アダプティブ スコープ

セキュリティとコンプライアンスのための Microsoft 365 ライセンス ガイダンス。

通信コンプライアンス ポリシーまたは保持ポリシーを作成する場合は、ポリシーのアダプティブ スコープを追加できます。 1 つのポリシーに 1 つまたは複数のアダプティブ スコープを設定できます。

• アダプティブ スコープでは、指定したクエリを使用するため、そのクエリに含まれるユーザーまたはグループのメンバーシップを定義できます。 これらの動的クエリは、選択したスコープに指定した属性またはプロパティに対して毎日実行されます。 1 つのポリシーで 1 つ以上のアダプティブ スコープを使用できます。
• たとえば、この目的のためにグループを作成および管理する管理オーバーヘッドなしで、既存のMicrosoft Entra属性を使用して、部署に応じて異なるポリシー設定をユーザーに割り当てることができます。

アダプティブ スコープを使用する利点

アダプティブ スコープを使用する利点は次のとおりです。

• ポリシーごとのアイテム数に制限がありません。 アダプティブ ポリシーは、引き続きテナントごとのポリシーの最大数の制限対象となりますが、柔軟性のより高い構成ほど、ポリシーがはるかに少なくなる可能性があります。
• ポリシーのより強力なターゲット設定。 たとえば、グループの作成と管理の管理オーバーヘッドなしで、地理的な場所に応じてユーザーに異なる設定を割り当てることができます。
• クエリベースのスコープは、部門間通信に依存するグループ メンバーシップや外部プロセスに確実に反映されない可能性があるビジネス変更に対する回復性を提供します。
• 1 つのポリシーには、Microsoft TeamsとViva Engageの両方の場所を含めることができますが、アダプティブ スコープを使用しない場合、各場所には独自のポリシーが必要です。
• Microsoft Entra管理単位のサポート。

リテンション期間のポリシーに固有のアダプティブ スコープを使用する具体的な利点については、「 アイテム保持ポリシーと保持ラベルについて」を参照してください。

構成情報については、「アダプティブ スコープの構成」を参照してください。

アダプティブ スコープがMicrosoft Entra管理単位とどのように連携するか

コンプライアンスに関するポリシーの動的なターゲット設定をサポートするように Microsoft Purview でアダプティブ スコープが作成および構成されているのに対し、管理単位は Microsoft Entra ID で作成および構成されます。 これにより、管理者を 1 つ以上の管理単位に割り当てることができます。その結果、制限された管理者は割り当てられた管理単位のユーザーのみを管理できるようになりました。 この構成では、最小限の特権のセキュリティベスト プラクティスがサポートされています。 通常、管理単位は、特定の地域、部署、またはビジネス部門を中心に設計されます。

この管理の境界は、サポートされているソリューションのために Microsoft Purview に流れ込み、制限付き管理者が管理に割り当てられているユーザーのみを確実に管理できるようにします。

管理単位とアダプティブ スコープの統合方法を示す例として、制限付きコンプライアンス管理者がフランスのユーザー専用のアダプティブ ユーザー スコープを作成したいと考えています。

1. コンプライアンス管理者には、ヨーロッパのすべてのユーザーと北米のすべてのユーザーの 2 つの管理単位が割り当てられます。 アダプティブ スコープを作成するときに、これらの管理単位のみを選択して割り当てることができます。 他の管理単位からユーザーを管理するためのアダプティブ スコープを作成することはできません。
2. ユーザーに対して新しいアダプティブ スコープを作成し、管理単位 [ ヨーロッパのすべてのユーザー] を選択します。 次に、アダプティブ スコープをフランスのユーザー専用にするため、Microsoft Entra ID Country または region 属性を使用してフランス (CountryOrRegion = France) を指定します。 この属性を誤って構成し、インドなどのMicrosoft Entra ID で有効な値を指定したが、その値を持つユーザーがヨーロッパのすべてのユーザー管理単位に含まれていない場合、スコープにはユーザーは含まれません。
3. すべてのユーザーを対象とするポリシーに対してこのアダプティブ スコープのみを選択すると、ポリシーはフランスのユーザーのみに適用されます。
4. 再利用可能な構成要素として、同じアダプティブ スコープを他のコンプライアンス ポリシーに使用できます。

コンプライアンス管理者がこのアダプティブ スコープに両方の管理単位を追加した場合でも、北米管理スコープのユーザーにフランスが国または地域の属性として指定されていないため、最終的な結果は同じになります。 ただし、コンプライアンス管理者は、フランスのユーザーだけをターゲットにする必要があることを知っていたため、ヨーロッパの管理単位に対してクエリを実行する方が効率的です。 要件が変更された場合は、既存のアダプティブ スコープから管理単位をいつでも追加または削除できます。

アダプティブ ポリシー スコープの最大数

ポリシーに追加できるアダプティブ ポリシー スコープの数に制限はありませんが、各アダプティブ スコープを定義するクエリにはいくつかの上限があります。

• 属性値またはプロパティ値の文字列の長さ: 200
• グループのない場合またはグループ内の属性またはプロパティの数: 10
• グループの数: 10
• 高度なクエリの文字数: 10,000
• グループ内の属性またはプロパティのグループ化はサポートされていません。 つまり、単一のアダプティブ スコープでサポートされるプロパティまたは属性の最大数は 100 です。

アダプティブ スコープを構成する

アダプティブ スコープの使用を選択すると、必要なアダプティブ スコープの種類を選択するように求められます。 アダプティブ スコープには 3 つの異なる種類があり、それぞれが異なる属性またはプロパティをサポートしています。

^* 現在、 共有チャネル SharePoint サイト はアダプティブ スコープではサポートされていません。

サイトのプロパティ名は、SharePoint サイトで管理されているプロパティに基づいています。 カスタム属性の詳細については、「カスタム SharePoint サイトプロパティを使用した Adaptive Policy Scope sでの Microsoft 365保持の適用」を参照してください。

ユーザーとグループの属性名は、Microsoft Entra属性にマップされるフィルター可能な受信者プロパティに基づいています。 例:

• エイリアスは、Microsoft Entra管理センターでEmailとして表示される LDAP 名 mailNickname にマップされます。
• Emailアドレスは、Microsoft Entra管理センターでプロキシ アドレスとして表示される LDAP 名 proxyAddresses にマップされます。

表にリストされている属性とプロパティは、単純なクエリ ビルダーを使用してアダプティブ スコープを構成するときに簡単に指定できます。 次のセクションで説明するように、追加の属性とプロパティは高度なクエリ ビルダーでサポートされています。

アダプティブ スコープを構成する方法

アダプティブ スコープを構成する前に、前のセクションを使用して、作成するスコープの種類と使用する属性と値を特定します。 この情報を確認するには、他の管理者と協力する必要がある場合があります。

アダプティブ スコープを作成するには、管理者に正しいロール グループを割り当てる必要があります。 Scope Manager ロールを持つロール グループは、アダプティブ スコープを作成できます。 Scope Manger ロールは、次の組み込みロール グループに含まれています。

• コンプライアンス管理者
• コンプライアンス データ管理者
• 組織の管理
• レコード管理
• 通信コンプライアンス
• コミュニケーション コンプライアンス管理者

特に SharePoint サイトの場合、カスタム サイト プロパティを使用する場合は、追加の SharePoint 構成が必要になることがあります。

アダプティブ スコープを作成して構成するには、次の手順に従います。

1. Microsoft Purview ポータルにサインインします>設定>ロールとスコープ>アダプティブ スコープ。

2. [ アダプティブ スコープ ] ページで、[ + スコープの作成] を選択します。

3. 最初に管理単位の割り当てを求められる構成のプロンプトに従います。 アカウントに 管理単位が割り当てられている場合は、スコープ メンバーシップを制限する 1 つの管理単位を選択する必要があります。

   注:

   管理単位はまだ SharePoint サイトをサポートしていないため、管理単位を選択した場合、SharePoint サイトのアダプティブ スコープを作成することはできません。

   管理単位を使用してアダプティブ スコープを制限しない場合、またはorganizationが管理単位を構成していない場合は、既定の [完全ディレクトリ] のままにします。

4. スコープの種類を選択し、動的メンバーシップの構築に使用する属性またはプロパティを選択し、属性またはプロパティ値を入力します。

   たとえば、ヨーロッパのユーザーを識別するために使用するアダプティブ スコープを構成するには、まずスコープの種類として Users を選択します。 次に、Country または region 属性を選択し、Europe を入力します:

   

   1 日 1 回、このクエリは Microsoft Entra ID に対して実行され、Country 属性または region 属性のアカウントで Europe が指定された値を持つすべてのユーザーを特定します。

   重要

   クエリはすぐには実行されないため、値を正しく入力したかどうかの検証はできません。

   [属性の追加] (ユーザーとグループの場合) または [プロパティの追加] (サイトの場合) を選択して、スコープの種類でサポートされている属性またはプロパティの任意の組み合わせを使用し、論理演算子と共にクエリを構築します。 サポートされている演算子は、EQUAL、NOT EQUALSTART WITH および NOT STRT WITH で、選択した属性またはプロパティをグループ化できます。 例:

   

   または、[高度なクエリ ビルダー] を選択して、独自のクエリを指定することもできます。

   • ユーザー スコープと Microsoft 365 グループ スコープの場合: OPATH フィルター構文を使用します。 たとえば、部署、国/地域、および状態ごとにメンバーシップを定義するユーザー スコープを作成するには、次のようにします。

     

     これらの範囲に高度なクエリ ビルダーを使用する利点の 1 つは、クエリ演算子の選択肢が広いということです。

     • and
     • or
     • not
     • eq (等しい)
     • ne (等しくない)
     • lt (より小さい)
     • gt (より大きい)
     • like (文字列比較)
     • notlike (文字列比較)

   • SharePoint サイトスコープの場合: キーワード照会言語 (KeyQL) を使用します。 インデックス付きサイト プロパティを使用して SharePoint を検索するKeyQLの使用に既に慣れている場合があります。 これらのKeyQLクエリを指定するには、「キーワード照会言語 (KeyQL) 構文リファレンス」を参照してください。

     たとえば、SharePoint サイトスコープには、Microsoft 365 グループ接続サイトと OneDrive サイトを含むすべての SharePoint サイトの種類が自動的に含まれるため、インデックス付きサイト プロパティ SiteTemplate を使用して、特定のサイトの種類を含めたり除外したりできます。 指定できるテンプレート:

     • 最新のコミュニケーション サイトの SITEPAGEPUBLISHING
     • Microsoft 365 グループ接続サイトの GROUP
     • Microsoft Teams プライベート チャネル サイトの TEAMCHANNEL
     • 従来の SharePoint チーム サイトの STS
     • OneDrive サイトの SPSPERS

     そのため、最新の通信サイトのみを含み、Microsoft 365 goup-connected サイトと OneDrive サイトを除外するアダプティブ スコープを作成するには、次のKeyQL クエリを指定します。

     SiteTemplate=SITEPAGEPUBLISHING
     

     スコープ構成とは別に、これらの高度なクエリを検証できます。

     ヒント

     非アクティブなメールボックスを除外する場合は、高度なクエリ ビルダーを使用する必要があります。 または逆に、非アクティブなメールボックスのみをターゲットにします。 この構成では、OPATH プロパティ IsInactiveMailbox を使用します。

     • 非アクティブなメールボックスを除外するには、クエリに次のものが含まれていることを確認してください: (IsInactiveMailbox -eq "False")
     • 非アクティブなメールボックスのみをターゲットにするには、次のように指定します: (IsInactiveMailbox -eq "True")

5. 必要な数だけアダプティブ スコープを作成します。 ポリシーを作成するときに、1 つ以上のアダプティブ スコープを選択できます。

クエリが完全に設定されるまでに最大 5 日かかる場合があり、変更はすぐには行われません。 新しく作成したスコープをポリシーに追加する前に数日待つなど、この遅延を考慮してください。

高度なクエリを検証する

PowerShell と SharePoint 検索を使用して、高度なクエリを手動で検証できます:

• スコープの種類 Users と Microsoft 365 Groups には PowerShell を使います
• スコープの種類 SharePoint sites には SharePoint 検索を使います

PowerShell を使用してクエリを実行するには:

1. 適切な Exchange Online 管理者権限を持つアカウントを使用して Exchange Online PowerShell に接続します。

2. Get-Recipient、Get-Mailbox、または Get-User のいずれかを -Filter パラメーターと一緒に使用し、中括弧 ({、}) で囲まれたアダプティブ スコープの OPATH クエリ を使用します。 属性値が文字列の場合は、属性値を二重引用符または単一引用符で囲みます。

   クエリに選択した OPATH プロパティ でサポートされているコマンドレットを特定すると、検証用に Get-Mailbox、Get-Recipient、または Get-User のどれかの使用を決定できるようになります。

   重要

   Get-Mailbox は MailUser 受信者タイプをサポートしていないため、ハイブリッド環境でオンプレミスのメールボックスを含むクエリを検証するには、Get-Recipient または Get-User を使用する必要があります。

   User スコープを検証するには、適切なコマンドを使用します。

   • -RecipientTypeDetails UserMailbox,SharedMailbox,RoomMailbox,EquipmentMailbox を使用する Get-Mailbox
   • -RecipientTypeDetails UserMailbox,MailUser,SharedMailbox,RoomMailbox,EquipmentMailbox を使用する Get-Recipient

   Microsoft 365 グループ スコープを検証するには、次を使用します。

   • -GroupMailbox を使用する Get-Mailbox、または -RecipientTypeDetails GroupMailbox を使用する Get-Recipient

   たとえば、値 Marketing に設定された Department 属性に関連するユーザー スコープを検証するには、次を使用できます。

   Get-Recipient -RecipientTypeDetails UserMailbox,MailUser -Filter {Department -eq "Marketing"} -ResultSize Unlimited
   

   EmailAddresses 属性に関連するユーザー スコープを検証するには、通常、値に smtp: プレフィックスを含める必要があります。 たとえば、EmailAddresses にadmin@contoso.comが含まれているユーザーを除外するには、

   Get-Mailbox -RecipientTypeDetails UserMailbox -Filter {EmailAddresses -notlike "smtp:admin@contoso.com"} -ResultSize Unlimited
   

   値として Marketing に設定されているグループの CustomAttribute15 属性に関連する Microsoft 365 グループ スコープを検証するには、次を使用できます。

   Get-Mailbox -RecipientTypeDetails GroupMailbox -Filter {CustomAttribute15 -eq "Marketing"} -ResultSize Unlimited
   

   ヒント

   これらのコマンドを使用してユーザー スコープを検証する場合、返される受信者の数が予想より多いのは、アダプティブ スコープの有効なライセンスを持たないユーザーが含まれている可能性があるからです。 これらのユーザーにはポリシー設定が適用されません。

   たとえば、ハイブリッド環境では、オンプレミスまたは Exchange Online に Exchange メールボックスがなく、ライセンスのない同期ユーザー アカウントがあることがあります。 これらのユーザーを識別するには、次のコマンドを実行します: Get-User -RecipientTypeDetails User

3. 出力が、アダプティブ スコープの予想されるユーザーまたはグループと一致することを確認します。 そうでない場合は、クエリと、Microsoft Entra ID または Exchange に関連する管理者に値をチェックします。

   ヒント

   これらのコマンドからの出力は、[アダプティブ スコープ] ページのスコープの詳細内の同じフィルターのメンバー リストと一致しない場合があります。 スコープの詳細のメンバー リストには、スコープ内の調停メールボックスが表示されますが、コマンド出力は表示されません。 さらに、アダプティブ スコープ クエリの変更が有効になるまでに最大 5 日かかる場合があり、[アダプティブ スコープ] ページのスコープの詳細ビューに反映されます。

SharePoint 検索を使用してクエリを実行するには:

1. SharePoint 管理者ロールを持つアカウントを使用して、[ https://<your_tenant>.sharepoint.com/search] に移動します。
2. 検索バーを使用して、KeyQL クエリを指定します。
3. 検索結果が、アダプティブ スコープの想定されるサイト URL と一致することを確認します。 一致しない場合は、SharePoint の管理者にクエリと URL を確認します。

アダプティブ スコープ メンバーシップの詳細を表示する

Microsoft Purview でアダプティブ スコープのクエリを作成した後、スコープのメンバーの詳細を表示できます。

Microsoft Purview のアダプティブ スコープのメンバーの詳細ページにアクセスするには、次の手順を実行します。

1. [Microsoft Purview ポータルにサインインする](https://purview.microsoft.com、まだサインインしていない場合は 。

2. [設定>ロールとスコープ>Adaptive スコープ] を選択します。

3. 一覧から既存のアダプティブ スコープを選択します。

4. [ 詳細 ] ポップアップ ウィンドウで、[ スコープの詳細] を選択します。

5. スコープ メンバーの一覧が表示されます。 アダプティブ スコープ内のメンバーに対して [追加済み] を表示する一覧の [状態] 列を確認するか、メンバーが以前アダプティブ スコープに含まれているが、スコープ クエリと一致しなくなった場合は削除されます。

6. 必要に応じて、[ エクスポート] オプションを使用して、表示されているスコープ メンバーの一覧を CSV ファイルにダウンロードします。