ロールのコピーでは上手くいかない？！各サービスを利用するために必要な最低限の権限とは？！

ロールのコピーでは上手くいかない？！ 各サービスを利用するために必要な 最低限の権限とは？！ 2025/07/05 Power Platform Administrator 勉強会 #04 じゅんじゅん

ロール

セキュリティロール

セキュリティロール って何だっけ…？

管理者 開発者 利用者

管理者 開発者 利用者 環境設定変更OK 開発OK アプリ実行OK 全テーブル読み書きOK 環境設定変更NG 開発OK アプリ実行OK 全テーブル読み書きOK 環境設定変更NG 開発NG アプリ実行OK 一部のテーブルだけ読み書きOK

管理者 開発者 利用者 環境設定変更OK 開発OK アプリ実行OK 全テーブル読み書きOK 環境設定変更NG 開発OK アプリ実行OK 全テーブル読み書きOK 環境設定変更NG 開発NG アプリ実行OK 一部のテーブルだけ読み書きOK これ。

セキュリティロールとは 環境内のすべてのデータやアプリ等へのアクセス権を ひとまとめにした権限のセット。 ユーザーの役割（ロール）に応じて用意する/されている。

ユーザPPAC > 環境 > （環境名） > 設定 > セキュリティ ロール > （ロール名）

今日の目的 セキュリティロールのカスタマイズ方法と 注意点を理解し、カスタマイズの要否を 判断できるようにする

スピーカー：自己紹介 じゅんじゅん と申します。 お仕事 Power Platform 運用管理方針策定支援 Power Platform システム開発（Apps、Automate、Pages、Dataverse） Power Platform 内製開発支援・トレーニング SNSなど X (Twitter)：@KodamaJn LinkedIn：Junichi-kodama 著書：Microsoft Power Apps入門 手を動かしてわかるローコード開発の考え方 ｜翔泳社 YouTube：@kodamachallenge

• https://twitter.com/KodamaJn
• https://www.linkedin.com/in/junichi-kodama/
• https://www.shoeisha.co.jp/book/detail/9784798173955
• https://www.youtube.com/@kodamachallenge

https://kodamachallenge.connpass.com/

• https://kodamachallenge.connpass.com/

セキュリティロールとは 環境内のすべてのデータやアプリ等へのアクセス権を ひとまとめにした権限のセット。 ユーザーの役割（ロール）に応じて用意する/されている。

定義済みのセキュリティロールが 用意されている、のです。 どんなのがあるの？

現在、81種類。 （2025/6/7時点） 1. AIB Roles 2. AIB SML Roles 3. App Deployment Orchestration Role 4. Approvals Administrator 5. Approvals User 6. Async ingestion 7. Basic User 8. BizQAApp 9. Bot Author 10. Bot Contributor 11. DataLakeFolderEntityContributor 12. DataLakeWorkspaceAppAccess 13. DataProcessingConfigTableAppAccess 14. Dataverse as a Cluster App Role 15. Dataverse Search Role 16. Deflection Service Role 17. Desktop Flows AI Application User 18. Desktop Flows Runtime Application User 19. EAC App Access 20. EAC Reader App Access 21. Environment Maker 22. Export Customizations (Solution Checker) 23. Fabric AISkills Role 24. Federated Knowledge Role 25. FileStoreService App Access 26. Flow-CDS Native Connector Role 27. Flow-RP Role 28. Global Active Metrics Monitoring Alerting Custom Role 29. Global Discovery Service Role 30. Help Page Author 31. Help Page Consumer 32. Insights Apps Platform Role 33. IntegratedSearchApp 34. Microsoft Copilot Administrator 35. Microsoft Copilot User 36. Non-Relational Data App Access 37. Office コラボレーター 73. デスクトップ フロー コンピューター アプリケーション 38. Omnichannel CDS Flush Role ユーザー 39. Portal Application User 74. デスクトップ フロー コンピューター ユーザー 40. Portal RP Service Role 75. デスクトップ フロー コンピューター ユーザー共有可能 41. Power Apps Checker Service Role 76. デスクトップ フロー コンピューター構成管理者 42. Power Automate AI Flows Application User 77. デスクトップ フロー コンピューター所有者 43. Power BI Embedded App Access 78. デスクトップ フロー モジュール開発者 44. Power Platform Dataflows Service Role 79. ナレッジ マネージャー 45. Power Policy App User Role 80. 代理メールボックス承認者 46. PowerAppsRPRole 81. 代理人 47. PowerPlatformDataAnalyticsRole 48. PowerPlatformInsightsRole 49. Process Mining アプリケーション 50. Process Mining ユーザー 51. Project Background Services App Role 52. PurviewLabelRole 53. Report Service Role 54. RPE Role 55. Solution Checker 56. SuggestedActionS2SRole 57. SupportUserCustomAPI Role 58. Sustainability all - full access Role 59. Sustainability all - ingest - full access Role 60. Sustainability BusinessUnit - full access Role 61. Sustainability BusinessUnit - ingest - full access Role 62. Synapse Link Service Access 63. System Customizer 64. Teams Chat Sync App Access 65. Tour Author 66. Tour Consumer 67. アプリ オープナー 68. サービス ライター 69. サービス リーダー 70. サービス削除 71. サポート ユーザー 72. システム管理者

現在、81種類。 （2025/6/7時点） 1. AIB Roles 2. AIB SML Roles 3. App Deployment Orchestration Role 4. Approvals Administrator 5. Approvals User 6. Async ingestion 7. Basic User 8. BizQAApp 9. Bot Author 10. Bot Contributor 11. DataLakeFolderEntityContributor 12. DataLakeWorkspaceAppAccess 13. DataProcessingConfigTableAppAccess 14. Dataverse as a Cluster App Role 15. Dataverse Search Role 16. Deflection Service Role 17. Desktop Flows AI Application User 18. Desktop Flows Runtime Application User 19. EAC App Access 20. EAC Reader App Access 21. Environment Maker 22. Export Customizations (Solution Checker) 23. Fabric AISkills Role 24. Federated Knowledge Role 25. FileStoreService App Access 26. Flow-CDS Native Connector Role 27. Flow-RP Role 28. Global Active Metrics Monitoring Alerting Custom Role 29. Global Discovery Service Role 30. Help Page Author 31. Help Page Consumer 32. Insights Apps Platform Role 33. IntegratedSearchApp 34. Microsoft Copilot Administrator 35. Microsoft Copilot User 36. Non-Relational Data App Access 37. Office コラボレーター 73. デスクトップ フロー コンピューター アプリケーション 38. Omnichannel CDS Flush Role ユーザー 39. Portal Application User 74. デスクトップ フロー コンピューター ユーザー 40. Portal RP Service Role 75. デスクトップ フロー コンピューター ユーザー共有可能 41. Power Apps Checker Service Role 76. デスクトップ フロー コンピューター構成管理者 42. Power Automate AI Flows Application User 77. デスクトップ フロー コンピューター所有者 43. Power BI Embedded App Access 78. デスクトップ フロー モジュール開発者 44. Power Platform Dataflows Service Role 79. ナレッジ マネージャー 45. Power Policy App User Role 80. 代理メールボックス承認者 46. PowerAppsRPRole 81. 代理人 47. PowerPlatformDataAnalyticsRole 48. PowerPlatformInsightsRole 49. Process Mining アプリケーション 50. Process Mining ユーザー 51. Project Background Services App Role 52. PurviewLabelRole 53. Report Service Role 54. RPE Role 55. Solution Checker 56. SuggestedActionS2SRole 57. SupportUserCustomAPI Role 58. Sustainability all - full access Role 59. Sustainability all - ingest - full access Role 60. Sustainability BusinessUnit - full access Role 61. Sustainability BusinessUnit - ingest - full access Role 62. Synapse Link Service Access 63. System Customizer 64. Teams Chat Sync App Access 65. Tour Author 66. Tour Consumer 67. アプリ オープナー 68. サービス ライター 69. サービス リーダー 70. サービス削除 71. サポート ユーザー 72. システム管理者

よく利用される定義済みのセキュリティロール 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User） 参考：ロールベースのセキュリティロール - Power Platform | Microsoft Learn https://learn.microsoft.com/ja-jp/power-platform/admin/database-security

• https://learn.microsoft.com/ja-jp/power-platform/admin/database-security

よく利用される定義済みのセキュリティロール 我、最強。 テーブル作成も できるにゃー アプリ/フローは 作れるよ 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） アプリ/フローを 使わせてください！ 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User） 参考：ロールベースのセキュリティロール - Power Platform | Microsoft Learn https://learn.microsoft.com/ja-jp/power-platform/admin/database-security

• https://learn.microsoft.com/ja-jp/power-platform/admin/database-security

定義済みのセキュリティロールの ポイントいろいろ （すべて小玉調べ。2025/6/7時点）

ロールがなくてもキャンバスアプリやクラウドフローを 共有されれば実行できる。 環境とセキュリティグループを 紐づけ、不要なユーザーを環境 に登録させないことが重要 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User）

ロールなし / Basic Userのみの場合、 Power Appsでは該当環境が出てこないが、 Power Automateでは出てきたりする。 ただし何も作れないので 問題はない 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User）

Basic UserやEnvironment Makerロールで CRUDできる標準テーブルがそれなりにある。 Basic User：126テーブル Environment Maker ：221テーブル 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） アクセスレベルはテーブルそれぞれで 異なるため、要件を満たすかは 確認が必要 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User）

直接カスタマイズできるロールとできないロールがある。 カスタマイズできないロールを カスタマイズしたい場合は ロールをコピーする × ○ × 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） × 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User）

カスタムテーブルを追加した際、システム管理者とSystem Customizerは自動でカスタムテーブルへのフルアクセス 権が付与される アプリ利用者には別途 カスタムテーブルへの アクセス権付与が必要 環境管理者/ システム管理者 システム カスタマイザ （Environment Admin/ System Administrator） （System Customizer） 環境メーカー （Environment Maker） ベーシック ユーザー （Basic User）

色々な特徴があって 面白いね！ (# ﾟДﾟ) < ﾜｶﾙｶｺﾞﾙｧ!!!

セキュリティロールを全部 把握するなんて無理ですよ （いつぞやの勉強会にて）

セキュリティロールの カスタマイズ

時にカスタマイズが必要になるケースが存在する その１：付与権限を増やしたい。 実行者にカスタムテーブルへの アクセス権を付与したい 変更不可 ベーシック ユーザー （Basic User）

新しいロールを作成し、追加で割り当てる。 実行者にカスタムテーブルへの アクセス権を付与したい カスタムテーブルへの アクセス権あり 変更不可 あたらしい ロール ベーシック ユーザー （Basic User）

時にカスタマイズが必要になるケースが存在する その2：付与権限を減らしたい。 Environment Makerに Dataverseを触らせたくない 変更不可 221テーブルに アクセス可能 環境メーカー （Environment Maker）

定義済みのロールをコピーし、権限を減らして割り当てて みる。 Environment Makerに Dataverseを触らせたくない 変更可 変更不可 環境メーカー のコピー アクセス可能な テーブルを削減 221テーブルに アクセス可能 環境メーカー （Environment Maker）

実際に起こったこと

キャンバスアプリが作れなくなった。 ※定義済みのロールをコピーしたのみで内容を変更しなくても同様の事象が発生する。 キャンバスアプリの作成権限って これじゃないんかい！！

この事象が意味していること

権限というのはセキュリティロール内の設定だけでなく、 定義済みのセキュリティロール”そのもの”にも存在する?! コピーしただけなら お前と同じだろ！ 兄弟！ 環境メーカー のコピー ふっ。俺じゃなきゃ ダメなこともあるんだよ 環境メーカー （Environment Maker）

真相は闇の中…

まとめ

セキュリティロールには特殊な挙動が含まれるため、 カスタマイズする際は入念な検証を。 というか、なるべくカスタマイズは避けましょう。 これで何度お客様に 頭を下げたことか…

様々な機能を楽しく学び、 楽しいPower Platform Lifeを！

ご清聴ありがとうございました。