Exchange Online で役割グループを管理する

役割グループは、Exchange Online の Role Based Access Control (RBAC) アクセス許可モデルの特別なユニバーサル セキュリティ グループ (USG) です。 役割グループのメンバーには同じ役割のセットが割り当てられます。役割グループにメンバーを追加したり、役割グループから削除したりして、ユーザーの追加や削除を行います。 Exchange Online の役割グループの詳細については、「Exchange Online のアクセス許可」を参照してください。

役割グループは、Exchange 管理センター (EAC) と Exchange Online PowerShell で管理できます。

はじめに把握しておくべき情報

• EAC は https://admin.exchange.microsoft.com で利用できます。 EAC の詳細については、次の記事を参照してください。

  • Exchange Online の Exchange 管理センター
  • オンプレミス メールボックス用の組み込みセキュリティ アドオンの Exchange 管理センター。

• Exchange Online PowerShell を開くには、「Exchange Online PowerShell への接続」を参照してください。

• この記事の手順を実行する前に、アクセス許可を割り当てる必要があります。 特に次のような場合です。

  • Exchange Online アクセス許可: 既定で Organization Management 役割グループに割り当てられている役割管理役割が必要です。

• この記事の手順に適用される可能性があるキーボード ショートカットについては、「Exchange Online の Exchange 管理センターのキーボード ショートカット」を参照してください。

EAC を使用して役割グループを管理する

https://admin.exchange.microsoft.com の EAC で、[アクセス許可>管理役割] に移動します。 または、[管理 ロール] ページに直接移動するには、https://admin.exchange.microsoft.com/#/adminRoles を使用します。

EAC を使用して役割グループと役割グループの詳細を表示する

https://admin.exchange.microsoft.com/#/adminRoles の EAC の [管理 ロール] ページには、すべての組み込みロール グループと顧客ロール グループについて次の情報が表示されます。

• 役割グループ: 役割グループの名前。
• 説明

役割グループの一覧を並べ替えるには、列ヘッダーで選択します。

エントリのリストを通常の間隔からコンパクトな間隔に変更するには、[ ビューの変更] を選択してから、[ コンパクト リスト] を選択します。

検索ボックスとそれに対応する値を使用して、特定の役割グループを検索します。

役割グループの詳細を表示するには、名前をクリックして一覧からグループを選択します。 開いた詳細ポップアップには、次のタブが含まれています。

• [全般] タブ: このタブには、ロールに関する次の情報が表示されます。

  • 名前
  • 説明: [名前の変更] には、[ 基本の編集] を選択します。
  • 管理者
  • 書き込み範囲

• [割り当て済み] タブ: このタブには、ロールのメンバーであるユーザーが表示されます。 このタブには、メインの役割グループ ビューと同じ [ 変更] ビューと [ 検索 ] 機能があります。

  グループ メンバーシップを変更するには、次のセクションを参照してください。

EAC を使用して役割グループを作成する

1. https://admin.exchange.microsoft.com/#/adminRoles の EAC の [管理 ロール] ページで、次のいずれかの手順を実行します。

   • 新しい役割グループを作成する: 役割グループが選択されていないことを確認し、 役割グループの追加] を選択します。
   • 既存の役割グループをコピーする: 役割グループ名の列の横の空白領域に表示される丸いチェックボックスを選択して、コピーする役割グループを選択し、表示される役割グループのアクションをコピー**] を選択します。

   これらのいずれの手順でも、残りの手順で説明するように、ロール作成ウィザードが起動します。

2. [基本] ページで、次の設定を構成します。

   • 名前: 役割グループの一意の名前を入力します。
   • 説明: 役割グループのオプションの説明を入力します。
   • 書き込みスコープ: 既定値を そのままにするか、PowerShell で以前に作成した既存の書き込みスコープ オブジェクトを選択します。

   役割グループをコピーする場合、既定の [名前 ] 値は [ <役割グループ名のコピー> で、既存の [説明 ] の値がコピーされますが、これらの値は変更できます。

   [ 基本 ] ページで完了したら、[ 次へ] を選択します。

3. [権限] ページで、[ロール] 列の横にあるチェック ボックスをオンにして、役割グループに割り当てるロールを選択します。

   ロールを並べ替えるには、列見出しで以下を選択します。

   • ロール
   • 説明
   • 既定の受信者範囲
   • 既定の構成スコープ

   エントリのリストを通常の間隔からコンパクトな間隔に変更するには、[ ビューの変更] を選択してから、[ コンパクト リスト] を選択します。

   検索ボックスとそれに対応する値を使用して、特定の役割グループを検索します。

   役割グループをコピーする場合は、元の役割グループのアクセス許可は既に選択されていますが、変更できます。

   [ アクセス許可] ページで完了したら、[ 次へ] を選択します。

4. [ 管理者 ] ページで、役割グループに追加するユーザーを選択します。

   ボックス内をクリックして、対象となるすべてのアカウントと役割グループを表示し、その中から選択するか、名前または表示名を入力して結果をフィルター処理します。

   役割グループをコピーする場合は、元の役割グループのメンバーは既に選択されていますが、これらを変更することができます。

   グループからユーザーを削除するには、エントリの [ 削除 ] を選択します。

   [管理者] ページで作業が完了したら、[次へ] を選択します

5. [ 確認して完了 ] ページで、選択内容を確認します。

   各セクションの [編集] リンクを使用して値を変更するか、[ 戻る] ボタンを使用します。

   [ 確認して完了 ] ページが終了したら、[ 役割グループの追加 ] または [役割グループのコピー] を選択して役割グループを作成します。

EAC を使用して役割グループを変更する

1. https://admin.exchange.microsoft.com/#/adminRoles で EAC の [管理ロール] ページで、役割グループ名をクリックして役割グループを選択します。

2. 開いた詳細ポップアップで、次の設定の 1 つ以上を構成します。

   • [全般] タブ: [ 基本の編集 ] を選択して、開いたポップアップでグループの名前または説明を変更し、[ 保存] を選択します。

   • [割り当て済み] タブ: 役割グループのメンバーシップを変更します。

     • メンバーの追加: [ 追加] を選択します。 開いた [ 管理者の追加 ] ポップアップで、ボックス内をクリックして、対象となるすべてのアカウントと役割グループを表示するか、名前または表示名を入力し始めて結果をフィルター処理します。 ボックスの下のエントリをクリックしてユーザーを選択し、[ 追加] を選択します。

     • メンバーを削除する: リスト内の 1 つ以上の既存のメンバーの横にあるチェック ボックスを選択し、表示される [削除] アクションを選択してから、確認ダイアログで [はい、削除] を選択します。

   • [権限] タブ: [役割] 列の横にあるチェック ボックスを選択して、役割グループに割り当てる役割を選択します。

     ロールを並べ替えるには、列見出しで以下を選択します。

     • 役割
     • 既定の受信者範囲
     • 既定の構成スコープ

     エントリのリストを通常の間隔からコンパクトな間隔に変更するには、[ ビューの変更] を選択してから、[ コンパクト リスト] を選択します。

     検索ボックスとそれに対応する値を使用して、特定の役割グループを検索します。

     タブが終了したら、[ 保存] を選択します。

   ヒント

   役割グループに対してメンバーを追加または削除した後、ユーザーは自身の管理者権限の変更を確認するためにサインアウトしてから、再度サインインしなければならない場合があります。

EAC を使用して役割グループを削除する

組み込みの役割グループを削除することはできませんが、カスタムの役割グループを削除することはできます。

1. https://admin.exchange.microsoft.com/#/adminRoles で EAC の [管理 役割] ページで、[役割グループ名] 列の横の空白領域に表示される丸いチェックボックスを選択して、削除する役割グループを選択し、表示される 削除 アクションを選択します。

2. 開いた確認ポップアップで、[ 確認] を選択します。

Exchange Online PowerShell を使用して役割グループを管理する

Exchange Online PowerShell へ接続するには、「Exchange Online PowerShell に接続する」を参照してください。

Exchange Online PowerShell を使用して役割グループを表示する

役割グループを表示するには、次の構文を使用します。

Get-RoleGroup [-Identity "<Role Group Name>"] [-Filter <Filter>]

この例では、すべての役割グループの概要リストを返します。

Get-RoleGroup

この例では、Recipient Administrators という名前の役割グループの詳細情報が返されます。

Get-RoleGroup -Identity "Recipient Administrators" | Format-List

この例では、ユーザー Julia がメンバーであるすべての役割グループを返します。 Julia の DistinguishedName (DN) 値を使用する必要があります。これはコマンド Get-User -Identity Julia | Format-List DistinguishedName を実行して確認できます。

Get-RoleGroup -Filter "Members -eq 'CN=Julia,OU=contoso.onmicrosoft.com,OU=Microsoft Exchange Hosted Organizations,DC=NAMPR001,DC=PROD,DC=OUTLOOK,DC=COM'"

構文およびパラメーターの詳細については、「Get-RoleGroup」を参照してください。

Exchange Online PowerShell を使用して役割グループを作成する

新しい役割グループを作成するには、次の構文を使用します。

New-RoleGroup -Name "Unique Name" -Description "Descriptive text" -Roles <"Role1","Role2"...> -ManagedBy <Managers> -Members <Members> -CustomRecipientWriteScope "<Existing Write Scope Name>"

• ロール パラメーターは、次の構文を使用して役割グループに割り当てる管理ロールを指定します "Role1","Role1",..."RoleN"。 Get-ManagementRole コマンドレットを使用して、使用できる役割を確認できます。
• メンバー パラメーターには、次の構文を使用して役割グループのメンバーを指定します。"Member1","Member2",..."MemberN"。 ユーザー、メールが有効なユニバーサル セキュリティ グループ (USG)、またはその他の役割グループ (セキュリティ プリンシパル) を指定できます。
• ManagedBy パラメーターは、次の構文を使用して役割グループを変更および削除できる代理人を指定します。"Delegate1","Delegate2",..."DelegateN"。 この設定は EAC では使用できません。
• CustomRecipientWriteScope パラメーターは、役割グループに適用する既存のカスタム受信者の書き込みスコープを指定します。 Get-ManagementScope コマンドレットを使用して、使用可能なカスタム受信者書き込みスコープを表示できます。

この例では、次の設定を使用して "Limited Recipient Management" という名前の新しい役割グループを作成します。

• この役割グループには、メール受信者の役割とメールが有効なパブリック フォルダーの役割が割り当てられます。
• ユーザー Kim と Martin がメンバーとして追加されます。 カスタム受信者の書き込み範囲が指定されていないため、Kim と Martin は organization 内の任意の受信者を管理できます。

New-RoleGroup -Name "Limited Recipient Management" -Roles "Mail Recipients","Mail Enabled Public Folders" -Members "Kim","Martin"

この例では、カスタム受信者の書き込みスコープを使用します。つまり、Kim と Martin は、シアトルの受信者スコープに含まれる受信者 ( [市区町村 ] プロパティの値が [シアトル] に設定されている受信者) のみを管理できます。

New-RoleGroup -Name "Limited Recipient Management" -Roles "Mail Recipients","Mail Enabled Public Folders" -Members "Kim","Martin" -CustomRecipientWriteScope "Seattle Recipients"

構文とパラメーターの詳細については、 New-RoleGroup を参照してください。

Exchange Online PowerShell を使用して役割グループをコピーする

1. 以下の構文を使用して、変数にコピーする役割グループを格納します。

   $RoleGroup = Get-RoleGroup "<Existing Role Group Name>"
   

2. 次の構文を使用して、新しい役割グループを作成します。

   New-RoleGroup -Name "<Unique Name>" -Roles $RoleGroup.Roles [-Members <Members>] [-ManagedBy <Managers>] [-CustomRecipientWriteScope "<Existing Custom Recipient Write Scope Name>"]
   

   • メンバー パラメーターには、次の構文を使用して役割グループのメンバーを指定します。"Member1","Member2",..."MemberN"。 ユーザー、メールが有効なユニバーサル セキュリティ グループ (USG)、またはその他の役割グループ (セキュリティ プリンシパル) を指定できます。
   • ManagedBy パラメーターは、次の構文を使用して役割グループを変更および削除できる代理人を指定します。"Delegate1","Delegate2",..."DelegateN"。 この設定は EAC では使用できません。
   • CustomRecipientWriteScope パラメーターは、役割グループに適用する既存のカスタム受信者の書き込みスコープを指定します。 Get-ManagementScope コマンドレットを使用して、使用可能なカスタム受信者書き込みスコープを表示できます。

   この例では、Organization Management 役割グループを "Limited Organization Management" という名前の新しい役割グループにコピーします。ロール グループのメンバーは Isabelle、Carter、Lukas で、ロール グループの代理人は Jenny と Katie です。

   $RoleGroup = Get-RoleGroup "Organization Management"
   
   New-RoleGroup "Limited Organization Management" -Roles $RoleGroup.Roles -Members "Isabelle","Carter","Lukas" -ManagedBy "Jenny","Katie"
   

   この例では、Organization Management 役割グループを Vancouver Organization Management という新しい役割グループにコピーし、Vancouver Users 受信者のカスタム受信者の書き込みスコープを指定します。

   $RoleGroup = Get-RoleGroup "Organization Management"
   
   New-RoleGroup "Vancouver Organization Management" -Roles $RoleGroup.Roles -CustomRecipientWriteScope "Vancouver Users"
   

構文とパラメーターの詳細については、 New-RoleGroup を参照してください。

Exchange Online PowerShell を使用して、役割グループ内のメンバーのリストを変更する

• Add-RoleGroupMember コマンドレットと Remove-RoleGroupMember コマンドレットは、個別のメンバーを 1 つずつ追加または削除します。 Update-RoleGroupMember コマンドレットは、既存のメンバー リストを置き換えたり変更したりできます。
• 役割グループのメンバーには、ユーザー、メールが有効なユニバーサル セキュリティ グループ (USG)、またはその他の役割グループ (セキュリティ プリンシパル) を指定できます。

役割グループのメンバーを変更するには、次の構文を使用します。

Update-RoleGroupMember -Identity "<Role Group Name>" -Members <Members>

• 既存のメンバー リストを指定した値で 置き換え るには、次の構文を使用します。 "Member1","Member2",..."MemberN"。
• 既存のメンバー リストを 選択的に変更 するには、次の構文を使用します。 @{Add="Member1","Member2"...; Remove="Member3","Member4"...}。

この例では、ヘルプ デスク役割グループの現在のメンバーをすべて指定されたユーザーに置き換えます。

Update-RoleGroupMember -Identity "Help Desk" -Members "Gabriela Laureano","Hyun-Ae Rim","Jacob Berger"

この例では、赤井大五郎を追加し、ヘルプ デスク役割グループのメンバーのリストから Valeria Barrio を削除します。

Update-RoleGroupMember -Identity "Help Desk" -Members @{Add="Daigoro Akai"; Remove="Valeria Barrios"}

構文とパラメーターの詳細については、「 Update-RoleGroupMember」を参照してください。

Exchange Online PowerShell を使用してカスタム役割グループに役割を追加する (役割の割り当てを作成する)

Exchange Online PowerShell でカスタム役割グループに役割を追加するには、次の構文を使用して管理役割の割り当てを作成します。

New-ManagementRoleAssignment [-Name "<Unique Name>"] -SecurityGroup "<Role Group Name>" -Role "<Role Name>" [-RecipientRelativeWriteScope <MyGAL | MyDistributionGroups | Organization | Self>] [-CustomRecipientWriteScope "<Role Scope Name>]

• ロールの割り当て名を指定しない場合、自動的に作成されます。
• RecipientRelativeWriteScope パラメーターを使用しない場合、ロールの暗黙的な読み取りスコープと暗黙的な書き込みスコープがロールの割り当てに適用されます。
• 定義済みのスコープがビジネス要件を満たしている場合は、 RecipientRelativeWriteScope パラメーターを使用して、スコープをロールの割り当てに適用できます。
• カスタム受信者の書き込みスコープを適用するには、 CustomRecipientWriteScope パラメーターを使用します。

この例では、"Seattle Compliance/Seattle 規制順守" という役割グループに対し、トランスポート ルールの管理役割を割り当てています。

New-ManagementRoleAssignment -SecurityGroup "Seattle Compliance" -Role "Transport Rules"

この例では、"Enterprise Support/エンタープライズ サポート" という役割グループにメッセージ追跡の役割を割り当て、これを "Organization/組織" という定義済みスコープに適用しています。

New-ManagementRoleAssignment -SecurityGroup "Enterprise Support" -Role "Message Tracking" -RecipientRelativeWriteScope Organization

この例では、"Seattle Recipient Admins/Seattle の受信者管理者" という役割グループにメッセージ追跡の役割を割り当て、これを "Seattle Recipients/Seattle の受信者" というスコープに適用しています。

New-ManagementRoleAssignment -SecurityGroup "Seattle Recipient Admins" -Role "Message Tracking" -CustomRecipientWriteScope "Seattle Recipients"

構文およびパラメーターの詳細については、「New-ManagementRoleAssignment」を参照してください。

Exchange Online PowerShell を使用してカスタム役割グループから役割を削除する (役割の割り当てを削除する)

Exchange Online PowerShell でカスタム役割グループから役割を削除するには、次の構文を使用して管理役割の割り当てを削除します。

Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" -Role "<Role Name>" -Delegating <$true | $false> | Remove-ManagementRoleAssignment

• ユーザーにアクセス許可を付与する通常のロールの割り当てを削除するには、Delegating パラメーターの値 $false を使用します。
• 役割を他の人に割り当てることができる委任役割の割り当てを削除するには、Delegating パラメーターの値 $true を使用します。

この例では、シアトルの受信者管理者役割グループから配布グループの役割を削除します。

Get-ManagementRoleAssignment -RoleAssignee "Seattle Recipient Administrators" -Role "Distribution Groups" -Delegating $false | Remove-ManagementRoleAssignment

構文およびパラメーターの詳細については、「Remove-ManagementRoleAssignment」を参照してください。

Exchange Online PowerShell を使用して、カスタム役割グループでの役割の割り当ての範囲を変更する

役割グループ内の役割割り当ての書き込み範囲は、役割グループのメンバーが操作できるオブジェクトを定義します (たとえば、すべてのユーザー、または "市区町村 " プロパティの値が "バンクーバー" のユーザーのみなど)。 カスタム役割グループに割り当てられたロールの書き込み範囲は、次の目的で変更できます。

• ロール自体からの暗黙的なスコープ。 つまり、役割グループを作成するときにカスタム スコープを指定しなかったか、既存の役割グループ内のすべての役割の割り当ての値を値 $null に設定したことを意味します。
• すべてのロールの割り当てに対して同じカスタム スコープ。
• 個々のロールの割り当てごとに異なるカスタム スコープ。

役割グループのすべてのロール割り当てに同時にスコープを設定するには、次の構文を使用します。

Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" | Set-ManagementRoleAssignment [-CustomRecipientWriteScope "<Recipient Write Scope Name>"] [-RecipientRelativeScopeWriteScope <MyDistributionGroups | Organization | Self>] [-ExclusiveRecipientWriteScope "<Exclusive Recipient Write Scope name>"]

この例では、Sales Recipient Management 役割グループのすべての役割割り当ての受信者スコープを Direct Sales Employees に変更します。

Get-ManagementRoleAssignment -RoleAssignee "Sales Recipient Management" | Set-ManagementRoleAssignment -CustomRecipientWriteScope "Direct Sales Employees"

役割グループと管理役割の間で個々のロールの割り当ての範囲を変更するには、次の手順を実行します。

1. <役割グループ名> を役割グループの名前に置き換え、次のコマンドを実行して役割グループのすべての役割割り当ての名前を見つけます。

   Get-ManagementRoleAssignment -RoleAssignee "<Role Group Name>" | Format-List Name
   

2. 変更する役割の割り当ての名前を検索します。 役割割り当ての名前は、次の手順で使用します。

3. 個々のロールの割り当てにスコープを設定するには、次の構文を使用します。

   Set-ManagementRoleAssignment -Identity "<Role Assignment Name"> [-CustomRecipientWriteScope "<Recipient Write Scope Name>"] [-RecipientRelativeScopeWriteScope <MyDistributionGroups | Organization | Self>] [-ExclusiveRecipientWriteScope "<Exclusive Recipient Write Scope name>"]
   

   この例では、Mail Recipients_Sales Recipient Management という名前の役割割り当ての受信者スコープを [すべての営業従業員] に変更します。

   Set-ManagementRoleAssignment "Mail Recipients_Sales Recipient Management" -CustomRecipientWriteScope "All Sales Employees"
   

   構文およびパラメーターの詳細については、「Set-ManagementRoleAssignment」を参照してください。

Exchange Online PowerShell を使用して役割グループ内の代理人の一覧を変更する

役割グループ代理人は、役割グループを変更および削除できるユーザーを定義します。 EAC で役割グループの代理人を管理することはできません。

役割グループ内の代理人のリストを変更するには、次の構文を使用します。

Set-RoleGroup -Identity "<Role Group Name>" -ManagedBy <Delegates>

• 既存の代理人のリストを指定した値で 置き換え るには、次の構文を使用します。 "Delegate1","Delegate2",..."DelegateN"。

• 既存の代理人のリストを 選択的に変更 するには、次の構文を使用します。 @{Add="Delegate1","Delegate2"...; Remove="Delegate3","Delegate4"...}。

この例では、ヘルプ デスク役割グループの現在の代理人をすべて、指定されたユーザーに置き換えます。

Set-RoleGroup -Identity "Help Desk" -ManagedBy "Gabriela Laureano","Hyun-Ae Rim","Jacob Berger"

この例では、赤井大五郎を追加し、ヘルプ デスク役割グループの代理人のリストから Valeria Barrio を削除します。

Set-RoleGroup -Identity "Help Desk" -ManagedBy @{Add="Daigoro Akai"; Remove="Valeria Barrios"}

構文およびパラメーターの詳細については、「Set-RoleGroup」を参照してください。

Exchange Online PowerShell を使用してカスタム役割グループを削除する

組み込みの役割グループを削除することはできませんが、カスタムの役割グループを削除することはできます。

カスタム役割グループを削除するには、次の構文を使用します。

Remove-RoleGroup -Identity "<Role Group Name>" [-BypassSecurityGroupManagerCheck]

この例では、Training Administrators 役割グループを削除します。

Remove-RoleGroup -Identity "Training Administrators"

構文およびパラメーターの詳細については、「Remove-RoleGroup」を参照してください。

正常な動作を確認する方法

役割グループが正常に作成、変更、または削除されたことを確認するには、次のいずれかの手順を実行します。

• EAC で、https://admin.exchange.microsoft.com/#/adminRoles の [管理 役割] ページに移動し、役割グループが一覧表示されている (または一覧に表示されていない) ことを確認します。 役割グループを選択します。名前をクリックし、開いた詳細ポップアップで設定を確認します。

• Exchange Online PowerShell で、<役割グループ名> を役割グループの名前に置き換え、次のコマンドを実行して役割グループが存在するかどうか (または存在しない) と設定を確認します。

  Get-RoleGroup -Identity "<Role Group Name>" | Format-List