Microsoft 365 Copilot API のセキュリティと認証

Microsoft 365 Copilot API は、他の Microsoft Graph API と同じ認証および承認モデルを使用します。 カスタム エンジン エージェントを構築するか、Copilot 機能を独自のアプリケーションに統合すると、organizationの既存のセキュリティ制御が既定で適用されます。 API の上に個別のコンプライアンス層またはアクセス制御レイヤーを構築する必要はありません。

この記事を読んだ後、Copilot API が要求を認証する方法、どの組織ポリシーが自動的に適用されるか、セキュリティで保護された接地が Microsoft 365 ナレッジ インデックスとどのように連携するかを理解します。

Microsoft Entra IDによる認証

各 Copilot API がサポートするアクセス許可の種類は API によって異なるため、呼び出す特定の API のリファレンス ドキュメントをチェックします。 たとえば、 取得 API では、委任されたアクセス許可のみがサポートされます。 委任されたアクセス許可を使用すると、Microsoft Entra IDは呼び出し元のアプリケーションとサインインしているユーザーの両方を認証し、API はすべての要求にサインインユーザーのアクセス許可を適用します。

API は、Microsoft Graph 名前空間の標準 REST エンドポイントとして使用できます。

  • https://graph.microsoft.com/v1.0/copilot
  • https://graph.microsoft.com/beta/copilot

Copilot API は他の Microsoft Graph API と同じ認証フローに従うため、使い慣れたライブラリとパターンを使用してトークンを取得し、エンドポイントを呼び出すことができます。

認証トークンを取得してアプリケーションを承認する方法の詳細については、「 Microsoft Graph の認証と承認の基本」を参照してください。

既定で適用される組織ポリシー

アプリケーションが Copilot API を呼び出すと、organizationの既存のポリシーが要求に自動的に適用されます。 開発者として追加の適用を構成する必要はありません。

ID と条件付きアクセス

Copilot API は Microsoft Graph エンドポイントであるため、organizationで既に構成されている条件付きアクセス ポリシーは、Copilot API 要求に自動的に適用されます。 Organizationで Microsoft 365 リソースへのアクセスに多要素認証、デバイス コンプライアンス、または場所ベースの制限が必要な場合、これらの要件は、ユーザーがアプリケーションを介して Copilot API と対話するときにも適用されます。

秘密度ラベル

Microsoft 365 コンテンツに適用される秘密度ラベルは、Copilot API がそのコンテンツにアクセスするときに尊重されます。 ドキュメント、電子メール、またはその他のアイテムに、アクセスを制限したり暗号化を適用したりする秘密度ラベルがある場合、API はこれらの制限を受け入れ、ラベルの保護設定にのみ従ってコンテンツを返します。 詳細については、「MICROSOFT 365 COPILOT API の概要と秘密度ラベル」を参照してください。

アクセス許可のトリミング

API の結果は、サインインしているユーザーがアクセス許可を持つコンテンツのみにトリミングされます。 ユーザーがファイル、会議のトランスクリプト、またはその他のリソースにアクセスできない場合、コンテンツが要求に関連している場合でも、そのコンテンツは API 応答に表示されません。 この動作は、Microsoft Graph 全体のアクセス許可のしくみと一致します。 詳細については、「Microsoft 365 Copilot API の概要」を参照してください。

Microsoft 365 ナレッジ インデックスを使用した安全な接地

Copilot API が Microsoft 365 ナレッジ インデックスにアクセスして組織データの地上応答にアクセスすると、そのアクセスは既定でセキュリティで保護されます。 ナレッジ インデックスは、プラットフォーム内の他の場所で Microsoft 365 コンテンツを保護するのと同じガバナンス、コンプライアンス、監査、ログ記録、監視、ポリシー適用の制御を継承します。

つまり、アプリケーションは、Copilot API を使用して組織の知識を取得または推論する際に、エンタープライズ レベルのセキュリティの恩恵を受けます。これらのコントロールを独自のインフラストラクチャでレプリケートする必要はありません。 詳細については、「Microsoft 365 Copilot API の概要」を参照してください。

コンプライアンス、監査、ログ記録

コンプライアンス制御、監査ログ、監視は、Copilot API の相互作用に適用されます。 これらの制御は、organizationが規制要件を満たし、AI 機能がどのように使用されているかを把握するのに役立ちます。 Copilot と AI の対話の監査ログは、 Microsoft Purview から入手できます。

ガバナンス制御、データ損失防止、アイテム保持ポリシー、エージェントの管理者設定の詳細については、「データ、プライバシー、およびセキュリティのMicrosoft 365 Copilot拡張」を参照してください。

関連コンテンツ

  • Last updated on