【Power Automate】並列分岐で権限エラーになる場合の接続と所有者の確認

Power Automateで並列分岐を使用すると、複数のアクションを同時に実行できて便利です。しかし、各分岐で権限エラーが発生することがあります。その原因の多くは、分岐内で使用するコネクション(接続)の所有者と、フローの実行ユーザーが一致していないことです。本記事では、並列分岐で権限エラーが発生した場合に、接続と所有者の確認を通じて原因を特定し、解決するための具体的な手順を解説します。

1. 並列分岐で発生する権限エラーの原因

Power Automateの並列分岐では、各分岐に独立したアクションを配置します。それぞれのアクションはデータソース(SharePoint、Outlook、SQL Serverなど)への接続にコネクションを使用します。権限エラーが起きる典型的な原因は次のとおりです。

• コネクション所有者と実行ユーザーの不一致: コネクションは特定のユーザーアカウントまたはサービスプリンシパルで作成され、その所有者に紐付いています。フローの実行ユーザーがコネクションの所有者と異なる場合、アクセス権がないと判断されエラーになります。
• コネクションの共有設定が不足: フローを共有する際にコネクションも共有する必要がありますが、既定では作成者のみが使用可能です。共有フローで他のユーザーが実行する場合、各ユーザーが自分のコネクションを持っていないとエラーになります。
• 並列分岐内でのコネクションの混在: 各分岐で異なる種類のコネクション(例:一方はSharePoint、もう一方はOutlook)を使用する場合、それぞれのコネクション所有者が異なると権限エラーが発生しやすくなります。

2. 権限エラー発生時の最初の確認手順

エラーが発生したら、以下の手順で原因を切り分けます。

1. エラーメッセージの内容を確認する。 実行履歴からエラーが発生した分岐を特定し、メッセージをコピーします。多くの場合、”Access denied”や”Permission required”など権限に関係する文言が含まれます。
2. フローの編集画面で各分岐のアクションを開き、コネクションの状態を確認する。 コネクション名の横に警告アイコン(黄色い三角形)が表示されていないか、またコネクションが赤くエラー状態になっていないかをチェックします。
3. コネクションの所有者を確認する。 Power Automateポータルの「データ」→「接続」から該当コネクションを選択し、”作成者”(所有者)が誰かを確認します。フロー作成者と異なる実行ユーザーがコネクションを使用しようとしていないかを調べます。
4. 実行履歴で、エラーが発生した分岐のアクション詳細を確認する。 各アクションのインプットとアウトプットから、使用されたコネクションのIDやアカウント情報が記録されています。
5. コネクションを一旦削除し、再作成する。 所有者を実行ユーザーに変更することで問題が解決する場合があります。ただし、コネクションを削除すると他のフローに影響を与える可能性があるため、事前に影響範囲を確認してください。

3. 接続の所有者と実行ユーザーの関係を確認する

コネクションの所有者には主に「ユーザーアカウント」と「サービスプリンシパル」の2種類があります。それぞれの特徴を理解することが重要です。

3.1 ユーザーアカウントの場合

通常、Power Automateのコネクションはフロー作成者のユーザーアカウントで作成されます。この場合、フローを他のユーザーと共有しても、そのユーザーがフローを実行するときにはコネクションの所有者が自分と異なるため権限エラーが発生します。対処法としては、各実行ユーザーに自分のコネクションを作成してもらうか、フロー内で「接続の参照」を使用して動的にコネクションを切り替える方法があります。

3.2 サービスプリンシパルの場合

管理者がテナント全体で使用するためにサービスプリンシパル(アプリ登録)を使ってコネクションを作成することがあります。この場合、コネクションの所有者はサービスプリンシパルになります。サービスプリンシパルを使用するフローは、通常どのユーザーが実行しても同じ権限で動作しますが、実行ユーザーにサービスプリンシパルへのアクセス権限(例:Azure ADのディレクトリロール)が必要な場合があります。権限エラーが発生したら、サービスプリンシパルが正しく設定されているか、また実行ユーザーが必要なロールを持っているかを確認します。

3.3 委任とアプリケーション権限の違い

コネクションの認証方式には委任(ユーザーの代わりにアクセス)とアプリケーション権限(アプリ自体がアクセス)があります。並列分岐で異なる認証方式を混在させると、権限エラーが発生しやすくなります。例えば、一方の分岐が委任でSharePointにアクセスし、もう一方がアプリケーション権限でOutlookにアクセスする場合、実行ユーザーの権限が不足することがあります。各コネクションの認証方式を統一するか、適切なスコープを設定することで回避できます。

4. 正常動作と権限エラー時の比較表

5. よくある失敗パターンと対処法

実際の現場でよく見られる失敗例を紹介します。

• 失敗パターン1: フローを共有したがコネクションが共有元の所有者のまま
  対処法:フローの編集画面で各アクションのコネクションを選択し、「新しい接続」から実行ユーザー自身のアカウントで作り直します。または、フローを共有するときに「コネクションを共有」オプションを有効にします。
• 失敗パターン2: 並列分岐内で異なるサービスのコネクションを混在
  対処法:各分岐で使用するすべてのコネクションの所有者を同一のユーザーまたはサービスプリンシパルに統一します。どうしても異なるアカウントが必要な場合は、フローを分割して別々のフローで実行する方法を検討します。
• 失敗パターン3: 管理者がサービスプリンシパルで作成したフローを一般ユーザーが実行
  対処法:サービスプリンシパルに適切なアプリケーション権限と委任権限が付与されているか確認します。また、一般ユーザーにサービスプリンシパルへのアクセス権(Azure ADのロール)が必要な場合は、管理者に依頼します。

6. 管理者に確認すべき情報と設定

権限エラーが解決しない場合は、IT管理者に以下の情報を伝えて調査を依頼します。

• エラーの詳細: 実行履歴からコピーしたエラーメッセージ、エラーコード、タイムスタンプ。
• フローの所有者と共有設定: フローを作成したユーザー、共有しているユーザー、コネクションの所有者一覧。
• コネクションの種類: どのサービスのコネクションか(SharePoint、Outlook、SQL Serverなど)。
• データ損失防止ポリシー(DLP): DLPポリシーにより特定のコネクションがブロックされている可能性があります。管理者はポリシー設定を確認し、必要なコネクションを許可するよう調整します。

管理者側では、以下の設定を確認してください。

• コネクションの共有設定: 環境の設定で「ユーザーが他のユーザーとコネクションを共有できる」が有効になっているか。
• サービスプリンシパルの権限: Azure ADでサービスプリンシパルに適切なAPIアクセス許可が付与されているか。
• 実行ユーザーのライセンス: Power Automateの有償ライセンスが必要なプレミアムコネクタを使用していないか。

7. よくある質問

• Q: 並列分岐の各アクションで同じコネクションを使うべきですか?
  A: 理想的には、全ての分岐で同一のコネクション(同一所有者)を使用することを推奨します。ただし、異なるデータソース(例:SharePointとSalesforce)を扱う場合はそれぞれ別のコネクションが必要です。その際は、所有者を統一するか、各分岐の実行ユーザーが適切な権限を持っていることを確認します。
• Q: コネクションを変更すると他のフローに影響しますか?
  A: 影響します。同じコネクションを他のフローが参照している場合、コネクションを削除したり所有者を変更するとそれらのフローもエラーになります。変更前に影響範囲を確認するには、「データ」→「接続」から該当コネクションを選択し、「使用されている場所」を確認します。
• Q: Office 365グループで所有しているコネクションの注意点は?
  A: Office 365グループのメールボックスやサイトにアクセスするコネクションは、グループの所有者権限が必要です。グループのメンバーが実行する場合、コネクションの所有者がグループか個人かで動作が変わることがあります。通常はグループのメールボックスに対しては、グループの所有者アカウントでコネクションを作成すると安定します。

8. まとめ

並列分岐で権限エラーが発生した場合は、まず各分岐のコネクションの所有者と実行ユーザーの一致を確認します。ユーザーアカウントの不一致が原因であれば、コネクションの再作成や共有設定の見直しで解決できることが多いです。サービスプリンシパルを使用する際は、適切な権限付与と承認が必要です。管理者と連携して組織のポリシーに沿った対応を行いましょう。定期的にコネクションの状態をチェックすることで、エラーの予防にもつながります。