【Copilot】個人端末からCopilotへのアクセスをMDMで制御する手順

Microsoft 365 Copilotは、個人利用の端末からでもアクセス可能です。

しかし、企業の情報漏洩リスクを考慮すると、アクセス制御は必須となります。

本記事では、MDM(Mobile Device Management)を用いて、個人端末からのCopilotアクセスを制限する具体的な手順を解説します。

これにより、セキュリティポリシーを遵守しつつ、業務効率化を図ることが可能になります。

Copilotへのアクセス制御におけるMDMの役割

CopilotはMicrosoft 365のサービスとして提供されており、そのアクセスはMicrosoft Entra ID(旧Azure Active Directory)によって認証・認可されます。

MDMソリューションであるMicrosoft Intuneは、デバイスの状態やコンプライアンスを管理し、Entra IDと連携して条件付きアクセス ポリシーを適用する役割を担います。

これにより、企業が定めたセキュリティ基準を満たさない個人端末からのCopilot利用を制限できます。

Copilotアクセス制御のためのMDM設定手順

1. Microsoft 365 管理センターへのサインイン
   グローバル管理者またはセキュリティ管理者権限を持つアカウントで、Microsoft 365 管理センターにサインインします。
2. Microsoft Entra ID ポータルへの移動
   管理センターの左側ナビゲーションメニューから、「すべてのアプリ」>「Microsoft Entra ID」を選択します。
3. 条件付きアクセス ポリシーの作成
   Entra ID ポータルの「保護」>「条件付きアクセス」に移動し、「新しいポリシー」を選択します。
4. ポリシーの割り当て(ユーザーとグループ)
   「割り当て」セクションの「ユーザーとグループ」で、ポリシーを適用するユーザーまたはグループを選択します。個人端末からのアクセスを制御するため、該当するユーザーグループを指定します。
5. ターゲットアプリの選択
   「ターゲットアプリ」で、「クラウド アプリまたはアクション」を選択し、検索ボックスに「Copilot」と入力して、対象となるCopilot関連のアプリケーション(例: Microsoft Copilot)を選択します。
6. 条件の設定
   「条件」セクションで、アクセスを制御したい条件を設定します。
• デバイス プラットフォーム: 「デバイス プラットフォーム」で「モバイル デバイス」や「デスクトップ デバイス」などを選択し、制御したいOSを指定します。
• クライアント アプリ: 「クライアント アプリ」で「モバイル アプリとデスクトップ クライアント」を選択します。
• 信頼された場所: 必要に応じて、特定のネットワークロケーション(社内ネットワークなど)からのアクセスのみを許可するように設定します。
• デバイスのコンプライアンス: 「デバイスのコンプライアンス」で「準拠」を選択し、Intuneで管理され、コンプライアンス要件を満たしているデバイスのみアクセスを許可するように設定します。
7. アクセスの制御
   「アクセスの制御」セクションで、「許可」または「ブロック」を選択します。個人端末からのアクセスを制限する場合、「ブロック」を選択して、設定した条件に合致するアクセスを拒否します。
8. ポリシーの有効化
   「ポリシーの有効化」を「オン」にし、「作成」ボタンをクリックしてポリシーを保存します。

Copilotアクセス制御における注意点とよくある誤解

個人端末の定義と範囲

「個人端末」の定義は、企業によって異なります。IT部門は、BYOD(Bring Your Own Device)ポリシーやMDM enrollment statusなどを基に、どのデバイスを個人端末とみなすかを明確に定義する必要があります。

誤って社有端末を個人端末と誤認してアクセスをブロックしないよう注意が必要です。

Intuneのコンプライアンスポリシー設定

条件付きアクセスで「デバイスのコンプライアンス」を要求する場合、Microsoft Intuneで適切なコンプライアンスポリシーが事前に設定されている必要があります。

例えば、OSのバージョン、パスコード設定、ディスク暗号化などがコンプライアンス要件として定義されているか確認してください。

Webブラウザ経由のアクセス制御

CopilotはWebブラウザからも利用可能です。上記の設定は、Entra ID認証を伴うアプリケーションやブラウザセッションに適用されます。

ブラウザのCookieやセッション情報に依存するため、ブラウザのキャッシュクリアやシークレットモードでの利用など、回避策が存在する可能性も考慮する必要があります。

Copilot Proとの違い

Copilot Proは個人向けのサブスクリプションですが、企業がMicrosoft 365 Copilotライセンスを付与している場合、そのアクセスもEntra IDの管理下に置かれます。

本記事の手順は、主に企業が管理するMicrosoft 365 Copilotライセンスの利用を制御することを想定しています。

個人端末からのCopilotアクセスをMDMで制御する手順について解説しました。

Microsoft Entra IDの条件付きアクセス ポリシーを利用することで、デバイスのコンプライアンス状況に基づいたアクセス制限が可能です。

IT管理者は、今回紹介した手順と注意点を参考に、組織のセキュリティポリシーに合わせたCopilotの利用環境を構築してください。