Microsoft Office 365 Teams の API データ保護の設定

Microsoft Teamsは、組織内外のユーザーまたはユーザーグループ間のコラボレーションを可能にするメッセージングツールです。チーム機能を使えば、共有ワークスペースにすべてが集約され、どこからでも作業できるだけでなく、チームメンバー同士のチャット、ファイルの共同作業、お気に入りのアプリを使った作業も容易になります。チームは広範囲にわたってOffice 365グループ、配布リスト、および ID は Entra ID に保存されます。 Outlook、Skype、OneDrive、SharePointといった他のMicrosoftアプリと統合されているため、ユーザー間の連携が容易になります。

TeamsはOffice 365の商用顧客向けに、Microsoft Officeライセンスページに記載されているプランのいずれかで利用可能です。

APIデータ保護のためにMicrosoft Office 365 Teamsを構成するには、 Netskope UIでMicrosoft Office 365 Teamsアプリインスタンスを作成する必要があります。

重要

この記事では、 Office 365クレデンシャルの入力を求められます。Netskope Office 365クレデンシャルを保存しません。クレデンシャルは、OAuth トークンを作成するために使用されます。 Netskopeこれらのトークンのみを保存し、実際のクレデンシャルは保存しません。

注記

Netskopeは、Microsoft Office 365 Teamsで共有され、デフォルトのクラウドストレージアプリに保存されているファイルをスキャンできます。デフォルトのクラウドストレージアプリは以下のとおりです。

Microsoft Office 365 OneDriveは、ダイレクトメッセージやグループチャットで共有されるファイルのためのドライブです。
チャネルで共有されるファイルのためのMicrosoft Office 365 SharePoint。

Netskopeは、ファイルが共有され、サードパーティのクラウドストレージアカウントに保存されている場合は、スキャンを行いません。

Microsoft は、Microsoft Teams のファイルと Wiki タブからアップロードされたファイルに関する Webhook 通知を提供していません。この制限のため、Netskopeはこのようなファイルアップロードに対するDLPスキャンをサポートしていません。しかし、Netskopeはチャンネルのチャットウィンドウから添付ファイルとして送信されたファイルを検出します。DLPを完全にカバーするには、Microsoft Office 365 OneDriveとSharePointそれぞれにAPIデータ保護インスタンスを設定する必要があります。

前提条件

Office 365の監査ログへのアクセスを許可するには、以下の前提条件を満たす必要があります。

Netskopeへのアクセス権限を付与するには、グローバル管理者アカウントが必要です。助成金交付後は、このアカウントは不要です。
注記
Azure/Office 365におけるアクセス許可の仕組みは、Netskopeが特定のアクションを実行するために、管理者がNetskopeに十分な権限を付与する必要があるというものです。Netskopeアプリはグローバル管理者権限を取得しないことに注意してください。Netskopeが要求する範囲の権限のみを取得します。
特に、グローバル管理者は、アプリケーションレベルの権限（ユーザーレベルの権限とは対照的に）へのアクセスを委任できる唯一のユーザーです。これらの仕組みに関する詳細なマイクロソフトのドキュメントは、こちらでご覧いただけます。さらに、グラフおよび Office 365 管理APIにはグローバル管理者クレデンシャルが必要です。助成後、Netskopeは付与口座から独立してポリシー処理を行います。
Microsoft 365 管理センターで監査ログを有効にする必要があります。監査ログを有効にするには、 https://compliance.microsoft.com/にログインしてください。次に、左側のナビゲーションでAuditをクリックします。監査が有効になっていない場合、ユーザーや管理者の活動を記録するよう始めるよう促すバナーが表示されます。 Start recording user and admin activityバナーをクリックしてください。変更が反映されるまで最大60分かかる場合があります。
注記
このリンクが見当たらない場合は、すでに組織で監査が有効になっている可能性があります。電源を入れると、監査ログを準備中であること、準備完了後数時間で検索を実行できることを知らせるメッセージが表示されます。これは一度だけ行えば良いのです。詳細については、Microsoftのサイトにある読むサポート記事をご覧ください。

Netskopeを設定して、Office 365 Teamsアプリにアクセスする

NetskopeがMicrosoft Office 365 Teamsアカウントにアクセスすることを承認するには：

NetskopeテナントUIにログインしてSettings > Configure App Access > Classic > SaaSに移動します。
Microsoft Office 365 TeamのアイコンSelect 。以下の詳細を入力してください。
1. INSTANCE NAMEの下に、Microsoft Office 365 Teams アカウントの名前を入力してください。どんな名前でも入力できます。
2. INSTANCE TYPEについては、以下のオプションから選択してください。
  - APIデータ保護：このオプションSelectと、 Netskope SaaSアプリインスタンスをスキャンして、ファイル、ユーザー、その他のエンタープライズデータを一覧表示できるようになります。
  - マルウェア – このオプションを選択すると、プライベート、パブリックチャネル、ダイレクトメッセージ、およびグループチャットでマルウェアの添付ファイルをスキャンできます。マルウェアが検出されたら、そのファイルを^隔離することができます。そのためには、 Settings > Threat Protection > API-enabled Protectionに移動してください。Microsoft Teams アプリインスタンスでマルウェアスキャンが有効になっていることを確認し、 Settingsで隔離プロファイルを選択します。マルウェアの影響を受けたファイルを表示するには、 Incidents > Malwareに移動してください。
    注記
    ^* Microsoft Teamsはストレージアプリではありません。そのため、隔離専用のプロフィールを作成することはできません。ただし、APIデータ保護をサポートするストレージアプリを設定している場合は、これらのアプリの隔離プロファイルを利用できます。サポートされているストレージアプリのいずれかの隔離プロファイルを設定するには、こちらのドキュメントを参照してください。
  - セキュリティ態勢：このオプションを使用すると、NetskopeはSaaSアプリケーションを継続的にスキャンし、リスクの高いSaaSアプリケーションの設定ミスを特定して修正し、セキュリティ態勢をベストプラクティスおよびコンプライアンス基準に合わせることができます。読む専用のチェックボックスです。 Microsoft Teams のセキュリティ体制を有効にするには、Microsoft 365 アプリをSettings > Configure App Access > Classic > SaaSの下に構成します。
    注記
    この機能はNetskope SaaSセキュリティポスチャー管理ソリューションの一部です。追加の設定要件については、読む Next Generation SaaS Security Posture Management。
3. Microsoft Office 365全体管理者の電子メールアドレスを入力します。
  注記
  Netskopeは、この目的のために一時的なグローバル管理者アカウントを作成することを推奨しています。そのためには、Microsoft Office 365 管理センターにログインし、グローバル管理者権限を持つユーザーを作成してください。後で、このアカウントを削除するか、グローバル管理者権限を持たないアカウントにダウングレードすることができます。
4. 内部ドメインのリストを入力してください。重要な注意点：
  注記
  Office 365テナントでプロビジョニングされた検証済みドメイン（Office 365テナントでは、ステータスが「正常」と「サービスの問題の可能性」として表示されます）は、内部ドメインリストに追加する必要はありません。これらのドメインは、APIデータ保護によって自動的に内部ドメインとして扱われます。ただし、APIデータ保護によって内部ドメインとして扱われる必要がある場合は、以下のドメインを付与時に追加できます。
  Office 365 テナント内で検証されていないドメイン（ステータスが「セットアップが不完全」と表示されるドメイン）。
  Office 365テナントにプロビジョニングされていないドメイン。
  Office 365ドメインのサンプル例は以下のとおりです。
  Microsoft Office 365 管理センターにログインし、 Settings > Domainsに移動します。
  権限付与時に内部ドメインを追加するようにしてください。権限付与後に内部ドメインを追加する場合は、再付与が必要となり、既存の外部ユーザーやファイルが内部ドメインの一部であっても、それらを内部ユーザーやファイルとしてマークすることはできません。
  内部ドメインの場合、ワイルドカードDNSエントリは許可されていません。
SAVEをクリックし、次にGrant Accessをクリックして、先ほど作成したアプリインスタンスを開きます。
Grant Accessをクリックすると、グローバル管理者ユーザー名とパスワードでログインするよう求められます。Accept権限を有効にして、 Closeをクリックします。
Microsoft Office 365 Teamsアプリに適切な権限を付与すると、Netskope for Teamsエンタープライズアプリが適切な権限とともにEntra IDにインストールされます。権限の詳細については、「Microsoft Office 365 Teams の Azure ウェブアプリの権限」を参照してください。
ブラウザを更新すると、インスタンス名の横に緑色のチェックマークアイコンが表示されるはずです。
重要
アクセスを許可した後、必ずhttps://login.microsoftonline.com/にログインしてください。少なくとも一度は、ステップ2.3で追加した電子メールアドレスでブラウザから確認してください。このステップは、NetskopeがMicrosoft Office 365アカウントでAPIコールを成功させるために必須です。

これで、Microsoft Office 365 TeamsとNetskopeの統合が完了しました。