Microsoft 365 サブスクリプションを作成すると、organization のテナントが自動的に作成されます。 テナントは、Microsoft Copilot がorganizationのデータにアクセスできる Microsoft 365 サービス境界内にあります。
Microsoft 365 サービスの境界内で運用しても、Copilot テナント全体の可視性は付与されません。 データ アクセスは、常にサインインしているユーザーのアクセス許可にスコープされます。
このデータには、アクティビティや Microsoft 365 アプリで作成および操作するコンテンツなど、ユーザーがアクセスできる情報が含まれます。
Copilot は、Microsoft 365 の他の多くのサービスと同様に、共有サービスです。 テナントで Copilot を使用する場合:
- 顧客データは、Microsoft 365 サービスの境界内にとどまります。
- organization によってすでに展開されている既存のセキュリティ、コンプライアンス、およびプライバシー ポリシーは、データを保護します。
この記事では、ユーザー プロンプト内のデータ フロー、Copilot がデータにアクセスする方法、Copilot が条件付きアクセスと多要素認証 (MFA) を優先する方法など、Microsoft Copilot のしくみについて説明します。
この記事は、Microsoft Copilot のコア アーキテクチャを理解したい IT 管理者、セキュリティ チーム、技術的な意思決定者を対象としています。 データ フロー、アクセス許可、セキュリティの境界に焦点を当てています。
この記事は、次の項目に適用されます:
- Microsoft Copilot
ユーザー プロンプトと Copilot の応答
ユーザーが Word や PowerPoint などの Microsoft 365 アプリを開くと、Copilot を使用してリアルタイム データを取得できます。
次の図は、Copilot プロンプトのしくみを視覚的に表したものです。
以下を見てみましょう。
Microsoft 365 アプリでは、ユーザーは Copilot にプロンプトを入力します。
Copilot は グラウンディング を使用して入力プロンプトを前処理し、ユーザーのテナント内の Microsoft Graph にアクセスします。
次のビデオでは、Microsoft Copilot でのグラウンディングのしくみの概要について説明します。 長さは 1 分 29 秒です。
グラウンディングはプロンプトの特異性を高め、特定のタスクに関連しており実用的な回答を得るのに役立ちます。 プロンプトには、入力ファイルからのテキストや、Copilot が検出した他のコンテンツを含めることができます。
Copilot が応答を生成するために使用するデータは、転送中に暗号化されます。
Copilot は、グラウンディングされたプロンプトを LLM に送信します。 LLM は、プロンプトを使用して、ユーザーのタスクにコンテキストに関連する応答を生成します。
Copilot はアプリとユーザーに応答を返します。
ユーザー アクセスとデータ プライバシー
Copilot は、既存の Microsoft 365 ロールベースのアクセス制御などに基づいて、個々のユーザーがアクセスを承認されているデータにのみアクセスします。 Copilot は、ユーザーがアクセス許可を持たないデータにはアクセスしません。
次の図は、Copilot とユーザー アクセスがどのように連携するかを視覚的に表したものです。
以下を見てみましょう。
デバイスでは、ユーザーがアプリを開き、Copilot にプロンプトを入力します。
Copilot は Microsoft Graph を使用して、ユーザーの固有のコンテキスト内にあるユーザー データにアクセスします。 このユーザー データには、ユーザーがアクセス許可を持っているメール、チャット、ドキュメントが含まれます。
Microsoft 365 サービスは、organization のデータへのアクセスとセキュリティの制御に役立ちます。 これらのサービスには、制限付き SharePoint 検索 (RSS)、SharePoint 高度な管理 (SAM)、Microsoft Purview などがあります。 詳細については、「Microsoft Copilot の Microsoft 365 E3 および E5 機能の比較リスト」を参照してください。
Copilot は、ユーザーがアクセス許可を持たないデータにアクセスできません。 図で、灰色表示されたデータは、Copilot がアクセスできないデータを表しています。
ユーザーがプロンプトを入力し、Copilot が応答すると、 操作 はユーザーの Copilot チャット履歴に保存されます。 ユーザーは、以前のプロンプトを確認して再利用できます。 チャット履歴を削除することもできます。
詳細については、「Microsoft Copilot とのユーザー操作に関して保存されているデータ」を参照してください。
Copilot は条件付きアクセスと MFA を優先します
Copilot は、条件付きアクセス ポリシーと多要素認証 (MFA) を優先します。
これは、次のことを意味します。
条件付きアクセス ポリシーを有効にして構成する場合は、ユーザーが Microsoft 365 サービスにアクセスできることを確認します。 設定したデバイス コンプライアンス ポリシーの強制など、構成した条件に基づいてアクセスを管理できます。 詳細については、「 条件付きアクセス ポリシーで AI を保護する」を参照してください。
Microsoft Intune を使用している場合は、Intune コンプライアンス ポリシーと条件付きアクセスを併用できます。 詳細については、「コンプライアンス ポリシーを使用して、Intune で管理するデバイスのルールを設定します。
Copilot は、テナント用に構成したのと同じ MFA 機能を使用します。 MFA を使用する場合、すべての Microsoft 365 サービスと同様に、ユーザーは Copilot へのアクセスを許可する前に複数の形式の確認を提供する必要があります。
テナントで セキュリティ既定値を使用している場合、MFA は既定で有効になっています。 MFA が有効になっていない場合は、 MFA を有効にすることをお勧めします。