読み取り専用の Microsoft 365 監査アプリはどんな権限を求めるのか、なぜ必要なのか

要点： 読み取り専用の Microsoft 365 監査アプリが求めるのは、名前が .Read または .Read.All で終わる Microsoft Graph のアプリケーション権限です。ReadWrite は含まれないため、設定を読めても変更はできません。同意できるのはグローバル管理者または特権ロール管理者だけで、何が付与されたかは Entra で自分で確認でき、後から取り消すこともできます。本記事では、権限の一覧の読み方、確認すべき権限、そして「承諾」を押す前に提供元へ尋ねるべきことを説明します。

セキュリティ監査の承認を求められたとき、管理者が最もためらうのは同意画面です。読み取り専用の Microsoft 365 監査アプリに必要な Graph 権限と聞けば安全そうですが、画面には技術的な名前が並び、組織全体に対して付与するよう求められます。何に同意するのかを知りたいと思うのは当然です。

本記事は、グローバル管理者のアカウントを持つ方に向けて書いています。Microsoft Graph で「読み取り専用」が何を意味するか、なぜ監査アプリはサインインしたユーザーではなくアプリケーション権限を使うのか、どの権限を問い直すべきか、そして自分でアクセスを確認・削除する方法を説明します。Brocent 自身の監査アプリの動作にも触れます。本文中の Microsoft ドキュメントの記述は、2026年11月4日に Microsoft Learn で確認したものです。

Microsoft 365 監査アプリの「読み取り専用」とは何か

Microsoft Graph では、「読み取り専用」は宣伝文句ではなく、権限名そのものに含まれています。Microsoft のドキュメントによると、権限名は「リソース、操作、制約」の形式、つまり Resource.Operation.Constraint に従います。操作が Read なら読み取りのみ、ReadWrite なら読み取り・作成・更新・削除が可能です。制約が All なら、アプリ自身が所有するデータに限らず、ディレクトリ全体が対象になります。

たとえば Policy.Read.All はテナント全体のポリシーを読み取れますが、Policy.ReadWrite.ConditionalAccess ならそれらを変更できます。「見る」だけのアプリは、操作が Read または ReadBasic の権限だけを持つべきです。

ここから二つのことが言えます。

• 読み取り専用は操作の話であり、機微性の話ではありません。 読み取り専用でも多くの情報が見える権限はあります。Microsoft 自身が Directory.Read.All を、Entra ID のリソースに対する最も強い読み取り専用権限と説明しています。設定の監査では、対象がテナント全体なので、ディレクトリへの広い読み取りが必要になることがよくあります。
• 読み取り専用は「範囲が狭い」という意味ではありません。 大切なのは「書き込めるか」だけでなく「何を読めるか」です。条件付きアクセスポリシーの設定を読むことと、メールボックスの本文を読むことは、まったく別のことです。

なぜ監査アプリはユーザーのサインインではなくアプリケーション権限を使うのか

Graph には二つのアクセスモデルがあります。*委任*アクセスでは、アプリはサインインしたユーザーの代わりに動き、そのユーザーが到達できる範囲にしか届きません。*アプリ専用*アクセスでは、ユーザー不在でアプリ自身の ID を使い、そのための権限が*アプリケーション権限*（アプリロール）です。

テナントの多くの領域の設定を一度に読む監査は、通常アプリ専用のツールとして作られます。理由は三つあります。

1. 一貫した視点が必要です。 委任型のツールは実行者に見える範囲しか見えず、管理者ごとに結果が変わってしまいます。
2. 人が付き添わなくても動く必要があります。 Entra ID、Exchange Online、SharePoint などから設定を集めるには多数の呼び出しが必要で、管理者がセッションを開き続けることに依存すべきではありません。
3. きれいに取り消せます。 アクセスはアプリ自身の ID に属するので、アプリを削除すればアクセスも消えます。どのユーザートークンがまだ有効かを調べ回る必要はありません。

Microsoft はこのトレードオフをはっきり述べています。アプリケーション権限は、サインインしたユーザーなしでリソースにアクセスできるため強力であり、最小権限の観点では、委任権限で足りるならそちらが推奨される、というものです。だからこそ、アプリケーション権限への同意は限られた役割にしか認められていません。Microsoft によれば、同意できるのは特権ロール管理者とグローバル管理者だけです。

提供元の曖昧な説明で済ませてはいけない理由もここにあります。アプリがテナントへのアプリ専用アクセスを持つ以上、正確な一覧を知る権利があります。

Brocent の監査アプリは何をし、何を決して読まないのか

Brocent の Microsoft 365 監査は、読み取り専用の Microsoft Graph アプリを使います。グローバル管理者が一度だけ同意し、所要時間はおよそ15分で、後から Entra ID でいつでも削除できます。読み取るのは設定であり、メールやドキュメントの内容は読みません。

最後の一文が設計上の境界なので、具体的に説明します。

• 監査が見るもの： テナントの構成です。Entra ID の ID とサインインの設定、Defender の保護設定、Purview の保持とラベルの設定、Exchange Online のメールフローと認証の設定、SharePoint の共有設定、Teams の会議と外部アクセスの設定などが含まれます。
• 監査が触れないもの： メール本文、ファイルの中身、チャットのメッセージです。外部転送がブロックされているかどうかは設定を見ればわかり、誰かの転送メールを読む必要はありません。
• お渡しするもの： CIS Microsoft 365 Benchmark のレベル1とレベル2（手動で確認する項目を含む）に照らした報告書と、優先順位付きのロードマップ、作業量の見積もりです。範囲はどの料金帯でも同じで、価格は人数だけで決まります。現在の料金は Microsoft 365 セキュリティ監査の料金ページをご覧ください。

権限の一覧を公開記事にそのまま載せることはしません。今日正しい一覧も、アプリを次に変更すれば古くなるからです。代わりに、「承諾」を押す前に、Brocent を含むどの提供元にも正確な一覧を書面で求め、次の二つの節で照合してください。出せない提供元であれば、そのこと自体が答えです。

立ち止まって確認すべき Graph 権限はどれか

権限の一覧を受け取ったら、次の点で素早くふるいにかけてください。どれも製品によっては正当ですが、*読み取り専用の設定監査*に含まれるなら、明確な説明が必要です。

• ReadWrite、Manage、Create、Send、FullControl で終わる権限。 レビューに変更・作成・送信は要りません。必要だとすれば、それは監査ではなく是正のツールです。例外としてよくあるのが Exchange.ManageAsApp です。Microsoft のドキュメントでは Exchange Online PowerShell へのアプリ専用アクセスに使われ、実際にできることはアプリに割り当てた Entra ロール（たとえばグローバル閲覧者）で決まるため、どのロールを持つか確認してください。
• メール、ファイル、チャットなど内容を読む権限。 Microsoft 自身の例では、Files.Read.All アプリケーション権限を持つアプリは組織内のあらゆるファイルを読めます。メールやチャットの対応する権限も同じ考え方です。これらが必要なツールは、設定ではなくデータを読んでいます。
• アプリが自分や他者に追加のアクセスを与えられる権限。 アプリ登録、ロール割り当て、同意の付与を管理する権限は権限昇格に使えるため、読み取り専用の一覧に載るべきではありません。
• 説明のない長い一覧。 Microsoft の指針は、操作に必要な最小限の権限だけを付与することです。各権限を、それを使う報告書のセクションと対応づけるよう求めてください。
• 一回限りのレビューなのにオフラインアクセスを求める委任権限。 一回限りのレビューが、長期のリフレッシュトークンを残すべきではありません。

想定外の権限があっても、自動的に拒否するのではなく質問してください。名前からは分かりにくい、狭くて正当な用途があることもあります。基準は、提供元がその用途を、確認できる一文で説明できるかどうかです。

アプリに実際に何が付与されたかを確認するには

提供元の説明だけに頼る必要はありません。同意の後は、付与内容があなたのテナントの中に記録されます。Microsoft のドキュメントに従い、アプリに付与された権限を確認する手順は次のとおりです。

1. 少なくともクラウドアプリケーション管理者として Microsoft Entra 管理センターにサインインします。
2. Entra ID、エンタープライズアプリ、すべてのアプリケーションの順に進みます。
3. 監査アプリを選びます。
4. アクセス許可を選びます。
5. 管理者の同意タブで、組織全体に付与された内容を確認します。各項目を選ぶと詳細が表示されます。

この一覧を、同意前に説明された内容と照合してください。一致するはずです。日付入りでスクリーンショットかエクスポートを保存しておくと、何をいつ承認したかの記録になり、社内の確認担当者や保険会社から後で求められることがあります。

さらに踏み込んで確認するには、同じドキュメントに、サービスプリンシパルのアプリロールの割り当てを使って Microsoft Graph でアプリのアプリケーション権限を一覧にする方法も載っています。テナント内のサードパーティ製アプリすべてを定期的に点検するスクリプト化にも使え、監査の有無にかかわらず良い習慣です。

監査が終わったらアクセスを削除するには

監査はある時点のレビューですから、作業が終わればアクセスも終わるべきです。きれいな方法は二つあります。

• 権限を取り消す。 同じ管理者の同意タブで権限を選び、操作メニューを開いてアクセス許可の取り消しを選びます。Microsoft は、付与済みの権限を取り消しても、アプリがなお要求していれば、ユーザーが再び同意することは止められないと注記しています。そのため、アプリ自体がもう使われていない状態にしておくのが最善です。
• エンタープライズアプリケーションを削除する。 Entra ID でそのアプリのエンタープライズアプリケーションを削除すると、アクセスを持っていた ID がなくなります。何も残らないと確実に言える最も簡単な方法です。

削除の後は二点を確認します。まず、サインインログでそのアプリのサービスプリンシパルによるサインインを見て、もう認証していないことを確かめます。次に、ユーザーの同意設定が、従業員が自分でアプリを承認できない状態のままであることを確認します。別の経路でアプリが静かに戻ってくることを防ぐためです。

読み取り専用アプリでは分からないこと

限界を正直に述べておくことは大切です。それが、提供元がアプリの実行以外に何をすべきかを決めるからです。

• API では読めない統制があります。 CIS Microsoft 365 Benchmark には手動確認の項目があります。たとえば緊急アクセス（ブレークグラス）アカウントの保管と使い方や、設定ではなく規程にだけ存在する決定です。良い監査は、推測ではなく、管理者との短い対話でこれを補います。
• 設定はスナップショットです。 報告書は読み取った日のテナントの状態を表し、翌週の変更は含みません。四半期ごとの再監査を選ぶ組織がある理由の一つです。
• 設定がオンでも、自社に適切とは限りません。 報告書はベースラインとの差を示し、リスクと作業量で順位づけします。何から直すかは判断であり、報告会はそのためにあります。

これらは読み取り専用方式の欠点ではありません。成果物が生のエクスポートではなく、人による解釈を伴う報告書である理由です。

同意する前に提供元へ尋ねるべき質問

候補のすべての提供元に送るメールに、そのままコピーしてください。

• アプリはどの Microsoft Graph 権限を要求しますか。正確な名前で一覧にしてください。
• ReadWrite、またはメール・ファイル・チャットの内容を読める権限は含まれますか。含まれるなら理由は何ですか。
• アクセスはアプリ専用ですか、委任ですか。長期のリフレッシュトークンを使いますか。
• アプリの資格情報は誰が持ち、どのように保管されますか。
• 付与された内容をどう確認・取り消せますか。削除にどれくらいかかりますか。
• 報告書には、アプリが読めない内容も含まれますか。どう収集しますか。
• 取引を終了した場合、アプリと収集したデータはどうなりますか。

これらに素早く具体的に答える提供元は、「アプリは安全です」の一言で済ませる提供元よりずっと信頼できます。

よくある質問

Microsoft 365 監査アプリにテナントへのアクセスを与えて安全ですか

権限の一覧と、提供元のデータの扱いによります。設定のみを読み、自社のグローバル管理者が同意し、Entra で可視化され、いつでも削除できる読み取り専用アプリは、書き込みや内容の読み取りができるツールよりリスクがはるかに低くなります。まず正確な一覧を求め、同意後に確認してください。

監査アプリのアプリケーション権限は誰が承認できますか

Microsoft のドキュメントによると、アプリケーション権限に同意できるのは特権ロール管理者とグローバル管理者だけです。同じドキュメントには、クラウドアプリケーション管理者やアプリケーション管理者が、付与された内容を確認・取り消せると書かれています。

読み取り専用の監査アプリは、メールやドキュメントを読みますか

読むべきではありません。設定監査が確認するのは、たとえば外部転送がブロックされているかといった設定で、メッセージの内容ではありません。Brocent の監査アプリは設定のみを読み、メールやドキュメントの内容は読みません。提供元の一覧にメール・ファイル・チャットの読み取り権限があれば、理由を尋ねてください。

監査アプリはテナントの何かを変更できますか

読み取り権限しか持たなければできません。データを変更できるのは ReadWrite で終わる権限です。承認後、管理者の同意タブにそれがないことを確認してください。

同意にはどれくらいかかり、取り消せますか

Brocent の監査では、グローバル管理者による一度限りの同意に約15分かかります。アプリは Entra ID でいつでも削除でき、削除するとアクセスを持っていた ID がなくなるのでアクセスも終わります。

この監査で準拠や認証が得られますか

いいえ。報告書とワークブックは、一般的なサイバー保険の質問票や Cyber Essentials の質問に対する証跡として使えるよう設計されたものです。認証を付与または保証するものではなく、保険会社や審査機関が何を受け入れるかは先方の判断です。

次のステップ

人数を整理し、すべての提供元に正確な権限の一覧を書面で求め、同意の前に本記事と照らし合わせてください。候補に Brocent が含まれるなら、Microsoft 365 セキュリティ監査の料金ページに規模に応じた固定価格があります。1～10名で450米ドルから、一回限り・税別で、読み取りアクセスの付与後5～7営業日で報告書をお届けします。成果物のイメージはサンプルレポート（英語ページ）でご覧いただけます。

あわせて、費用の内訳はMicrosoft 365 セキュリティ監査の費用、確認範囲はMicrosoft 365 セキュリティ監査チェックリスト、証跡と保険会社の質問の対応はサイバー保険の質問票をお読みください。直接ご相談いただく場合はお問い合わせからどうぞ。