【Copilot】CopilotリソースアクセスにEntra ID条件付きアクセスを設定する手順とセキュリティ強化

Microsoft 365 Copilotの利用範囲を管理したいですか?特定の条件を満たしたユーザーのみがCopilotリソースにアクセスできるよう、Entra ID(旧Azure AD)の条件付きアクセスを設定する方法を知りたいでしょう。この記事では、Copilotへのアクセスを安全に制御するための具体的な手順を解説します。

これにより、組織のセキュリティポリシーに沿ったCopilotの利用が可能になります。

CopilotリソースへのEntra ID条件付きアクセスの概要

Microsoft 365 Copilotは、Microsoft Entra ID(旧Azure Active Directory)のID管理機能を利用しています。そのため、Entra IDの条件付きアクセス機能を使うことで、Copilotへのアクセスをより細かく制御できます。例えば、社内ネットワークからのアクセスのみを許可したり、多要素認証(MFA)を必須としたりすることが可能です。これにより、不正アクセスを防ぎ、組織のセキュリティレベルを向上させられます。この機能は、Microsoft 365 E3/E5/Business Premiumなどの法人向けライセンスとCopilotアドオンが必要です。個人向けCopilot Proでは利用できません。

Copilotリソースへの条件付きアクセスを設定する手順

1. Microsoft Entra 管理センターへのサインイン
   Webブラウザを開き、Microsoft Entra 管理センター (entra.microsoft.com) に管理者アカウントでサインインします。
2. 条件付きアクセスメニューへの移動
   左側のナビゲーションメニューから「保護」>「条件付きアクセス」を選択します。
3. 新しいポリシーの作成
   「ポリシー」画面の上部にある「+ 新しいポリシー」ボタンをクリックします。
4. ポリシー名の設定
   「名前」フィールドに、ポリシーの内容がわかる名前(例: Copilotアクセス制限)を入力します。
5. 割り当て対象ユーザーの設定
   「割り当て」セクションの「ユーザーまたはワークロード ID」をクリックします。「含める」タブで、このポリシーを適用したいユーザーまたはグループを選択します。通常は「すべてのユーザー」または特定のグループを選びます。
6. ターゲットリソース(アプリ)の選択
   「ターゲットリソース」セクションの「ターゲットリソース」を「クラウド アプリまたは操作」に変更し、「アプリ」を選択します。
7. Copilotアプリの選択
   「アプリケーションの選択」画面で、「アプリ」タブを選択し、検索ボックスに「Microsoft Copilot」と入力して検索します。表示された「Microsoft Copilot」にチェックを入れ、「完了」をクリックします。
8. 条件の設定(必要に応じて)
   「条件」セクションで、アクセスを制御するための追加条件を設定できます。例えば、「デバイス プラットフォーム」で特定のOSのみを許可したり、「場所」で信頼できるIPアドレスからのアクセスのみを許可したりできます。
9. アクセス許可の設定
   「アクセス許可」セクションの「付与」をクリックします。「アクセスを許可する」を選択し、必要なアクセス許可(例: 「多要素認証の要求」や「サインイン頻度の制限」)を選択して「選択」をクリックします。
10. セッション制御の設定(推奨)
    「セッション」セクションで、「サインイン頻度」を「1時間ごと」や「1日ごと」に設定したり、「永続的なサインインを許可しない」を選択したりできます。これは、ユーザーが常に最新の認証状態であることを保証するために役立ちます。
11. ポリシーの有効化
    「ポリシーを有効にする」を「オン」に設定します。テスト中は「レポートのみ」に設定して、影響を確認することもできます。
12. ポリシーの作成
    右下の「作成」ボタンをクリックして、ポリシーを保存します。

Copilotアクセス制御における注意点とよくある誤解

CopilotアプリがEntra IDに表示されない場合

条件付きアクセスで「Microsoft Copilot」アプリが見つからない場合、Entra IDのアプリギャラリーにまだ登録されていない可能性があります。その際は、代わりに「Microsoft Graph」や「Microsoft 365」といった関連性の高いアプリケーションを選択し、アクセス許可で「セッション制御」を利用して、Copilotへのアクセスを間接的に制限することを検討してください。ただし、これは限定的な制御方法です。Copilot専用のアプリが表示されるようになるまで、Microsoftのアップデートを確認してください。

設定した条件付きアクセス ポリシーが機能しない

ポリシーを「レポートのみ」モードで実行し、サインアウトしてから再度サインインして動作を確認してください。それでも機能しない場合は、他の条件付きアクセス ポリシーとの競合や、ユーザーが所属するグループの設定を確認する必要があります。また、Copilotへのアクセスは、Microsoft Graph APIを介して行われる場合があるため、Microsoft Graphに対する条件付きアクセス ポリシーも確認することが重要です。

永続的なサインインが解除されない

「永続的なサインインを許可しない」設定が有効になっていても、ユーザーがブラウザの「サインインしたままにする」オプションを選択している場合、サインアウトされないことがあります。この問題を回避するには、条件付きアクセス ポリシーの「セッション制御」で「サインイン頻度」を短く設定し、定期的な再認証を強制することを推奨します。

Copilot ProとMicrosoft 365 Copilotのアクセス制御比較

Copilot Proは個人のMicrosoftアカウントで利用するため、組織レベルでの詳細なアクセス制御はできません。一方、Microsoft 365 Copilotは組織のEntra IDと連携するため、本記事で解説した条件付きアクセスによる厳格なセキュリティ管理が可能です。組織でCopilotを導入する際は、利用目的に応じて適切なライセンスとセキュリティ設定を選択することが重要です。

この記事では、Microsoft Entra IDの条件付きアクセス機能を利用して、Microsoft 365 Copilotへのアクセスを安全に制御する手順を解説しました。これにより、組織のセキュリティポリシーに沿ったCopilotの利用が可能になります。次に、設定したポリシーが意図通りに機能するかを「レポートのみ」モードで確認し、必要に応じて「多要素認証の要求」や「サインイン頻度」の設定を調整してみてください。