【Power Automate】承認フローのメールでつまずく時のDLPポリシーとライセンスの見直し

Power Automateで作成した承認フローが正常に動作しているはずなのに、承認メールが届かない、あるいは届いたメールから承認操作ができないというトラブルは、多くの会社員が経験する厄介な問題です。フローの実行履歴では「承認待ち」と表示されるのに、肝心のメールが届かない場合、原因はいくつかの領域に分かれます。この記事では、代表的な原因として「DLP(データ損失防止)ポリシー」と「ライセンス」に焦点を当て、それぞれの確認方法や修正手順を具体的に解説します。さらに、メールクライアント側の問題や管理者に問い合わせるべきポイントも整理しますので、あなたの担当するフローの問題をスムーズに解決できるようになります。

承認フローのメールが届かない原因の全体像

Power Automateの承認フローでは、承認依頼者(作成者)と承認者(ユーザー)の間でメールがやり取りされます。このメールが機能しない主な原因として、DLPポリシーによる承認コネクタのブロック、ライセンス不足による承認機能の制限、メール配信設定の誤り、さらには迷惑メールフィルターによる誤判定などが考えられます。また、Microsoft 365のリージョンやテナントの構成によっては、承認メールの送信元アドレスが異なる場合もあり、受信側でホワイトリスト登録が必要なケースもあります。まずは原因を大きく三つのカテゴリに分けて、順に確認していきましょう。

DLPポリシーと承認フローの関係

DLPポリシーは、組織内のデータを保護するために、Power Automateなどで利用できるコネクタやアクションを制限する機能です。承認フローでは「承認」コネクタが使用されますが、管理者が既定のポリシーでこのコネクタをブロックしていると、フローは正しく動作しません。特に、作成者(フローをトリガーした人)と承認者が異なるテナントや外部環境にいる場合、クロステナントの承認が許可されていない可能性もあります。DLPポリシーは「ビジネスデータのみ」と「非ビジネスデータのみ」の2種類の既定ポリシーがあり、多くの組織はこのどちらかをカスタマイズして運用しています。

ライセンスが承認メールに与える影響

Power Automateの承認機能は、Microsoft 365のライセンスに依存します。例えば、Office 365 E3/E5に含まれるPower Automateライセンスでは、承認アクションの一部が制限される場合があります。具体的には、承認フローで「承認の開始と待機」アクションを使うには、作成者にPower Automate有料ライセンス(またはPer User with Attended RPAなど)が必要です。承認者側は、通常Microsoft 365ライセンスがあれば承認メールから操作できますが、ライセンスがないユーザーは承認センターにアクセスできず、メール内のリンクをクリックしてもエラーになることがあります。

DLPポリシーの詳細と確認手順

DLPポリシーを確認するには、Power Platform管理者センターまたはPower Automate管理センターにアクセスする必要があります。通常、一般ユーザーにはこの画面は表示されないため、管理者に依頼するか、自分がグローバル管理者またはPower Platform管理者であれば直接確認できます。以下では、具体的な確認手順と、問題が発生している場合の修正方法を説明します。

DLPポリシーが承認フローをブロックしているケース

承認フローで利用される「承認」コネクタは、データグループが「ビジネスデータのみ」の場合に許可されます。DLPポリシーが「非ビジネスデータのみ」に設定されていると、承認コネクタが強制的にブロックされます。また、カスタムポリシーで承認コネクタが明示的に禁止されていないかどうかも確認が必要です。さらに、多要素認証や条件付きアクセスポリシーと組み合わせてアクセスが制限されている場合もあります。

管理者によるDLPポリシー確認手順

1. Power Platform管理センター(https://admin.powerplatform.microsoft.com)に管理者アカウントでサインインします。
2. 左側のメニューから「データポリシー」をクリックします。ここに、既定のポリシーとカスタムポリシーの一覧が表示されます。
3. 「+ 新しいポリシー」で作成されたポリシーや、既定のポリシーを選択します。
4. 「コネクタ」タブで、「承認」コネクタがどのデータグループに割り当てられているか確認します。「ビジネス」グループにあれば問題ありません。
5. もし「ブロック」されている場合は、そのポリシーを編集し、承認コネクタをビジネスデータグループに移動するか、新しく許可するポリシーを作成して環境に適用します。
6. 該当するフローが実行される環境(既定では「既定の環境」が多い)にポリシーが適用されているか、ポリシーのスコープを確認します。

DLPポリシーの変更は、すべてのフローに影響を与える可能性があるため、事前にテスト環境で検証することをお勧めします。変更後、承認フローを再実行してメールが届くか確認します。

ライセンスの確認と必要なライセンスの種類

承認フローが正しく動作するために必要なライセンスは、フローを作成する側(作成者)と承認する側(承認者)で異なります。ライセンスが不足していると、メールが送信されない、または承認操作ができないという症状が現れます。

ライセンス別の機能比較表

ライセンス	フロー作成者	承認者	承認アクション制限
Office 365 E1/E3/E5	一部制限あり(標準コネクタのみ)	承認操作可能	「承認の開始と待機」は利用不可の場合あり
Power Automate 無料ライセンス	制限あり(1日あたり実行回数制限など)	承認操作可能	承認アクション全般に制限あり
Power Automate Per User(有料)	フル機能	承認操作可能	制限なし
Power Automate Per Flow(有料)	フル機能(フロー単位課金)	承認操作可能	制限なし

上記の表の通り、作成者に適切なライセンスがないと、承認アクションがフロー内でエラーになるか、そもそも承認メールが生成されません。特に、標準の「承認の開始と待機」アクションを使う場合、Power Automateの有料ライセンスが必要になることが多いです。一方、承認者はMicrosoft 365ライセンスがあれば、メールから承認ボタンをクリックする操作は可能です。ただし、承認センターにアクセスする際にもライセンスが必要な場合があるため、両者とも確認してください。

トラブルシューティング手順:メールが届かない場合の行動

1. フロー実行履歴を確認する:Power Automateで該当フローを開き、実行履歴から最新の実行をクリックします。承認アクションが「承認待ち」または「承認済み」となっているか確認します。エラーが出ている場合は、その詳細から原因を特定します。
2. 承認者が迷惑メールフォルダを確認する:Power Automateからの承認メールは、送信元アドレスが「microsoft@powerautomate.microsoft.com」や「no-reply@powerautomate.com」の場合があります。これらのアドレスを受信許可リストに追加しておくとよいでしょう。
3. 承認者のライセンスを確認する:Microsoft 365管理センターで、承認者のライセンスが有効で、Power Automateのサービスプランが含まれているか確認します。特に「Power Automate for Office 365」や「Power Automate Free」などのプランが割り当てられている必要があります。
4. DLPポリシーを管理者に問い合わせる:自分が管理者でない場合は、Power Platform管理者にDLPポリシーで承認コネクタがブロックされていないか確認してもらいます。特に、複数の環境がある場合は、フローがある環境に適用されているポリシーを確認します。
5. フローが使用するコネクタを再確認する:フロー内で「承認」コネクタの代わりに「承認 – 最新」などの別のコネクタを使っている場合は、そのコネクタがDLPポリシーで許可されているか確認します。
6. メール配信設定をチェックする:承認フローのトリガーやアクションで、「メールを送信する」設定が正しく行われているか確認します。例えば、承認者のメールアドレスがフロー内で動的に指定されている場合、その値が正しいか実行履歴で確認できます。

上記手順を実施しても解決しない場合は、Microsoft 365サービス正常性ダッシュボードでPower Automateや承認機能に障害が発生していないか確認します。また、承認フローが複数人に送信される場合、一部のユーザーのみ問題が発生するケースでは、そのユーザーのメールボックス設定に問題がある可能性も考えられます。

管理者に確認すべき設定とよくある質問

管理者に確認すべき5つの項目

確認項目	詳細
承認コネクタのDLPポリシーでのブロック状況	環境に適用されているすべてのDLPポリシーで「承認」コネクタが許可されているか確認します。カスタムポリシーが優先されるため、該当環境にどのポリシーが適用されているか明確にします。
作成者と承認者のライセンス割り当て	Power Automateの利用に必要なライセンスが、フロー作成者と承認者の両方に適切に割り当てられているか確認します。特に「Power Automate for Office 365」プランが有効になっているかが重要です。
テナント間の承認設定	外部ゲストユーザーや他テナントのユーザーに承認を依頼する場合、クロステナントの承認が許可されているか、条件付きアクセスや外部コラボレーション設定を確認します。
承認センターのURLフィルタリング	組織のプロキシやファイアウォールで、承認センターのURL(https://flow.microsoft.com/manage/approvals など)がブロックされていないか確認します。
メール送信制限(Exchange Online)	Exchange Onlineのトランスポートルールやメールフロールールで、Power Automateからのメールが削除されたり迷惑メールに振り分けられていないか確認します。

よくある質問(FAQ)

Q. 承認メールが届かないのですが、フローの実行履歴では「承認待ち」と表示されています。何が原因でしょうか?
A. 最も多いのは、承認者のメールクライアントでのフィルタリング、またはDLPポリシーによるコネクタブロックです。まずは承認者が迷惑メールフォルダをご確認ください。次に、管理者にDLPポリシーを確認してもらいましょう。また、作成者側のライセンスが不足しているケースもあります。

Q. 承認メールは届くのですが、メール内の「承認」ボタンをクリックするとエラーになります。
A. 承認者のライセンス不足が原因の可能性があります。特に、承認者がビジネス向けのMicrosoft 365ライセンス(E1/E3/E5など)を持っていない場合、承認センターにアクセスできません。また、ブラウザでCookieやキャッシュが原因の場合もあるため、プライベートブラウザで試してみてください。

Q. フローを修正した後もメールが届きません。DLPポリシーを変更したばかりですが、反映に時間がかかりますか?
A. DLPポリシーの変更は通常即座に反映されますが、Power Automateのキャッシュにより最大1時間程度かかる場合もあります。一度フローを無効にして再度有効にするか、強制的に再保存すると反映が早まることがあります。

Q. 承認フローを新規作成しましたが、テストしてもメールが届きません。作成者自身に承認を割り当てています。
A. 自分自身に承認を割り当てる場合でも、作成者と承認者の両方に有効なライセンスが必要です。また、作成者自身のメールに届かない場合は、前述の手順でDLPポリシーとライセンスを再確認してください。

まとめ

Power Automateの承認フローでメールトラブルが発生したときは、まずDLPポリシーによるコネクタのブロックとライセンス不足を疑ってください。これらの原因は管理画面から確認できるため、管理者と連携して迅速に解決できます。特に、承認コネクタがビジネスデータグループに分類されているか、作成者と承認者の各ライセンスが正しいかをチェックすることが重要です。また、メールクライアントのフィルタリングやExchange Onlineのトランスポートルールも影響するため、複合的に調査を進めましょう。本記事で紹介した手順を一つずつ実行すれば、多くのケースで問題を解決できるはずです。

🔐

会社アカウント・認証トラブル完全解決データベース 職場または学校アカウント、MFA、Authenticator、VPN、権限、会社ポリシーで止まる問題を横断的に確認できます。