電子情報開示でアクセス許可を割り当てる (プレビュー)
ユーザーが Microsoft Purview ポータルで電子情報開示 (プレビュー) 機能を使用する場合は、ユーザーに適切なアクセス許可を割り当てる必要があります。 ロールを割り当てる最も簡単な方法は、Microsoft Purview ポータルの [ロール グループ] ページに適切なロール グループをユーザーに追加することです。 この記事では、電子情報開示タスクを実行するために必要なアクセス許可について説明します。
ヒント
Microsoft Security Copilotの使用を開始して、AI の力を使用して、よりスマートかつ迅速に作業するための新しい方法を検討します。 Microsoft Purview のMicrosoft Security Copilotの詳細については、こちらをご覧ください。
電子情報開示の役割と役割グループ
Microsoft Purview ポータルの主要な電子情報開示関連の役割グループは、 電子情報開示マネージャーと呼ばれます。 この役割グループには、次の 2 つのサブグループがあります。
電子情報開示マネージャー: 電子情報開示マネージャーは、organization内のコンテンツの場所を検索し、電子情報開示 (プレビュー) での検索結果のプレビューやエクスポートなど、さまざまな検索関連のアクションを実行できます。 メンバーは、ケースの作成と管理、ケースのユーザーの追加と削除、ケースホールドの作成、ケースに関連付けられた検索の実行、ケース データへのアクセスを行うこともできます。 電子情報開示マネージャーがアクセスして管理できるのは、自分で作成したケースだけです。 他の電子情報開示マネージャーが作成したケースの場合、アクセスまたは管理はできません。
- 電子情報開示 マネージャー の役割グループの電子情報開示マネージャー サブグループのメンバーとしてメールが有効なセキュリティ グループを追加するには、Security & Compliance PowerShell の Add-RoleGroupMember コマンドレットを使用します。 たとえば、次のコマンドを実行して、 電子情報開示マネージャー の役割グループにメールが有効なセキュリティ グループを追加できます。
Add-RoleGroupMember "eDiscoveryManager" -Member <name of security group>Exchange 配布グループとMicrosoft 365 グループはサポートされていません。 メールが有効なセキュリティ グループを使用する必要があります。このグループは、
New-DistributionGroup -Type Securityを実行Exchange Online PowerShell で作成できます。 メールが有効なセキュリティ グループ (およびメンバーの追加) を Exchange 管理センターまたはMicrosoft 365 管理センターで作成することもできます。 電子情報開示マネージャーの役割グループに新しいメールが有効なセキュリティ グループを追加するには、作成してから最大 60 分かかる場合があります。セキュリティ & コンプライアンス PowerShell の Add-eDiscoveryCaseAdmin コマンドレットを使用して、メールが有効なセキュリティ グループを電子情報開示管理者にすることはできません。 個別のユーザーは、電子情報開示管理者としてのみ追加できます。
メールが有効なセキュリティ グループをケースのメンバーとして追加することもできません。
電子情報開示管理者: 電子情報開示管理者 は 、電子情報開示マネージャー の役割グループのメンバーであり、電子情報開示マネージャーが実行できるのと同じコンテンツ検索およびケース管理関連のタスクを実行できます。 さらに、電子情報開示管理者は、次のことができます。
- Microsoft Purview ポータルの 電子情報開示 領域に一覧表示されているすべてのケースにアクセスします。
- 電子情報開示ソリューションの設定を構成します。
- プロセスにアクセスし、すべてのケースを対象にしたレポートを保持します。
- organization内の任意のケースのケース データにアクセスします。
- 自分自身をケースのメンバーとして追加した後、すべての電子情報開示のケースを管理する。
- 電子情報開示ケースからメンバーを削除します。 ケースからメンバーを削除できるのは、電子情報開示管理者のみです。 電子情報開示マネージャー サブグループのメンバーであるユーザーは、ケースを作成した場合でも、ケースからメンバーを削除できません。
- 電子情報開示ケースの唯一のメンバーであるユーザーがorganizationを離れた場合、ケースのメンバーではないので、誰も (組織管理役割グループのメンバーまたは電子情報開示マネージャー役割グループの別のメンバーを含む) その電子情報開示ケースにアクセスできません。 この状況では、ケースのデータにアクセスする方法はありません。 ただし、電子情報開示管理者は、organization内のすべての電子情報開示ケースにアクセスできるため、ケースを表示し、ケースのメンバーとして自分自身または別の電子情報開示マネージャーを追加できます。
- 電子情報開示管理者は、すべての電子情報開示ケースを表示およびアクセスでき、すべてのケースと関連するコンプライアンス検索を監査および監視できます。 この機能は、コンプライアンス検索や電子情報開示ケースの誤用を防ぐのに役立ちます。 電子情報開示管理者はコンプライアンス検索の結果に含まれる潜在的な機密情報にアクセスできるため、電子情報開示管理者となるユーザーの数を制限する必要があります。
注:
プレミアム電子情報開示機能が有効になっているときにユーザーのデータを分析するには、ユーザーにOffice 365 E5またはMicrosoft 365 E5ライセンスを割り当てる必要があります。 または、Office 365 E1またはOffice 365またはMicrosoft 365 E3 ライセンスを持つユーザーに、Microsoft 365 E5 Complianceまたは Microsoft 365 電子情報開示および監査アドオン ライセンスを割り当てることができます。 ケースにメンバーとして割り当てられ、プレミアム電子情報開示機能を使用してデータを収集、表示、分析する管理者、コンプライアンス責任者、または法務担当者は、E5 ライセンスは必要ありません。 サブスクリプションとライセンスの詳細については、電子情報開示の サブスクリプション要件 に関するページを参照してください。
アクセス許可を割り当てる前に
- Microsoft Purview ポータルで電子情報開示アクセス許可を割り当てるには、 組織管理 役割グループのメンバーであるか、 ロール管理 ロールを割り当てる必要があります。
- セキュリティ & コンプライアンス PowerShell の Add-RoleGroupMember コマンドレットを使用して、電子情報開示マネージャーの役割グループの電子情報開示マネージャー サブグループのメンバーとしてメールが有効なセキュリティ グループを追加できます。 ただし、電子 情報開示管理者 サブグループにメールが有効なセキュリティ グループを追加することはできません。
電子情報開示のアクセス許可を割り当てる
Microsoft Purview ポータルに移動し、アクセス許可を割り当てることができるアカウントを使用してサインインします。
[設定>Role グループ] に移動します。
[ Microsoft Purview ソリューションの役割グループ ] ページで、[ 電子情報開示マネージャー] を選択します。
[ 電子情報開示マネージャー ] ポップアップ ウィンドウで、割り当てる電子情報開示アクセス許可に基づいて、次のいずれかの操作を行います。
- [編集] を選択します。
- [ 電子情報開示マネージャーの管理 ] ページで、[ ユーザーの選択 ] または [グループの 選択] を選択します。
- 電子情報開示マネージャーとして追加するユーザー (またはユーザー) を検索して選択し、[選択] を選択します。
- [次へ] を選択します。
- 電子情報開示管理者ロール グループにユーザー (またはユーザー) を割り当てるには、[ユーザーの選択] または [グループの選択] を選択します。
- 電子情報開示管理者として追加するユーザー (またはユーザー) を検索して選択し、[選択] を選択します。
- [次へ] を選択します。
選択したユーザーまたはグループがこの役割グループの割り当ての一部としてorganizationワイド アクセスする必要がある場合は、手順 8 に進みます。
選択したユーザーまたはグループを管理単位に割り当てる必要がある場合は、ユーザーまたはグループを選択し、[ 管理ユニットの割り当て] を選択します。
[ 管理単位の割り当て ] ウィンドウで、ユーザーまたはグループに割り当てるすべての管理単位のチェック ボックスをオンにします。 [ 選択] を選択します。
[次へ] と [保存] を選択して、ユーザーまたはグループをロール グループに追加します。 [ 完了] を選択 して手順を完了します。
注:
また、Add-eDiscoveryCaseAdmin コマンドレットを使用してユーザーを電子情報開示管理者にすることもできます。 ただし、このコマンドレットを使用して電子情報開示管理者にする前に、ユーザーに ケース管理 ロールを割り当てる必要があります。 詳細については、「Add-eDiscoveryCaseAdmin」を参照してください。
Microsoft Purview ポータルの [役割グループ ] ページで、 コンプライアンス管理者、 組織の管理、 レビュー担当者 の役割グループに追加することで、電子情報開示関連のアクセス許可をユーザーに割り当てることもできます。 これらの各役割グループに割り当てられた電子情報開示関連のロールベースのアクセス制御ロールの説明については、「 電子情報開示に関連するロールベースのアクセス制御ロール」を参照してください。
電子情報開示に関連する RBAC の役割
次の表は、Microsoft Purview ポータルの電子情報開示関連のロールベースのアクセス制御ロールの一覧であり、各ロールが既定で割り当てられている組み込みの役割グループを示しています。
| 役割 | コンプライアンス管理者 | 電子情報開示マネージャー & 管理者 | 組織の管理 | レビュー担当者 |
|---|---|---|---|---|
| ケース管理 |
|
|
|
|
| コミュニケーション |
|
|||
| コンプライアンス検索 |
|
|
|
|
| カストディアン |
|
|||
| エクスポート |
|
|||
| Hold |
|
|
|
|
| レビュー セット タグを管理する |
|
|||
| Preview |
|
|||
| レビュー |
|
|
||
| RMS の暗号化解除 |
|
|||
| 検索と消去 |
|
次の診断テストを実行して、エクスポート、プレビュー、または検索ロールが指定された管理者アカウントに割り当てられているかどうかをチェックします。
- Microsoft Purview ポータルの右上にある [ヘルプ ] コントロールを選択します。 電子情報開示 RBAC チェック テストを実行するには、検索に「Diag:edisRBACdiag」と入力します (または、このリンクを選択します)。
- [診断の実行] セクションで、エクスポート、プレビュー、または検索タスクを実行しようとしているユーザーの UPN またはメール アドレスを入力します。
- [ テストの実行] を選択します。 ユーザーに必要な電子情報開示ロールがない場合は、目的のタスクを実行するロールを割り当てます。
次のセクションでは、前の表に示した電子情報開示関連の各ロールベースのアクセス制御ロールについて説明します。
ケース管理
このロールを使用すると、ユーザーは Microsoft Purview ポータルで電子情報開示 (プレビュー) ケースへのアクセスを作成、編集、削除、制御できます。 Add-eDiscoveryCaseAdmin コマンドレットを使用して電子情報開示管理者にする前に、ユーザーにケース管理ロールを割り当てる必要があります。 詳細については、「 電子情報開示の概要 (プレビュー)」を参照してください。
コミュニケーション
このロールを使用すると、ユーザーは電子情報開示ケースで識別されたユーザーとのすべての通信を管理できます。 これには、保留通知の作成、リマインダーの保持、管理へのエスカレーションが含まれます。 ユーザーは、保留通知のユーザー受信確認を追跡し、各ユーザーが含まれていたケースの通信を追跡するために使用されるユーザー ポータルへのアクセスを管理することもできます。
コンプライアンス検索
このロールを使用すると、ユーザーはメールボックスとパブリック フォルダー、SharePoint サイト、OneDrive サイト、Skype for Business会話、Microsoft 365 グループ、Microsoft Teams、Viva Engage グループを検索できます。 このロールを使用すると、ユーザーは検索結果の見積もりを取得し、エクスポート レポートを作成できますが、検索結果のプレビュー、エクスポート、削除などの検索アクションを開始するには、他のロールが必要です。
電子情報開示 (プレビュー) では、 コンプライアンス検索 ロールが割り当てられているがプレビュー ロールを持たないユーザーは、 プレビュー ロールが割り当てられているユーザーによってプレビュー アクションが開始された検索結果を プレビュー できます。 プレビュー ロールを持たないユーザーは、最初のプレビュー アクションが作成されてから最大 2 週間、結果をプレビューできます。
同様に、 コンプライアンス検索 ロールが割り当てられているが 、エクスポート ロールを持たない電子情報開示 (プレビュー) のユーザーは、エクスポート ロールが割り当てられているユーザーによってエクスポート アクションが開始された検索の 結果をダウンロード できます。 エクスポート ロールを持たないユーザーは、最初の エクスポート アクションが作成されてから最大 2 週間、検索の結果をダウンロードできます。 その後、エクスポート ロールを持つユーザーが エクスポート を再開しない限り、結果をダウンロードできません。
検索結果をプレビューおよびエクスポートするための 2 週間の猶予期間 (対応する検索ロールとエクスポート ロールなし) は、電子情報開示で Premium 機能が有効になっている場合には適用されません。 プレミアム電子情報開示機能が有効になっているときにコンテンツを プレビュー およびエクスポートするには、ユーザーにプレビューロールと エクスポート ロールを割り当てる必要があります。
カストディアン
重要
このロールは、Microsoft Purview コンプライアンス ポータルの以前の電子情報開示エクスペリエンスにのみ適用されます。 このロールでは、Microsoft Purview ポータルの電子情報開示 (プレビュー) の機能と機能に対するアクセス許可は付与されません。
このロールを使用すると、ユーザーは、Microsoft Purview コンプライアンス ポータルで管理される電子情報開示ケースのカストディアンを識別および管理し、Microsoft Entra IDやその他のソースからの情報を使用してカストディアンに関連付けられているデータ ソースを検索できます。 ユーザーは、メールボックス、SharePoint サイト、Teams などの他のデータ ソースをケースのカストディアンに関連付けることができます。 ユーザーは、カストディアンに関連付けられているデータ ソースを法的に保留して、ケースのコンテキストでコンテンツを保持することもできます。
エクスポート
ロールを使用すると、ユーザーは検索結果をローカル コンピューターにエクスポートできます。 また、プレミアム電子情報開示機能が有効になっているときに、検索結果を分析用に準備することもできます。 検索結果のエクスポートの詳細については、「 電子情報開示での検索結果のエクスポート (プレビュー)」を参照してください。
Hold
このロールを使用すると、ユーザーはメールボックス、パブリック フォルダー、サイト、Skype for Business会話、Microsoft 365 グループにコンテンツを保留にできます。 コンテンツを保留にすると、コンテンツの所有者は引き続き元のコンテンツを変更または削除できますが、コンテンツは保留が解除されるか保留期間が経過するまで保持されます。 保留の詳細については、「 電子情報開示で保留を作成する (プレビュー)」を参照してください。
レビュー セット タグを管理する
このロールを使用すると、ユーザーがアクセスできるケースのレビュー セット タグを作成、編集、削除できます。 ユーザーは、レビュー中にタグを管理するために、少なくともレビュー ロールとこのロールを持っている必要があります。
Preview
このロールを使用すると、ユーザーは検索から返された項目の一覧を表示できます。 一覧から各項目を開いて表示し、項目の内容を確認することもできます。
レビュー
このロールを使用すると、ユーザーは電子情報開示 (プレビュー) のレビュー セットにアクセスできます。 このロールが割り当てられているユーザーは、メンバーであるケースの一覧を表示して開くことができます。 ユーザーが電子情報開示ケースにアクセスした後、[ レビュー セット ] を選択してケース データにアクセスできます。 このロールでは、ユーザーがケースに関連付けられている検索の結果をプレビューしたり、他の検索またはケース管理タスクを実行したりすることはできません。 このロールを持つユーザーは、レビュー セット内のデータにのみアクセスできます。
RMS の暗号化解除
このロールを使用すると、検索結果をプレビューするときに権限で保護された電子メール メッセージを表示し、復号化された権限で保護された電子メール メッセージをエクスポートできます。 また、このロールを使用すると、暗号化されたファイルが電子情報開示検索の結果に含まれる電子メール メッセージに添付されている場合に 、Microsoft 暗号化テクノロジ で暗号化されたファイルを表示 (およびエクスポート) できます。 さらに、このロールを使用すると、電子情報開示 (プレビュー) のレビュー セットに追加された暗号化された電子メールの添付ファイルをユーザーが確認し、クエリを実行できます。 電子情報開示での暗号化解除の詳細については、「 Microsoft 365 電子情報開示ツールでの復号化」を参照してください。
検索と消去
このロールを使用すると、ユーザーは検索の条件に一致するデータの一括削除を実行できます。 詳細については、「 電子情報開示 (プレビュー)で電子メール メッセージを検索および削除する」を参照してください。
電子情報開示ケースのメンバーとしての役割グループの追加
電子情報開示ケースのメンバーとして役割グループを追加して、役割グループのメンバーが割り当てられたケースのタスクにアクセスして実行できるようにします。 役割グループに割り当てられたロールは、役割グループのメンバーが実行できる操作を定義します。 次に、ロール グループをケースのメンバーとして追加すると、メンバーは特定のケースでこれらのタスクにアクセスして実行できます。
この要件を念頭に置いて、ロールが役割グループに追加または削除された場合、その役割グループは、ロール グループがメンバーである場合は、そのロール グループのメンバーとして自動的に削除されることを知っておくべきことが重要です。 その理由は、organizationがケースのメンバーに追加のアクセス許可を誤って提供しないようにするためです。 同様に、役割グループが削除された場合、メンバーであったすべてのケースから削除されます。
電子情報開示ケースのメンバーである可能性がある役割グループにロールを追加または削除する前に、 Security & Compliance PowerShell で次のコマンドを実行して、役割グループがメンバーであるケースの一覧を取得できます。 役割グループを更新した後、それらのケースのメンバーとして役割グループを再度追加します。