地理的な境界と規制を尊重しなければならない多国籍企業や、さまざまな機関に分かれている政府には、コンプライアンス境界が必要になります。 Microsoft 365 では、コンプライアンス境界を使用すると、電子情報開示ケースを使用してコンテンツ検索を実行し、調査を管理する際にこれらの要件を満たすことができます。

ヒント

Microsoft Security Copilot の使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を発見しましょう。 Microsoft Purview の Microsoft Security Copilot に関する詳細情報をご覧ください。

注:

電子情報開示での SharePoint Embedded コンテナーのサポート (プレビュー): コンプライアンス境界の適用は、現在、SharePoint 埋め込みコンテナーではサポートされていません。 サポートされているコンテナーのシナリオとその他の制限事項については、「 電子情報開示のデータ ソース」を参照してください。

シナリオの例

次の図は、コンプライアンス境界のしくみを示しています。

検索アクセス許可フィルターによって、機関のコンテンツ アクセスを制御し、役割グループが電子情報開示ケースへのアクセスを制御する方法を示す図。

この例では、Contoso LTD は、Fourth Coffee と Coho Winery の 2 つの子会社で構成される organization です。 ビジネスでは、電子情報開示マネージャーと調査担当者が、代理店内の Exchange メールボックス、OneDrive アカウント、および SharePoint サイトのみを検索できる必要があります。 また、電子情報開示マネージャーと調査担当者は、代理店の電子情報開示ケースのみを確認でき、自分がメンバーになっているケースにのみアクセスできます。 このシナリオでは、調査担当者はコンテンツの場所を保留にしたり、ケースからコンテンツをエクスポートしたりすることはできません。 コンプライアンス境界がこれらの要件を満たす方法を次に示します。

  • 電子情報開示の検索アクセス許可フィルター機能は、電子情報開示マネージャーと調査担当者が検索できるコンテンツの場所を制御します。 この制御は、Fourth Coffee 代理店の電子情報開示マネージャーおよび調査員が、Fourth Coffee 子会社内のコンテンツの場所のみを検索できることを意味します。 同じ制限が Coho Winery の子会社にも適用されます。

  • 役割グループは 、コンプライアンスの境界に対して次の機能を提供します。

    • Microsoft Purview ポータルで電子情報開示ケースを表示できるユーザーを制御します。 この制御は、電子情報開示マネージャーと調査担当者は、代理店の電子情報開示ケースのみを表示できることを意味します。
    • 電子情報開示ケースにメンバーを割り当てることができるユーザーを制御します。 この制御は、電子情報開示マネージャーと調査担当者が、自身がメンバーであるケースにのみメンバーを割り当てることができることを意味します。
    • 特定のアクセス許可を割り当てるロールを追加または削除することにより、メンバーが実行できる電子情報開示関連のタスクを制御します。

  • 検索アクセス許可フィルターが役割グループに適用されている場合、操作を実行するアクセス許可が役割グループに割り当てられている限り、役割グループのメンバーは次の検索関連アクションを実行できます。

    • コンテンツを検索する
    • 検索結果のプレビュー
    • 検索結果をエクスポートする
    • 検索で返されたアイテムを削除する

コンプライアンス境界を設定する前に

  • ユーザーに Exchange Online のライセンスを割り当てます。 割り当てを確認するには、Exchange Online PowerShell で Get-User コマンドレットを使用します。

コンプライアンスの境界を設定する

コンプライアンス境界を設定するには、次の手順を実行します。

ステップ 1: 代理店を定義するためのユーザー属性を特定する

代理店を定義する属性を選択します。 この属性を使用して、電子情報開示マネージャーがこの属性に特定の値が割り当てられているユーザーのコンテンツの場所のみを検索するように制限する検索アクセス許可フィルターを作成します。 たとえば、Contoso は Department 属性を使用します。 Fourth Coffee 子会社のユーザーのこの属性の値は FourthCoffee で、Coho Winery 子会社のユーザーの値は CohoWinery です。 手順 3 では、この attribute:value のペア ( たとえば、Department:FourthCoffee) を使用して、電子情報開示マネージャーが検索できるユーザー コンテンツの場所を制限します。

コンプライアンスの境界に使用できるユーザー属性の例を次に示します。

  • 会社名
  • CustomAttribute1 - CustomAttribute15
  • 部署
  • 事業所
  • 国または地域 (2 文字の国/地域コード)

注:

セキュリティ フィルターの属性を選択するときは、Exchange Online のさまざまなメールボックスの種類でサポートされている属性を考慮してください。 Exchange のすべてのメールボックスの種類がこれらの属性をサポートしているため、CustomAttribute1 から CustomAttribute15 を使用します。

手順 2: 各機関の役割グループを作成する

Microsoft Purview ポータルで、機関と連携する役割グループを作成します。

役割グループを作成するには、Microsoft Purview ポータルの [設定>ロールとスコープ ] に移動します。 コンプライアンス境界と電子情報開示ケースを使用して調査を管理する各機関の各チームの役割グループを作成します。 1 つの役割グループを使用して、電子情報開示の役割とセキュリティ フィルターの両方をそのメンバーに割り当てることができます。 この役割グループのメンバーシップは、調査担当者に割り当てられた役割と、調査担当者が検索できるコンテンツの場所の両方を管理します。

注:

役割を一切添付していない役割グループ ("空の役割グループ" と呼ばれることもあります) を使用して以前にコンプライアンス境界を構成した場合、この構成はサポートされなくなります。 検索アクセス許可フィルターで使用される役割グループには、少なくとも 1 つの役割が割り当てられている必要があります。

個別の役割グループを使用します。 1 つの役割グループを使用してコンプライアンス境界のセキュリティ フィルターを割り当て、別の役割グループを使用して電子情報開示の役割を割り当てます。 2 つの別々の役割グループを使用することで、調査担当者に割り当てられた役割を、調査対象が検索するコンテンツの場所とは独立して管理します。 コンプライアンス境界の役割グループは、セキュリティ フィルターをメンバーに適用する場合にのみ使用してください。 個別の組み込み (電子情報開示マネージャー) 役割グループまたはカスタム役割グループを使用して、メンバーに役割を割り当てます。 電子情報開示関連の役割の詳細については、「 電子情報開示アクセス許可の割り当て」を参照してください。

重要

セキュリティ フィルターが割り当てられている役割グループを有効にするには、少なくとも 1 つの役割を追加する必要があります。

Contoso コンプライアンス境界シナリオを使用して、4 つの役割グループを作成し、それぞれに適切なメンバーを追加します。

  • Fourth Coffee の電子情報開示マネージャー
  • Fourth Coffee の調査担当者
  • Coho Winery の電子情報開示マネージャー
  • Coho Winery の調査担当者

重要

ケースのメンバーとして追加した役割グループの役割を追加または削除すると、役割グループはケースのメンバー (または役割グループがメンバーになっているケース) として自動的に削除されます。 この動作により、organization がケースのメンバーに追加のアクセス許可を誤って付与することを防止できます。 役割グループを削除すると、その役割グループがメンバーであったすべてのケースから削除されます。

手順 3: 検索アクセス許可フィルターを作成してコンプライアンス境界を適用する

各機関の役割グループを作成した後、各役割グループを特定の機関に関連付け、コンプライアンスの境界を定義する検索アクセス許可フィルターを作成します。 代理店ごとに 1 つの検索アクセス許可フィルターを作成する必要があります。 セキュリティ アクセス許可フィルターの作成の詳細については、「 電子情報開示のアクセス許可フィルターを構成する」を参照してください。

この記事のシナリオのコンプライアンス境界の検索アクセス許可フィルターを作成するために使用される構文を次に示します。

New-ComplianceSecurityFilter -FilterName <name of filter> -Users <role groups> -Filters "Mailbox_<MailboxPropertyName>  -eq '<Value> '", "SiteContent_Path -like '<SharePointURL>' -or SiteContent_Path -like '<OneDriveURL>'"

コマンドの各パラメーターの説明を次に示します:

  • FilterName: フィルターの名前を指定します。 フィルターが使用されている代理店を説明または識別する名前を使用します。

  • Users: 実行する検索アクションにこのフィルターを適用するユーザーまたはグループを指定します。 コンプライアンス境界の場合、このパラメーターは、フィルターを作成する代理店の (手順 2 で作成した) 役割グループを指定します。 このパラメーターは複数値のパラメーターであるため、1 つ以上の役割グループをコンマで区切って含めることができます。

  • Filters: フィルターの検索条件を指定します。 コンプライアンス境界については、次のフィルターを定義します。 それぞれが異なるコンテンツの場所に適用されます。

    • Mailbox: Users パラメーターで定義されている役割グループが検索できるメールボックスまたは OneDrive アカウントを指定します。 このフィルターを使用すると、役割グループのメンバーは、特定の機関のメールボックスまたは OneDrive アカウントのみを検索できます。たとえば、 "Mailbox_Department -eq 'FourthCoffee'" などです。

      注:

      メールボックス フィルターは、Microsoft 365 グループ メールボックスと接続された SharePoint サイトにも適用されます。 Microsoft 365 グループに接続されている SharePoint サイトから結果を返すには、 Mailbox フィルターと SiteContent フィルターの両方が Microsoft 365 グループ メールボックスと関連付けられている SharePoint サイトの両方と一致する必要があります。

  • SiteContent: このフィルターには、2 つの個別のフィルターが含まれています。 最初の SiteContent_Path は、 Users パラメーターで定義されている役割グループが検索できる機関内の SharePoint サイトを指定します。 たとえば、「 SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' 」のように入力します。 2 番目のSiteContent_Pathフィルター (or演算子によって最初のSiteContent_Pathフィルターに接続されています) は、代理店の OneDrive ドメイン (MySite ドメインとも呼ばれます) を指定します。 たとえば、「 SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*' 」のように入力します。 SiteContent フィルターの代わりに Site_Path フィルターを使用することもできます。 Site フィルターとSiteContent フィルターは交換可能であり、この記事で説明する検索アクセス許可フィルターには影響しません。

    重要

    OneDrive の SiteContent フィルターが以前の検索アクセス許可フィルターに含まれているのはなぜですか? Mailbox フィルターはメールボックスと OneDrive アカウントの両方に適用されますが、OneDrive Site フィルターも含めなかった場合、SharePoint フィルターを含めると OneDrive アカウントは除外されます。 検索アクセス許可フィルターに SharePoint フィルターが含まれていない場合は、メールボックス フィルターにはコンプライアンス境界の範囲内に OneDrive アカウントが含まれるため、別の OneDrive フィルターを含める必要はありません。 つまり、 Mailbox フィルターのみを含む検索アクセス許可フィルターには、メールボックスと OneDrive アカウントの両方が含まれます。

Contoso コンプライアンス境界シナリオをサポートするために作成する 2 つの検索アクセス許可フィルターの例を次に示します。 これらの例にはいずれもコンマ区切りのフィルター リストが含まれています。メールボックスとサイトのフィルターが同じ検索アクセス許可フィルターに含まれており、コンマで区切られています。

Fourth Coffee

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

Coho Winery

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'"

注:

前の例の Filters パラメーターの構文には、 フィルター リストが含まれています。 フィルター リストは、メールボックス フィルターとサイト パス フィルターをコンマで区切って含むフィルターです。 前の例では、 Mailbox フィルターと SiteContent フィルター ( -Filters "Mailbox_<MailboxPropertyName> -eq '<Value> '", "SiteContent_Path -like '<SharePointURL>' -or SiteContent_Path -like '<OneDriveURL>'") をコンマで区切っていることに注意してください。 電子情報開示検索の実行中にこのフィルターが処理されると、2 つの検索アクセス許可フィルターがフィルター リストから作成されます。1 つのメールボックス フィルターともう 1 つの SharePoint/OneDrive フィルターです。 フィルター リストを使用する代わりに、代理店ごとに 2 つの個別の検索アクセス許可フィルターを作成します。1 つはメールボックス属性用、もう 1 つは SharePoint および OneDrive サイト属性用の検索アクセス許可フィルターです。 どちらの場合も、結果は同じです。 フィルター リストを使用するか、個別の検索アクセス許可フィルターを作成するかは、好みの問題です。

このシナリオでは、検索アクセス許可フィルターはどのように機能しますか?

このシナリオで各機関に検索権限フィルターがどのように適用されるかを次に示します。

  1. Mailbox フィルターは、最初に適用され、電子情報開示マネージャーが検索できるコンテンツの場所を定義します。 この場合、Coho Winery 電子情報開示マネージャーは、 Department メールボックス プロパティの値が FourthCoffee であるユーザーのメールボックスと OneDrive アカウントのみを検索できます。Coho Winery 電子情報開示マネージャーは、 Department メールボックス プロパティの値が CohoWinery であるユーザーのメールボックスと OneDrive アカウントのみを検索できます。 Mailbox フィルターは、電子情報開示マネージャーが検索できるコンテンツの場所を指定するため、コンテンツの場所フィルターです。 どちらのフィルターでも、電子情報開示マネージャーは、特定のメールボックス プロパティ値を持つコンテンツの場所のみを検索できます。

  2. 検索できるコンテンツの場所が定義されたら、フィルターの次の部分で、電子情報開示マネージャーが検索できるコンテンツを定義します。 最初の SiteContent フィルターを使用すると、Fourth Coffee 電子情報開示マネージャーは、 https://contoso.sharepoint.com/sites/FourthCoffeeを含む (または で始まる) サイト パス プロパティを持つドキュメントのみを検索できます。Coho Winery 電子情報開示マネージャーは、 https://contoso.sharepoint.com/sites/CohoWineryを含む (またはそれで始まる) サイト パス プロパティを持つドキュメントのみ検索できます。 このため、この 2 つの SiteContent フィルターは、検索可能なコンテンツを定義するため、 コンテンツ フィルター です。 どちらのフィルターでも、電子情報開示マネージャーは、特定のドキュメント プロパティ値を持つドキュメントのみを検索できます。 検索可能なサイトのプロパティがすべてのドキュメントにスタンプされるため、SharePoint 関連のフィルターはすべてコンテンツ フィルターです。 詳細については、「 電子情報開示のアクセス許可フィルターを構成する」を参照してください。

    注:

    この記事のシナリオでは使用しませんが、メールボックス コンテンツ フィルターを使用して、電子情報開示マネージャーが検索できるコンテンツを指定することもできます。 メールボックス コンテンツ フィルターの構文は "MailboxContent_<property> -<comparison operator> '<value>'" です。 日付範囲、受信者、ドメイン、または検索可能なメール プロパティに基づいてコンテンツ フィルターを作成できます。 たとえば、このフィルターを使用すると、電子情報開示マネージャーは、contoso.com ドメイン: "MailboxContent_Participants -like 'contoso.com'" のユーザーが送受信したメール アイテムのみを検索できます。 メールボックス コンテンツ フィルターの詳細については、「 検索アクセス許可のフィルター処理を構成する」を参照してください。

  3. 検索アクセス許可フィルターは、 AND ブール演算子によって検索クエリに結合されます。 つまり、いずれかの機関の電子情報開示マネージャーが電子情報開示検索を実行する場合、検索によって返されるアイテムは、検索クエリおよび検索アクセス許可フィルターで定義されている条件に一致する必要があります。

手順 4: 機関内調査のための電子情報開示ケースを作成する

最後の手順では、Microsoft Purview ポータルで電子情報開示ケースを作成します。 次に、手順 2 で作成した役割グループをケースのメンバーとして追加します。 この方法には、コンプライアンス境界を使用する場合に 2 つの重要な利点があります。

  • ケースに追加された役割グループのメンバーのみが、Microsoft Purview ポータルでケースを表示してアクセスできます。 たとえば、Fourth Coffee Investigators 役割グループがケースの唯一のメンバーである場合、Fourth Coffee 電子情報開示マネージャー役割グループのメンバー (または他の役割グループのメンバー) は、ケースを表示したりアクセスしたりすることはできません。

  • ケースに割り当てられた役割グループのメンバーがケースに関連付けられた検索を実行する場合、代理店内のコンテンツの場所のみを検索できます。 この制限は、手順 3 で作成した検索アクセス許可フィルターによって定義されます。

ケースを作成し、メンバーを割り当てるには:

  1. Microsoft Purview ポータルの [電子情報開示 ] に移動し、ケースを作成します。
  2. ケースの一覧で、作成したケースの名前を選択します。
  3. 役割グループをメンバーとしてケースに追加します。

注:

ケースに役割グループを追加する場合、自分がメンバーになっている役割グループのみを追加できます。

MultiGeo 環境でのコンテンツの検索とエクスポート

検索アクセス許可フィルターを使用すると、コンテンツをエクスポートする場所と、 SharePoint Multigeo 環境でコンテンツの場所を検索するときに検索できるデータセンターを制御することもできます。

  • 検索結果をエクスポートする: 特定のデータセンターから Exchange メールボックス、SharePoint サイト、および OneDrive アカウントから検索結果をエクスポートできます。 この機能は、検索結果のエクスポート元となるデータ センターの場所を指定できることを意味します。

    New-ComplianceSecurityFilter コマンドレットまたは Set-ComplianceSecurityFilter コマンドレットの Region パラメーターを使用して、エクスポートがルーティングされるデータセンターを作成または変更します。

    パラメーターの値 データセンターの場所
    NAM 北米 (データセンターは米国内)
    EUR ヨーロッパ
    APC アジア太平洋
    CAN カナダ

  • コンテンツ検索をルーティングする: SharePoint サイトと OneDrive アカウントのコンテンツ検索をサテライト データセンターにルーティングできます。 この機能は、検索を実行するデータセンターの場所を指定できることを意味します。

    注:

    プレミアム電子情報開示機能を使用している場合、 Region パラメーターは、データのエクスポート元のリージョンを制御しません。 データは、organization の中央の場所からエクスポートされます。 また、SharePoint と OneDrive でのコンテンツの検索は、データセンターの地理的な場所の制約を受けません。 すべてのデータセンターが検索されます。

    Region パラメーターに次のいずれかの値を使用して、SharePoint サイトと OneDrive アカウントを検索するときに検索を実行するデータセンターの場所を制御します。

    パラメーターの値 SharePoint の Datacenter ルーティングの場所
    NAM US
    EUR ヨーロッパ
    APC アジア太平洋
    CAN US
    AUS アジア太平洋
    KOR The organization's default datacenter
    GBR ヨーロッパ
    JPN アジア太平洋
    IND アジア太平洋
    LAM US
    NOR ヨーロッパ
    BRA 北米のデータセンター

    検索アクセス許可フィルターに Region パラメーターを指定しない場合は、organization のプライマリ SharePoint リージョンが検索されます。 検索結果は、最も近いデータセンターにエクスポートされます。

    概念を簡略化するために、 Region パラメーターは、SharePoint と OneDrive でコンテンツを検索するために使用されるデータセンターを制御します。 Exchange コンテンツ検索はデータセンターの地理的な場所に依存しないため、このパラメーターは Exchange でのコンテンツの検索には適用されません。 また、同じ Region パラメーター値によって、エクスポートがルーティングされるデータセンターが決まる場合もあります。 このルーティングは、多くの場合、地理的な境界を越えたデータの移動を制御するために必要です。

    重要

    セキュリティ コンプライアンス フィルターを作成し、特定の GEO リージョンを設定する場合: ESP、ITA、NZL、SWE は有効なリージョンではなく、有効なリージョン値にリダイレクトするときにエラーが生成されます。 このエラーに含まれる有効なリージョンは、ARE、APC、AUS、AUT、BRA、CAN、CHE、CHL、DEU、EUR、FRA、GBR、IDN、IND、JPN、KOR、LAM、MYS、NAM、NOR、POL、QAT、ZAF。

コンプライアンス境界の検索アクセス許可フィルターを作成するときに Region パラメーターを使用する例を次に示します。 この例では、Fourth Coffee の子会社が北米にあり、Coho Winery がヨーロッパにあることを前提としています。

New-ComplianceSecurityFilter -FilterName "Fourth Coffee Security Filter" -Users "Fourth Coffee eDiscovery Managers", "Fourth Coffee Investigators" -Filters "Mailbox_Department -eq 'FourthCoffee'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/FourthCoffee*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region NAM

New-ComplianceSecurityFilter -FilterName "Coho Winery Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Mailbox_Department -eq 'CohoWinery'", "SiteContent_Path -like 'https://contoso.sharepoint.com/sites/CohoWinery*' -or SiteContent_Path -like 'https://contoso-my.sharepoint.com/personal*'" -Region EUR

MultiGeo 環境でコンテンツを検索およびエクスポートする場合は、次の点に注意してください。

  • Exchange メールボックスの検索は、Region パラメーターにより制御されません。 メールボックスを検索すると、すべてのデータセンターが検索されます。 検索される Exchange メールボックスの範囲を制限するには、検索アクセス許可フィルターを作成または変更するときに フィルター パラメーターを使用します。

  • 電子情報開示マネージャーが複数の SharePoint 地域をまたいで検索する必要がある場合は、検索アクセス許可フィルターで使用する電子情報開示マネージャー用に別のユーザー アカウントを作成して、SharePoint サイトまたは OneDrive アカウントが配置されている地域を指定する必要があります。 この設定の詳細については、「 電子情報開示で検索アクセス許可フィルターを構成する」を参照してください。

  • SharePoint および OneDrive でコンテンツを検索する場合、 領域 パラメーターは、電子情報開示マネージャーが電子情報開示調査を実行するプライマリの場所またはサテライトの場所に検索を送信します。 電子情報開示マネージャーが、検索アクセス許可フィルターで指定された地域外の SharePoint および OneDrive サイトを検索する場合、検索結果は返されません。

  • 電子情報開示から検索結果をエクスポートする場合、すべてのコンテンツの場所 (Exchange、Skype for Business、SharePoint、OneDrive、およびコンテンツ検索ツールを使用して検索できるその他のサービスを含む) のコンテンツは、Region パラメーターで指定されたデータセンター内の Azure Storage の場所にアップロードされます。 この動作により、組織は管理された境界を越えてコンテンツがエクスポートされることを許可しないため、コンプライアンスを維持できます。 検索アクセス許可フィルターで地域を指定しない場合、コンテンツは organization のプライマリ データセンターにアップロードされます。

    プレミアム電子情報開示機能を有効にしてコンテンツをエクスポートする場合、 Region パラメーターを使用してコンテンツをアップロードする場所を制御することはできません。 コンテンツは、organization の中央の場所にあるデータセンター内の Azure Storage の場所にアップロードされます。 中央の場所に基づく地理的な場所の一覧については、「 Microsoft 365 Multi-Geo 電子情報開示構成」を参照してください。

  • 次のコマンドを実行して、既存の検索アクセス許可フィルターを編集して、地域を追加または変更できます。

    Set-ComplianceSecurityFilter -FilterName <Filter name>  -Region <Region>

SharePoint ハブ サイトのコンプライアンス境界を使用する

SharePoint ハブ サイト は、多くの場合、電子情報開示コンプライアンスの境界に従うのと同じ地理的または機関の境界に準拠します。 ハブ サイトのサイト ID プロパティを使用して、コンプライアンス境界を作成できます。 これを行うには、SharePoint Online PowerShell で Get-SPOHubSite コマンドレットを使用してハブ サイトの SiteId を取得し、この値を部門 ID プロパティに使用して検索アクセス許可フィルターを作成します。

SharePoint ハブ サイトの検索アクセス許可フィルターを作成するには、次の構文を使用します。

New-ComplianceSecurityFilter -FilterName <Filter Name> -Users <User or Group> -Filters "Site_Departmentid -eq '{SiteId of hub site}'"

Coho Winery 代理店のハブ サイトの検索アクセス許可フィルターを作成する例を次に示します。

New-ComplianceSecurityFilter -FilterName "Coho Winery Hub Site Security Filter" -Users "Coho Winery eDiscovery Managers", "Coho Winery Investigators" -Filters "Site_Departmentid -eq '44252d09-62c4-4913-9eb0-a2a8b8d7f863'"

コンプライアンス境界に関する考慮事項

コンプライアンス境界を使用する電子情報開示ケースと調査を管理する場合は、次の考慮事項に留意してください。

  • 検索を作成して実行するときに、代理店の外部にあるコンテンツの場所を選択できます。 ただし、検索のアクセス許可フィルターがあるため、これらの場所からのコンテンツは、検索結果に含まれません。

  • コンプライアンス境界は、電子情報開示ケースの保留には適用されません。 この状態は、ある機関の電子情報開示マネージャーが、別の機関のユーザーを保留にできることを意味します。 ただし、電子情報開示マネージャーが保留されたユーザーのコンテンツの場所を検索する場合は、コンプライアンス境界が適用されます。 この状態は、電子情報開示マネージャーがユーザーを保留にできたとしても、ユーザーのコンテンツの場所を検索できないことを意味します。

  • 検索アクセス許可フィルター (メールボックスまたはサイト フィルター) が割り当てられ、organization 内のすべての SharePoint サイトを含む検索から部分的にインデックス付きアイテムをエクスポートしようとすると、スコープ オプションを使用して、検索ヒットのない場所からでも部分的にインデックス付きアイテムを含めます (「検索結果のエクスポート」を参照してください)。) の場合、エクスポートには、割り当てられたコンプライアンス境界外のサイトを含む、すべてのサイトから部分的にインデックスが付けられたアイテムが含まれます。

  • 検索ヒットを含むサイトから部分的にインデックスが付けられたアイテムを取得する場合、電子情報開示ではプレフィックスベースのアプローチが使用されます。 たとえば、サイト http://contoso.com/salesが検索クエリに一致する場所として識別された場合、http://contoso.com/salesdepartment サイトが構成されたコンプライアンス境界外にある場合でも、結果には http://contoso.com/salesdepartment などの同様のプレフィックスの付けられたサイトのアイテムも含まれる場合があります。 この動作は、フィルターがサイト パスに基づいていない場合に発生する可能性があります。 たとえば、コンプライアンス境界が Property -eq 'abc' として定義されている場合、プロパティ値 'abc' に一致しないサイトは、そのパスがプロパティに一致するサイトとプレフィックスを共有している場合に含まれる可能性があります。

  • 検索アクセス許可のフィルターは、Exchange のパブリックフォルダーには適用されません。

  • サポートされている検索フィルターには、 -and、 -or、 -like、 -not、 -eq、 -ne が含まれます。 コンテンツベースのコンプライアンス境界の検索アクセス許可フィルターでは、 -notlike や inotlike などの他の除外フィルターを使用しないでください。 これらの除外フィルターを使用すると、最近更新された属性を持つコンテンツがインデックスが作成されていない場合、予期しない結果が発生する可能性があります。

  • 検索における OneDrive サイトのコンプライアンス境界の遵守は、次の場合に影響を受ける可能性があります。

    • サイトまたは関連付けられているメールボックスが移動または再配置されます。
    • OneDrive の所有権が再割り当てされたか、複数の所有者が追加されました。
    • OneDrive サイトの名前が変更されるか、再発行されました。
    • OneDrive サイトを移動すると、コンテンツの所有権が変更される可能性があり、仲裁メールボックスの作成が含まれる場合があります。 これらのリソースを移動すると、コンプライアンスの境界を越えてコンテンツ検索結果を利用できる可能性があります。 OneDrive サイトが再割り当て、名前変更、または複数の所有者に割り当てられた場合、これらのサイトのコンテンツがコンプライアンスの境界を越えて利用できる可能性があります。

  • メールボックスのコンプライアンス境界は、次の場合に影響を受ける可能性があります。

    • メールボックスは、無効または削除されたユーザーを含む、ライセンス ユーザーに関連付けられていません。
    • メールボックスが Microsoft Entra ID から管理または同期されていない。

  • さらに、いくつかの種類のメールボックスでは、コンプライアンス境界に関係なく、検索中にコンテンツが生成される場合があります。 これらのメールボックスの種類は次のとおりです。

    • EquipmentMailbox
    • GuestMailUser
    • LinkedMailbox
    • RoomList
    • RoomMailbox
    • SchedulingMailbox
    • SharedMailbox
    • SystemMailbox
    • TeamMailbox

  • 検索でこれらのメールボックスのコンプライアンス境界が想定どおりに守られるようにするには、 Set-Mailbox コマンドレットを使用するか Invoke-ComplianceSecurityFilterAction を使用して、共有メールボックス、機器メールボックス、およびその他のメールボックスに属性を設定し、属性が正しく設定されていることを確認します。 属性を適切に構成し、コンプライアンス境界属性に合わせると、メールボックスはコンプライアンス境界を尊重します。

詳細情報

  • メールボックスのライセンスを解除するか、ソフト削除すると、ユーザーはコンプライアンス境界内になくなります。 メールボックスを削除するときに保留を適用した場合、メールボックスに保存されているコンテンツは、引き続きコンプライアンス境界または検索アクセス許可フィルターの対象となります。
  • ユーザーにコンプライアンス境界と検索アクセス許可フィルターを実装する場合は、ユーザーのメールボックスや OneDrive アカウントを削除しないでください。 ユーザーのメールボックスを削除する場合は、ユーザーの OneDrive アカウントも削除します。 mailbox_RecipientFilter は OneDrive の検索アクセス許可フィルターを強制的に適用するためです。
  • コンプライアンス境界と検索許可フィルターは、Exchange、OneDrive、SharePoint のコンテンツにスタンプされた属性と、その後のこのスタンプされたコンテンツのインデックス作成によって異なります。

よく寄せられる質問

New-ComplianceSecurityFilter および Set-ComplianceSecurityFilter コマンドレットを使用して検索アクセス許可フィルターを作成および管理できるのは誰ですか?

Microsoft Purview ポータルで検索アクセス許可フィルターを作成、表示、変更するには、 組織管理 ロールと電子 情報開示管理者 ロールが割り当てられている必要があります。

電子情報開示マネージャーが複数の機関にまたがる複数の役割グループに割り当てられている場合、いずれかの機関のコンテンツを検索する方法

電子情報開示マネージャーは、検索を特定の機関に制限するパラメーターを検索クエリに追加できます。 たとえば、organizationが代理店を区別するために CustomAttribute10 プロパティを指定している場合、検索クエリに次のコードを追加して、特定の代理店のメールボックスと OneDrive アカウントを検索できます: CustomAttribute10:<value>。

検索アクセス許可フィルターでコンプライアンス属性として使用されている属性の値を変更するとどうなりますか?

検索アクセス許可フィルターで使用される属性の値を変更すると、検索アクセス許可フィルターがコンプライアンス境界を適用するには最大 3 日かかります。 たとえば、Fourth Coffee 代理店のユーザーが Coho Winery 代理店に転送されたとします。 その結果、ユーザー オブジェクトの Department 属性の値が FourthCoffee から CohoWinery に変更されます。 このような場合、Fourth Coffee eDiscovery と投資家は、属性が変更されてから最大 3 日間、そのユーザーの検索結果を取得します。 同様に、Coho Winery の電子情報開示マネージャーと調査担当者がユーザーの検索結果を取得するまでに最大 3 日かかります。

電子情報開示マネージャーは、2 つの別々のコンプライアンス境界からコンテンツを表示できますか。

はい。この機能は、両方の機関が可視できる役割グループに電子情報開示マネージャーを追加することで、Exchange メールボックスを検索するときに使用できます。 ただし、SharePoint サイトと OneDrive アカウントを検索するときに、電子情報開示マネージャーが異なるコンプライアンス境界内のコンテンツを検索できるのは、機関が同じ地域または地理的な場所にある場合のみです。

注:

SharePoint および OneDrive でのコンテンツの検索は地理的な場所に依存しないため、プレミアム電子情報開示機能が有効になっている場合、サイトのこの制限は適用されません。

テナントが地域間またはセキュリティ境界を越えて移動すると、既存の電子情報開示ケースはどうなりますか?

電子情報開示ケース、検索、保留、レビュー セットは、作成時のテナントのコンテンツの場所に対して作成されます。 テナントが別のリージョンまたは別のセキュリティ境界 (商用から GCC、GCC High、DoD など) に移動すると、既存の成果物は元の場所のデータ プレーンにバインドされたままになり、コピー先から再利用できない可能性があります。

移動の種類 既存の電子情報開示アーティファクトへの影響
同じセキュリティ境界内でのテナントの再配置 (例: 商用地域内の移動 - NAM、EUR、APC) 移行前に作成されたケース、検索、保留、レビュー セットには、コピー先リージョンからアクセスできない可能性があります。 移動を開始する前に必要な証拠をエクスポートするか、移動後にアーティファクトを再作成することを想定してください。
セキュリティ境界 を越えた テナントの移行 (商用 ↔ GCC、GCC High、DoD) 配信元のクラウドで作成されたケース、検索、保留、レビュー セットは移行 できず 、宛先クラウドからアクセスすることはできません。 アーティファクトは元のクラウドのデータ プレーンに引き続き存在しますが、宛先クラウドから開いたり、エクスポートしたり、変更したりすることはできません。 移行を開始する前に、オリジン クラウドでアクティブなマテリアルを完了またはエクスポートすることを計画します。

移動後の症状には、次のような症状があります: ポータルには既存のケースは表示されるが、新しいケースまたは検索の作成は失敗する (多くの場合、500 エラーが伴います)。 このエラーが発生した場合は、Microsoft サポートにお問い合わせください。 ルーティング修復はありますが、クラウド間の移動の場合、宛先クラウドでの新しいアーティファクトの作成のブロックを解除する代わりに、オリジン クラウドのアーティファクトへのアクセスが失われることを受け入れる必要があります。

米国政府機関のクラウドへのテナントの移行に関する広範な計画ガイダンスについては、「 Microsoft Purview DoD の展開の計画」、「 Microsoft Purview GCC High の展開の計画」、および 「Microsoft Purview GCC の展開の計画」を参照してください。 テナントの移設とデータ所在地の計画については、「Microsoft 365 の高度な Data Residency」および「Microsoft 365 Multi-Geo の計画」を参照してください。

検索アクセス許可フィルターは、電子情報開示ケースの保留、Microsoft 365 アイテム保持ポリシー、または DLP に対して機能しますか?

いいえ。現時点では不可能です。

コンテンツのエクスポート場所を制御する地域を指定しても、その地域に SharePoint organization がない場合でも、SharePoint を検索できますか?

検索アクセス許可フィルターで指定された地域が organization に存在しない場合は、既定の地域が検索されます。

organization で作成できる検索アクセス許可フィルターの最大数はどれくらいですか?

organization で作成できる検索アクセス許可フィルターの数に制限はありません。 ただし、検索クエリには最大 100 の条件を含めることができます。 この場合、条件は、ブール演算子 (AND、OR、NEAR など) によってクエリに接続されるものとして定義されます。 条件の数の制限には、検索クエリ自体と、検索を実行するユーザーに適用されるすべての検索アクセス許可フィルターが含まれます。 したがって、検索権限フィルターが多いほど (特に、これらのフィルターが同じユーザーまたはユーザー グループに適用される場合)、検索条件の最大数を超える可能性が高くなります。

この制限のしくみを理解するには、検索の実行時に検索アクセス許可フィルターが検索クエリに追加されることを理解する必要があります。 検索アクセス許可フィルターは、 AND ブール演算子によって検索クエリに結合されます。 検索クエリと単一の検索アクセス許可フィルターのクエリ ロジックは次のようになります。

<SearchQuery> AND <PermissionsFilter>

複数の検索アクセス許可フィルターが OR ブール演算子によって結合され、それらの条件が AND 演算子によって検索クエリに接続されます。

検索クエリと複数の検索アクセス許可フィルターのクエリ ロジックは次のようになります。

<SearchQuery> AND (<PermissionsFilter1> OR <PermissionsFilter2> OR <PermissionsFilter3>...)

検索クエリ自体が、ブール演算子で結びついた複数の条件で構成されている可能性があります。 検索クエリの各条件も、100 条件の制限に対してカウントされます。

また、クエリに追加される検索アクセス許可フィルターの数は、検索を実行しているユーザーによって異なります。 特定のユーザーが検索を実行すると、そのユーザーに適用される検索アクセス許可フィルター (フィルターの Users パラメーターによって定義される) がクエリに追加されます。 organization に数百の検索アクセス許可フィルターが存在する可能性がありますが、同じユーザーに 100 を超えるフィルターを適用すると、それらのユーザーが検索を実行するときに 100 条件の制限を超える可能性があります。

条件制限について、もう一つ注意すべき点があります。 検索クエリまたは検索アクセス許可フィルターに含まれる特定の SharePoint サイトの数も、この制限に対してカウントされます。

organization が条件制限に達しないようにするには、ビジネス要件を満たすために、organization 内の検索アクセス許可フィルターの数をできるだけ少なくします。

メールボックス フィルターは、OneDrive および M365 グループ接続された SharePoint サイトへの検索にどのような影響を与えますか?

OneDrive サイトと Microsoft 365 グループ接続 SharePoint サイトは、Exchange の関連付けられたユーザーまたは Microsoft 365 グループ メールボックスにリンクされます。 Mailbox フィルターと SiteContent フィルターの両方を含むセキュリティ フィルターの場合、OneDrive または Microsoft 365 グループに接続された SharePoint サイトから結果を返すには、両方が一致する必要があります。 メールボックス フィルターは、SiteContent フィルターに対して SharePoint および OneDrive アイテムを評価する前に、まず接続ユーザーまたは Microsoft 365 グループ メールボックスに対して評価されます。

OneDrive サイトのコンテキストでの調停メールボックスとは何ですか?

Exchange メールボックスと OneDrive アカウントの両方を持つアクティブ ユーザーとライセンス ユーザーの場合、メールボックスとその OneDrive サイトの間にリンクがあります。 つまり、コンプライアンス境界に割り当てられたメールボックス フィルターがユーザーのメールボックスに対して評価され、結果が返される前に一致がチェックされます。

メールボックスと OneDrive サイトの間でこのリンクが失われた場合、OneDrive は代わりに調停メールボックスに関連付けられます。 この調停メールボックスには、元のメールボックスのメールボックス プロパティが適用されていません。

OneDrive サイトの状態を操作方法 チェックして、仲裁メールボックスに関連付けられているかどうかを判断しますか?

特定の OneDrive サイトを確認し、それが調停中であるか、ユーザーのメールボックスにリンクされているかをチェックするには、Invoke-ComplianceSecurityFilterAction コマンドレットを使用します。

OneDrive サイトの状態チェックするには、次の構文を使用します。

Invoke-ComplianceSecurityFilterAction -Action GetStatus -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

調停中ではない OneDrive サイトの場合、次の例に示すように、コマンドは BoundaryType 値を UserMailbox として返します。

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          : UserMailbox
BoundaryInstruction   : Set via Set-Mailbox
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue : Dept-CH

判定中の OneDrive サイトの場合、次の例に示すように、コマンドは BoundaryType 値に対して空または null 値を返します。

PS C:\> Invoke-ComplianceSecurityFilterAction -action GetStatus -PropertyName "CustomAttribute10" -siteurl "https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com"

SiteUrlOrEmailAddress : https://contoso-my.sharepoint.com/personal/lila_contoso_onmicrosoft_com
BoundaryType          :
BoundaryInstruction   :
BoundaryObjectId      : SPO_4531d99e-21df-4903-a8c1-76cc3ec82685@SPO_525ef3f5-fbf7-4f91-bb4a-e3c24116c8a9
BoundaryStatus        : Success
BoundaryProperty      : CustomAttribute10
BoundaryPropertyValue :

仲裁中の OneDrive サイトは、コンプライアンス境界が適用された電子情報開示マネージャーによって返される結果にどのように影響しますか?

この動作は、コンプライアンス境界に対してセキュリティ フィルターがどのように構成されているかによって異なります。 OneDrive サイトが調停中の場合、メールボックス フィルターは返される結果にサイトを含みません。

メールボックス フィルターのみを使用するセキュリティ フィルターの場合、このシナリオではメールボックス フィルターは適用されないため、OneDrive からのアイテムが検索結果内で返されます。

メールボックス フィルターと SiteContent フィルターの両方を使用するセキュリティ フィルターの場合、 SiteContent フィルターが調停中の OneDrive インスタンス内のアイテムと一致する場合に結果が返されます。 一致するものがない場合、結果は返されません。 たとえば、Microsoft 365 Multi-Geo の展開のために別の機関が一意の OneDrive URL を持つためにSiteContent_Pathフィルターが使用されている場合、OneDrive アイテムのパスは、調停中の OneDrive の結果からフィルター処理されます。

メールボックス フィルターが引き続き適用されるように、仲裁中の OneDrive サイトを更新するにはどうすればよいですか?

Invoke-ComplianceSecurityFilterAction コマンドレットを使用して、調停メールボックスにリンクしている OneDrive インスタンスで CustomAttribute1 から CustomAttribute15 までの値を設定します。

OneDrive サイトの状態を設定するには、次の構文を使用します。

Invoke-ComplianceSecurityFilterAction -Action Set -PropertyName <Boundary Property> -SiteUrl <SharePoint/OneDrive URL>

OneDrive に設定すると、OneDrive に設定された CustomAttribute プロパティを使用するメールボックス フィルターが適用されます。

OneDrive サイトが仲裁メールボックスにリンクする原因となるシナリオは何ですか?

多くのシナリオにより、OneDrive サイトがユーザーのメールボックスへのリンクと調停メールボックスへのリンクを失う可能性があります。 詳細については、「コンプライアンス境界の制限」セクションを参照してください。 そのため、OneDrive を移動、変更、または再割り当てする場合は、 Invoke-ComplianceSecurityFilterAction コマンドレットを使用して、関連するメールボックス フィルターが期待どおりに動作することを検証します。

ユーザーのプロビジョニング解除プロセスの一環として、ユーザーの OneDrive に対して Invoke-ComplianceSecurityFilterAction コマンドレットを実行して、必要な CustomAttribute 値を設定します。

メールボックス セキュリティ フィルターに CustomAttribute1 から CustomAttribute15 を使用する必要があるのはなぜですか?

他のメールボックス属性もセキュリティ フィルターで機能しますが、次の理由でメールボックス セキュリティ フィルターを定義するときは CustomAttributes を使用してください。

  • すべての Exchange Online メールボックスは、これらの属性をサポートします。
  • 属性は、関連付けられているユーザー オブジェクトではなくメールボックスに直接スタンプされるため、関連付けられているユーザー オブジェクトがないシナリオでは設定されたままになります。
  • Invoke-ComplianceSecurityFilterAction コマンドレットは、調停メールボックスにリンクされた OneDrive インスタンスでの CustomAttribute の設定のみをサポートします。 My organization は以前に、ロールが接続されていない役割グループ (空の役割グループ) を使用してコンプライアンス境界を構成しましたが、この構成をどのように更新すればよいですか?

最初に、Get-ComplianceSecurityFilter を実行して、New-ComplianceSecurityFilter コマンドで使用されるロールを特定します |FL FIlterName, Users

次に、最小限の役割 (View-Only 監査ログなど) を各役割グループに追加するか、セキュリティ フィルター用に 1 つの役割グループ (少なくとも 1 つの役割を持つ) と電子情報開示アクセス許可用に 1 つの役割グループを設定する場合に推奨される 2 つの役割グループ構造を使用するように再構成します。

最後に、テスト検索を実行して、コンプライアンス境界が期待どおりに機能していることを確認します。

注: ケースのメンバーである役割グループの役割を追加または削除すると、その役割グループはケースから自動的に削除されます。 役割を変更した後、影響を受けるケースに役割グループを再度追加します。

予想されるコンプライアンス境界外の検索結果が返されるのですが、どうすればよいですか?

セキュリティ フィルターで使用されている役割グループに少なくとも 1 つの役割が割り当てられていることを確認します。 役割が割り当てられていない役割グループでは、セキュリティ フィルターはアクティブになりません。 メールボックス属性が、共有メールボックスとグループ メールボックスを含むすべてのターゲット メールボックスに設定されていることを確認します。 調停メールボックスにリンクされているサイトはメールボックス属性を継承しないため、調停状態の OneDrive サイトを確認します。 検索アクセス許可フィルターで属性の変更が有効になるまでに最大 3 日間かかります。

  • 最終更新: