Microsoft Purview ロール割り当て移行ツールは、Microsoft Entra ID の Microsoft ファーストパーティ エンタープライズ アプリケーションであり、Microsoft Purview ロールの割り当てから対応する Entra ロールへのバックグラウンド同期を実行します。 Microsoft 365 サービスは、これらの Entra ロールを使用して、コンテンツの検索やエクスポートなどの実行時間の長い Microsoft Purview 操作を続行する前に、管理者が適切なレベルのアクセス許可を持っていることを確認します。
ロール マッピング
次の表は、次の各 Entra ロールにマップされる Purview ロールを示しています。 これらの Entra ロールは Purview 操作を実行する機能のみを許可し、Purview 以外の他の操作は許可されません。
| Purview ロール | マップされた Entra ロール | 説明 |
|---|---|---|
| インサイダー リスク管理分析 インサイダー リスク管理調査 コンプライアンス検索 Export プライバシー管理管理 プライバシー管理分析 プライバシー管理調査 プライバシー管理の永続的な貢献 プライバシー管理 一時寄付 プライバシー管理ビューアー データ セキュリティ調査レビューアー |
Purview ワークロード コンテンツ閲覧者 | Microsoft Purview 操作が Microsoft 365 サービスからコンテンツを読み取ることを許可します (たとえば、SharePoint でファイルを読み取る)。 |
| Hold プライバシー管理調査 データ セキュリティ調査調査官 |
Purview ワークロード コンテンツ ライター | Microsoft Purview 操作を許可して、Microsoft 365 サービスに対してコンテンツの読み取りと書き込みを許可します (たとえば、Exchange にメール アイテムを保存するなど)。 |
| 検索と消去 データ セキュリティ調査管理 データ セキュリティ調査アナリスト |
Purview ワークロード コンテンツ管理者 | Microsoft Purview 操作で Microsoft 365 サービスのコンテンツの読み取り、書き込み、削除を許可します (たとえば、Microsoft Teams でのメッセージの消去など)。 |
管理者が、異なる Entra ロールにマップされる複数の Purview ロールを保持している場合、管理者は最高の特権の Entra ロールを受け取ります。 優先順位は、 管理者 > ライター > 閲覧者です。
注:
Purview ロール割り当て移行ツールは、Purview ワークロード コンテンツ閲覧者、Purview ワークロード コンテンツ ライター、Purview ワークロード コンテンツ管理者 Entra ロールを管理し、一覧表示されている Purview ロールのみが Entra に同期されます。 Entra ポータルで Entra ロールを割り当てないでください。 これらのロールは、[ 設定 ] ページに表示されるような Microsoft Purview ポータルには表示されません。
同期監査ログ
Purview ロール割り当て移行ツールは、次の 2 つのモードで動作します:
- 最初の一括同期:Purview ロール割り当て移行ツールがテナントに対して最初にアクティブ化されると、既存のすべての Purview ロールの割り当てが 1 回のパスで Microsoft Entra に同期されます。 このプロセスにより、Microsoft Entra 監査ログにアクティビティのバーストが生成されます。
- 継続的同期:Purview ロール メンバーシップに対する後続のすべての変更は、Microsoft Entra への同期をトリガーします。
重要
Microsoft Entra ID で Purview ロール割り当て移行エンタープライズ アプリケーションを有効にしたままにします。 アプリケーション ID は 7fe3d988-4f3b-4f33-83bd-1fb921a35ed2 です。 このアプリを無効にすると、同期が停止します。 新しい Purview ロールの割り当ては Microsoft Entra に反映されず、実行時間の長い Purview 操作は実行時に承認チェックに失敗します。
Purview ロール割り当て移行ツール同期アクティビティは、PurviewRoleAssignmentMigrator という表示名で Microsoft Entra 監査ログに表示されます。 各ログ エントリの [新しい値] フィールドには、割り当てられた Microsoft Entra ロールが表示されます。
次の 2 つの異なるアクティビティ パターンが表示されます。
| アクティビティ パターン | 発生するタイミング | 容量 |
|---|---|---|
| 一括同期 | Purview ロール割り当て移行ツールがテナントに対して最初にアクティブ化されたときに 1 回 | 高 - 既存のすべての Purview ロールの割り当てが一度に同期されます |
| 継続的同期 | Purview ロール メンバーシップへの各変更後、継続 | 低 — テナントでの Purview ロールの変更率に比例します |
Microsoft Entra の監査ログにPurviewRoleAssignmentMigratorエントリの急増が見られる場合、この監査ログ エントリの急増は最初の一括同期によるものであり、承認されていないアクティビティの兆候ではありません。
重要
Microsoft Entra ID でこれらの Microsoft Entra ロールにユーザーを直接割り当てないでください。 Purview ロール割り当て移行ツールは、これらの割り当てを Purview からのみ管理し、次回の同期時に Microsoft Entra の手動割り当てを上書きします。
Just-In-Time アクセス
既定では、Purview ロール割り当て移行ツールは、ロールの割り当てをアクティブ (永続的な) 割り当てとして Microsoft Entra ロールに同期します。 グループMicrosoft Entra Privileged Identity Management (PIM) を使用すると、資格のあるユーザーはグループへの Just-In-Time メンバーシップをアクティブ化できます。 適格な割り当てを持つこれらの Microsoft Entra セキュリティ グループを Purview ロールに追加すると、Purview ロール割り当て移行ツールは、その同じセキュリティ グループ メンバーシップを対応する Microsoft Entra ロールに同期します。 このプロセスにより、Microsoft Entra でジャストインタイムでロールの割り当てを必要とする組織は、Microsoft Purview に同じモデルを適用し、ロールのアクティブ化を強制できます。
重要
セキュリティ グループの Just-In-Time メンバーシップ アクティベーション期間のサイズを設定して、操作の全期間をカバーします。 長時間実行されている操作がまだ実行されている間にアクティベーションの有効期限が切れた場合、操作は次回のランタイム認証チェックで失敗する可能性があります。 たとえば、電子情報開示操作に通常かかる時間を特定するには、 電子情報開示のプロセス マネージャー を使用し、それに応じてアクティブ化期間を設定します。