Dynamics 365 ERP MCPのセキュリティ

Dynamics 365 ERP MCPサーバーは、エージェントクライアントがモデルコンテキストプロトコル(MCP)を通じてDynamics 365の財務および運用アプリに接続できるようにします。 このインタラクションモデルは従来の統合とは異なり、リクエストはAIアシスタントを通じて開始されますが、セキュリティモデル自体は変わりません。 MCPのリクエストは、他の財務・オペレーションアプリの体験に適用される認証、認可、ビジネスロジック、データ制御と同じ方法で制御されます。

セキュリティ モデル

MCPサーバーは、財務およびオペレーションアプリの既存のAPI統合フレームワークと同じ基盤の上に構築されています。 別々のセキュリティ境界を作成したり、アプリケーションから独立して権限を付与したりしません。 代わりに、認証済みユーザーおよびユーザーが接続されている財務・運用環境の文脈で各リクエストを評価します。

セキュリティモデルには4つの重要な特性があります。

• リクエストはMCP操作を試みる前に認証されます。
• 認証を強制するのはMCPサーバーではなく、財務と運用のセキュリティです。
• ビジネスロジック、検証、ワークフローは回避されていません。
• MCPサーバーは顧客データを保存しません。

Authentication

すべてのMCPリクエストは認証済みユーザーを必要とします。 MCPサーバーは財務や運用データにアクセスするための匿名または共有サービスパスを提供していません。

オペレーションは、認証済みユーザーのアイデンティティおよびセキュリティコンテキストの下で、財務およびオペレーションアプリで実行されます。 したがって、エージェントがMCPサーバーを通じて行うアクションは、リクエストを開始したユーザーに帰属可能であり、これは財務および運用クライアントで同じユーザーが行う行動に似ています。

認証された同一性はエージェントパターンに依存します:

• チャットや委任エージェントの場合は、エージェントの設定をエージェントとチャットしているユーザーの代理として実行するように設定してください。
• 自律型エージェントの場合、リクエスト時に人間のユーザーがエージェントとチャットすることはありません。 自律エージェントは独自のアイデンティティを持ち、そのアイデンティティはリクエストを行っている認証済みユーザーです。

いずれの場合も、ユーザー認証に使われるアイデンティティに基づいて権限が適用されます。

許可される MCP クライアント

管理者はまた、どのエージェントクライアントがMCPサーバーに接続できるかも制御できます。 環境内の Dynamics 365 ERP MCP サーバーを有効にした場合、サーバーにアクセスできるエージェント プラットフォームを選択します。 デフォルトでは、以下のプラットフォームのみがMCPサーバーにアクセスできます:

MCP サーバーにアクセスする必要がある他のエージェント プラットフォームへのアクセス権を付与します。 新しいエージェント プラットフォームを追加するには、次の手順を実行します。

1. アプリケーションをMicrosoft Entra IDに登録します。 詳細については、「 Microsoft Entra ID にアプリケーションを登録する」を参照してください。
2. [ 許可された MCP クライアント ] フォームに登録済みのクライアント ID 値を追加し、[ 許可] プロパティを [ trueに設定します。

承認とアクセス制御

財務およびオペレーションアプリのセキュリティ設定は、承認を強制します。 ユーザーがMCPサーバーに接続すると、サーバーはユーザーの認証情報を使って財務および運用APIを呼び出します。 そのユーザーに割り当てられた役割、職務、権限、レコードレベルのセキュリティ、データセキュリティポリシーはすべてのリクエストに適用されます。

MCPサーバーは権限を昇格しません。 ユーザーがMCPサーバー経由で財務および運用アプリにアクセスする際、財務および運用のセキュリティ設定で割り当てられたものと同じセキュリティ役割、義務、権限が適用されます。 認証済みユーザーは、財務・運用アプリケーションクライアントを通じてできる以上のことをMCPサーバーを通じて行うことはできません。

管理者がMCPサーバーを通じてユーザーがアクセスまたは変更できる内容を変更したい場合は、他の財務・運営チャネルで使うのと同じセキュリティ役割、義務、権限、ポリシーを更新すべきです。

ビジネスロジックと検証

MCPサーバーはデータベースへの実行ブリッジではありません。 オペレーションはODataエンドポイント、カスタムサービス、サーバーAPIなどの標準的な財務およびオペレーションAPIを通じて行われます。 MCPサーバーはビジネスデータの読み取りや変更に直接データベースアクセスを使いません。

MCPサーバーは他の対応チャネルと同じアプリケーションAPIを使用しているため、財務および運用のビジネスロジックは保持されます。 検証、ワークフロー、サーバーサイドのビジネスルールは、ユーザーが財務・運用クライアントで作業している時や、別の統合チャネルが同じAPIを呼び出す時と同じように動作します。 アプリケーションクライアントで拒否されるトランザクションは、MCPサーバー経由での試みでも拒否されます。

展開とデータ処理

MCPサーバーは、組織がMCPアクセスのために設定する財務および運用環境内で動作します。 MCPサーバーは、財務や運営のビジネスデータを環境外に保存する別の共有サービスではありません。

MCPサーバーは、MCPクライアントと財務・運用アプリ間のパススルーAPI層として機能します。 リクエスト期間中は結果を発信クライアントに返しますが、顧客データは保存しません。 顧客データは財務およびオペレーションアプリ内に残り、組織の既存の保持、コンプライアンス、データガバナンス管理の対象となります。 MCPサーバーは財務や運営のビジネスデータの管理場所を変えません。 顧客の財務および運用環境外でのデータの移動や保持は、エージェントクライアント(例:Microsoft Copilot Studio、Claude、Microsoft Foundry)および/またはクライアントの他の外部システムへのアクセスに依存します。 エージェントクライアントが他のシステムにデータを移動する権限やデータ保持ポリシーを監査することを必ず確認してください。

組織はまた、MCPサーバーで使用するAIサービスやエージェントクライアントも制御します。 例えば、組織はMCPクライアントを自社のコンプライアンス境界内でAzure OpenAI Serviceを使用するように設定できます。これはパブリックアシスタントサービスを使う代わりにです。

Administrators

• MCPクライアントを通じて財務およびオペレーションアプリにアクセスするユーザーに割り当てられた役割、職務、権限を確認しましょう。
• 許可されたMCPクライアントの設定を使って、どのエージェントクライアントがMCPサーバーに接続できるかを制御してください。
• エージェントクライアントおよびAIサービスを、組織のコンプライアンスおよびデータ処理要件に基づいて設定してください。
• エージェントの指示を確認し、担当者が割り当てられた財務や運営の責任外の行動をユーザーに促さないか確認してください。