接続されているアプリの管理

ガバナンスを使用すると、ユーザーがアプリ全体で実行する操作を制御できます。 接続されているアプリの場合は、ファイルまたはアクティビティにガバナンス アクションを適用できます。 ガバナンス アクションは、ファイルまたはアクティビティでMicrosoft Defender for Cloud Appsから直接実行できる統合アクションです。 ガバナンス アクションは、接続されているアプリ全体でユーザーが実行する操作を制御します。

ファイル ガバナンス アクション

接続されているアプリに対して、特定のファイル、ユーザー、または特定のポリシーから、次のガバナンス アクションを実行できます。

• 通知：

  • アラート – アラートはシステムでトリガーされ、重大度レベルに基づいて電子メールで伝達できます。
  • ユーザー電子メール通知 – Emailメッセージはカスタマイズでき、違反しているすべてのファイル所有者に送信されます。
  • 特定のユーザーに通知 する – これらの通知を受け取る電子メール アドレスの特定の一覧。
  • [最後のファイル エディターに通知 する] – ファイルを最後に変更したユーザーに通知を送信します。

• アプリのガバナンス アクション - アプリごとにきめ細かいアクションを適用できます。特定のアクションはアプリの用語によって異なります。

  • ラベル付け

    • ラベルの適用 - Microsoft Purview Information Protection秘密度ラベルを追加する機能。
    • ラベルの削除 - Microsoft Purview Information Protection秘密度ラベルを削除する機能。

  • 共有の変更

    • パブリック共有を削除 する – 名前付きコラボレーターにのみアクセスを許可します。たとえば、Google ワークスペースの パブリック アクセスを削除 し、Box と Dropbox の 直接共有リンクを削除 します。
    • 外部ユーザーの削除 – 会社のユーザー にのみアクセスを許可します。 内部メンバーと外部メンバーの両方を含むグループがコラボレーターとして追加されると、アクションは個別ではなくグループ レベルのメンバーを削除します。
    • 非公開にする – サイト管理者のみがファイルにアクセスでき、すべての共有が削除されます。
    • コラボレーターを削除する – ファイルから特定のコラボレーターを削除します。
    • パブリック アクセスを減らす - パブリックに利用可能なファイルを共有リンクでのみ使用できるように設定します。 (Google)
    • 共有リンクの期限切れ - 共有 リンクの有効期限を設定し、その後はアクティブになりません。 (Box)
    • 共有リンクのアクセス レベルの変更 - 会社、コラボレーターのみ、およびパブリック間の共有リンクのアクセス レベルを変更する機能。 (Box)

  • Quarantine

    • ユーザー検疫に入れる – ユーザー が制御する検疫フォルダーにファイルを移動してセルフサービスを許可する
    • 管理者検疫に入れる – ファイルは管理者ドライブの検疫に移動され、管理者はそれを承認する必要があります。

  • 親からアクセス許可を継承 する - このガバナンス アクションを使用すると、Microsoft 365 のファイルまたはフォルダーに対して設定された特定のアクセス許可を削除できます。 次に、親フォルダーに設定されているアクセス許可に戻します。

  • ごみ箱 – ファイルをごみ箱フォルダーに移動します。 (Box、Dropbox、Google Drive、OneDrive、SharePoint、Cisco Webex)

    

マルウェア ガバナンス アクション (プレビュー)

接続されているアプリに対して、特定のファイル、ユーザー、または特定のポリシーから、次のガバナンス アクションを実行できます。 セキュリティ上の理由から、この一覧は、ユーザーまたはテナントのリスクを示唆しないマルウェア関連のアクションにのみ制限されます。

• 通知：

  • アラート – アラートはシステムでトリガーされ、重大度レベルに基づいて電子メールとテキスト メッセージを介して伝達できます。

• アプリのガバナンス アクション - アプリごとにきめ細かいアクションを適用できます。特定のアクションはアプリの用語によって異なります。

  • 共有の変更

    • 外部ユーザーの削除 – 会社のユーザー にのみアクセスを許可します。 (Box、Google Drive、OneDrive、SharePoint)
    • 直接共有リンクを削除 する – 以前の共有リンクのアクセス許可を削除する (Box,Dropbox)

  • Quarantine

    • ユーザー検疫に入れる – ユーザーが制御する検疫フォルダー (Box、OneDrive、SharePoint) にファイルを移動してセルフサービスを許可する
    • 管理者検疫に入れる – ファイルは管理者ドライブの検疫に移動され、管理者はそれを承認する必要があります。 (Box)

  • ごみ箱 – ファイルをごみ箱フォルダーに移動します。 (Box、Dropbox、Google ドライブ、OneDrive、SharePoint)

これらのアクションは、特定の管理ロールを持つユーザーに制限されます。 説明されているオプションが表示されない場合、またはアクセスできない場合は、システム管理者に、アカウントに次のいずれかのロールが割り当てられていることを確認してください。

• セキュリティ オペレーター
• セキュリティ管理者
• グローバル管理者
• クラウド アプリセキュリティ管理者

アクティビティ ガバナンス アクション

• 通知

  • アラート – アラートはシステムでトリガーされ、重大度レベルに基づいて電子メールで伝達できます。
  • ユーザー電子メール通知 – Emailメッセージはカスタマイズでき、違反しているすべてのファイル所有者に送信されます。
  • 追加のユーザーに通知 する – これらの通知を受け取る電子メール アドレスの特定の一覧。

• アプリのガバナンス アクション - アプリごとにきめ細かいアクションを適用できます。特定のアクションはアプリの用語によって異なります。

• ユーザーの一時停止 – アプリケーションからユーザーを一時停止します。

  注:

  Microsoft Entra IDが Active Directory オンプレミス環境のユーザーと自動的に同期するように設定されている場合、オンプレミス環境の設定はMicrosoft Entra設定をオーバーライドし、このガバナンス アクションは元に戻されます。

  • ユーザーに再度サインインを要求 する – ユーザーをサインアウトし、もう一度サインインする必要があります。

  • ユーザーが侵害されたことを確認 する - ユーザーのリスク レベルを高に設定します。 これにより、Microsoft Entra IDで定義されている関連ポリシー アクションが適用されます。 リスク レベルでのMicrosoft Entra IDのしくみの詳細については、「リスク フィードバックMicrosoft Entra ID使用する方法」を参照してください。

  

OAuth アプリを取り消してユーザーに通知する

Google ワークスペースと Salesforce の場合、OAuth アプリへのアクセス許可を取り消したり、アクセス許可を変更する必要があることをユーザーに通知したりできます。 アクセス許可を取り消すと、Microsoft Entra IDの [エンタープライズ アプリケーション] でアプリケーションに付与されたすべてのアクセス許可が削除されます。

1. [アプリ ガバナンス] ページの [Google] タブまたは [Salesforce] タブで、アプリ行の末尾にある 3 つのドットを選択し、[ユーザーに通知] を選択します。 既定では、ユーザーには次のように通知されます。Google ワークスペース アカウントへのアクセスをアプリに承認しました。このアプリは、organizationのセキュリティ ポリシーと競合します。Google ワークスペース アカウントでこのアプリに付与したアクセス許可の付与または取り消しを再検討します。アプリアクセスを取り消すには、次のhttps://security.google.com/settings/security/permissions?hl=en&に移動します。pli=1 アプリを選択し、右側のメニュー バーで [アクセスの取り消し] を選択します。送信されるメッセージをカスタマイズできます。

2. ユーザーのアプリを使用するためのアクセス許可を取り消すこともできます。 テーブルのアプリ行の末尾にあるアイコンを選択し、[ アプリの取り消し] を選択します。 例:

   

ガバナンスの競合

複数のポリシーを作成した後、複数のポリシーのガバナンス アクションが重複する状況が発生する可能性があります。 この場合、Defender for Cloud Appsはガバナンス アクションを次のように処理します。

ポリシー間の競合

• 2 つのポリシーに、相互に含まれるアクションが含まれている場合 (たとえば、[外部共有の削除] は [プライベートにする] に含まれています)、Defender for Cloud Appsは競合を解決し、より強力なアクションが適用されます。
• アクションが関連しない場合 (たとえば、所有者に 通知 し、 プライベートにする)。 どちらのアクションも実行されます。
• アクションが競合する場合 (たとえば、 所有者をユーザー A に変更する、ユーザーB に所有者を変更する) 場合、一致するたびに異なる結果が発生する可能性があります。 検出が困難なドライブに不要な変更が発生する可能性があるため、競合を防ぐためにポリシーを変更することが重要です。

ユーザー同期の競合

• Microsoft Entra IDが Active Directory オンプレミス環境のユーザーと自動的に同期するように設定されている場合は、オンプレミス環境の設定によってMicrosoft Entra設定がオーバーライドされ、このガバナンス アクションが元に戻されます。

ガバナンス ログ

ガバナンス ログには、手動タスクと自動タスクの両方を含め、実行Defender for Cloud Apps設定した各タスクの状態レコードが表示されます。 これらのタスクには、ポリシーで設定したもの、ファイルとユーザーに対して設定したガバナンス アクション、およびDefender for Cloud Appsに設定したその他のアクションが含まれます。 ガバナンス ログには、これらのアクションの成功または失敗に関する情報も表示されます。 一部のガバナンス アクションをガバナンス ログから再試行するか元に戻すかを選択できます。

ガバナンス ログを表示するには、Microsoft Defender ポータルの [Cloud Apps] で [ガバナンス ログ] を選択します。

次の表は、実行できるアクションの完全な一覧Microsoft Defender for Cloud Apps示しています。 [ 場所 ] 列で説明されているように、これらのアクションはコンソール全体のさまざまな場所で有効になります。 実行された各ガバナンス アクションは、ガバナンス ログに一覧表示されます。 ポリシーの競合がある場合のガバナンス アクションの処理方法については、「 ポリシーの競合」を参照してください。

次の手順

問題が発生した場合は、こちらにお問い合わせください。 製品の問題に関するサポートを受ける場合は、サポート チケットを開いてください。