会社に複数の環境がある場合は、セキュリティ グループを使用して、特定の環境のメンバーにできるライセンスユーザーを制御します。
Note
Teams のMicrosoft Dataverseに対するユーザー アクセスのしくみについては、「Teams 環境の Dataverse へのユーザー アクセス」を参照してください。
次のシナリオ例を考えてみましょう。
| Environment | セキュリティ グループ | Purpose |
|---|---|---|
| Coho ワイン醸造所の販売代理店 | Sales_SG | 営業案件を作成し、見積もりを処理し、取引をクローズする環境へのアクセスを提供します。 |
| Coho のワイン醸造所のマーケティング | Marketing_SG | マーケティングキャンペーンや広告を通じてマーケティング活動を推進する環境へのアクセスを提供します。 |
| Coho のワイン醸造所のサービス | Service_SG | 顧客のサポート案件を処理する環境へのアクセスを提供します。 |
| コーホー ワイナリーの開発 | Developer_SG | 開発やテストに使用するサンドボックス環境へのアクセスが可能になります。 |
この例では、4 つのセキュリティ グループにより、特定の環境に対するアクセスがコントロールされます。
入れ子になったセキュリティ グループに関する次の情報に注意してください。
環境セキュリティ グループ内に入れ子になったセキュリティ グループのメンバー は、事前にプロビジョニングされたり、環境に自動的に追加されたりすることはありません。 環境にメンバーを追加する方法はいくつかあります。
- 入れ子になったセキュリティ グループの Dataverse グループ チーム を作成し、チームにセキュリティ ロールを割り当てます。
- 入れ子になったセキュリティ グループのメンバーが初めて環境にアクセスできるようにします。 このアクションにより、実行時にメンバーが環境に追加されますが、セキュリティ ロールを割り当てるまで、メンバーはモデル駆動型アプリを実行したり、Dataverse データにアクセスしたりすることはできません。
入れ子になったセキュリティ グループのシナリオ: 環境を作成するときにセキュリティ グループを割り当てるとします。 後で、別のセキュリティ グループで管理されているユーザーを追加します。 managers という名前のMicrosoft Entraセキュリティ グループを作成し、それにマネージャーを追加します。 次に、Managers セキュリティ グループを環境セキュリティ グループの子として追加し、マネージャー用 の Dataverse グループ チーム を作成し、グループ チームにセキュリティ ロールを割り当てて、マネージャーが Dataverse にアクセスできるようにします。
セキュリティ グループに関する次の情報に注意してください。
- セキュリティ グループにユーザーを追加するときは、ユーザーを環境に追加します。
- グループからユーザーを削除すると、環境内で無効になります。
- ユーザーが存在する既存の環境にセキュリティ グループを関連付けると、そのグループのメンバーではない環境内のすべてのユーザーが無効になります。
- セキュリティ グループを環境に関連付ける場合は、対象となる Power Platform またはDynamics 365ライセンスまたは環境セキュリティ グループのメンバーであるアプリごとのプランを持つユーザーのみが、環境内のユーザーとして作成されます。
- セキュリティ グループを既定の種類と開発者環境の種類に割り当てることはできません。 セキュリティ グループを既定または開発者環境に既に割り当てた場合は、削除します。 既定の環境はテナント内のすべてのユーザーと共有することを目的としており、開発環境は環境の所有者のみが使用することを目的としています。
- 環境では、セキュリティとMicrosoft 365のグループの種類の関連付けをサポートしています。 その他のグループ タイプ への関連付けには対応していません。
- セキュリティ グループを選択するときは、オンプレミスのWindows Active Directoryで作成されたセキュリティ グループではなく、Microsoft Entraセキュリティ グループを選択します。 オンプレミスの Windows AD セキュリティ グループはサポートされていません。
- ユーザーがその環境に割り当てられているセキュリティ グループに属していない場合でも、Power Platform の管理者ロールを持っていれば、そのユーザーはアクティブ ユーザーとして表示され、サインインできます。
- ユーザーがDynamics 365管理者ロールに割り当てられている場合、そのユーザーは、環境内で有効にする前にセキュリティ グループの一部である必要があります。 セキュリティ グループに追加されて有効にされるまでは、環境にアクセスできません。
- すべてのアプリケーション ユーザーは、セキュリティ グループのメンバーでなくても、セキュリティ グループ でセキュリティ保護されている任意の環境で実行できます。
Note
セキュリティ グループのメンバーであるかどうかに関係なく、すべてのライセンス ユーザーには、環境内のデータにアクセスするためのセキュリティ ロールを割り当てる必要があります。 Web アプリケーションでセキュリティ ロールを割り当てます。 ユーザーがセキュリティ ロールを持っていない場合、アプリを実行しようとすると、データ アクセス拒否エラーが発生します。 ユーザーは、その環境に対して少なくとも 1 つのセキュリティ ロールが割り当てられるまで、環境にアクセスできません。 詳細については、環境セキュリティの構成 を参照してください。 試用環境では、環境への自動ユーザー割り当てはサポートされていません。 試用環境では、ユーザーを手動で割り当てる必要があります。
さまざまなタスクを完了するために必要な管理者ロールを確認する
セキュリティ グループの管理には、多くの場合、複数のロールが含まれます。 次の表に、各タスクを完了するために必要な最小限の特権ロールを示します。
| Task | 最小権限ロール |
|---|---|
| Microsoft Entraセキュリティ グループとメンバーシップを作成または管理する | グループ管理者。ユーザー管理者も機能します |
| ユーザーの作成 | ユーザー管理者 |
| ライセンスの割り当てまたは削除 | ライセンス管理者。ユーザー管理者も機能します |
| セキュリティ グループを環境に関連付ける | Power Platform 管理者または Dynamics 365 管理者 |
| Dataverse セキュリティ ロールの割り当て | システム管理者のセキュリティ ロール、または少なくともセキュリティ ロール テーブルに対する読み取りと割り当て権限を持つカスタム Dataverse ロール |
重要な資格:
- Dynamics 365管理者は、環境のセキュリティ グループに属している必要があります。 この制限は、全体管理者または Power Platform 管理者には適用されません。
- Power Platform、Dynamics 365、グローバル管理者には、Dataverse システム管理者ロールが自動的に割り当てられなくなりました。 Dataverse ロールを割り当てる前に、自己昇格を行う必要があります。
- Power Platform および Dynamics 365 管理者は、ユーザーの作成、Entra グループの管理、またはサービス管理者ロールを通じてのみライセンスを割り当てることはできません。
セキュリティ グループを作成し、セキュリティ グループにメンバーを追加する
- Microsoft 365管理センターにサインインします。
- チームとグループ>アクティブなチームとグループ を順に選択します。
- + グループを追加 を選択します。
- 種類を セキュリティ グループ に変更し、グループの 名前 および 説明 を追加して、追加>閉じる を選択します。
- 作成したグループを選択し、メンバーの隣の編集を選択します。
- [ + メンバーの追加] を選択します。 セキュリティ グループに追加するユーザーを選択し、保存>閉じるを数回選択してグループのリストに戻ります。
セキュリティ グループからユーザーを削除するには、セキュリティ グループを選択して、メンバー の隣の 編集 を選択します。 - メンバーの削除を選択し、削除するメンバーの X を選択します。
Note
セキュリティ グループに追加するユーザーが作成されていない場合は、ユーザーを作成し、対象となる Power Platform またはDynamics 365ライセンスを割り当てます。
複数のユーザーを追加するには、「ユーザーを Office365 グループに一括で追加する」を参照してください。
ユーザーの作成およびライセンスの割り当て
Microsoft 365管理センターで、Users>Active users>+ Add a user を選択します。
ユーザー情報を入力し、ライセンスを選択して追加を選択します。
詳細情報: ユーザーの追加とライセンスの割り当てを同時に行う
または、アプリごとのパスを購入して割り当てます:アプリプランごとのPower Appsについて
Note
環境にアプリごとのPower Appsプランが割り当てられている場合、個々のライセンスが割り当てられないユーザーを含め、すべてのユーザーが環境にアクセスしようとしたときにライセンスが付与されたと見なされます。 環境でのアプリごとのプランの割り当ては、ユーザーが環境にアクセスするためのライセンス取得の要件を満たしています。 また、アプリプランごとのPower Appsでは、個々のユーザーが、アプリごとのPower Appsプランで割り当てられた環境で特定のビジネス シナリオに対して 1 つのアプリケーションまたは 1 つのポータルのみを実行できることにも注意してください。
セキュリティ グループを環境に関連付ける
管理者 (Dynamics 365 管理者または Power Platform 管理者) として Power Platform 管理センター にサインインします。
ナビゲーション ウィンドウで、[管理] を選択 します。
[ 管理 ] ウィンドウで [ 環境] を選択し、セキュリティ グループを関連付ける環境を選択します。
[ 編集] を選択します。
[詳細の編集] ウィンドウで、[セキュリティ グループ] 領域の [編集] アイコンを選択します。
![[編集] アイコンを選択して、セキュリティ グループを選択します。](media/edit-security-groups-new-tab.png)
最初の 200 個のセキュリティ グループが返されます。 検索を使用して特定のセキュリティ グループを検索します。
セキュリティ グループを選択し、[ 完了] を選択して、[ 保存] を選択します。
セキュリティ グループは環境に関連付けられています。
Note
キャンバス アプリは、環境に関連付けられているセキュリティ グループの外部のユーザーと共有できますが、アプリを実行するには、ユーザーがセキュリティ グループのメンバーである必要があります。 セキュリティ グループに含まれていないユーザーが共有アプリを実行しようとすると、次のエラー メッセージが表示されます: 「この環境ではアプリを開くことができません。」 環境のセキュリティ グループのメンバーではありません。Power Platform 管理者が組織の ガバナンスの詳細を設定 している場合は、セキュリティ グループメンバーシップに関して連絡できるガバナンス連絡先が表示されます。