Microsoft 365にアクセスできるアプリを確認する方法

Microsoft 365テナントにアクセスできるすべてのアプリは、Microsoft Entra 管理センターの [ID] → [アプリケーション] → [エンタープライズ アプリケーション] → [すべてのアプリケーション] から確認できます。アプリを選択して [アクセス許可] タブを開くと、そのアプリがMicrosoft Graphのどのデータにアクセスできるかが正確に表示され、組織の管理者が承認した権限と、ユーザー個人が自分自身のために承認した権限とに分かれて表示されます。

このガイドでは、この手順を一通り説明した上で、多くの人が混同しがちな管理者同意とユーザー同意の違い、そしてアプリを1つずつ確認するレビューでは分からないことについても取り上げます。

Entraでアクセス権を持つアプリの一覧はどこで確認できますか?

1. Cloud Application Administrator または Application Administrator のロールを少なくとも1つ持つアカウントで、entra.microsoft.comにサインインします。
2. [ID] → [アプリケーション] → [エンタープライズ アプリケーション] → [すべてのアプリケーション] に移動します。
3. 確認したいアプリを選択し、[アクセス許可] を開きます。

これにより、ユーザー同意または管理者同意のいずれかを通じてテナントに追加されたすべてのアプリケーションが一覧表示されます。業務アプリと並んで、Microsoftのアイデンティティプラットフォームを介して接続するAIアシスタント、会議ボット、生産性向上系の拡張機能なども含まれます。この一覧にはMicrosoft純正アプリとサードパーティ製の登録アプリの両方が含まれるため、見慣れた名前をざっと確認するだけでなく、その先にスクロールして、いつの間にか権限を蓄積している他のアプリがないかを確認する価値があります。

管理者同意とユーザー同意の違いは何ですか?

[アクセス許可] タブは2つに分かれています。

• 管理者の同意 — 管理者が組織全体に対して付与した権限です。たまたまクリックした本人だけでなく、その付与の対象となるすべてのユーザーに適用されます。
• ユーザーの同意 — 管理者の関与なしに、個人が自分自身のために(テナントの同意設定で許可されている場合)、1人ずつ承認した権限です。

一覧表示された権限を選択すると、その権限が具体的に何を許可するのかを説明する [アクセス許可の詳細] ペインが開きます。

アプリのアクセス権を取り消すにはどうすればよいですか?

管理者の同意による付与の場合: 一覧からその権限を開き、隣にある […] コントロールを選択して [アクセス許可の取り消し] を選びます。この操作はポータル上で直接行えます。

ユーザーの同意による付与の場合、ポータルには取り消しボタンがありません。取り消すにはMicrosoft Graph APIの呼び出し(委任された権限の場合はDELETE /oAuth2PermissionGrants/{id}、アプリケーションの権限の場合は同等のappRoleAssignments呼び出し)、あるいは対応するPowerShellコマンドレットを、Cloud Application Administratorロールを持つ担当者が実行する必要があります。付与を取り消しても、同じユーザーが次回そのアプリから求められた際に再度同意することは防げません。それを止めるには、[エンタープライズ アプリケーション] → [同意とアクセス許可] → [ユーザーの同意の設定] の下で、テナントの同意ポリシーを別途変更する必要があります。

ユーザーが自分では付与できない権限に遭遇した場合はどうなりますか?

テナントがユーザー同意を制限している場合、その上限を超える権限を要求するアプリにサインインしようとしたユーザーは、権限を付与するのではなく壁に突き当たります。グローバル管理者は [エンタープライズ アプリケーション] → [同意とアクセス許可] → [管理者の同意の設定] で 管理者の同意ワークフロー を有効にできます。これにより、そのユーザーは代わりにリクエストを送信できるようになります。リクエストは、レビュー担当者として設定されたユーザー、グループ、またはロール宛てにメールで送られ、担当者は自分の [マイ保留中] タブから承認、ブロック、または拒否を行えます。Microsoft Graphのアプリケーション権限に関するリクエストを承認できるのはグローバル管理者のみであり、レビュー担当者に指定されているだけではその権限は付与されません。各リクエストには設定可能な有効期限もあり、レビューされないまま無期限に開いたままになることはありません。

組織が複数のMicrosoft 365テナントやパートナーのディレクトリにまたがっている場合はどうすればよいですか?

1つのテナント内でのレビューでは、そのテナントしか確認できません。組織が複数のMicrosoft 365ディレクトリにまたがって運用している場合、たとえば親会社と買収した子会社、あるいはパートナー企業自身のテナントなど、それぞれについて同じ手順を、各テナントで適切なロールを使ってサインインした上で個別に実施する必要があります。単一組織向けに構築された固定テナント型のツールは、2つ目のディレクトリが加わった時点で機能しなくなるため、複数テナントをカバーすることを想定したツールは、最初に設定した組織のディレクトリだけでなく、どの組織の自身のディレクトリからでも同意できるように対応している必要があります。

アプリを1つずつ確認するレビューでは分からないことは何ですか? また、8200.devはそれにどう応えますか?

エンタープライズ アプリケーションを1つずつ確認していく方法では、各アプリが*アクセスを許可されている*範囲は分かります。しかし、それらのアプリが実際にどれほどのリスクを表しているかによってランク付けすることはできず、どの付与が古くなって使われなくなったかを検知することもできず、一覧を確認している間じっとしていてくれるわけでもありません。最後のアプリをまだレビューしている最中に新たな同意が発生することもあります。8200.devのMicrosoft 365コネクタは、Sites、Files、Directory、アプリケーション登録、Users、テナントのセキュリティポリシー、MFA登録レポート、監査ログ、ロールの割り当て、委任された権限の付与情報を、すべて読み取り専用のGraphスコープを通じて取得し、手作業で開き直す一覧ではなく、継続的に更新され、リスクにスコアが付けられた1つの一元的なインベントリへと変換します。同じ読み取り専用アクセスにより、アプリのインベントリと並行してテナント全体の構成監査も実行されます。セキュリティの既定値群やConditional Accessポリシーの状態、アプリの同意ポリシー、外部共同作業の設定などが対象で、これにより、過剰な権限を持つアプリと、それを招き入れる原因となった緩んだテナントポリシーとが、無関係な2つのレビューにばらばらに現れるのではなく、まとめて可視化されます。同じ方法で、どの組織が持つ独自のMicrosoft職場または学校向けディレクトリにも接続できるため、複数テナントにまたがるグループであっても、テナントごとに個別のセットアップを行う必要はありません。ここで使用されるスコープはすべて読み取り専用であり、組織側が特定の操作を自動化することを別途選択しない限り、権限やポリシーが変更されることはありません。

Google Workspace、Slack、GitHubと並んでこれがどう位置づけられるかについては、コネクタの一覧はこちらをご覧ください。