セキュリティ、コンプライアンス、ガバナンスを計画する

適用対象: コンプライアンス管理者

この記事を使用して、SharePoint Embedded に格納されているコンテンツのセキュリティ、コンプライアンス、ガバナンスを計画します。

SharePoint Embedded コンテンツは、使用しているテナントの Microsoft 365 境界に存在します。

サポートされているコンシューマー Microsoft 365 テナント設定と Microsoft Purview 機能は、そこに格納されているアプリ ドキュメントに適用されます。

ガバナンス モデル

SharePoint Embedded は API 専用であり、組み込みのエンド ユーザー インターフェイスを提供しません。

所有アプリケーションは、ユーザー エクスペリエンスを提供します。

コンプライアンス管理者と SharePoint Embedded 管理者は、Microsoft Purview、サポートされている管理機能、PowerShell を使用して、サポートされているポリシーをコンテナーとコンテンツに適用します。

一部のコンプライアンス シナリオでは、ユーザーの操作が必要です。 SharePoint Embedded にはネイティブ UI が含まれていないため、アプリは、これらのシナリオが必要な場合にエクスペリエンスを提供する必要があります。

テナントの責任

コンテンツは、使用しているテナントに格納されます。

そのため、テナント ポリシーと管理者の決定を使用すると、コンテンツが制御されます。

エンタープライズ LOB アプリの場合、エンタープライズ テナントはアプリを所有し、使用します。

ISV アプリの場合、各顧客テナントは独自の SharePoint Embedded コンテンツを管理します。

テナント ロールの計画については、「 アプリとテナントのアーキテクチャについて」を参照してください。

アプリケーションとコンテナーを検出する

コンプライアンス管理者は、ターゲット ポリシーにコンテナーの詳細が必要な場合があります。

この PowerShell 検出フローを使用して、ポリシー スコープのコンテナーの詳細を取得します。

  1. テナントに登録されている SharePoint Embedded アプリケーションを表示します。

    Get-SPOApplication

  2. アプリケーション ID を使用してアプリケーションのコンテナーを取得します。

    Get-SPOContainer -OwningApplicationId <OwningApplicationID>

  3. コンテナー サイト URL など、コンテナーの詳細を取得します。

    Get-SPOContainer -OwningApplicationId <ApplicationID> -Identity <ContainerID>

コマンドレットの詳細については、「 Get-SPOContainer」を参照してください。

Microsoft Purview のサポート

SharePoint Embedded では、プラットフォームに格納されているコンテンツに対する Microsoft Purview コンプライアンス機能がサポートされています。

SharePoint Embedded では、次の Microsoft Purview 機能がサポートされています。

  • 監査
  • 電子情報開示
  • データ ライフサイクル管理
  • データ損失防止

これらの機能は SharePoint コンテンツと同様に機能しますが、アプリでユーザー操作を提供する必要がある制限があります。

監査

監査機能は、SharePoint でサポートされている既存の監査機能をミラーします。

SharePoint Embedded でホストされているアプリケーションで実行されるユーザー操作と管理者操作は、organizationの統合監査ログにキャプチャ、記録、保持されます。

SharePoint Embedded に関連する監査イベントには、結果のフィルター処理に役立つ追加データが含まれます。

  • ContainerInstanceId
  • ContainerTypeId

これらのプロパティを使用して、監査検索中に SharePoint Embedded コンテンツを分離します。

詳細については、「Microsoft Purview のソリューションの監査」を参照してください。

電子情報開示

コンプライアンス管理者は、Microsoft Purview eDiscovery ツールを使用して、SharePoint Embedded コンテンツを検索、保持、エクスポートできます。

すべての SharePoint 埋め込みコンテンツを検索するには、すべての SharePoint サイトの電子情報開示検索を構成します。

これには、SharePoint サイトと SharePoint Embedded コンテナーが含まれます。

電子情報開示検索を特定のコンテナーに制限するには、SharePoint サイト ワークロードの下にあるサイトを選択し、コンテナーの URL を指定します。

詳細については、「Microsoft Purview eDiscovery ソリューション」を参照してください。

データ ライフサイクル管理

SharePoint Embedded では、Microsoft Purview コンプライアンス ポータルを通じて保持ポリシーと保持ポリシーがサポートされます。

すべての SharePoint サイトに対して構成された保持ポリシーは、SharePoint Embedded のすべての SharePoint サイトとすべてのコンテナーに適用されます。

1 つ以上の SharePoint Embedded コンテナーに対してポリシーを選択的に適用するには、ポリシーを構成するときにコンテナー URL を使用します。

SharePoint Embedded には組み込みの UI がないため、エンド ユーザーがアプリを通じて保持ラベルを適用するなど、ユーザー操作のシナリオではアプリのサポートが必要です。

詳細については、「Microsoft Purview データ ライフサイクル管理の詳細」を参照してください。

データ損失防止

Microsoft Purview データ損失防止は、SharePoint Embedded アプリケーションに格納されている機密アイテムを識別、監視、および自動的に保護できます。

DLP ポリシーは、すべてのサイトのポリシーを構成することで、すべての SharePoint サイトと SharePoint Embedded コンテナーに適用できます。

管理者は、コンテナー URL を指定することで、DLP の適用を特定の SharePoint Embedded コンテナーに制限することもできます。

一部の DLP シナリオでは、ユーザー操作が必要です。

たとえば、外部共有を禁止する DLP ポリシーでは、ビジネス上の正当な理由のオーバーライドが許可される場合があります。

シナリオが必要な場合は、クライアント アプリがユーザーの操作を提供する必要があります。

SharePoint Embedded ファイルのポリシーヒントには、該当する場合は Microsoft Graph によるアプリのサポートも必要です。

詳細については、「 データ損失防止の詳細」を参照してください。

秘密度ラベル

グローバル管理者と SharePoint 埋め込み管理者は、SharePoint PowerShell を使用して、SharePoint Embedded コンテナーの秘密度ラベルを設定および削除できます。

次のコマンドを使用します。

Set-SPOContainer -Identity <ContainerID/ContainerSiteURL> -SensitivityLabel <SensitivityLabelGUID>

ラベルは コンテナー レベルで適用されます。コンテナーの秘密度を設定し、条件付きアクセスやゲスト共有などのコンテナー設定を管理します。 コンテナーに既に存在するファイルはさかのぼって再ラベル付けされません。また、各ファイルには独自の秘密度ラベルが付けられます。 項目レベルのラベル付けの動作については、「 秘密度ラベルについて」を参照してください。

ダウンロード ポリシーをブロックする

SharePoint 管理者またはグローバル管理者は、SharePoint Embedded コンテナーからのファイルのダウンロードをブロックできます。

次のコマンドを使用します。

Set-SPOSite -Identity <ContainerSiteURL> -BlockDownloadPolicy $true

このポリシーを適用するには、SharePoint 高度な管理 ライセンスが必要です。

詳細については、「 SharePoint サイトと OneDrive のダウンロード ポリシーをブロックする」を参照してください。

条件付きアクセス

SharePoint Embedded では、基本的な条件付きアクセス ポリシー構成がサポートされています。

次のコマンドを使用します。

  • AllowFullAccess
  • AllowLimitedAccess
  • BlockAccess

これらの設定は、次の方法で使用できます。

Set-SPOContainer -Identity <ContainerSiteURL> -ConditionalAccessPolicy <SPOConditionalAccessPolicyType>

詳細については、「非管理対象デバイスからのアクセスを制御する」を参照してください。

情報バリア

fileStorageContainer リソースには、コンテナーの情報バリア (ベータ版 Microsoft Graph エンドポイント、2026 年 3 月) を管理できる informationBarrier プロパティがあります。 コンプライアンス ポリシーで必要な場合は、情報バリア セグメントを使用して、ユーザー グループ間の通信とコラボレーションを制限します。

詳細については、「 SharePoint の情報バリア」を参照してください。

テナントの設定

コンシューマー Microsoft 365 の設定は、SharePoint Embedded によって保存されたアプリ ドキュメントに適用されます。

これには、サポートされているセキュリティ、コンプライアンス、リスク、ガバナンス設定が含まれます。

アプリケーションでは、使用しているすべてのテナントが同じポリシー構成を持っているとは想定しないでください。

ポリシーの適用結果、ブロックされた操作、ユーザー向けのメッセージを設計します。

ガバナンスの責任

分野 アプリ所有者 テナント管理者の使用
ファイルのユーザー エクスペリエンス アプリ UI を指定します。 ポリシーの期待を検証します。
コンテナーの検出 必要に応じて識別子を公開します。 PowerShell と管理ツールを使用します。
Purview ポリシー ポリシー駆動型 UX 要件を処理します。 監査、電子情報開示、DLP、保持、ラベルを構成します。
アクセス モデル 最小特権を要求します。 同意を付与し、テナント設定を管理します。
コンプライアンスの証拠 アプリのコンテキストと監査性を維持します。 統合監査ログと Purview ツールを使用します。

計画チェックリスト

  • 使用しているテナント ガバナンス所有者を特定します。
  • SharePoint Embedded アプリケーションとコンテナーのインベントリ。
  • ターゲット ポリシーに必要なコンテナー URL をCaptureします。
  • ContainerInstanceIdとContainerTypeIdを使用して監査検索を計画します。
  • ポリシーがすべてのサイトまたは選択したコンテナーに適用されるかどうかを決定します。
  • アプリで DLP ユーザーの操作を計画します。
  • 必要に応じて、アプリの保持ラベルユーザー操作を計画します。
  • コンテナーに秘密度ラベルが必要かどうかを決定します。
  • ブロック ダウンロード ポリシーが必要かどうかを決定します。
  • 条件付きアクセス設定が必要かどうかを決定します。
  • 高度なポリシーのライセンス要件を検証します。

次の手順

スケール、調整、再試行の動作を確認する: 制限と呼び出しパターンについて説明します。

  • Last updated on