Power Platform 管理について学んでみた

Power Platform 管理 ふらり@ROBO BOY 管理について学んでみた 環境とかセキュリティロールとか Power Platform Administrator 勉強会 #01 2024/07/21

ふらり @ ROBO BOY Community : ふらっと純喫茶 、気ままに勉強会 X : https://twitter.com/flali_world Blog : https://flali.hatenablog.com/ Docswell : https://www.docswell.com/user/fworlddocs @flali_world 2

• https://flali.connpass.com/
• https://kimamani.connpass.com/
• https://twitter.com/flali_world
• https://flali.hatenablog.com/
• https://www.docswell.com/user/fworlddocs

はじめに 本資料に掲載されている内容は、 いつか人になりたいと思っている の空想上の出来事です。 内容間違っていたらごめんなさい。 @flali_world 3

Power Platform 管理をはじめたかったら… ライセンスを買う これがないとなんもできん @flali_world 4

あじぇんだ 1. 環境アクセス権とセキュリティロール 2. Microsoft Entra ID の管理者 3. チーム 4. 感謝 5. さいごに @flali_world 5

Microsoft Power Platform Power BI Power Apps Power Automate Power Pages Copilot Studio Business analytics Application development Workflow automation Business website Intelligent Copilots • Canvas Apps • Model-driven Apps Power Fx Managed Environment • Cloud Flows & Teams Flows • Business Process Flows • Desktop Flows Microsoft Dataverse Data Connecters AI Builder @flali_world 6

Microsoft Power Platform Power BI Power Apps Power Automate Power Pages Copilot Studio Business analytics Application development Workflow automation Business website Intelligent Copilots • Canvas Apps • Model-driven Apps Power Fx Managed Environment • Cloud Flows & Teams Flows • Business Process Flows • Desktop Flows Microsoft Dataverse Data Connecters AI Builder @flali_world 7

Microsoft Dataverse の機能(一部) Power Apps テーブル Power Automate テーブル 標準 アクティビティ 仮想 エラスティック データモデル ビュー Microsoft 365 フォーム Microsoft Entra ID Common Data Model ソリューション 一覧表示/編集 認証/認可 セキュリテグループ(環境アクセス許可) 検索 検索 グループ 認証・認可 データストアアクセス権 ユーザー ロール チーム キャパシティ SharePoint リスト カスタムフォーム データベース容量 承認アクションの情報 ファイル容量 Microsoft Dataverse デスクトップフロー ログ容量 データ取込み 環境 ログ ポリシー 作業キュー 画像 ファイル Dataflows 外部連携 API Webhook Dataverse のドキュメント - Power Apps | Microsoft Learn @flali_world 8

• https://learn.microsoft.com/ja-jp/power-apps/maker/data-platform/

Microsoft Dataverse の機能(一部) Power Apps テーブル Power Automate テーブル 標準 アクティビティ 仮想 エラスティック データモデル ビュー Microsoft 365 フォーム Microsoft Entra ID Common Data Model ソリューション 一覧表示/編集 認証/認可 セキュリテグループ(環境アクセス許可) 検索 検索 グループ 認証・認可 データストアアクセス権 ユーザー ロール チーム キャパシティ SharePoint リスト カスタムフォーム データベース容量 承認アクションの情報 ファイル容量 Microsoft Dataverse デスクトップフロー ログ容量 データ取込み 環境 ログ ポリシー 作業キュー 画像 ファイル Dataflows 外部連携 API Webhook Dataverse のドキュメント - Power Apps | Microsoft Learn @flali_world 9

• https://learn.microsoft.com/ja-jp/power-apps/maker/data-platform/

ライセンスと 環境のセキュリティグループ 環境へのアクセス

市民開発をはじめる前に考慮してほしいこと 自社のポリシーとして市民開発でどこまでやるのか（やらせていいのか）はよく検討しましょう。 また、根幹にある「業務」を軸に考えると検討しやすいです。 できれば、プロ開発ってなにしているかということも学ぶとなおよいです。 1. プロ開発ではない、市民開発としてどこまでやるのか？ • 要件定義、設計、開発、テスト、ドキュメント作成、運用、改修、寿命 • どこまでやるのか？どのレベルでやるのか？ 2. アプリやフローの責任はどこが持つのか？ 3. 開発の基礎となる環境はどのように構成するのが良いのか？ 4. 環境のアクセス許可はどのように構成するのか？ 5. ガバナンス（DLPや情報取り扱い、セキュリティ要件など）を満たすのか？ @flali_world 11

環境いろいろ… 環境いろいろありますが、今日は環境へのアクセス権と環境ごとにテーブルやリソース、設定な どの権限制御ができるセキュリティロールの話 既定の環境 実稼働 ユーザー セキュリティロール サンドボックス ユーザー チーム セキュリティロール ユーザー チーム 取引先企業 担当者 テーブル チーム 取引先企業 リソース 詳細設定 特別な運用環境。自動で作成される。 担当者 テーブル 取引先企業 リソース 詳細設定 開発者 ユーザー セキュリティロール リソース 詳細設定 コピーやリセットが可能な非運用環境。 Dataverse for Teams ユーザー チーム 担当者 テーブル 運用で利用する環境。 開発や利用目的、管理などを考慮し、複数に分けたりする。 試用版 セキュリティロール セキュリティロール ユーザー 所有者 メンバー ゲスト チーム 取引先企業 担当者 テーブル 取引先企業 リソース 詳細設定 短期間でのテストを目的とした環境。30日で削除される。 担当者 テーブル 取引先テーブル リソース 詳細設定 開発者プランライセンスがあると作成できる環境。 開発目的にのみ利用できる。 テーブル リソース 簡易設定 Teamsに紐づく環境。（環境というよりソリューションに近い） Power Platform 環境の概要 - Power Platform | Microsoft Learn @flali_world 12

• https://learn.microsoft.com/ja-jp/power-platform/admin/environments-overview

環境アクセスの全体像 ざっくりこんな感じ… Microsoft Entra テナント Microsoft Entra Power Platform Dataverse セキュリティグループ A 環境A (実稼働) ライセンス ユーザー ユーザーA セキュリティロール ユーザー チーム ユーザーB セキュリティグループ B 環境の セキュリティG なし 取引先企業 担当者 テーブル リソース 詳細設定 環境B (実稼働) セキュリティロール ユーザー ユーザー ユーザーC チーム ユーザーD 環境の セキュリティG B 取引先企業 担当者 テーブル リソース 詳細設定 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 13

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

ユーザーにライセンスがあるかないか ユーザーにPremiumライセンスがないと環境へアクセスできません。（既定の環境を除く） また、ユーザーにセキュリティロールが割り当てがないと環境へアクセスできません。 Microsoft Entra テナント Microsoft Entra Power Platform Dataverse セキュリティグループ A 環境A (実稼働) ライセンス ユーザー ユーザーA セキュリティロール ユーザー チーム ユーザーB セキュリティグループ B 環境の セキュリティG なし 取引先企業 担当者 テーブル リソース 詳細設定 環境B (実稼働) セキュリティロール ユーザー ユーザー ユーザーC チーム ユーザーD 環境の セキュリティG B 取引先企業 担当者 テーブル リソース 詳細設定 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 14

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

環境にセキュリティグループが割り当てられてない場合 ライセンスを保有しているユーザーは環境に登録されますが、セキュリティロールが割り当たる まで環境にアクセスできません。（ライセンスがないとユーザー登録ができません、たぶん…） 稀に グローバル管理者、 Power Platform 管理者、 Dynamics 365 管理者ではない ライセンスのない ユーザーが割り当たります… 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 15

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

ユーザー追加時のライセンスチェックの動作 現時点ライセンスチェックの挙動が変… 資料作成(2024/6)時点では、Microsoft 365 のサブスクリプションではライセンスチェックがエ ラーとなったのですが、登壇時(2024/07)ではMicrosoft 365 でもチェックが通ります…謎 2024年6月 2024年7月 ユーザーの作成 - Power Platform | Microsoft Learn ライセンスの割り当て - Power Platform | Microsoft Learn @flali_world 16

• https://learn.microsoft.com/ja-jp/power-platform/admin/create-users?WT.mc_id=ppac_inproduct_settings#add-a-license-to-a-user-account
• https://learn.microsoft.com/ja-jp/power-platform/admin/assign-licenses

セキュリティロール リソースへのアクセス Basic User 環境作成者 環境管理者 システム管理者 Basic User Environment Maker Environment Admin System Administrator 環境へのアクセス △ ○ ○ ○ キャンバスアプリ - ○ ○ モデル駆動型アプリ - ○ ○ クラウドフロー - ○ ○ ○ デスクトップフロー - ○ - ○ コネクタ - ○ ○ ○ データゲートウェイ - ○ ○ ○ データフロー - ○ ○ ○ 自分の作成のみ - - ○ つながり(接続) - ○ ○ ○ ソリューション - ○ - ○ AI Builder - ○ - ○ 環境の詳細設定 - - ○ ○ PP管理センターの操作 - Dataverse テーブル 詳細設定 Dataverse へのアクセス 環境内でのユーザー セキュリティの構成 - Power Platform | Microsoft Learn 自分が作成した環境のみ 自分が作成した環境のみ ○ データ作成 自分のデータのみ - テーブルなし ○ データ更新 自分のデータのみ - テーブルなし ○ データ参照 自分のデータのみ - テーブルなし ○ データ削除 自分のデータのみ - テーブルなし ○ テーブルの作成・編集 自分のデータのみ - テーブルなし ○ @flali_world 17

• https://learn.microsoft.com/ja-jp/power-platform/admin/database-security#environments-with-a-dataverse-database

環境のセキュリティグループ 環境のセキュリティグループが設定されている場合、環境のセキュリティグループメンバーじゃ ないと環境へアクセスできません。 Microsoft Entra テナント Microsoft Entra Power Platform Dataverse セキュリティグループ A 環境A (実稼働) ライセンス ユーザー ユーザーA セキュリティロール ユーザー チーム ユーザーB セキュリティグループ B 環境の セキュリティG なし 取引先企業 担当者 テーブル リソース 詳細設定 環境B (実稼働) セキュリティロール ユーザー ユーザー ユーザーC チーム ユーザーD 環境の セキュリティG B 取引先企業 担当者 テーブル リソース 詳細設定 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 18

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

環境にセキュリティグループが割り当てられている場合 対象のセキュリティグループのメンバーでライセンスを付与されたメンバーのみが環境のユー ザーに登録されます。 稀に グローバル管理者、 Power Platform 管理者、 Dynamics 365 管理者ではない ライセンスのない ユーザーが割り当たります… 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 19

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

環境のセキュリティグループ Power Platform 管理センター(https://aka.ms/ppac)にアクセスし、環境からアクセス権を変 更したい環境を開きます。 編集メニューからセキュリティグループの✎ボタンを押してセキュリティグループを設定します。 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 20

• https://aka.ms/ppac
• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

既定の環境と開発者環境には設定できない 環境のセキュリティグループの設定は既定の環境と開発者環境には設定できません。 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 21

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

セキュリティロール テーブルとリソースと詳細設定への アクセス権

セキュリティロール セキュリティロールは環境のテーブルへのアクセス権、リソースの作成や編集権限、詳細設定の 権限などを設定できます。標準で多くのセキュリティロールが用意されています。 Microsoft Entra テナント Microsoft Entra Power Platform Dataverse セキュリティグループ A 環境A (実稼働) ライセンス ユーザー ユーザーA セキュリティロール ユーザー チーム ユーザーB セキュリティグループ B 環境の セキュリティG なし 取引先企業 担当者 テーブル リソース 詳細設定 環境B (実稼働) セキュリティロール ユーザー ユーザー ユーザーC チーム ユーザーD 環境の セキュリティG B 取引先企業 担当者 テーブル リソース 詳細設定 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 23

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

セキュリティロールはテーブルありかなしかで変わる Dataverse のテーブル(データベース)がないか、あるかでセキュリティロールが変わります。 Dataverse テーブルなし Dataverse テーブルあり @flali_world 24

環境セキュリティロール Dataverse のテーブル(データベース)がないか、あるかでセキュリティロールが変わります。 環境セキュリティロール 環境 及び データストア のセキュリティロール リソース アプリ リソース アクセス許可 内容 所有者 アプリ・フローの作成者 編集や削除、共有が可能 共同所有者 共有されたアプリ・フロー の編集や共有が可能 ユーザー フローやアプリの実行可能 フロー コネクタ アプリ アクセス許可 内容 所有者 アプリ・フローの作成者 編集や削除、共有が可能 共同所有者 共有されたアプリ・フロー の編集や共有が可能 ユーザー フローやアプリの実行可能 フロー コネクタ 環境管理者 Dataverse(テーブル)なし 環境作成者 環境管理者 ロールは、以下を含む環境ですべての管理アクションを実行できます • 環境管理者ロールまたは環境作成者ロールでユーザーまたはグループを追加ま たは削除する。 • 環境用の Dataverse データベースをプロビジョニングする。 • 環境内で作成されたすべてのリソースを表示し、管理する。 • データ損失防止ポリシーを設定する。 詳細: データ損失防止ポリシーの管理 • 環境でデータベースを作成した後、環境管理者ロールの代わりに、システム管 理者ロールを使用できます。 環境作成者 ロールは、Power Automate を使用して、アプリ、接続、カスタム コネクタ、フローなどのリソースを環境内に作成できます。 Power Platform 環境の概要 - Power Platform | Microsoft Learn Dataverse(テーブル)あり システム管理者 代理人 環境作成者 Dynamics 365 管理者 Basicユーザー サポート ユーザー アプリ オープナー Office コラボレーター システム カスタマイザー グローバル管理者 サービス削除 グローバル閲覧者 サービス リーダー Web サイト アプリ所有者 サービス ライター Web サイト所有者 環境内でのユーザー セキュリティの構成 - Power Platform | Microsoft Learn @flali_world 25

• https://learn.microsoft.com/ja-jp/power-platform/admin/prevent-data-loss
• https://learn.microsoft.com/ja-jp/power-platform/admin/environments-overview#power-platform-environment-roles
• https://learn.microsoft.com/ja-jp/power-platform/admin/database-security#environments-with-a-dataverse-database

テーブルがないとDataverseの機能が利用できません… Dataverse の機能を利用して動作している機能はテーブルがないと動作できません。 既定の環境などで、承認やデスクトップフローを初めて利用すると自動的にテーブルが作成され ます。（テーブルですべてを管理していると言っても過言ではない） 既定の ソリューション ソリューション 承認 デスクトップ フロー 作業キュー Preview 既定の ソリューション ソリューション 承認 デスクトップ フロー 作業キュー Preview 環境管理者 テーブルが必要 環境作成者 Dataverse(テーブル)なし Dataverse(テーブル)あり テーブルがないと基本使えない… データベース容量 ファイル容量 キャパシティ ログ容量 適切なキャパシティに自動振り分け データベース容量 ファイル容量 ログ容量 キャパシティ Power Automate 承認を使用する - Power Automate | Microsoft Learn Microsoft Dataverse データベースを作成する - Power Automate | Microsoft Learn Power Automate v2 スキーマ - Power Automate | Microsoft Learn @flali_world 26

• https://learn.microsoft.com/ja-jp/power-automate/get-started-approvals#permissions-to-create-a-dataverse-database
• https://learn.microsoft.com/ja-jp/power-automate/desktop-flows/create-database
• https://learn.microsoft.com/ja-jp/power-automate/desktop-flows/schema

セキュリティロール 環境のアクセスメニューにあるセキュリティロールから現在のセキュリティロールの確認と複製 や編集が行えます。標準で多くのセキュリティロールが用意されています。 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 27

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

よく使うセキュリティロール リソースへのアクセス Basic User 環境作成者 環境管理者 システム管理者 Basic User Environment Maker Environment Admin System Administrator 環境へのアクセス △ ○ ○ ○ キャンバスアプリ - ○ ○ モデル駆動型アプリ - ○ ○ クラウドフロー - ○ ○ ○ デスクトップフロー - ○ - ○ コネクタ - ○ ○ ○ データゲートウェイ - ○ ○ ○ データフロー - ○ ○ ○ 自分の作成のみ - - ○ つながり(接続) - ○ ○ ○ ソリューション - ○ - ○ AI Builder - ○ - ○ 環境の詳細設定 - - ○ ○ PP管理センターの操作 - Dataverse テーブル 詳細設定 Dataverse へのアクセス 環境内でのユーザー セキュリティの構成 - Power Platform | Microsoft Learn Power Platformのセキュリティロールについて #PowerAutomate - Qiita 自分が作成した環境のみ 自分が作成した環境のみ ○ データ作成 自分のデータのみ - テーブルなし ○ データ更新 自分のデータのみ - テーブルなし ○ データ参照 自分のデータのみ - テーブルなし ○ データ削除 自分のデータのみ - テーブルなし ○ テーブルの作成・編集 自分のデータのみ - テーブルなし ○ @flali_world 28

• https://learn.microsoft.com/ja-jp/power-platform/admin/database-security#environments-with-a-dataverse-database
• https://qiita.com/skuramoto/items/fe305aac24273c7cccbf

セキュリティロール/特権 権限 権限(英語) 説明 作成 Create テーブルの新しいレコードを作成できる 読み込み Read テーブルのレコードの内容を表示できる 書き込み Write テーブルのレコードのデータを更新できる 削除 Delete テーブルのレコードを削除できる アペンドする Append このテーブルを他のレコードに関連付けできる アペンドする先 Append to このテーブルに他のレコードを関連付けできる 割り当て Assign 他のユーザーやチームにレコードの所有者を割り当てできる 共有 Share 他のユーザーやチームにレコードを共有できる 各テーブルに対するセキュリティロール セキュリティ ロールおよび特権 - Power Platform | Microsoft Learn @flali_world 29

• https://learn.microsoft.com/ja-jp/power-platform/admin/security-roles-privileges#record-level-privileges

テーブルのアクセスレベル アクセス許可レベルは4つ。 Bのセキュリティロール ? ルート部署 (コンソト株式会社) 組織全体 Organization 所有者がアクセス者の組織のどこにでも所属=全レコードに権限をもつ Bの部署がAより上位部署 部署配下 営業本部 Parent: Child Business Unit Business Unit Aさん 営業本部 所有者がアクセス者の部署配下に所属 部署 営業部 (所有者) Bの所属するセキュリティロールの アクセスレベルと部署による挙動の違いは？ AとBが同じ部署の場合 所有者とアクセス者が同じ部署に所属 営業部 営業部 参照可 参照可 ユーザー User 所有者 = アクセス者 アクセスは許可されません。 None セキュリティ ロールおよび特権 - Power Platform | Microsoft Learn @flali_world 30

• https://learn.microsoft.com/ja-jp/power-platform/admin/security-roles-privileges#access-levels

Basic User と システム管理ロールは変更不可 Basic User と システム管理者ロールは変更できませんが、複製することができます。 複製したロールを編集するとセキュリティロールの設定がしやすいのでお勧めです。 @flali_world 31

セキュリティロールのコピー セキュリティロールのコピーから簡単に複製できます。 ①セキュリティロールをコピーをクリックし、②ロール名を入れて、[コピー]ボタンをクリック。 1 2 @flali_world 32

カスタムセキュリティロール Basic User ロールを複製して、作業キューに関するテーブルの権限を変更してみました。 Basic User 作業キューに関するテーブルロールは作成、読み取り、書き込み、削除の権限はなし Basic User Work Queues (カスタムセキュリティロール) Basic ユーザーのロールを複製し、作業キューに対してのロールを設定 @flali_world 33

セキュリティロールごとのアクセス結果 例えば作業キューは Power Automate の機能ですが、カスタムセキュリティロールで作業 キューのテーブル(作業キューと作業キュー項目)を作成しユーザーに割り当てるとアクセスでき るようになります。※作業キューへのアクセスには別途、Power Automate Premiumが必要 Basic User Basic User Work Queues (カスタムセキュリティロール) ※作業キューの利用にはセキュリティロールのほかに、Power Automate Premium ライセンスが必要です。 @flali_world 34

セキュリティロール それでは、両方のセキュリティロールを割り当てた場合どうなるでしょうか？ Basic User と カスタムセキュリティロールの2つのロールをユーザーに割り当てます。 この場合、作業キューにアクセスできる？できない？ Basic User Basic User Work Queues (カスタムセキュリティロール) @flali_world 35

複数のセキュリティロール 複数のセキュリティロールが割り当たっている場合、許可が優先されます。 したがって、カスタムセキュリティロールで作業キューに関するレコードが許可されているので 作業キューにアクセスできます。 Basic User と Basic User Work Queues (カスタムセキュリティロール)を割り当て 許可が優先されるので、作業キューにアクセスできる。 ユーザーに複数のセキュリティ ロールを割り当てることができます。 複数のセキュリティ ロールの影響は累積的です。 これは、ユーザーに割り当てたすべてのセキュリティ ロールに関連付けらたアクセス許可をユーザーが持つことを意味し ます。引用: https://learn.microsoft.com/ja-jp/power-platform/admin/assign-security-roles @flali_world 36

• https://learn.microsoft.com/ja-jp/power-platform/admin/assign-security-roles

Microsoft Entra ID の管理者 グローバル管理者(全体管理者) Power Platform 管理者 Dynamics 365 管理者

Entra IDの管理者ロールは自動でシステム管理ロール グローバル管理者、Power Platform管理者、Dynamics 365管理者は、システム管理者ロールが 自動的に付与される。テーブルまですべて丸見え！ Microsoft Entra テナント Microsoft Entra Power Platform Dataverse 管理者ロール 環境A (Developer) システム管理者ロール テーブル:取引先企業 グローバル管理者 環境B (Developer) Power Platform 管理者 システム管理者ロール テーブル:取引先担当者 Dynamics 365 管理者 テーブル:取引先企業 テーブル:取引先担当者 @flali_world 38

Entra IDの管理者ロールは自動でシステム管理ロール グローバル管理者、Power Platform管理者、Dynamics 365管理者は、システム管理者ロールが 自動的に付与されなくなります。（自己昇格が必要） Microsoft Entra テナント Microsoft Entra Power Platform Dataverse 管理者ロール 環境A (Developer) システム管理者ロール テーブル:取引先企業 グローバル管理者 環境B (Developer) Power Platform 管理者 システム管理者ロール テーブル:取引先担当者 Dynamics 365 管理者 テーブル:取引先企業 テーブル:取引先担当者 @flali_world 39

Microsoft Entra ID ロールに自動付与されない グローバル管理者、Power Platform管理者、Dynamics 365 管理者にシステム管理者ロールが 自動で割り当たらなくなります。 Power Platform 管理センターで Entra Privileged Identity Management を使用して、権限の高い管理者ロールを管理する - Power Platform | Microsoft Learn @flali_world 40

• https://learn.microsoft.com/ja-jp/power-platform/admin/manage-high-privileged-admin-roles

Power Platform 管理センターから自己昇格 Power Platform 管理センターの環境から、環境を選択し自己昇格できます。 環境を選択し、メンバーシップをクリック。 Power Platform 管理センターで Entra Privileged Identity Management を使用して、権限の高い管理者ロールを管理する - Power Platform | Microsoft Learn @flali_world 41

• https://learn.microsoft.com/ja-jp/power-platform/admin/manage-high-privileged-admin-roles

Power Platform 管理センターから自己昇格 2/2 +自分を追加する をクリックすると自分を選択した環境のシステム管理者ロールに割り当てます。 Power Platform 管理センターで Entra Privileged Identity Management を使用して、権限の高い管理者ロールを管理する - Power Platform | Microsoft Learn @flali_world 42

• https://learn.microsoft.com/ja-jp/power-platform/admin/manage-high-privileged-admin-roles

チーム チーム単位でのセキュリティロール

環境アクセスの全体像 チームという単位でセキュリティロールを割り当てることも可能です。 Microsoft Entra テナント Microsoft Entra Power Platform Dataverse セキュリティグループ A 環境A (Developer) ライセンス ユーザー ユーザーA セキュリティロール ユーザー チーム ユーザーB セキュリティグループ B 環境の セキュリティG なし 取引先企業 担当者 テーブル リソース 詳細設定 環境A (Developer) セキュリティロール ユーザー ユーザー ユーザーC チーム ユーザーD 環境の セキュリティG B 取引先企業 担当者 テーブル リソース 詳細設定 環境へのユーザー アクセスのコントロール: セキュリティ グループおよびライセンス - Power Platform | Microsoft Learn @flali_world 44

• https://learn.microsoft.com/ja-jp/power-platform/admin/control-user-access?WT.mc_id=ppac_inproduct_env

チーム Dataverse には4つのチームというセキュリティロールのアクセス権の設定があります。 Microsoft Entra ID セキュリティ/オフィス チームを利用すると、関連付けたセキュリティや Office 365 グループと連動して管理することが可能です。 権限 所有者チーム セキュリティ ロール付与 レコード所有 Microsoft Entra ID グループ連携 説明 〇 〇 × Microsoft Entra ID と同期しないアクセス制御 Dataverseの部署に紐づいて自動作成されるため、 自動的に1つチームが作成されている。 アクセスチーム × × × アクセスチーム自体がレコードへのアクセス権を持 つ。セキュリティロールに依存しないアクセス制御 が可能。 将来、削除される可能性があることに注意。 Microsoft Entra ID セキュリティチーム 〇 〇 〇 Microsoft Entra ID セキュリティグループに同期。 Microsoft Entra ID オフィスチーム 〇 〇 〇 Microsoft Entra ID Office 365 グループに同期。 Dataverse グループ チームの活用方法＆注意点 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) @flali_world 45

• https://jpdynamicscrm.github.io/blog/powerplatform/About-group-team-in-Dataverse/

チームの作成 Power Platform 管理センター(https://aka.ms/ppac)の環境から対象の環境を選択します。 環境の右側のアクセスメニューからチームを選択します。 Dataverse グループ チームの活用方法＆注意点 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) @flali_world 46

• https://aka.ms/ppac
• https://jpdynamicscrm.github.io/blog/powerplatform/About-group-team-in-Dataverse/

新しいチームの作成:Microsoft Entra ID グループ Microsoft Entra ID のグループと紐づける場合の設定です。 チーム名:任意のチーム名 部署:任意の部署。部署を作成していない場合はDefaultで作成される部署を選択 管理者:任意の管理者。 チームの種類: Microsoft Entra IDセキュリティ/オフィス グループを選択 グループ名: Microsoft Entra IDセキュリティ/オフィス グループを入力 グループ チームのメンバーシップは、Azure Entra Identity 側のグループのメンバーシップに対 応するものです。 選択肢ごとにの具体的な設定内容は以下の通りです。 (1) メンバー ： Azure Entra Identity グループに所属するメンバー (ゲストユーザーを除く) です。 (2) ゲスト : Azure Entra Identity グループに所属するゲストユーザーです。 (3) メンバーとゲスト : (1) と (2) の両方をメンバーとする選択肢です。 (4) 所有者 : Azure Entra Identity グループの所有者です。通常、管理者など要件に合わせたユー ザーを明示的に指定することで割り当てられます。 Dataverse グループ チームの活用方法＆注意点 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) @flali_world 47

• https://jpdynamicscrm.github.io/blog/powerplatform/About-group-team-in-Dataverse/

チームへのセキュリティロールの設定 チームへ設定したいセキュリティロールを選択し、[保存]ボタンをクリックしロールを確定しhま す。 Dataverse グループ チームの活用方法＆注意点 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) @flali_world 48

• https://jpdynamicscrm.github.io/blog/powerplatform/About-group-team-in-Dataverse/

チームのセキュリティロールの変更 ①対象のチームを選択し、②セキュリティロールの管理をクリックします。 ③セキュリティロールの管理より任意のセキュリティロールを選択し[保存]をクリックして適用 します。 3 @flali_world 49

チームの編集 チームの編集で編集できる項目は、チームの名称と説明のみ。 セキュリティグループやMicrosoft 365 グループの変更やメンバーシップの種類の変更はできな い @flali_world 50

同一のメンバーシップの種類は設定できない セキュリティグループやMicrosoft 365 グループをチームに設定した場合、同一のメンバーシッ プで他のチームに新規設定することはできません。 @flali_world 51

環境のユーザー確認 チームでシステム管理者ロールなどの環境管理のロールを割り当てた場合、環境のユーザーに表 示されてないとうまく動作しない場合があります。 この場合は、手動でユーザーを追加するか、ユーザーにセキュリティロールを割り当てます。 セキュリティグループ チームで追加 グローバル管理者 チームで追加 ユーザーに追加されていないとセキュリティロールの権限が うまく当たっていない場合がある @flali_world 52

感謝 Thanks for You! 53

しおりんとサポートチームに感謝！ 日本マイクロソフトのしおりんとJapan Dynamics CRM & Power Platform テクニカルサポート チームのBlogがなかったら、全然わかりませんでした！ この場を借りて感謝いたします • Power Platformのセキュリティロールについて #PowerAutomate – Qiita • Dataverse グループ チームの活用方法＆注意点 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) • Dataverse 環境のアクセス権制御方法 | Japan Dynamics CRM & Power Platform Support Blog (jpdynamicscrm.github.io) @flali_world 54

• https://qiita.com/skuramoto/items/fe305aac24273c7cccbf
• https://jpdynamicscrm.github.io/blog/powerplatform/About-group-team-in-Dataverse/
• https://jpdynamicscrm.github.io/blog/powerplatform/About-security-role-in-Dataverse/

さいごに まとめ 55

セキュリティロールとかのまとめ ライセンス、セキュリティグループ、 セキュリティロールの関係性を知るの大事！ セキュリティロールはコピーするのがカンタン！ チームをうまく使うと セキュリティ/Office 365 グループで管理できる！ @flali_world 56

Thank you ! ※ Microsoft、Microsoft 365、Office 365、Microsoft Dynamics、Microsoft Azure 、Power Platform 、 Power Apps、Power Automate、Power BI、Microsoft Dataverse 及び関連する名称並びにそれぞれのロゴは、米国 Microsoft Corporationの米国 およびその他の国における登録商標です。※ QRコードの商標はデンソーウェーブの登録商標です。