Microsoft 365アプリのアクセス許可について理解する

Overe が要求する Microsoft の権限、同意を付与できる担当者、および Overe がお客様のテナント内にアカウントを作成しない理由について説明します。

Overe は、Assess(評価)、Harden(強化)、Monitor(監視)、Respond(対応)の 4 つの柱で構成される Microsoft 365 セキュリティ運用プラットフォームです。

テナントを接続する際、Overe は Microsoft の権限一式に対する同意をお願いしています。以下に記載するすべての権限は、特定の柱および特定の目的に対応しています。実際に使用しない権限は要求していません。

設定されていることは、強制されていることを意味しません。 Overe はこれらの権限を用いて、Microsoft 365 のコントロールが単に存在しているかどうかではなく、実際に機能しているかどうかを検証します。

同意を付与する担当者について

Overe の同意リンクはテナント内のどの管理者にも送信できますが、リンクをクリックする方には、Microsoft Graph のアプリケーション権限に同意する権限を持つロールが必要です。

推奨:特権ロール管理者(Privileged Role Administrator)

Overe のインストールを完了できる、最小権限のロールです。Overe が要求する権限への同意と、Overe のサービスプリンシパルに対する必要なディレクトリロールの割り当ての両方を実行できます。アプリケーションの同意手順にグローバル管理者アカウントを使用したくない場合は、このロールをご利用ください。

使用可能:グローバル管理者(Global Administrator)

グローバル管理者でも同じ手順を実行できます。小規模なテナントではグローバル管理者しか利用できない場合も多く、その場合でも問題ありません。選択の余地がある場合には、より権限の絞られた特権ロール管理者を推奨します。

権限が不足:アプリケーション管理者およびクラウドアプリケーション管理者

これらのロールでは、Overe が要求する権限の大半を占める Microsoft Graph のアプリケーション権限に同意することができません。また、エンタープライズアプリケーションにディレクトリロールを割り当てることもできません。これらのロールを持つ担当者に同意リンクを送信した場合、インストールを完了できません。

Overe はテナント内にアカウントを作成しません

Microsoft 365 向けのセキュリティツールの中には異なる方式を採用している製品もあるため、この点は明確にしておきます。

Overe はユーザーアカウントを作成しません。専用のサービスアカウント、ブレークグラス管理者、ライセンスを消費する ID、パスワードは一切存在せず、MFA に登録すべき対象もありません。サインイン、フィッシング、侵害の対象となりうる常設の資格情報が、お客様のテナント内に残ることはありません。

Overe がインストールするのはサービスプリンシパルです。これは、以下に記載する権限のみを保持するエンタープライズアプリケーションであり、それ以上の権限は保持しません。Entra ID の「エンタープライズアプリケーション」からいつでもご確認いただけます。

Overe がグローバル管理者または特権ロール管理者のロールを保持することはありません。これらのロールは、インストール時に同意を付与する担当者が一度だけ必要とするものです。その後、Overe は同意されたサービスプリンシパル上の権限のみを通じて動作します。

Overe が要求する権限

権限	柱	用途
Directory.Read.All	Assess, Harden	リスクのあるアカウントを特定するため、ユーザーおよびディレクトリオブジェクトを読み取ります。管理者同意要求の承認コントロールにも使用します。
Organization.Read.All	Assess, Harden	態勢評価およびライセンス評価のためにライセンス情報を読み取ります。Exchange Online のポリシーコントロールにも使用します。
SecurityEvents.Read.All	Assess	態勢評価のためにセキュアスコアを取得します。
Sites.Manage.All	Assess	共有リンクの有効期限設定を読み取ります。
Policy.Read.All	Harden	ポリシーが想定どおりに適用されているかを検証します。
Policy.ReadWrite.ConditionalAccess	Harden	条件付きアクセスポリシーの読み取りと管理を行います。Conditional Access Assurance を支える権限であり、条件付きアクセスポリシーが単に存在するだけでなく、すべての認証経路において MFA およびその他のコントロールを実際に強制しているかどうかを検証します。
Policy.ReadWrite.AuthenticationMethod	Harden	MFA に関連するポリシーコントロールを管理します。
Policy.ReadWrite.Authorization	Harden	アプリケーションの同意設定コントロールを管理します。
Policy.ReadWrite.ConsentRequest	Harden	ユーザーによるアプリケーション同意設定のコントロールを管理します。
Domain.ReadWrite.All	Harden	パスワードの有効期限および有効性に関するコントロールを管理します。
Exchange.ManageAsApp	Harden	Exchange Online に関連するポリシーコントロールを管理します。
SharePointTenantSettings.ReadWrite.All	Harden	SharePoint Online に関連するポリシーコントロールを管理します。
Sites.FullControl.All	Harden	SharePoint Online のサイトコレクションに関連するポリシーコントロールを管理します。
Application.ReadWrite.All	Harden, プラットフォーム	アプリ権限に関するポリシーコントロールを管理します。また、オフボーディング時にテナントから Overe アプリケーションを削除するためにも使用します。
AuditLog.Read.All	Monitor, Assess	監査ログを確認し、ユーザー操作の詳細な履歴を把握することで、不正な活動の追跡を容易にします。態勢評価のためにユーザーの登録情報の読み取りにも使用します。
ActivityFeed.Read	Monitor	異常検知のためにテナントのアクティビティを読み取ります。
ActivityFeed.ReadDlp	Monitor	異常検知のためにデータ損失防止(DLP)イベントを読み取ります。
ServiceHealth.Read	Monitor	アクティビティシグナルと併せてサービス正常性情報を読み取ります。
User.ReadWrite.All	Respond	対応アクションとして、アカウントの無効化およびセッションの失効を実行するために使用します。
DelegatedAdminRelationship.Read.All	プラットフォーム	サイト作成を効率化するため、お客様との委任管理関係の詳細を読み取ります。
Directory.AccessAsUser.All	プラットフォーム	委任オンボーディングフローで使用します。

将来的な使用のために要求する権限

以下の権限は同意対象に含まれていますが、現時点では使用していません。同意画面で予期しない項目が表示されることのないよう、あらかじめ記載しています。

MailboxSettings.ReadWrite、Reports.Read.All、SecurityIncident.Read.All、SecurityAlert.Read.All、SecurityIdentitiesHealth.Read.All、IdentityRiskEvent.Read.All、ThreatIntelligence.Read.All、UserAuthenticationMethod.ReadWrite.All、DeviceManagementApps.ReadWrite.All、DeviceManagementManagedDevices.ReadWrite.All、DeviceManagementConfiguration.ReadWrite.All、DeviceManagementServiceConfig.ReadWrite.All、AiEnterpriseInteraction.Read.All

これらの権限によって実現される機能

Conditional Access Assurance:ポリシーの存在確認にとどまらず、すべての認証経路における強制状況を検証します
Microsoft 365 および ID コントロールの自動的な強化
構成のドリフトおよび挙動シグナルの継続的な監視
Guided Security Operations:検出事項ごとに、症状ではなく根本原因に対処する体系的なワークフローを提供します
Auto Response Engine:手動対応を待つことなく、アカウントの隔離、MFA の強制、セッションの失効を実行します
MFA の適用範囲、セキュリティポリシーの状態、外部アプリ連携、非アクティブなアカウント、および現在の Microsoft ライセンスティアで利用可能なコントロールを可視化

Overe アプリケーションに割り当てられるディレクトリロール

上記の権限に加えて、2 つの Microsoft ディレクトリロールが Overe のサービスプリンシパルに割り当てられます。

Exchange 管理者(Exchange Administrator):Overe がアクティビティを監視し異常を検知できるよう、監査ログを有効化および検証します。また、添付ファイルやセキュアプロトコルに関するものを含む、メールポリシーコントロールを構成します。

Teams 管理者(Teams Administrator):Microsoft Teams のポリシーコントロールを読み取り、構成します。

いずれのロールも、ユーザーアカウントではなく Overe アプリケーションに割り当てられます。エンタープライズアプリケーションへのディレクトリロールの割り当てには特権ロール管理者またはグローバル管理者が必要であり、これが上記のロールを挙げている理由です。

これらはワークロード単位に限定されたロールです。Overe がテナント全体を対象とする管理ロールを保持することはなく、これらのロールの背後にサインインやパスワードリセットが可能なアカウントは存在しません。

これらのロールの割り当てに関する詳細は、以下の動画ガイドをご覧ください。

Microsoft の権限を再同意する方法

一部のシナリオでは、Overe アプリに付与された権限の再同意が必要になります。詳細は「不足している Microsoft の権限への同意について」をご覧ください。

オフボーディング

テナントから Overe を削除する場合は、Overe コンソールのオフボーディング機能をご利用ください。オフボーディングにより、Overe のアプリケーション登録がテナントから自動的に削除されます。Overe はユーザーアカウントを作成していないため、それ以外に残るものはありません。

この処理には Application.ReadWrite.All を使用します。Overe はお客様のテナント内で自身のアプリケーションの所有者として登録されていないため、より権限の狭い Application.ReadWrite.OwnedBy では対応できません。

Entra ID でエンタープライズアプリケーションを直接削除する方法で Overe を削除しないでください。この方法ではアクセスは遮断されますが、Overe 側でテナントが中途半端な状態のまま残り、既存の契約の終了や請求の停止は行われません。必ずコンソールからオフボーディングを実行してください。

同意される前に

Overe がこれらの権限を要求するのは、テナント接続時の一度のみです。14 日間のフル機能トライアルでは有料サイトと同じ権限セットを使用するため、トライアル中にご確認いただいた内容がそのまま本契約後の内容となります。