RSC アクセス許可の事前承認

Resource-Specific 同意 (RSC) アクセス許可の事前承認により、管理者は、アプリのインストール時に要求できる RSC アクセス許可を細かく制御できます。 RSC アクセス許可は、アプリのインストール時にアプリに付与されます。 管理者は、事前承認ポリシーを使用することで、インストール時にアプリがエンド ユーザーに要求して同意することができる最大アクセス許可を事前に宣言できます。

RSC アクセス許可の事前承認ポリシーをアプリに対して有効にするには、管理者はアプリが organization で有効になっている (インストール可能) ことを確認する必要があります。 アプリがインストール可能でない場合、その特定のアプリのアクセス許可の事前承認は無関係になります。 Teams 管理センターでアプリを有効にする方法の詳細については、「Teams 管理センターでのアプリの管理」を参照してください。

管理者は、アプリ ID、アクセス許可、アクセスされるデータの秘密度に基づいて、詳細な事前承認ポリシーを作成できます。 RSC アクセス許可の事前承認は、organization の高度なカスタム ポリシーを作成したい管理者向けに設計されています。

既定では、事前承認ポリシーは Microsoft によって管理されるため、組織は ManagedByMicrosoft 状態を維持することをお勧めします。 この状態により、Microsoft のセキュリティ チームはお客様のorganizationに最適なセキュリティを提供できます。

RSC アクセス許可の事前承認を管理するように PowerShell を設定する

RSC アクセス許可の事前承認は、Microsoft Graph PowerShell を通じて管理されます。 PowerShell を使用した Microsoft Teams の管理の詳細については 、こちらを参照してください。

RSC 事前承認ポリシーを作成、管理、および削除するには、PowerShell コマンドレットに次のアクセス許可を付与する必要があります。

• TeamworkAppSettings.ReadWrite.All
• Policy.ReadWrite.Authorization
• AppCatalog.Read.All
• Policy.ReadWrite.PermissionsGrant
• InformationProtectionPolicy.Read
• Application.ReadWrite.All

RSC アクセス許可の事前承認ポリシーを管理するための PowerShell セットアップの例を次に示します。

Connect-MgGraph -Scopes @('TeamworkAppSettings.ReadWrite.All', 'Policy.ReadWrite.Authorization', 'AppCatalog.Read.All', 'Policy.ReadWrite.PermissionGrant', 'InformationProtectionPolicy.Read', 'Application.ReadWrite.All')

Allow RSC permissions for apps in your organization

チームとチャットの両方に固有の RSC アクセス許可について、管理者は organization に 4 つの異なる状態を設定できます。 DisabledForAllApps状態を除いて、他のすべての状態では、RSC アクセス許可がさまざまなレベルで許可されます。 これらの状態は、 Set-MgBetaChatRscConfiguration および Set-MgBetaTeamRscConfiguration コマンドレットを使用して設定できます。

たとえば、organization内のブロックされていないすべてのアプリに RSC アクセス許可を許可するには、Set-MgBetaTeamRscConfiguration -State EnabledForAllApps コマンドレットを使用します。

以下には、organization 内で RSC アクセス許可を許可または禁止するさまざまな状態があります。

ブロックされていないすべてのアプリに対して RSC アクセス許可を有効にする organization

RSC アクセス許可の設定状態を EnabledForAllApps に変更することで、PowerShell コマンドレットを使用してorganization内のブロックされていないすべてのアプリに対して RSC を有効にすることができます。 organization のチャットとチームの両方の RSC 設定の状態は、次のように設定できます。

Set-MgBetaTeamRscConfiguration -State EnabledForAllApps
Set-MgBetaChatRscConfiguration -State EnabledForAllApps

特定のアプリのセットに対してのみ RSC を有効にする

特定のアプリの事前承認ポリシーは、事前承認するデータのアクセス許可と秘密度ラベルを使用して作成できます。 次のセクションでは、秘密度ラベルを付ける場合と付けない事前承認ポリシーを作成する方法を示します。

アプリ ID とアクセス許可に基づいて事前承認ポリシーを作成する

事前承認ポリシーを使用すると、organization 内のユーザーは、特定のアプリのセットに対する RSC アクセス許可に同意できます。 これは、組織内のすべてのアプリの RSC アクセス許可を制限することなく、organization がアクセスできる organization 対応アプリを決定できることを意味します。

秘密度ラベルを持たない事前承認ポリシーを作成するには、次の情報があることを確認します。

• Teams アプリ ID。
• アプリに関連付けられている RSC アクセス許可。
• テナント内のチーム管理者またはグローバル管理者の特権。

PowerShell コマンドレットを使用して事前承認ポリシーを作成できます。 コマンドレットを作成するには、 New-MgBetaTeamAppPreApproval コマンドで前述の情報を取得し、コマンドレットで事前承認する次の RSC アクセス許可のいずれかを指定する必要があります。

チームの RSC アクセス許可を使用してアプリを事前に承認する

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel

チャットを使用してアプリを事前に承認する RSC アクセス許可

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat')

チームとチャットの両方の RSC アクセス許可を持つアプリを事前に承認する

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat') -ResourceSpecificApplicationPermissionsAllowedForTeams @(‘ChannelMessage.Read.Group’) -TeamLevelSensitivityLabelCondition AnySensitivityLabel

アプリ ID、アクセス許可、秘密度ラベルに基づいて事前承認ポリシーを作成する

事前承認ポリシーを作成して、テナント内の特定の秘密度ラベルに対して RSC アクセス許可を事前に承認できます。 これにより、RSC 対応アプリがアクセスできるデータを制御できます。 ここでは、データの秘密度に基づいて事前承認ポリシーを作成するプロセスについて説明します。

また、特定の秘密度ラベルに加えて、特定のアクセス許可の事前承認ポリシーを作成することもできます。 特定のアクセス許可に対してすべての RSC 同意要求を承認することを許可できます。 事前承認ポリシーを作成するには、次の情報が必要です。

• Teams アプリ ID。
• アプリに関連付けられている RSC アクセス許可。
• 秘密度ラベルに関連付けられている秘密度ラベル ID。 ポリシーをすべての秘密度ラベルに適用する場合、またはチャット RSC アクセス許可のみを事前承認する場合は、これは必要ありません。
• テナント内のチーム管理者またはグローバル管理者の特権。

PowerShell コマンドレットを使用して事前承認ポリシーを作成できます。 コマンドレットを作成するには、 New-MgBetaTeamAppPreApproval コマンドで前述の情報を取得し、コマンドレットで事前承認する次の RSC アクセス許可のいずれかを指定する必要があります。

SpecificSensitivityLabel引数を使用して、RSC 事前承認ポリシーを適用する特定の秘密度ラベルを定義できます。

これらの引数を使用するコマンドレットの例を次に示します。

New-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition SpecificSensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams @('4de11089-adb9-4be8-9b7a-8336be68f3c4')

カスタム定義された事前承認ポリシーを持つアプリのみを許可するように RSC 構成を変更する

事前承認ポリシーを作成したら、新しいポリシーを使用するように organization の RSC 設定を変更します。 この設定はより制限が厳しく、一部のアプリがエンド ユーザーに対して機能しなくなる可能性があります。 この変更を行うには、organizationの RSC 設定の状態を変更します。 次の例は、必要な PowerShell コマンドレットを示しています。

Set-MgBetaTeamRscConfiguration -State EnabledForPreApprovedAppsOnly
Set-MgBetaChatRscConfiguration -State EnabledForPreApprovedAppsOnly

既存の事前承認ポリシーを管理する

事前承認ポリシーを作成したら、ポリシーを変更して、ポリシーのアクセス許可と秘密度ラベルを変更できます。 アプリが追加のアクセス許可でリリースされた場合は、そのアプリの事前承認ポリシーを更新して新しいアクセス許可を追加し、アプリをテナントにインストールできるようにする必要があります。 既存の事前承認ポリシーを管理し、新しい事前承認ポリシーを作成する場合に、同じ情報が必要です。

また、既存のアプリの RSC アクセス許可の事前承認を停止する場合は、既存の事前承認ポリシーを削除することもできます。

既存の事前承認ポリシーを更新する

Update-MgBetaTeamAppPreApproval コマンドレットを使用して事前承認ポリシーを更新できます。 更新するアクセス許可を指定するときは、RSC アクセス許可の種類を区別する必要があります。

次の RSC 構成を使用して、既存の事前承認ポリシーを管理できます。

チャット RSC の事前承認ポリシーを更新する

Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForChats @('OnlineMeeting.ReadBasic.Chat', 'TeamsAppInstallation.Read.Chat')

チーム RSC の事前承認ポリシーを更新する

Update-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group', 'TeamsAppInstallation.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel

事前承認ポリシーを定義済み秘密度ラベルからすべての秘密度ラベルに変更する場合は、事前承認ポリシーの SpecificSensitivityLabel 引数の値をリセットする必要があります。 これを行うには、次のように AnySensitivityLabel 引数を null に設定します。

Update-MgBetaTeamAppPreapproval  -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e -ResourceSpecificApplicationPermissionsAllowedForTeams @('ChannelMessage.Read.Group') -TeamLevelSensitivityLabelCondition AnySensitivityLabel -SpecificSensitivityLabelIdsApplicableToTeams $null

既存の事前承認ポリシーを削除する

既存のアプリの RSC アクセス許可の事前承認を停止する場合は、そのアプリの事前承認ポリシーを削除できます。 事前承認ポリシーを削除するには、アプリ ID があることを確認します。

次の PowerShell コマンドレットを使用して、アプリに関連付けられている事前承認ポリシーを削除できます。

Remove-MgBetaTeamAppPreapproval

Remove-MgBetaTeamAppPreapproval -TeamsAppId c626ce8b-6d15-4c07-bfb1-a5fd0bc3c20e

関連項目

• アプリに RSC アクセス許可を付与する
• Teams でリソース固有の同意アクセス許可をテストする