Purviewの端末DLP、登録状況を見るだけの役割 監査に管理者権限が不要に

MicrosoftはMicrosoft 365のロードマップで、Purviewの端末のデータ損失防止(DLP)に、新しい役割「View-Only Device Management」を足すと公表しました。端末の登録(オンボーディング)の状況を、見るだけの権限で確かめられるようにするものです。今は管理者の役割が要る画面を、監査担当やセキュリティの分析担当に、最小の権限で見せられるようになります。

何が変わるか

対象は、Purviewの設定の「デバイスのオンボーディング」にある「デバイス」のページです。ロードマップによると、これまでこのページを見たり管理したりするには、コンプライアンス管理者、グローバル管理者、セキュリティ管理者のような、広い管理者の役割が要りました。

今回の変更で、端末の操作だけに絞ったPurviewの役割(Purviewの役割ベースのアクセス制御)で、このページの権限を渡せるようになります。新しい「View-Only Device Management」の役割でできることは、次の4つです。

• 端末の登録の状況を見る
• 端末を探す
• 構成の内容を確かめる
• 端末のデータを書き出す

登録の構成や、ほかの管理の設定を変える権限は含みません。既存の管理者の役割は、これまでどおりすべての操作ができます。今の作業の流れは変わらない、としています。

予定は、2026年12月にプレビュー、2027年1月に提供開始です。ロードマップに載ったのは2026年10月20日で、状態は「開発中」です。対象は一般の法人向けの環境(Worldwide)で、使うのはWebの管理画面です。

今の権限は、Entraの役割だけ

Microsoft Learnの端末の登録の説明(2026年10月21日に確認)では、端末の管理は今、Microsoft Entraの役割だけに対応していて、Purviewの役割は使えないと書かれています。必要な役割は、操作ごとに次のとおりです。

見るだけなら、今もグローバル閲覧者の役割で足ります。ただし、グローバル閲覧者はMicrosoft 365の全体の設定を読めるため、端末の登録の状況だけを見せたい相手には広すぎます。新しい役割は、この「見せる範囲」を端末の登録に絞れる点が違いです(当社の見立て)。

影響する会社・しない会社

• 影響する: Purviewの端末のDLPで、社内のWindowsやmacOSの端末を登録している会社です。監査や内部統制の担当、外部の監査人、セキュリティの分析担当に、端末の登録の状況を見せている、または見せたい場合に関わります。
• 影響する: 今、見せるためだけにグローバル閲覧者やコンプライアンス管理者などを渡している会社です。提供が始まれば、もっと狭い役割に移せます。
• 影響しない: 端末のDLPを使っていない会社です。また、既存の管理者の役割の権限は変わらないため、今の運用が止まることはありません。

情シスが今日やること

1. 誰が端末の登録の画面を見ているかを洗い出す。 Purviewの端末の登録のページを見るために、グローバル閲覧者、コンプライアンス管理者、セキュリティ管理者などを渡している人を、Entraの役割の割り当てから一覧にします。見るだけの目的の人に印をつけます。
2. 移す先の役割と、移す時期を決める。 提供が始まったら(予定は2027年1月)、見るだけの人を「View-Only Device Management」に移し、広い役割を外す計画にします。プレビュー(予定は2026年12月)の間に、検証用の利用者で、見える範囲と書き出しの中身を確かめます。
3. 書き出した端末の一覧の扱いを決める。 新しい役割は端末のデータを書き出せます。Learnの説明では、端末の登録のページに、ログインしている利用者のメールアドレスを表示する機能も載っています(端末のAnti-malwareの版の条件つき)。書き出したファイルは社員の情報を含むものとして、置き場所と消す時期を決めておきます(当社の見立て)。
4. 監査の手順書を直す。 監査や内部統制で、端末の登録の状況を証跡に使っている場合は、誰がどの役割で取り出すかを手順書に書き、役割を移したら手順書も直します。

Purviewのほかの予定の変更は、Purview のネットワーク DLP、全 Web サイトが対象に(予定)でも取り上げています。