次世代 API データ保護用に Microsoft 365 Teams を構成する

Azure管理ポータルでアプリケーションを登録することで、NetskopeはMicrosoft 365 Teams環境に安全に接続できるようになります。このアプリは、Microsoft Graph を介して Teams データへの制御された API アクセスを容易にする、信頼できる ID として機能します。

1. グローバル管理者としてportal.azure.comにログインしてください。

2. Search resource groups and click Resource groups service.

3. + Createをクリックしてください。

4. Subscriptionの下で、ご希望の購読プランを選択してください。

5. リソースグループ名を入力してください。

6. Regionの値は、お好みに合わせて設定することも、変更せずにそのままにしておくこともできます。

   

7. Review + CreateとCreateをクリックしてください。

8. Search Microsoft Entra ID and click Microsoft Entra ID service.

9. 左側のペインで、 Manage > App registrationsに移動します。

10. + New registrationをクリックして、以下の詳細を入力してください。

    • アプリケーション名を入力してください。

    • Supported account typesの下で、 Multiple Entra ID tenants > Allow all tenantsを選択してください。あなたのアプリケーションは組織のデータのみにアクセスできます。しかし、監査ログを取得するにはマルチテナントアクセスを有効にする必要があります。詳細はこちら： Microsoft Entra ID でアプリケーション プロパティを構成する。

      

    その他の項目は変更しないでください。

11. Registerをクリックしてください。

12. Application (client) IDとDirectory (tenant) IDをメモしてください。Netskopeテナントでのインスタンス設定時に、これらが必要になります。

    

次に、新しく作成したアプリケーションにMicrosoft Graph APIのアクセス許可を追加します。

適切な Microsoft API 権限を付与することで、 Netskope 、可視性と制御に必要な Teams メタデータとユーザー ディレクトリの詳細を取得できるようになります。

1. 新しく登録したアプリケーションのアプリ登録ページにいる間、左側のペインでManage > API permissionsに移動し、 + Add a permissionをクリックします。

2. Microsoft GraphタイルをクリックしてからApplication permissionsをクリックしてください。

3. 以下の Microsoft Graph API のアクセス許可を追加します (Azure ポータルでクレーム値を検索してください)。

   Netskopeに必要な権限	請求額	デスクリプション	目的	許可されない場合のトレードオフ
   このアプリが作成または所有するアプリを管理する	Application.ReadWrite.OwnedBy	アプリが他のアプリケーションを作成し、サインインしたユーザーなしでそれらのアプリケーションを完全に管理（更新、アプリケーションシークレットの更新、削除）できるようにします。 所有者ではないアプリはアップデートできません。	Netskopeアプリのメタデータを読み、それに新しい証明書を追加できるようにします。	アクセストークンの取得に必要な証明書を自動的にローテーションできません。
   全チャンネルのメンバーを読む	ChannelMember.Read.All	ログインしていないユーザーを含む、すべてのチャンネルのメンバー。	Netskopeすべてのチャンネルのメンバーを読み取ることを許可します。	チャネル露出の計算およびデータ保護ポリシーの適用能力を制限する。
   すべてのチャンネルメッセージを読む	ChannelMessage.Read.All	このアプリは、Microsoft Teams のすべてのチャネルメッセージを閲覧できます。	Netskopeすべてのチャネルのすべてのメッセージを読み取ることを許可します。	包括的な検索機能、メッセージ監査機能、またはメッセージコンテンツへのアクセスに依存する機能は提供できません。
   ポリシー違反のチャンネルメッセージを報告する	ChannelMessage.UpdatePolicyViolation.All	このアプリは、データ損失防止（DLP）ポリシー違反プロパティのセットをパッチしてDLP処理の出力を処理することで、Microsoft Teamsチャネルメッセージを更新できるようにします。	Netskopeが、データ損失防止（DLP）ポリシー違反プロパティのセットをパッチすることで、チャネルメッセージを更新できるようにします。	DLPの適用能力を制限します チャネル通信におけるコンプライアンスを確保します。
   全チャンネルの名前、デスクリプション、設定を読む	ChannelSettings.Read.All	サインインしているユーザーなしで、すべてのチャンネル名、チャンネルデスクリプション、チャンネル設定を読むことができます。	Netskopeすべてのチャンネルの設定を読み取ることを許可します。	チャンネルの詳細を表示またはアクセスできず、露出計算に影響します。
   すべてのチャットメッセージを読む	Chat.Read.All	アプリが Microsoft Teams のすべての 1 対 1 またはグループ チャット メッセージを閲覧できるようにします。	Netskopeすべてのチャット メッセージを読むことを許可します。	包括的な検索機能、メッセージ監査機能、またはメッセージコンテンツへのアクセスに依存する機能は提供できません。
   ポリシー違反のチャットメッセージを報告する	Chat.UpdatePolicyViolation.All	このアプリは、データ損失防止（DLP）ポリシー違反プロパティのセットをパッチしてDLP処理の出力を処理することで、Microsoft Teamsの1対1またはグループチャットメッセージを更新できるようにします。	Netskopeは、データ損失防止（DLP）ポリシー違反プロパティのセットをパッチすることで、1対1またはグループチャットのメッセージを更新できるようになります。	DLPの適用能力を制限します チャット通信におけるコンプライアンスを確保します。
   すべてのチャットのメンバーを読む	ChatMember.Read.All	ログインしていないユーザーを含む、すべてのチャットのメンバー。	Netskopeすべてのチャットのメンバーを閲覧できるようにします。	チャットにおける情報漏洩の計算やデータ保護ポリシーの適用能力を制限する。
   ドメインを読む	Domain.Read.All	アプリがサインインしたユーザーなしでドメインのすべてのプロパティにアクセスできるようにします。	Netskopeドメインのプロパティを読むことを許可します。	サインインワークフローに必要です。
   すべてのグループを読む	Group.Read.All	サインインしているユーザーなしで、アプリがグループのプロパティとメンバーシップを読むこと、およびすべてのグループの会話を読むことを許可します。	Netskopeすべてのグループメンバーシップとプロパティを読み取ることを許可します。	グループの詳細を表示またはアクセスできず、曝露計算に影響します。
   すべてのサイト コレクションのアイテムを読んで書き込みます	Sites.ReadWrite.All	サインインしたユーザーがいなくても、アプリケーションがすべてのサイトコレクション内のドキュメントを作成、閲覧、更新、削除し、アイテムを一覧表示できるようにします。	Netskopeが、共有検出、露出計算、およびその後のポリシー処理といったコア機能に必要な権限変更を受信して処理できるようにします。	この権限がないと、フォルダーのアクセス許可が変更されるたびに、Microsoft Graph API はエラーを返します。これらのエラーは、変更の検出に著しい遅延を引き起こし、次世代プラットフォームが帯域外でフォルダ/ファイルの露出変化を追跡する際の有効性に影響を与えます。
   全チームのメンバーを読む	TeamMember.Read.All	ログインしていないユーザーを含む、すべてのチームのメンバー。	Netskopeすべてのチームのメンバーを読むことを許可します。	チームのリスク計算やデータ保護ポリシーの適用能力が制限される。
   読む すべてのチャットに Teams アプリをインストールしました	TeamsAppInstallation.ReadForChat.All	アプリが、サインインしたユーザーがいなくても、任意のチャットにインストールされているTeamsアプリにアクセスできるようにします。 アプリケーション固有の設定を読み取る機能はありません。	Netskope任意のチャットにインストールされているTeamsアプリを読み取れるようにします。	Microsoft Teamsアプリカタログにインストールされているサードパーティ製アプリの詳細情報は提供できません。
   読む すべてのチームに Teams アプリをインストールしました	TeamsAppInstallation.ReadForTeam.All	アプリが、サインインしたユーザーがいなくても、任意のチームにインストールされている Teams アプリにアクセスできるようにします。 アプリケーション固有の設定を読み取る機能はありません。	Netskope任意のチームにインストールされているTeamsアプリを読み取ることを可能にします。	Microsoft Teamsアプリカタログにインストールされているサードパーティ製アプリの詳細情報は提供できません。
   読む すべてのユーザーに Teams アプリをインストールしました	TeamsAppInstallation.ReadForUser.All	アプリが、サインインしていないユーザーでも、任意のユーザー向けにインストールされている Teams アプリにアクセスできるようにします。 アプリケーション固有の設定を読み取る機能はありません。	Netskope任意のユーザーにインストールされている Teams アプリを閲覧できるようにします。	Microsoft Teamsアプリカタログにインストールされているサードパーティ製アプリの詳細情報は提供できません。
   すべてのユーザーのプロフィール全文を読む	User.Read.All	アプリケーションが組織のディレクトリ内のユーザー プロファイルを読むことを許可します。	Netskope 、構成された Teams インスタンス内のユーザー プロファイル データを読むことを許可します。	ユーザープロファイル情報を取得できず、その後のユーザー露出計算に影響します。

4. Add Permissionsをクリックしてください。

   次に、Office 365 管理 API のアクセス許可を追加します。

5. + Add a permissionをクリックし、次にOffice 365 Management APIsタイルをクリックし、続いてApplication permissionsをクリックします。

6. Add ActivityFeed.Read.

   Permissions required by Netskope	請求額	デスクリプション	目的	許可されない場合のトレードオフ
   組織の活動データを読む	ActivityFeed.Read	アプリケーションが、Office 365 Management Activity API を介して、Office 365 および Microsoft Entra ID のアクティビティ ログから、ユーザー、管理者、システム、ポリシーのアクションとイベントに関する情報を取得できるようにします。	NetskopeがOffice 365およびEntra IDのアクティビティログから監査ログとイベントを取得できるようにします。	Skope ITのアプリケーションイベントやその他のUEBA機能を通じて可視性を提供することはできません。

7. Add Permissionsをクリックしてください。

   次に、 User.読む権限を削除する必要があります。

8. API権限のホームページで、 Microsoft Graphの下にあるUser.Read権限を探してください。

9. 省略記号（ … ）をクリックしてからRemove permissionをクリックしてください。

10. API権限ページで、 Grant consent for <your organization name>をクリックします。

    

次に、Azure Key Vaultを構成します。

Azure Key Vault は、登録済みアプリケーションの認証に必要な証明書と秘密鍵を安全に保存します。これを設定すると、機密性の高いクレデンシャルが確実に保護され、Azure のアクセス制御ポリシーを通じて簡単に管理できるようになります。

証明書をアプリケーションに関連付けることで、 Microsoft サービスに接続する際に、安全な証明書ベースの認証が可能になります。

1. Search Microsoft Entra ID and click Microsoft Entra ID service.

2. 左側のペインで、 Manage > App registrationsに移動します。

3. All applicationsの下に、新しく作成したアプリケーションを探してください。

4. 左側のペインで、 Manage > Certificates & secretsに移動し、 Certificatesタブをクリックします。

5. Upload certificateをクリックして、 .cerファイルをアップロードしてください。前の手順で最近ダウンロードしたファイルをクリックし、 Addをクリックします。

   

次に、キー保管庫用のファイアウォールを設定します。

NetskopeがAzure Key Vaultに保存されている証明書にアクセスできるようにするには、ファイアウォールルールを設定して、Netskopeテナントの管理プレーンIPアドレス（CIDR形式）からのアクセスのみを許可する必要があります。これは、信頼できる情報源へのアクセスを制限することでセキュリティを強化します。

1. Key vaultsページで、新しく作成されたキー保管庫を見つけてクリックします。

2. 左側のペインで、 Settings > Networkingに移動します。

3. Firewalls and virtual networksの下で、 Allow public access from specific virtual networks and IP addressesからのアクセスを許可します。

4. Firewallの下で、 + Add your client IP addressesをクリックしてください。

5. Netskopeテナントの管理プレーンのIPアドレスをCIDR形式で入力します。IPアドレスを確認するには、こちらをクリックしてください。次に、 「管理プレーンリスト」の「許可リスト」セクションに移動します。

   リンクはログインページの先にあります。アクセスできない場合は、Netskopeの営業担当者やサポートに相談してください。

また、ログインしたユーザーが証明書ページにアクセスできるように、企業VPNのIPアドレス範囲を追加することもできます。ファイアウォールが設定されると、そのルールはアプリケーションだけでなく、認証されたユーザーにも適用されます。

次に、Microsoft 365 TeamsをNetskopeに接続します。

クレデンシャル アプリと証明書の詳細を使用して、安全で継続的な監視を行うために Microsoft 365 Teams インスタンスをNetskopeにリンクすることで統合を完了します。

1. NetskopeテナントUIにログインしてSettings > Configure App Access > Next Gen > CASB APIに移動します。

2. Appsの下でMicrosoft Teamsを選択し、 Setup CASB API Instanceをクリックします。

   Setup Instanceウィンドウが開きます。

3. Under Office 365 Environment, select Commercial or GCC High.

   GCC Highは、米国連邦政府、州政府、地方自治体の顧客向けに設計されています。

4. Tenant IDとClient IDには、Azureのディレクトリ（テナント）IDとアプリケーション（クライアント）IDを入力してください。これは、Azureポータルの新規登録アプリケーションの概要ページで確認できます。Directory (tenant) IDとApplication (client) IDフィールドを探してください。

   

5. Vault URIの下に、Azure のキーコンテナー URI を入力してください。これは、Azureポータルの、新しく作成されたキーコンテナーの概要ページで確認できます。Vault URIフィールドを探してください。

   

6. Certificate nameとCertificate Thumbprintには、新しく作成した証明書の名前と指紋を入力してください。証明書名とサムプリントは、Azure ポータルのKey Vault > {newly created key vault} > Objects > Certificatesで確認できます。

   

7. Private keyの下に、 .pemファイルから取得した秘密鍵の値を入力してください。以前ダウンロードしたファイル。Azureのキーコンテナー証明書ページからダウンロードした秘密鍵ファイル（ .pem ）をテキストエディタで開くことができます。

   ファイルには秘密鍵と証明書の両方が含まれています。private keyのみSelect 。
   – コピーする際は、ヘッダー（ -----BEGIN PRIVATE KEY----- ）とフッター（ -----END PRIVATE KEY----- ）の行を含めてください。
   入力欄に秘密鍵を貼り付けてください。改行は自動的にスペースに変換されます。これは想定される動作です。

8. Administrator Emailの下に、ポリシー違反またはイベントがトリガーされたときに電子メール通知を受け取るユーザーの電子メール アドレスを入力します。 この手順は任意です。

9. Instance Nameの下に、SaaSアプリインスタンスの名前を入力してください。この手順は任意であり、空白のままにした場合、Netskopeは権限付与後にアプリインスタンスの名前を決定します。

10. Grant Accessをクリックしてください。

    成功結果ページが表示されます。Closeをクリックしてください。

ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。

権限付与後、グローバル管理者アカウントを削除するか、権限をダウングレードすることができます。詳細については、 「グローバル管理者アカウントの削除またはダウングレード」を参照してください。

次に、「Next Generation API データ保護 Inventory ページ」を見て、Microsoft 365 MS Teamsアカウント上のさまざまなエンティティについて深い洞察を得ることができます。 Inventoryページの詳細については、「次世代APIデータ保護インベントリ」をご覧ください。

Skope ITでは、監査イベントや標準的なユーザー行動分析アラートを受信できます。詳細については、次世代 API データ保護スコープ IT イベントをご覧ください。

次に、次世代 API データ保護ポリシーを構成する必要があります。 これを行うには、 「次世代 API データ保護ポリシー ウィザード」を参照してください。