電子情報開示でアクセス許可を割り当てる

Microsoft Purview ポータルで電子情報開示の機能を使用するには、適切なアクセス許可をユーザーに割り当てます。 ロールを割り当てる最も簡単な方法は、Microsoft Purview ポータルの [ロール グループ] ページで適切な役割グループにユーザーを追加することです。 この記事では、電子情報開示タスクを実行するために必要なアクセス許可について説明します。

電子情報開示の役割と役割グループ

Microsoft Purview ポータルの主要な電子情報開示関連の役割グループは、 電子情報開示マネージャーと呼ばれます。 この役割グループには、次の 2 つのサブグループが含まれています。

• 電子情報開示マネージャー: 電子情報開示マネージャーは、organization内のコンテンツの場所を検索し、プレビューや電子情報開示での検索結果のエクスポートなど、さまざまな検索関連のアクションを実行できます。 メンバーは、ケースの作成と管理、ケースのユーザーの追加と削除、ケースホールドの作成、ケースに関連付けられた検索の実行、ケース データへのアクセスを行うこともできます。 電子情報開示マネージャーがアクセスして管理できるのは、自分で作成したケースだけです。 他の電子情報開示マネージャーが作成したケースの場合、アクセスまたは管理はできません。

  • 電子情報開示 マネージャー の役割グループの電子情報開示マネージャー サブグループのメンバーとしてメールが有効なセキュリティ グループを追加するには、Security & Compliance PowerShell の Add-RoleGroupMember コマンドレットを使用します。 たとえば、次のコマンドを実行して、 電子情報開示マネージャー の役割グループにメールが有効なセキュリティ グループを追加できます。

  Add-RoleGroupMember "eDiscoveryManager" -Member <name of security group>
  

  • Exchange 配布グループとMicrosoft 365 グループはサポートされていません。 メールが有効なセキュリティ グループを使用する必要があります。このグループは、New-DistributionGroup -Type Securityを実行Exchange Online PowerShell で作成できます。 メールが有効なセキュリティ グループ (およびメンバーの追加) を Exchange 管理センターまたはMicrosoft 365 管理センターで作成することもできます。 電子情報開示マネージャーの役割グループに新しいメールが有効なセキュリティ グループを追加するには、作成してから最大 60 分かかる場合があります。

  • セキュリティ & コンプライアンス PowerShell の Add-eDiscoveryCaseAdmin コマンドレットを使用して、メールが有効なセキュリティ グループを電子情報開示管理者にすることはできません。 個別のユーザーは、電子情報開示管理者としてのみ追加できます。

  • メールが有効なセキュリティ グループをケースのメンバーとして追加することもできません。

• 電子情報開示管理者: 電子情報開示管理者 は 、電子情報開示マネージャー の役割グループのメンバーであり、電子情報開示マネージャーが実行できるのと同じコンテンツ検索およびケース管理関連のタスクを実行できます。 さらに、電子情報開示管理者は、次のことができます。

  • Microsoft Purview ポータルの 電子情報開示 領域に一覧表示されているすべてのケースにアクセスします。
  • 電子情報開示ソリューションの設定を構成します。
  • プロセスにアクセスし、すべてのケースを対象にしたレポートを保持します。
  • organization内の任意のケースのケース データにアクセスします。
  • 自分自身をケースのメンバーとして追加した後、すべての電子情報開示のケースを管理する。
  • 電子情報開示ケースからメンバーを削除します。 ケースからメンバーを削除できるのは、電子情報開示管理者のみです。 電子情報開示マネージャー サブグループのメンバーであるユーザーは、ケースを作成した場合でも、ケースからメンバーを削除できません。
  • 電子情報開示ケースの唯一のメンバーであるユーザーがorganizationを離れた場合、ケースのメンバーではないので、誰も (組織管理役割グループのメンバーまたは電子情報開示マネージャー役割グループの別のメンバーを含む) その電子情報開示ケースにアクセスできません。 このような状況では、ケースでデータにアクセスする方法はありません。 ただし、電子情報開示管理者は、organization内のすべての電子情報開示ケースにアクセスできるため、ケースを表示し、ケースのメンバーとして自分自身または別の電子情報開示マネージャーを追加できます。
  • 電子情報開示管理者は、すべての電子情報開示ケースを表示およびアクセスでき、すべてのケースと関連するコンプライアンス検索を監査および監視できます。 この機能は、コンプライアンス検索や電子情報開示ケースの誤用を防ぐのに役立ちます。 電子情報開示管理者はコンプライアンス検索の結果に含まれる潜在的な機密情報にアクセスできるため、電子情報開示管理者となるユーザーの数を制限する必要があります。

  注:

  プレミアム電子情報開示機能が有効になっているときにユーザーのデータを分析するには、ユーザーにOffice 365 E5またはMicrosoft 365 E5ライセンスを割り当てる必要があります。 または、Office 365 E1またはOffice 365またはMicrosoft 365 E3ライセンスを持つユーザーには、Microsoft Purview スイート (旧称 Microsoft 365 E5 Compliance) または Microsoft 365 電子情報開示とアドオン ライセンスを監査します。 ケースにメンバーとして割り当てられ、プレミアム電子情報開示機能を使用してデータを収集、表示、分析する管理者、コンプライアンス責任者、または法務担当者は、E5 ライセンスは必要ありません。 サブスクリプションとライセンスの詳細については、電子情報開示の サブスクリプション要件 に関するページを参照してください。

アクセス許可を割り当てる前に

• Microsoft Purview ポータルで電子情報開示アクセス許可を割り当てるには、 組織管理 役割グループのメンバーであるか、 ロール管理 ロールが割り当てられている必要があります。
• セキュリティ & コンプライアンス PowerShell の Add-RoleGroupMember コマンドレットを使用して、電子情報開示マネージャーの役割グループの電子情報開示マネージャー サブグループのメンバーとしてメールが有効なセキュリティ グループを追加できます。 ただし、電子 情報開示管理者 サブグループにメールが有効なセキュリティ グループを追加することはできません。

電子情報開示のアクセス許可を割り当てる

1. Microsoft Purview ポータルに移動し、アクセス許可を割り当てることができるアカウントでサインインします。

2. [設定>Role グループ] に移動します。

3. [Microsoft Purview ソリューションの役割グループ] で、[電子情報開示マネージャー] を選択します。

4. [ 電子情報開示マネージャー ] ウィンドウで、割り当てる電子情報開示アクセス許可に基づいて、次のいずれかの操作を行います。

   • [編集] を選択します。
   • [電子情報開示マネージャーの管理] で、[ユーザーの選択] または [グループの選択] を選択します。
   • 電子情報開示マネージャーとして追加するユーザーを検索して選択し、[選択] を選択します。
   • [次へ] を選択します。
   • 電子情報開示管理者の役割グループにユーザーを割り当てるには、[ユーザーの選択] または [グループの選択] を選択します。
   • 電子情報開示管理者として追加するユーザーを検索して選択し、[選択] を選択します。
   • [次へ] を選択します。

5. 選択したユーザーまたはグループがこの役割グループの割り当ての一部としてorganizationワイド アクセスする必要がある場合は、手順 8 に進みます。

6. 選択したユーザーまたはグループを管理単位に割り当てる必要がある場合は、ユーザーまたはグループを選択し、[ 管理ユニットの割り当て] を選択します。

7. [ 管理単位の割り当て] で、ユーザーまたはグループに割り当てるすべての管理単位のチェック ボックスをオンにします。 [ 選択] を選択します。

8. [次へ] と [保存] を選択して、ユーザーまたはグループをロール グループに追加します。 [ 完了] を選択 して手順を完了します。

Microsoft Purview ポータルの [役割グループ ] ページで、 コンプライアンス管理者、 組織の管理、 レビュー担当者 の役割グループに追加することで、電子情報開示関連のアクセス許可をユーザーに割り当てることもできます。 これらの各役割グループに割り当てられた電子情報開示関連のロールベースのアクセス制御ロールの説明については、「 電子情報開示に関連するロールベースのアクセス制御ロール」を参照してください。

電子情報開示に関連する RBAC の役割

次の表に、Microsoft Purview ポータルの電子情報開示関連のロールベースのアクセス制御ロールを示し、各ロールが既定で属している組み込みの役割グループを示します。

役割	コンプライアンス管理者	電子情報開示マネージャー & 管理者	組織の管理	レビュー担当者
ケース管理
コミュニケーション
コンプライアンス検索
カストディアン
Export
Hold
レビュー セット タグを管理する
Preview
レビュー
RMS の暗号化解除
検索と消去

次の診断テストを実行して、エクスポート、プレビュー、または検索の各ロールが指定された管理者アカウントに割り当てられているかどうかをチェックします。

1. Microsoft Purview ポータルの右上にある [ヘルプ ] コントロールを選択します。 電子情報開示 RBAC チェック テストを実行するには、検索に「Diag:edisRBACdiag」と入力します (または、このリンクを選択します)。
2. [診断の実行] セクションで、エクスポート、プレビュー、または検索タスクを実行しようとしているユーザーの UPN またはメール アドレスを入力します。
3. [ テストの実行] を選択します。 ユーザーに必要な電子情報開示ロールがない場合は、目的のタスクを実行するロールを割り当てます。

カスタム ロールの組み合わせ

特定のユーザーに対して電子情報開示の特定の機能コンポーネントへのカスタム アクセスを提供する必要がある場合は、特定のユーザーに対してカスタム ロールの組み合わせを使用します。 たとえば、ユーザーにデータ ソースの管理を許可する必要があるが、検索機能にアクセスできないようにする必要がある場合があります。 別のユーザーの場合は、データ ソースにアクセスせずに、検索の管理を許可する必要がある場合があります。

必要に応じて、次のロールの組み合わせを使用することを検討してください。

• 検索機能のみにアクセスするためのケース管理ロールと検索ロール。
• データ ソース機能のみにアクセスするためのケース管理ロールとカストディアン ロール。
• レビュー機能のみにアクセスするためのケース管理、レビュー、およびタグの管理ロール。
• 保持機能のみにアクセスするためのケース管理ロールとホールド ロール。
• エクスポート機能のみにアクセスするためのケース管理ロールとエクスポート ロール。
• ケース管理、 検索、 消去 の各ロールは、消去機能のみにアクセスできます。

電子情報開示ロール

次のセクションでは、前の表に示した電子情報開示関連の各ロールベースのアクセス制御ロールについて説明します。

ケース管理

このロールを使用すると、ユーザーは Microsoft Purview ポータルで電子情報開示ケースへのアクセスを作成、編集、削除、制御できます。 Add-eDiscoveryCaseAdmin コマンドレットを使用してユーザーを電子情報開示管理者にする前に、ケース管理ロールを割り当てる必要があります。 詳細については、「 電子情報開示の概要」を参照してください。

コンプライアンス検索

このロールを使用すると、ユーザーはメールボックスとパブリック フォルダー、SharePoint サイト、OneDrive サイト、Skype for Business会話、Microsoft 365 グループ、Microsoft Teams、Viva Engage グループを検索できます。 このロールを使用すると、ユーザーは検索結果の見積もりを取得し、エクスポート レポートを作成できますが、検索結果のプレビュー、エクスポート、削除などの検索アクションを開始するには、他のロールが必要です。

電子情報開示では、 コンプライアンス検索 ロールが割り当てられているがプレビュー ロールを持たないユーザーは、 プレビュー ロールが割り当てられたユーザーがプレビュー アクションを開始したときに、検索結果を プレビュー できます。 プレビュー ロールを持たないユーザーは、最初のプレビュー アクションが作成されてから最大 2 週間、結果をプレビューできます。

同様に、 コンプライアンス検索 ロールが割り当てられているが 、エクスポート ロールを持たない電子情報開示のユーザーは、エクスポート ロールを割り当てたユーザーが エクスポート アクションを開始したときに、検索結果をダウンロードできます。 エクスポート ロールを持たないユーザーは、最初の エクスポート アクションが作成されてから最大 2 週間、検索の結果をダウンロードできます。 その後、エクスポート ロールを持つユーザーが エクスポート を再開しない限り、結果をダウンロードできません。

検索結果をプレビューおよびエクスポートするための 2 週間の猶予期間 (対応する検索ロールとエクスポート ロールなし) は、電子情報開示で Premium 機能が有効になっている場合には適用されません。 プレミアム電子情報開示機能が有効になっているときにコンテンツを プレビュー およびエクスポートするには、ユーザーにプレビューロールと エクスポート ロールを割り当てる必要があります。

カストディアン

このロールを使用すると、ユーザーは、廃止されたMicrosoft Purview コンプライアンス ポータルで管理される電子情報開示ケースのカストディアンを特定および管理し、Microsoft Entra ID やその他のソースからの情報を使用して、カストディアンに関連付けられているデータ ソースを検索できます。 ユーザーは、メールボックス、SharePoint サイト、Teams などの他のデータ ソースをケースのカストディアンに関連付けることができます。 ユーザーは、カストディアンに関連付けられているデータ ソースを法的に保留して、ケースのコンテキストでコンテンツを保持することもできます。

Export

このロールを使用すると、ユーザーは検索結果をローカル コンピューターにエクスポートできます。 また、プレミアム電子情報開示機能が有効になっている場合に、検索結果を分析用に準備することもできます。 検索結果のエクスポートの詳細については、「 電子情報開示で検索結果をエクスポートする」を参照してください。

Hold

このロールを使用すると、ユーザーはメールボックス、パブリック フォルダー、サイト、Skype for Business会話、Microsoft 365 グループにコンテンツを保留にできます。 コンテンツが保留状態の場合でも、コンテンツ所有者は元のコンテンツを変更または削除できますが、保留が削除されるまで、または保留期間が切れるまでコンテンツは保持されます。 保留の詳細については、「 電子情報開示で保留を作成する」を参照してください。

レビュー セット タグを管理する

このロールを使用すると、ユーザーがアクセスできるケースのレビュー セット タグを作成、編集、削除できます。 ユーザーは、レビュー中にタグを管理するために、少なくともレビュー ロールとこのロールを持っている必要があります。

Preview

このロールを使用すると、ユーザーは検索で返される項目の一覧を表示できます。 一覧から各項目を開いて表示し、項目の内容を確認することもできます。

レビュー

このロールを使用すると、ユーザーは電子情報開示のレビュー セットにアクセスできます。 このロールが割り当てられているユーザーは、メンバーであるケースの一覧を表示して開くことができます。 ユーザーが電子情報開示ケースにアクセスした後、[ レビュー セット ] を選択してケース データにアクセスできます。 このロールでは、ユーザーがケースに関連付けられている検索の結果をプレビューしたり、他の検索またはケース管理タスクを実行したりすることはできません。 このロールを持つユーザーは、レビュー セット内のデータにのみアクセスできます。

RMS の暗号化解除

このロールを使用すると、検索結果をプレビューするときに権限で保護された電子メール メッセージを表示し、復号化された権限で保護された電子メール メッセージをエクスポートできます。 また、このロールを使用すると、暗号化されたファイルが電子情報開示検索の結果に含まれる電子メール メッセージに添付されている場合に 、Microsoft 暗号化テクノロジ で暗号化されたファイルを表示 (およびエクスポート) できます。 さらに、このロールを使用すると、電子情報開示のレビュー セットに追加された暗号化された電子メールの添付ファイルをユーザーが確認してクエリを実行できます。 電子情報開示での暗号化解除の詳細については、「 Microsoft 365 電子情報開示ツールでの復号化」を参照してください。

検索と消去

このロールを使用すると、ユーザーは検索の条件に一致するデータの一括削除を実行できます。 詳細については、「 電子情報開示で電子メール メッセージを検索および削除する」を参照してください。

電子情報開示ケースのメンバーとしての役割グループの追加

電子情報開示ケースのメンバーとして役割グループを追加して、役割グループのメンバーが割り当てられたケースのタスクにアクセスして実行できるようにします。 役割グループに割り当てられたロールは、役割グループのメンバーが実行できる操作を定義します。 ロール グループをケースのメンバーとして追加すると、メンバーは特定のケースでこれらのタスクにアクセスして実行できます。

この要件を念頭に置いて、役割グループにロールを追加または削除すると、役割グループは、属するすべてのケースのメンバーとして自動的に削除されます。 この動作により、organizationがケースのメンバーに追加のアクセス許可を誤って提供するのを防ぎます。 同様に、役割グループを削除した場合は、メンバーであったすべてのケースから削除します。

電子情報開示ケースのメンバーである可能性がある役割グループにロールを追加または削除する前に、 Security & Compliance PowerShell で次のコマンドを実行して、役割グループがメンバーであるケースの一覧を取得します。 役割グループを更新した後、それらのケースのメンバーとして役割グループを再度追加します。