秘密度ラベルをMicrosoft Entraセキュリティ グループに割り当てる (プレビュー)

Microsoft Entra のクラウド セキュリティ グループに秘密度ラベルを適用して、Microsoft 365 グループに既に使用している分類とガバナンスを拡張します。 Microsoft Purview ポータルで発行し、グループとサイト用に構成するのと同じラベルが、個別のラベル構成を必要とせず、クラウド セキュリティ グループに自動的に適用されます。

Microsoft 365 グループのラベル付けとの主な違い

クラウド セキュリティ グループの秘密度ラベルは、Microsoft 365 グループと同じ基になるラベル インフラストラクチャを共有しますが、動作上の重要な違いがあります。

プレビューでラベルが変更できない理由

Microsoft 365 グループは、SharePoint、Teams、Exchangeなどの共有コンテンツとワークロードにメンバーシップを適用するコラボレーション コンストラクトです。 一方、Microsoft Entra IDセキュリティ グループは承認プリミティブであり、Microsoft Entra IDおよびダウンストリームアクセス制御システムがメンバーシップを評価するセキュリティ プリンシパルです。

クラウド セキュリティ グループに適用された秘密度ラベルがゲスト アクセスを禁止する場合、Microsoft Entra ID は評価時に有効なメンバーシップを検証する必要があります。 有効なメンバーシップには、直接グループ メンバーと、入れ子になったグループを通じて推移的に継承されたメンバーの両方が含まれます。 検証により、グループ階層のどのレベルにもゲストが存在しないようにします。

セキュリティ グループは、条件付きアクセスのスコープ、アプリケーション アクセス、リソースのアクセス許可などの承認の決定に直接使用されます。 ラベル付けされたメンバーシップは、権利のバンドルを表します。 適用はMicrosoft Entra IDのメンバーシップの解決と検証ロジックに依存し、管理ガバナンスのプラクティスだけに依存しません。 現在の検証プロセスは、グループの作成時またはラベルが最初に割り当てられた場合にのみ適用されます。 他のシナリオでこれらの検証プロセスの拡張が進行中です。

既知の制限事項 (プレビュー)

プレビュー期間中は、次の制限事項が適用されます。

• ラベルの不変性: 適用後にラベルを変更または削除することはできません。 ラベルを適用する前に、慎重にラベルを選択してください。

• 高い特権のバイパス: 次の管理者ロールとアプリケーションのアクセス許可は、メンバーを追加するときにラベル ポリシーの適用をバイパスできます。 この動作は、一般公開前に変更される可能性があります。

  • Admin roles: グローバル管理者、ユーザー管理者、グループ管理者、ディレクトリ ライター、Exchange管理者、SharePoint管理者、SharePoint 高度な管理管理者、Teams 管理者、Yammer 管理者、ヘルプデスク管理者、サービス サポート管理者
  • アプリケーションのアクセス許可:Group.ReadWrite.All、 Directory.ReadWrite.All、 Directory.ReadWriteAdvanced.All、 GroupMember.ReadWrite.All

• 入れ子になったグループのラベル付けなし: 入れ子になったグループを含むセキュリティ グループにラベルを適用することはできません。 入れ子になったグループをすべて最初に削除し、ラベルを適用し、子グループに個別にラベルを付けてから、再度追加します。 子グループ ラベルは、親と互換性がある必要があります。

• 動的メンバーシップ グループ: このリリースでは、動的メンバーシップを持つセキュリティ グループに秘密度ラベルを適用することはできません。 動的グループにラベルを適用できる特定のエッジ ケースがありますが、関連付けられているラベル ポリシーは適用されません。

• オンプレミスおよびExchangeマネージド グループ: オンプレミスの Active Directory および Exchange マネージド セキュリティ グループから同期されたセキュリティ グループはサポートされていません。

• メールが有効なセキュリティ グループと配布リスト: サポートされていません。

• Microsoft 365 管理センター と My Groups: セキュリティ グループへの秘密度ラベルの割り当ては、Microsoft 365 管理センターまたは My Groups ポータルではサポートされていません。 代わりに、Microsoft Entra 管理センター、Azure ポータル、PowerShell、またはMicrosoft Graphを使用します。

Prerequisites

クラウド セキュリティ グループに秘密度ラベルを割り当てる前に、次の条件が満たされていることを確認します。

1. 組織には、少なくとも 1 つのアクティブな Microsoft Entra ID P1 または P2 ライセンス (または Microsoft 365 E3/E5) があります。
2. EnableMIPLabels設定は、テナント ディレクトリ設定のクラウド セキュリティ グループのTrueに設定されます。
3. 秘密度ラベルは、Microsoft Purview ポータルで Groups & Sites スコープを有効にして公開されます。
4. ラベルは、Execute-AzureADLabelSync コマンドレットを使用してMicrosoft Entra IDに同期されます。 ラベルが使用可能になるまでに、同期後最大 24 時間かかる場合があります。
5. Microsoft Graph PowerShell SDKは、この記事のディレクトリ設定コマンドレットとグループ管理コマンドレット用にインストールされています。
6. セキュリティとコンプライアンスの PowerShell がインストールされ、接続されています。 コマンドレットは、Microsoft Graph PowerShell SDK ではなく、Security & Compliance PowerShell でのみ使用できます。

PowerShell でセンシティビティ・ラベルのサポートを有効にする

クラウド セキュリティ グループに秘密度ラベルを適用するには、テナント レベルのディレクトリ設定を作成または更新して、この機能を有効にする必要があります。 クラウド セキュリティ グループでは、Group.Security 設定テンプレートが使用されます。これは、Microsoft 365 グループに使用される Group.Unified テンプレートとは別です。

1. PowerShell プロンプトを開き、コマンドレットを実行するために必要な Graph モジュールをインストールします。

   Install-Module Microsoft.Graph -Scope CurrentUser
   Install-Module Microsoft.Graph.Beta -Scope CurrentUser
   

2. テナントに接続します。

   Connect-MgGraph -Scopes "Directory.ReadWrite.All"
   

3. クラウド セキュリティ グループのテナント レベルのディレクトリ設定を作成します。 Group.Security テンプレート ID を使用します。

   $params = @{
       templateId = "d209f6fa-3839-4d70-b83f-60b1c64d0e8f"
       values = @(
           @{
               name = "AllowToAddGuests"
               value = "True"
           }
           @{
               name = "EnableMIPLabels"
               value = "True"
           }
       )
   }
   New-MgBetaDirectorySetting -BodyParameter $params
   

4. 設定が作成されたことを確認します。

   (Get-MgBetaDirectorySetting | Where-Object {
       $_.DisplayName -eq "Group.Security"
   }).Values
   

   出力には、EnableMIPLabels が True に設定されていることが表示されます。

設定が既に存在し、それらを更新する必要がある場合:

$Setting = Get-MgBetaDirectorySetting -Search DisplayName:"Group.Security"
$params = @{
    Values = @(
        @{
            Name = "EnableMIPLabels"
            Value = "True"
        }
    )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id `
    -BodyParameter $params

Request_BadRequest エラーが発生した場合、設定は既に存在します。 Get-MgBetaDirectorySetting | Format-Listを使用して正しい設定 ID を見つけ、その ID で Update-MgBetaDirectorySetting コマンドレットを発行します。

また、秘密度ラベルを Microsoft Entra ID に同期する必要もあります。 手順については、Purview ドキュメントの コンテナーの秘密度ラベルを有効にし、ラベルを同期 するを参照してください。

Microsoft Entra 管理センターの新しいセキュリティ グループにラベルを割り当てる

1. Microsoft Entra 管理センターに、少なくともグループ管理者としてサインインします。

2. Microsoft Entra ID を選択します。

3. [グループ]>[すべてのグループ]>[新しいグループ] の順に選択します。

4. [新しいグループ] ページで、グループの種類として [セキュリティ ] を選択します。

5. 必要な情報を入力し、[秘密度ラベル] ドロップダウンから 秘密度ラベル を選択します。

   Warning

   秘密度ラベルを適用してグループを作成すると、ラベルを変更または削除することはできません。 先に進む前に、ラベルが目的のアクセスポリシーと使用ポリシーと一致することを確認します。 この動作は、一般公開前に変更される可能性があります。

6. 必要に応じて所有者とメンバーを追加します。 選択したラベルにゲスト アクセスをブロックするポリシーが含まれている場合、ゲスト メンバーを追加することはできません。

7. [ 作成] を選択して変更を保存します。

グループが作成され、選択したラベルに関連付けられているメンバーシップ制限が適用されます。

Microsoft Entra 管理センター内の既存のセキュリティ グループにラベルを割り当てる

1. Microsoft Entra 管理センターに、少なくともグループ管理者としてサインインします。

2. Microsoft Entra ID を選択します。

3. [ グループ>すべてのグループ] を選択し、ラベルを付けるグループを選択します。

4. グループのページで、[プロパティ] を選択 します。

5. [秘密度ラベル] ドロップダウンから 秘密度ラベルを 選択します。

   Warning

   ラベルを適用すると、ラベルを変更または削除することはできません。 グループの現在のメンバーシップが選択したラベルのポリシーと競合する場合 (たとえば、グループにゲストが含まれており、ラベルによってゲスト アクセスがブロックされる)、保存操作は失敗します。 ラベルを適用する前に競合を解決します。

6. [保存] を選択して変更を保存します。

PowerShell または Microsoft Graph を使用してラベルを割り当てる

ラベルとラベル付きグループ メンバーシップをプログラムで管理するには、Microsoft Graphベータ エンドポイントを呼び出す次の PowerShell スニペットを使用します。

新しいセキュリティ グループにラベルを適用する

$param = @{
    description = "Your Group Description"
    displayName = "Your Group Name"
    mailEnabled = $false
    securityEnabled = $true
    mailNickname = "YourGroupNickName"
    assignedLabels = @(
        @{ "LabelId" = "<labelID>" }
    )
}
New-MgBetaGroup @param

使用可能なラベル ID を取得するには、List sensitivityLabels Microsoft Graph APIを使用します。

既存のセキュリティ グループにラベルを適用する

$assignedLabels = @(
    @{ "LabelId" = "<labelID>" }
)
Update-MgBetaGroup -GroupId <groupId> -AssignedLabels $assignedLabels

ラベル付きセキュリティ グループにメンバーを追加する

$userUPN = "user1@domain.com"
$user = Get-MgBetaUser -UserId $userUPN
$odataID = "https://graph.microsoft.com/v1.0/directoryObjects/" + $user.Id
New-MgBetaGroupMemberByRef -GroupId <groupId> -OdataId $odataID

ラベル付きグループにメンバーを追加すると、Microsoft Entra ID新しいメンバーがラベルの制限を満たしていることを確認します。 メンバーが制限を満たしていない場合 (ゲストなしポリシーを使用してグループにゲストを追加しようとした場合など)、操作はブロックされ、エラーが返されます。

ラベル付きグループにおけるネスト動作

入れ子になったグループと秘密度ラベルを使用する場合は、次の規則が適用されます。

• 現在入れ子になったグループを含むグループにラベルを付けることはできません。 親グループにラベルを付ける場合は、入れ子になった (子) グループをすべて最初に削除し、そのラベルを親に適用してから、子グループを再度追加します。
• 子グループには互換性のあるラベルが必要です。 ラベル付き親に子グループを追加し直す場合、子グループのラベルは、少なくとも親のラベルと同じ制限を持つ必要があります。 制限の緩いラベル (優先順位が低い) の子グループを、より制限の厳しい親グループのメンバーとして追加することはできません。
• ラベルのないグループを、ラベル付きの親グループの配下にネストすることはできません。 親グループにラベルがある場合は、その子グループを追加する前に、互換性のあるラベルですべての子グループにラベルを付ける必要があります。

入れ子グループを含む親グループにラベルを付ける手順

1. 親グループから入れ子になったグループをすべて削除します。
2. 目的のラベルを親グループに適用します。
3. 各子グループにラベルを適用します (ラベルは、親のラベル以上の制限が必要です)。
4. ラベル付けされた子グループを親グループに追加し直します。

Troubleshooting

秘密度ラベルをセキュリティ グループに割り当てることはできません

クラウド セキュリティ グループの秘密度ラベル オプションは、次のすべての条件が満たされている場合にのみ表示されます。

1. 組織には、アクティブな Microsoft Entra ID P1 ライセンスがあります。
2. EnableMIPLabelsは、True ディレクトリ設定でGroup.Securityに設定されます。
3. 秘密度ラベルは、この Microsoft Entra 組織の Microsoft Purview ポータルで発行されています。
4. ラベルは、 コマンドレットを使用して Microsoft Entra ID と同期されます（Security & Compliance PowerShell から実行）。 ラベルが使用可能になるまでに、同期後最大 24 時間かかる場合があります。
5. 秘密度ラベルのスコープは、グループとサイト用に構成されています。
6. グループは、メンバーシップの種類が 割り当てられた クラウド セキュリティ グループです (動的ではありません)。
7. 現在サインインしているユーザーには、秘密度ラベル (グループ所有者または少なくともグループ管理者) を割り当てるための十分な特権があり、秘密度ラベル発行ポリシーのスコープ内にあります。

メンバーシップの競合が原因でラベルの割り当てが失敗する

ポリシーがグループの現在のメンバーシップと競合するラベルを適用しようとすると、操作はエラーで失敗します。 一般的なシナリオは次のとおりです。

• ゲスト メンバーを含むグループへのゲスト アクセスをブロックするラベルを適用する。 解決策: ゲスト メンバーを削除し、ラベルを適用します。
• 入れ子になったグループを含むグループにラベルを適用する。 解決策: 入れ子になったグループをすべて削除し、ラベルを適用し、子グループにラベルを付けてから、それらを再度追加します。

ラベルの競合が原因でメンバーの追加が失敗する

ラベル ポリシーがグループの現在のメンバーシップと競合するクラウド セキュリティ グループにメンバー (ゲストまたは入れ子になったグループ) を追加しようとすると、操作はエラーで失敗します。 一般的なシナリオは次のとおりです。

• ゲスト アクセスをブロックするラベルを持つグループにゲスト メンバーを追加する。 解決策: ゲスト アクセスが許可されていないラベルを持つグループにゲストを追加することはできません。
• ラベル付けされていない入れ子になったグループをラベル付けされた親グループに追加する。 解決策: 親グループのラベルと同じか、より制限の厳しい入れ子になったグループにラベルを適用し、入れ子になったグループを追加します。
• 制限の緩いラベルを持つ入れ子になったグループを親グループに追加する。 解決策: 入れ子になったグループには、親グループのラベルと同じか、より制限の厳しいラベルが必要です。 入れ子になったグループに制限の緩いラベルがある場合は、追加できません。

ラベルを変更または削除することはできません

プレビュー期間中は、クラウド セキュリティ グループの秘密度ラベルを変更することはできません。 ラベルを適用した後、ラベルを変更または削除することはできません。 ラベルを変更するには、適切なラベルを持つ新しいセキュリティ グループを作成し、新しいグループにメンバーを再追加します。

既知の問題: PowerShell で assignedLabels が返されない

PowerShell を使用してグループにクエリを実行するときに、 assignedLabels プロパティが設定されないという既知の問題があります。 回避策として、Microsoft Graph エクスプローラーまたはGraph APIを直接使用します。

GET https://graph.microsoft.com/v1.0/groups/{groupId}?$select=assignedLabels

または

GET https://graph.microsoft.com/v1.0/groups/{groupId}/assignedlabels

関連するコンテンツ

• 秘密度ラベルをMicrosoft 365 グループに割り当
• Microsoft Purview の秘密度ラベル
• コンテナーの秘密度ラベルを有効にしてラベルを同期する
• PowerShell を使用してグループ設定を構成する