電子情報開示でアクセス許可を割り当てる

Microsoft Purview ポータルで電子情報開示機能を使用するには、ユーザーに適切なアクセス許可を割り当てます。 ロールを割り当てる最も簡単な方法は、Microsoft Purview ポータルの [役割グループ] ページで、適切なロール グループにユーザーを追加することです。 この記事では、電子情報開示タスクを実行するために必要なアクセス許可について説明します。

ヒント

Microsoft Security Copilot の使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を発見しましょう。 Microsoft Purview の Microsoft Security Copilot に関する詳細情報をご覧ください。

電子情報開示の役割と役割グループ

Microsoft Purview ポータルの電子情報開示関連の主な役割グループは、 電子情報開示マネージャーと呼ばれます。 この役割グループには、次の 2 つのサブグループがあります。

  • 電子情報開示マネージャー: 電子情報開示マネージャーは、organization内のコンテンツの場所を検索し、電子情報開示での検索結果のプレビューやエクスポートなど、さまざまな検索関連アクションを実行できます。 メンバーは、ケースの作成と管理、ケースのユーザーの追加と削除、ケース保留の作成、ケースに関連付けられた検索の実行、ケース データへのアクセスもできます。 電子情報開示マネージャーがアクセスして管理できるのは、自分で作成したケースだけです。 他の電子情報開示マネージャーが作成したケースの場合、アクセスまたは管理はできません。

    • セキュリティ & コンプライアンス PowerShell で Add-RoleGroupMember コマンドレットを使用して、メールが有効なセキュリティ グループを電子情報開示マネージャー役割グループの電子情報開示マネージャー サブグループのメンバーとして追加できます。 たとえば、次のコマンドを実行して、メールが有効なセキュリティ グループを電子 情報開示マネージャー 役割グループに追加できます。
    Add-RoleGroupMember "eDiscoveryManager" -Member <name of security group>

    • Exchange 配布グループと Microsoft 365 グループはサポートされていません。 メールが有効なセキュリティ グループを使用する必要があります。このグループは、New-DistributionGroup -Type Security を実行して PowerShell Exchange Online作成できます。 また、Exchange 管理センターまたは Microsoft 365 管理センターでメールが有効なセキュリティ グループの作成 (およびメンバーの追加) を行うこともできます。 作成後、新しいメールが有効なセキュリティ グループを電子情報開示マネージャーの役割グループに追加できるようになるまで最大 60 分かかる場合があります。

    • セキュリティ & コンプライアンス PowerShell の Add-eDiscoveryCaseAdmin コマンドレットを使用して、メールが有効なセキュリティ グループを電子情報開示管理者にすることはできません。 個別のユーザーは、電子情報開示管理者としてのみ追加できます。

    • メールが有効なセキュリティ グループをケースのメンバーとして追加することもできません。

  • 電子情報開示管理者: 電子情報開示管理者 は、 電子情報開示マネージャー の役割グループのメンバーであり、電子情報開示マネージャーが実行できるのと同じコンテンツ検索およびケース管理関連のタスクを実行できます。 さらに、電子情報開示管理者は、次のことができます。

    • Microsoft Purview ポータルの 電子情報開示 領域に記載されているすべてのケースにアクセスします。
    • 電子情報開示ソリューション設定を構成します。
    • すべてのケースを対象としたレポートにアクセスして、処理して保持します。
    • organization 内の任意のケースのケース データにアクセスします。
    • 自分自身をケースのメンバーとして追加した後、すべての電子情報開示のケースを管理する。
    • 電子情報開示ケースからメンバーを削除します。 ケースからメンバーを削除できるのは、電子情報開示管理者のみです。 電子情報開示マネージャー サブグループのメンバーであるユーザーは、ケースを作成した場合でも、ケースからメンバーを削除できません。
    • 電子情報開示ケースの唯一のメンバーであるユーザーが organization を離れた場合、誰も (組織管理役割グループのメンバーまたは電子情報開示マネージャー役割グループの別のメンバーを含む) は、ケースのメンバーではないため、その電子情報開示ケースにアクセスできません。 この状況では、ケース内のデータにアクセスする方法はありません。 ただし、電子情報開示管理者は organization 内のすべての電子情報開示ケースにアクセスできるため、ケースを表示し、ケースのメンバーとして自分自身または別の電子情報開示マネージャーを追加できます。
    • 電子情報開示管理者は、すべての電子情報開示ケースを表示してアクセスでき、すべてのケースと関連するコンプライアンス検索を監査および監視できます。 この機能は、コンプライアンス検索や電子情報開示ケースの悪用を防ぐのに役立ちます。 電子情報開示管理者はコンプライアンス検索の結果に含まれる潜在的な機密情報にアクセスできるため、電子情報開示管理者となるユーザーの数を制限する必要があります。

    注:

    プレミアム電子情報開示機能が有効になっているときにユーザーのデータを分析するには、ユーザーに Office 365 E5 または Microsoft 365 E5 のライセンスが割り当てられている必要があります。 または、Office 365 E1、Office 365 または Microsoft 365 E3 ライセンスを持つユーザーには、Microsoft Purview スイート (旧称 Microsoft 365 E5 Compliance) または Microsoft 365 電子情報開示とアドオン ライセンスの監査。 メンバーとしてケースに割り当てられ、プレミアム電子情報開示機能を使用してデータを収集、表示、分析する管理者、コンプライアンス責任者、または法務担当者は、E5 ライセンスを必要としません。 サブスクリプションとライセンスの詳細については、「電子情報開示の サブスクリプション要件 」を参照してください。

アクセス許可を割り当てる前に

  • Microsoft Purview ポータルで電子情報開示アクセス許可を割り当てるには、 組織の管理 役割グループのメンバーであるか、 役割管理 の役割が割り当てられている必要があります。
  • セキュリティ & コンプライアンス PowerShell の Add-RoleGroupMember コマンドレットを使用すると、メールが有効なセキュリティ グループを、電子情報開示マネージャーの役割グループ内の電子情報開示マネージャー サブグループのメンバーとして追加できます。 ただし、メールが有効なセキュリティ グループを電子 情報開示管理者 サブグループに追加することはできません。

電子情報開示 PowerShell のアプリのみの認証を構成する

重要

セキュリティ & コンプライアンス PowerShell の電子情報開示コマンドレットのアプリのみの認証はサポートされていません。 利用可能な場合は、オートメーションを Microsoft Graph API に移行します。 次の手順は、このサポートされていない構成を引き続き使用し、サポート状態を変更しない既存の自動化のベストエフォート型ガイダンスです。

アプリのみの認証とも呼ばれる証明書ベースの認証 (CBA) には、Microsoft Entra 承認と電子情報開示ロールベースのアクセス制御 (RBAC) の両方が必要です。 API アクセス許可によってアプリケーションが認証できる一方で、サービス プリンシパルの登録と役割グループのメンバーシップによって電子情報開示コマンドレットが承認されます。

  1. Exchange Online PowerShell とセキュリティ & コンプライアンス PowerShell で無人スクリプトに対するアプリのみの認証に従って、Microsoft Entra アプリケーションを作成し、その証明書を構成します。

  2. アプリケーションで、[アクセス許可の追加]>organizationが使用する API>Microsoft Exchange Online保護>アプリケーションのアクセス許可>Exchange>Exchange.ManageAsApp を選択し、テナント全体の管理者の同意を付与します。 同様の名前の Office 365 Exchange Online アクセス許可は、このセキュリティ & コンプライアンス PowerShell 接続には必要ありません。 アプリケーションが他の Exchange Online オートメーションも実行する場合は、これらの個別のワークフローに必要なアクセス許可を保持します。

  3. 役割グループを管理できるアカウントを使用して、 セキュリティ & コンプライアンス PowerShell に接続します。 エンタープライズ アプリケーションのサービス プリンシパルを Exchange および Microsoft Purview に登録します。

    New-ServicePrincipal -AppId <application-client-id> -ObjectId <enterprise-application-object-id> -DisplayName "<display-name>"

    AppId 値は、アプリケーション (クライアント) ID です。 ObjectId 値はエンタープライズ アプリケーションのオブジェクト ID であり、アプリの登録からのオブジェクト ID ではありません。 サービス プリンシパルを識別しやすいようにするには、わかりやすい DisplayName 値を使用します。

  4. Microsoft Purview ポータルでは、[設定]>役割グループの下に電子情報開示マネージャー役割グループが表示されます。 セキュリティ & コンプライアンスの PowerShell と同じエンタープライズ アプリケーションを使用して、登録済みサービス プリンシパルをこの役割グループに割り当てます。 オブジェクト ID:

    Add-RoleGroupMember -Identity "eDiscoveryManager" -Member <enterprise-application-object-id>

    電子情報開示マネージャー役割グループは、アプリのみの電子情報開示の検証済みの最小特権割り当てです。 電子情報開示管理者を交換可能なサービス プリンシパルの割り当てとして使用しないでください。

  5. 役割グループのメンバーシップを確認します。

    Get-RoleGroupMember -Identity "eDiscoveryManager"

  6. ExchangeOnlineManagement 3.10.1 以降を使用し、接続時に EnableSearchOnlySession スイッチを含めます。

    Connect-IPPSSession -CertificateThumbprint "<certificate-thumbprint>" -AppId "<application-client-id>" -Organization "<tenant>.onmicrosoft.com" -EnableSearchOnlySession

接続によって HTTP 401 が返される場合は、Microsoft Exchange Online Protection>Exchange.ManageAsApp がアプリケーションのアクセス許可として構成され、テナント全体の管理者の同意があることを確認します。 接続は成功したものの、電子情報開示コマンドレットが認識されない場合は、サービス プリンシパルの登録と、 電子情報開示マネージャー の役割グループでのメンバーシップを確認します。

電子情報開示のアクセス許可を割り当てる

  1. Microsoft Purview ポータルに移動し、アクセス許可を割り当てることができるアカウントでサインインします。

  2. [設定]>[役割グループ] に移動します。

  3. Microsoft Purview ソリューションの役割グループで、[電子情報開示マネージャー] を選択します。

  4. [電子情報開示マネージャー] ウィンドウで、割り当てる電子情報開示アクセス許可に基づいて、次のいずれかの操作を実行します。

    • [編集] を選択します。
    • [ 電子情報開示マネージャーの管理] で、[ ユーザーの選択 ] または [グループの選択] を選択します。
    • 電子情報開示マネージャーとして追加するユーザーを検索して選択し、[選択] を選択します。
    • [次へ] を選択します。
    • ユーザーを電子情報開示管理者役割グループに割り当てるには、[ユーザーの選択] または [グループの選択] を選択します。
    • 電子情報開示管理者として追加するユーザーを検索して選択し、[選択] を選択します。
    • [次へ] を選択します。

  5. 選択したユーザーまたはグループが、この役割グループの割り当ての一部として organization 全体のアクセスを必要とする場合は、手順 8 に進みます。

  6. 選択したユーザーまたはグループを管理単位に割り当てる必要がある場合は、ユーザーまたはグループを選択し、[ 管理単位の割り当て] を選択します。

  7. [ 管理単位の割り当て] で、ユーザーまたはグループに割り当てるすべての管理単位のチェックボックスをオンにします。 [ 選択] を選択します。

  8. [ 次へ ] と [保存 ] を選択して、ユーザーまたはグループを役割グループに追加します。 [ 完了] を選択して手順を完了します。

注:

また、Add-eDiscoveryCaseAdmin コマンドレットを使用してユーザーを電子情報開示管理者にすることもできます。 ただし、このコマンドレットを使用してユーザーを電子情報開示管理者にする前に、 ケース管理 の役割をユーザーに割り当てる必要があります。 詳細については、「Add-eDiscoveryCaseAdmin」を参照してください。

Microsoft Purview ポータルの [役割グループ ] ページで、ユーザーを コンプライアンス管理者、 組織管理、 およびレビュー担当者 の役割グループに追加することで、電子情報開示関連のアクセス許可を割り当てることもできます。 これらの各役割グループに割り当てられた電子情報開示関連の役割ベースのアクセス制御役割の詳細については、「 電子情報開示に関連する役割ベースのアクセス制御役割」を参照してください。

次の表に、Microsoft Purview ポータルの電子情報開示関連の役割ベースのアクセス制御役割を示し、各役割が既定で属する組み込みの役割グループを示します。

役割 コンプライアンス管理者 eDiscovery Manager & 管理者 組織の管理 レビュー担当者
ケース管理 ケース管理の役割がこの役割グループに割り当てられていることを示すチェック マーク。 ケース管理の役割がこの役割グループに割り当てられていることを示すチェック マーク。 ケース管理の役割がこの役割グループに割り当てられていることを示すチェック マーク。
コミュニケーション 通信ロールが電子情報開示マネージャーおよび管理者に割り当てられていることを示すチェック マーク。
コンプライアンス検索 コンプライアンス検索ロールがコンプライアンス管理者に割り当てられていることを示すチェック マーク。 チェック マーク。 チェック マーク。
カストディアン (データ ソース) カストディアン ロールが電子情報開示マネージャーおよび管理者に割り当てられていることを示すチェック マーク。
Export エクスポート役割が電子情報開示マネージャーおよび管理者に割り当てられていることを示すチェックマーク。
Hold ホールド ロールがコンプライアンス管理者に割り当てられていることを示すチェック マーク。 チェック マーク。 チェック マーク。
レビュー セット タグの管理 レビュー セット タグの管理の役割が電子情報開示マネージャーおよび管理者に割り当てられていることを示すチェック マーク。
Preview プレビュー ロールが電子情報開示マネージャーと管理者に割り当てられていることを示すチェック マーク。
レビュー レビュー ロールが電子情報開示マネージャーと管理者に割り当てられていることを示すチェック マーク。 チェック マーク
RMS の暗号化解除 RMS Decrypt 役割が電子情報開示マネージャーおよび管理者に割り当てられていることを示すチェック マーク。
検索と消去 Search And Purge の役割が Organization Management に割り当てられていることを示すチェック マーク。

注:

電子情報開示ケースの一覧を表示するには、ユーザーは上記の表に記載されているロールのいずれかを少なくとも 1 つ持っている必要があります。 電子情報開示管理者ではないユーザーの場合、表示されるケースは、ユーザーがメンバーであるケースに限定されます。 カストディアン ロールを使用すると、電子情報開示の [ データ ソース] タブにアクセスして、特定のケースに関連するデータ ソースを管理できます。

次の診断テストを実行して、エクスポート、プレビュー、または検索の役割が指定された管理者アカウントに割り当てられているかどうかチェックします。

  1. Microsoft Purview ポータルの右上にある [ヘルプ ] コントロールを選択します。 検索に 「diag:edisRBACdiag」 と入力 (またはこの リンクを選択) して、 電子情報開示 RBAC チェック テストを実行します。
  2. [診断の実行] セクションで、エクスポート、プレビュー、または検索タスクを実行しようとしているユーザーの UPN または電子メール アドレスを入力します。
  3. [ テストの実行] を選択します。 ユーザーに必要な電子情報開示ロールがない場合は、目的のタスクを実行するロールを割り当てます。

カスタム ロールの組み合わせ

特定のユーザーに対して電子情報開示の特定の機能コンポーネントへのカスタム アクセスを提供する必要がある場合は、特定のユーザーに対してカスタム ロールの組み合わせを使用します。 たとえば、ユーザーにデータ ソースの管理を許可し、検索機能へのアクセスは許可しない必要がある場合があります。 別のユーザーの場合、検索の管理を許可する必要があるかもしれませんが、データ ソースへのアクセスは許可しません。

必要に応じて、次の役割の組み合わせを使用することを検討してください。

  • 検索機能のみにアクセスするためのケース管理ロールと検索ロール。
  • データ ソース機能にのみアクセスするケース管理ロールとカストディアン ロール。
  • Case Management、 Review、 Manage Tags レビュー機能のみにアクセスできるロール。
  • ケース管理ロールと保持ロールを使用して、保留機能のみにアクセスできます。
  • ケース管理 ロールと エクスポート ロールを使用して、エクスポート機能のみにアクセスできます。
  • 消去機能にのみアクセスするケース管理、検索、消去の役割。

電子情報開示ロール

次のセクションでは、「 電子情報開示に関連する RBAC ロール 」表に記載されている電子情報開示関連の各 RBAC ロールについて説明します。

ケース管理

このロールを使用すると、ユーザーは Microsoft Purview ポータルで電子情報開示ケースを作成、編集、削除、およびアクセス制御できます。 Add-eDiscoveryCaseAdmin コマンドレットを使用してユーザーを電子情報開示管理者にする前に、ケース管理の役割を割り当てる必要があります。 詳細については、「 電子情報開示の概要」を参照してください。

この役割を使用すると、ユーザーはメールボックスとパブリック フォルダー、SharePoint サイト、OneDrive サイト、Skype for Business の会話、Microsoft 365 グループ、Microsoft Teams、および Viva Engage グループを検索できます。 このロールを使用すると、ユーザーは検索結果の見積もりを取得してエクスポート レポートを作成できますが、検索結果のプレビュー、エクスポート、削除などの検索アクションを開始するには、他の役割が必要です。

電子情報開示では、 コンプライアンス検索 ロールが割り当てられているが プレビュー ロールを 持たないユーザーは、 プレビュー ロールが割り当てられたユーザーがプレビュー アクションを開始したときに検索結果をプレビューできます。 プレビュー ロールを持たないユーザーは、最初のプレビュー アクションが作成されてから最大 2 週間結果をプレビューできます。

同様に、 コンプライアンス検索 ロールが割り当てられているが エクスポート ロールを 持たない電子情報開示のユーザーは、 エクスポート ロールが割り当てられたユーザーがエクスポート アクションを開始したときに検索の結果をダウンロードできます。 エクスポート ロールを持たないユーザーは、最初のエクスポート アクションが作成された後、最大 2 週間の検索結果をダウンロードできます。 その後、 エクスポート ロールを持つユーザーがエクスポートを再開しない限り、結果をダウンロードできません。

電子情報開示でプレミアム機能が有効になっている場合、検索結果のプレビューとエクスポート (対応する検索ロールとエクスポート ロールなし) のための 2 週間の猶予期間は適用されません。 プレミアム電子情報開示機能が有効になっている場合にコンテンツをプレビューおよびエクスポートするには 、ユーザーにプレビュー ロールと エクスポート ロールを割り当てる必要があります。

カストディアン

このロールを使用すると、ユーザーは廃止された Microsoft Purview コンプライアンス ポータルで管理される電子情報開示ケースのカストディアンを識別して管理し、Microsoft Entra ID やその他のソースからの情報を使用してカストディアンに関連付けられているデータ ソースを見つけることができます。 ユーザーは、メールボックス、SharePoint サイト、Teams などの他のデータ ソースをケース内の管理者に関連付けることができます。 ユーザーは、ケースのコンテキスト内のコンテンツを保持するために、カストディアンに関連付けられているデータ ソースに法的ホールドを置くこともできます。

Export

この役割を使用すると、ユーザーは検索結果をローカル コンピューターにエクスポートできます。 また、プレミアム電子情報開示機能が有効になっている場合に、分析用の検索結果を準備することもできます。 検索結果のエクスポートの詳細については、「 電子情報開示での検索結果のエクスポート」を参照してください。

Hold

この役割を使用すると、ユーザーはメールボックス、パブリック フォルダー、サイト、Skype for Business の会話、および Microsoft 365 グループでコンテンツを保留にすることができます。 コンテンツが保留中でも、コンテンツ所有者は元のコンテンツを変更または削除できますが、コンテンツは保留が解除されるか、保留期間が期限切れになるまで保持されます。 保留の詳細については、「 電子情報開示で保留を作成する」を参照してください。

レビュー セット タグの管理

このロールを使用すると、ユーザーはアクセスできるケースのレビュー セット タグを作成、編集、削除できます。 レビュー中にタグを管理するには、ユーザーは少なくともレビュー ロールとこのロールを持っている必要があります。

Preview

この役割を使用すると、ユーザーは検索によって返されるアイテムの一覧を表示できます。 一覧から各項目を開いて表示し、項目の内容を確認することもできます。

レビュー

この役割を使用すると、ユーザーは電子情報開示のレビュー セットにアクセスできます。 このロールが割り当てられているユーザーは、自分がメンバーであるケースの一覧を表示して開くことができます。 ユーザーが電子情報開示ケースにアクセスした後、レビュー セット を選択してケース データにアクセスできます。 このロールでは、ユーザーはケースに関連付けられている検索の結果をプレビューしたり、他の検索タスクやケース管理タスクを実行したりすることはできません。 このロールを持つユーザーは、レビュー セット内のデータにのみアクセスできます。

RMS の暗号化解除

この役割を使用すると、ユーザーは検索結果をプレビューするときに権限で保護されたメール メッセージを表示したり、暗号化が解除された権限で保護されたメール メッセージをエクスポートしたりできます。 この役割を使用すると、電子情報開示検索の結果に含まれる電子メール メッセージに暗号化されたファイルが添付されている場合に、 Microsoft 暗号化テクノロ ジで暗号化されたファイルを表示 (およびエクスポート) することもできます。 さらに、この役割を使用すると、ユーザーは電子情報開示のレビュー セットに追加された暗号化されたメールの添付ファイルを確認および照会できます。 電子情報開示での暗号化解除の詳細については、「 Microsoft 365 電子情報開示ツールでの暗号化解除」を参照してください。

検索と消去

このロールを使用すると、ユーザーは検索条件に一致するデータの一括削除を実行できます。 詳細については、「 電子情報開示で電子メール メッセージを検索および削除する」を参照してください。

電子情報開示ケースのメンバーとして役割グループを追加する

役割グループを電子情報開示ケースのメンバーとして追加して、役割グループのメンバーが割り当てられたケースのタスクにアクセスして実行できるようにすることができます。 役割グループに割り当てられた役割によって、役割グループのメンバーが実行できる操作が定義されます。 ケースのメンバーとして役割グループを追加すると、メンバーは特定のケースのタスクにアクセスして実行できます。

この要件を考慮して、役割グループに対して役割を追加または削除すると、役割グループは、それが属するすべてのケースのメンバーとして自動的に削除されます。 この動作により、organization がケースのメンバーに追加のアクセス許可を誤って付与することを防止できます。 同様に、役割グループを削除すると、その役割グループがメンバーであったすべてのケースから削除されます。

電子情報開示ケースのメンバーである可能性のある役割グループに役割を追加または削除する前に、 セキュリティ & コンプライアンス PowerShell で次のコマンドを実行して、役割グループがメンバーであるケースの一覧を取得します。 役割グループを更新した後、役割グループをそれらのケースのメンバーとして追加し直します。

  • Last updated on