Defender for Cloud Appsで管理者アクセスを構成する

Microsoft Defender for Cloud Appsでは、ロールベースのアクセス制御がサポートされます。 この記事では、管理者のDefender for Cloud Appsへのアクセスを設定する手順について説明します。 管理者ロールの割り当ての詳細については、Microsoft Entra IDと Microsoft 365 の記事を参照してください。

Defender for Cloud Apps にアクセスできる Microsoft 365 および Microsoft Entra ロール

注:

  • Microsoft 365 ロールとMicrosoft Entraロールは、[管理者アクセスの管理] ページDefender for Cloud Apps一覧に表示されません。 Microsoft 365 またはMicrosoft Entra IDでロールを割り当てるには、そのサービスに関連する RBAC 設定に移動します。
  • Defender for Cloud Appsでは、Microsoft Entra IDを使用して、ユーザーのディレクトリ レベルの非アクティブ タイムアウト設定を決定します。 ユーザーが非アクティブ時にサインアウトされないようにMicrosoft Entra IDで構成されている場合は、Defender for Cloud Appsでも同じ設定が適用されます。
  • Defender for Cloud Apps Information Protection有効化には、アプリケーション管理者やクラウド アプリケーション管理者などのMicrosoft Entra 管理 ID が必要です。 詳細については、「組み込みロールのMicrosoft Entra」と「Microsoft 365 環境を保護する」を参照してください。

注:

Microsoft Defender完全に統合された ID プラットフォームに移行するにつれて、一部のDefender for Cloud Apps データ パイプラインは分離されたままです。 DEFENDER FOR CLOUD APPS RBAC スコーピングでは、ID インベントリとまだ統合されていない個別のデータ パイプラインが使用されます。 ID インベントリで定義された相関関係は、Defender for Cloud Apps のスコープ設定には影響しません。 影響を受ける機能の完全な一覧については、「 ID インベントリ統合を有効にする」を参照してください。

既定では、次の Microsoft 365 および Microsoft Entra ID 管理者ロールは、Defender for Cloud Appsにアクセスできます。

ロール名 説明
セキュリティ管理者 フル アクセス権を持つ管理者は、Defender for Cloud Appsで完全なアクセス許可を持ちます。 管理者の追加、ポリシーと設定の追加、ログのアップロード、ガバナンス アクションの実行、SIEM エージェントへのアクセスと管理を行うことができます。
Cloud App Security管理者 Defender for Cloud Appsでのフル アクセスとアクセス許可を許可します。 このロールは、Microsoft Entra ID グローバル管理者 ロールなど、Defender for Cloud Appsに対する完全なアクセス許可を付与します。 ただし、このロールのスコープはDefender for Cloud Appsであり、他の Microsoft セキュリティ製品間で完全なアクセス許可を付与することはありません。
コンプライアンス管理者 読み取り専用アクセス許可があり、アラートを管理できる。 クラウド プラットフォームのセキュリティに関する推奨事項にアクセスできません。 ファイル ポリシーを作成および変更したり、ファイル ガバナンス アクションを許可したり、データ管理のすべての組み込みレポートを表示したりできます。
コンプライアンス データ管理者 読み取り専用のアクセス許可を持ち、ファイル ポリシーの作成と変更、ファイル ガバナンス アクションの許可、すべての検出レポートの表示を行うことができます。 クラウド プラットフォームのセキュリティに関する推奨事項にアクセスできません。
セキュリティ オペレーター 読み取り専用アクセス許可があり、アラートを管理できる。 これらの管理者は、次の操作を実行できないように制限されます。
  • ポリシーの作成、または既存のポリシーの編集と変更
  • すべてのガバナンス操作の実行
  • 検出ログのアップロード
  • Microsoft 以外のアプリの禁止または承認
  • IP アドレス範囲設定ページへのアクセスと表示
  • システム設定ページへのアクセスと表示
  • 検出設定へのアクセスと表示
  • [アプリ コネクタ] ページへのアクセスと表示
  • ガバナンス ログへのアクセスと表示
  • [スナップショット レポートの管理] ページへのアクセスと表示
セキュリティリーダー 読み取り専用のアクセス許可を持ち、API アクセス トークンを作成できます。 これらの管理者は、次の操作を実行できないように制限されます。
    ポリシーの作成、または既存のポリシーの編集と変更
  • すべてのガバナンス操作の実行
  • 検出ログのアップロード
  • Microsoft 以外のアプリの禁止または承認
  • IP アドレス範囲設定ページへのアクセスと表示
  • システム設定ページへのアクセスと表示
  • 検出設定へのアクセスと表示
  • [アプリ コネクタ] ページへのアクセスと表示
  • ガバナンス ログへのアクセスと表示
  • [スナップショット レポートの管理] ページへのアクセスと表示
グローバル閲覧者 Defender for Cloud Appsのすべての側面への完全な読み取り専用アクセス権を持っています。 設定を変更したり、アクションを実行したりすることはできません。

* Microsoft では、アクセス許可が最も少ないロールを使用することをお勧めします。 最小権限の役割を使うことで、組織のセキュリティ向上に役立ちます。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

注:

ほぼすべてのアプリ ガバナンス エクスペリエンスは、Microsoft Entra IDロールによってのみ制御されます。 唯一の例外は、 高度なハンティングの OAuthAppInfo テーブルです。 Defender for Cloud Appsの統合 RBAC アクセス許可は、この特定のテーブル内のアプリ ガバナンス データへのアクセス権を付与します。

Defender XDRの統合アラートとインシデント エクスペリエンスでは、アプリ ガバナンス データへのアクセスはMicrosoft Entra IDによってのみ制御されます。

アプリ ガバナンスのアクセス許可の詳細については、「 アプリ ガバナンス ロール」を参照してください。

ロールと権限

アクセス許可 グローバル
管理者		 セキュリティ
管理者		 コンプライアンス
管理者		 コンプライアンス
データ管理		 セキュリティ
オペレーター		 セキュリティ
Reader		 グローバル
Reader		 PBI 管理者 クラウド アプリ
セキュリティ管理者
アラートを読み取る ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
アラートの管理 ✔ ✔ ✔ ✔ ✔ ✔ ✔
OAuth アプリケーションの読み取り ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
OAuth アプリケーション アクションを実行する ✔ ✔ ✔ ✔
検出されたアプリ、クラウド アプリ カタログ、およびその他のクラウド検出データにアクセスする ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
API コネクタを構成する ✔ ✔ ✔ ✔
クラウド検出アクションを実行する ✔ ✔ ✔
ファイル データとファイル ポリシーにアクセスする ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
ファイル アクションを実行する ✔ ✔ ✔ ✔
アクセス ガバナンス ログ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
ガバナンス ログ アクションを実行する ✔ ✔ ✔ ✔
スコープ付き検出ガバナンス ログにアクセスする ✔ ✔ ✔
ポリシーを読む ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
すべてのポリシー アクションを実行する ✔ ✔ ✔ ✔
ファイル ポリシーアクションを実行する ✔ ✔ ✔ ✔ ✔
OAuth ポリシー アクションを実行する ✔ ✔ ✔ ✔
管理者アクセスの管理を表示する ✔ ✔ ✔ ✔ ✔ ✔ ✔ ✔
管理者とアクティビティのプライバシーを管理する ✔ ✔ ✔

Defender for Cloud Apps の組み込み管理者ロール

Microsoft Defender ポータルの [アクセス許可] > [Cloud Apps > ロール] 領域で、次の特定の管理者ロールを構成できます。

ロール名 説明
グローバル管理者 Microsoft Entra グローバル管理者ロールに似たフル アクセス権を持っていますが、Defender for Cloud Appsに対してのみアクセスできます。
コンプライアンス管理者 Microsoft Entraコンプライアンス管理者ロールと同じアクセス許可を付与しますが、Defender for Cloud Appsに対してのみ許可します。
セキュリティリーダー Microsoft Entra セキュリティ閲覧者ロールと同じアクセス許可を付与しますが、Defender for Cloud Appsに対してのみ許可します。
セキュリティ オペレーター Microsoft Entra Security オペレーター ロールと同じアクセス許可を付与しますが、Defender for Cloud Appsに対してのみ許可します。
アプリ/インスタンス管理者 選択したアプリの特定のアプリまたはインスタンスのみを扱うDefender for Cloud Apps内のすべてのデータに対する完全または読み取り専用のアクセス許可を持ちます。

たとえば、Box European インスタンスに対してユーザー管理者アクセス許可を付与します。 管理者は、ファイル、アクティビティ、ポリシー、動作、アラートなど、Box European インスタンスに関連するデータのみを表示します。
  • [アクティビティ] ページ - 特定のアプリに関するアクティビティのみ
  • Alerts/Behaviors - 特定のアプリにのみ関連します。 場合によっては、データが特定のアプリと関連付けられている場合に、別のアプリに関連するアラート/動作データ。 別のアプリに関連するアラート データの可視性は制限されており、詳細についてはドリルダウンするアクセス権がありません
  • ポリシー - すべてのポリシーを表示でき、完全なアクセス許可が割り当てられている場合は、アプリ/インスタンスのみを扱うポリシーのみを編集または作成できます
  • [アカウント] ページ - 特定のアプリ/インスタンスのアカウントのみ
  • アプリのアクセス許可 - 特定のアプリ/インスタンスに対するアクセス許可のみ
  • Files ページ - 特定のアプリ/インスタンスからのファイルのみ
  • 条件付きアクセス アプリの制御 - アクセス許可なし
  • クラウド検出アクティビティ - 権限なし
  • セキュリティ拡張機能 - ユーザーアクセス許可を持つ API トークンのアクセス許可のみ
  • ガバナンス アクション - 特定のアプリ/インスタンスに対してのみ
  • クラウド プラットフォームのセキュリティに関する推奨事項 - アクセス許可なし
  • IP 範囲 - アクセス許可なし
ユーザー グループ管理者 割り当てられた特定のグループのみを扱うDefender for Cloud Apps内のすべてのデータに対する完全または読み取り専用のアクセス許可を持ちます。 たとえば、グループ "Germany - all users" にユーザー管理者のアクセス許可を割り当てた場合、管理者はそのユーザー グループに対してのみDefender for Cloud Appsで情報を表示および編集できます。 ユーザー グループ管理者は、次のアクセス権を持っています。

  • [アクティビティ] ページ - グループ内のユーザーに関するアクティビティのみ
  • [アラート] - グループ内のユーザーに関連するアラートのみ。 場合によっては、データがグループ内のユーザーと関連付けられている場合は、別のユーザーに関連するアラート データが発生します。 別のユーザーに関連するアラート データの可視性は限られており、詳細についてはドリルダウンするアクセス権がありません。
  • ポリシー - すべてのポリシーを表示でき、割り当てられた完全なアクセス許可がある場合は、グループ内のユーザーのみを扱うポリシーのみを編集または作成できます
  • [アカウント] ページ - グループ内の特定のユーザーのアカウントのみ
  • アプリのアクセス許可 – アクセス許可なし
  • Files ページ – 権限がありません
  • 条件付きアクセス アプリの制御 - アクセス許可なし
  • クラウド検出アクティビティ - 権限なし
  • セキュリティ拡張機能 - グループ内のユーザーに対する API トークンのアクセス許可のみ
  • ガバナンス アクション - グループ内の特定のユーザーに対してのみ
  • クラウド プラットフォームのセキュリティに関する推奨事項 - アクセス許可なし
  • IP 範囲 - アクセス許可なし


注:
  • ユーザー グループ管理者にグループを割り当てるには、まず接続されているアプリから ユーザー グループをインポート する必要があります。
  • ユーザー グループ管理者のアクセス許可は、インポートされたMicrosoft Entra グループにのみ割り当てることができます。
Cloud Discovery グローバル管理者 すべてのクラウド検出設定とデータを表示および編集するためのアクセス許可を持ちます。 グローバル検出管理者は、次のアクセス権を持っています。

  • 設定: システム設定 - 表示のみ。Cloud Discovery の設定 - すべてを表示および編集します (匿名化のアクセス許可は、ロールの割り当て中に許可されたかどうかによって異なります)
  • クラウド検出アクティビティ - 完全なアクセス許可
  • アラート - 関連するクラウド検出レポートに関連するアラートのみを表示および管理する
  • ポリシー - すべてのポリシーを表示でき、クラウド検出ポリシーのみを編集または作成できます
  • [アクティビティ] ページ - アクセス許可なし
  • [アカウント] ページ - アクセス許可なし
  • アプリのアクセス許可 – アクセス許可なし
  • Files ページ – 権限がありません
  • 条件付きアクセス アプリの制御 - アクセス許可なし
  • セキュリティ拡張機能 - 独自の API トークンの作成と削除
  • ガバナンス アクション - Cloud Discovery 関連のアクションのみ
  • クラウド プラットフォームのセキュリティに関する推奨事項 - アクセス許可なし
  • IP 範囲 - アクセス許可なし
Cloud Discovery レポート管理者
  • 設定: システム設定 - 表示のみ。クラウド検出設定 - すべて表示 (匿名化のアクセス許可は、ロールの割り当て中に許可されたかどうかによって異なります)
  • クラウド検出アクティビティ - 読み取り権限のみ
  • アラート – 関連するクラウド検出レポートに関連するアラートのみを表示する
  • ポリシー - すべてのポリシーを表示でき、アプリケーション (タグ付け、承認、承認なし) を管理することなく、クラウド検出ポリシーのみを作成できます
  • [アクティビティ] ページ - アクセス許可なし
  • [アカウント] ページ - アクセス許可なし
  • アプリのアクセス許可 – アクセス許可なし
  • Files ページ – 権限がありません
  • 条件付きアクセス アプリの制御 - アクセス許可なし
  • セキュリティ拡張機能 - 独自の API トークンの作成と削除
  • ガバナンス アクション – 関連するクラウド検出レポートに関連するアクションのみを表示する
  • クラウド プラットフォームのセキュリティに関する推奨事項 - アクセス許可なし
  • IP 範囲 - アクセス許可なし

重要

Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 最小権限の役割を使うことで、組織のセキュリティ向上に役立ちます。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

組み込みのDefender for Cloud Apps管理者ロールは、Defender for Cloud Appsへのアクセス許可のみを提供します。

管理者のアクセス許可を上書きする

Microsoft Entra IDやMicrosoft 365ではユーザーの権限を上書きできます。 そのためには、ユーザーを手動でDefender for Cloud Appsに追加し、新しい権限を割り当ててください。

例えば、StephanieはMicrosoft Entra IDのセキュリティリーダーです。 Defender for Cloud Appsで彼女にフルアクセスを与えるには、手動で追加してフルアクセスを割り当ててください。 新しい役割は彼女の既存の権限を上書きします。

すでにフルアクセス権を持つMicrosoft Entraの役割(グローバル管理者、Security administrator、Cloud App Security administrator)は上書きできません。

管理者を追加する

Microsoft Entra管理ロールにユーザーを追加することなく、Defender for Cloud Appsに追加の管理者を追加できます。

前提条件

  • 管理者アクセス管理ページにアクセスするには、以下のいずれかのグループに所属している必要があります:グローバル管理者、セキュリティ管理者、コンプライアンス管理者、コンプライアンスデータ管理者、セキュリティオペレーター、セキュリティリーダー、またはグローバルリーダーズのいずれかのメンバーです。
  • [管理者アクセスの管理] ページを編集し、他のユーザーにDefender for Cloud Appsへのアクセス権を付与するには、少なくともセキュリティ管理者ロールが必要です。

重要

Microsoft では、アクセス許可が可能な限りで少ないロールを使用することをお勧めします。 最小権限の役割を使うことで、組織のセキュリティ向上に役立ちます。 グローバル管理者は高い特権を持つロールであり、既存のロールを使用できない場合の緊急時に限定する必要があります。

追加の管理者を追加するには、次の手順を実行します。

  1. Microsoft Defender ポータルの左側のメニューで、[アクセス許可] を選択します。

  2. Cloud Apps で、ロール を選択します。

    [アクセス許可] メニュー。

  3. [+ ユーザーの追加] を選択して、Defender for Cloud Appsへのアクセス権を持つ管理者を追加します。 組織内のユーザーのメール アドレスを入力してください。

    注:

    Defender for Cloud Appsの管理者として外部のマネージドセキュリティサービスプロバイダー(MSSP)を追加したい場合は、まずMSSPをゲストとして組織に招待してください。

    Defender for Cloud Appsに管理者を追加するための [ユーザーの追加] ダイアログを示すスクリーンショット。

  4. 次に、ドロップダウンを選択して、管理者が持つロールの種類を設定します。 [App/Instance admin]\(アプリ/インスタンス管理者\) を選択した場合は、管理者がアクセス許可を持つアプリとインスタンスを選択します。

    注:

    制限付きページへのアクセスまたは制限付きアクションの実行を試みるアクセス制限付き管理者は、ページにアクセスしたりアクションを実行したりするためのアクセス許可がないことを示すエラーを受け取ります。

  5. [ 管理者の追加] を選択します。

外部管理者を招待する

Defender for Cloud Appsを使用すると、外部管理者 (MSSP) をorganizationの (MSSP 顧客) Defender for Cloud Apps サービスの管理者として招待できます。 MSSPを追加するには、MSSPのテナントでDefender for Cloud Appsが有効になっていることを確認し、MSSPをMicrosoft Entra B2BコラボレーションユーザーとしてMSSPのAzureポータルに追加してください。 追加すると、MSSP を管理者として構成し、Defender for Cloud Appsで使用可能なすべてのロールを割り当てることができます。

MSSP カスタマーの Defender for Cloud Apps サービスに MSSP を追加するには

MSSPをMSSPの顧客向けDefender for Cloud Appsサービスに追加するには、以下の手順を踏みます。

  1. 「organization外のユーザーをディレクトリに追加する」の手順を使用して、MSSP を MSSP 顧客ディレクトリのorganizationの外部のユーザーとして追加します。
  2. Add additional admins の手順に従って、MSSP 顧客の Defender for Cloud Apps に MSSP を追加し、管理者ロールを割り当てます。 MSSP 顧客ディレクトリにゲストとして追加するときに使用されるのと同じ外部メール アドレスを指定します。

MSSP による MSSP 顧客の Defender for Cloud Apps サービスへのアクセス

既定では、マネージド セキュリティ サービス プロバイダー (MSP) は、次の URL を使用してDefender for Cloud Apps テナントにアクセスします: https://security.microsoft.com。

ただし、MSSP は、次の形式でテナント固有の URL を使用して MSSP カスタマー Microsoft Defender ポータルにアクセスする必要があります: https://security.microsoft.com/?tid=<tenant_id>。

MSSP カスタマー ポータルのテナント ID を取得し、テナント固有の URL にアクセスするには、次の手順を実行します。

  1. MSSP として、資格情報を使用してMicrosoft Entra IDにサインインします。
  2. ディレクトリを MSSP 顧客のテナントに切り替えます。
  3. Microsoft Entra ID>プロパティ を選択します。 MSSP 顧客テナント ID は、[ テナント ID ] フィールドにあります。
  4. 次の URL の <tenant_id> 値を置き換えて、MSSP カスタマー ポータルにアクセスします: https://security.microsoft.com/?tid=<tenant_id>。

管理 アクティビティの監査

Defender for Cloud Appsでは、管理者サインイン アクティビティのログと、調査の一環として実行された特定のユーザーまたはアラートのビューの監査をエクスポートできます。

ログをエクスポートするには、次の手順を実行します。

  1. Microsoft Defender ポータルの左側のメニューで、[アクセス許可] を選択します。

  2. Cloud Apps で、ロール を選択します。

  3. [管理ロール] ページの右上隅にある [管理者アクティビティのエクスポート] を選択します。

  4. 必要な時間範囲を指定します。

  5. [エクスポート] を選択します。

次の手順

クラウド検出を設定する

  • Last updated on