日本語

Home > Exchange Online 移行の実行 > Exchange Online 移行の必須権限 > 移行先 Exchange Online における権限

移行先 Exchange Online における権限

移行先に接続するには、認証方法として、サービスアカウント・Fly アプリプロファイル・カスタムアプリプロファイルのいずれかの使用を選択することができます。サービスアカウントと Fly アプリプロファイルの組み合わせ、またはサービスアカウントとカスタムアプリプロファイルの組み合わせを使用することもできます。

認証方法によって必要な権限については、以下のセクションを参照してください。

Fly アプリプロファイル権限
カスタムアプリプロファイル権限
サービスアカウント権限
委任アプリプロファイル権限

Fly アプリプロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 で Fly アプリプロファイルを作成して、Fly アプリを使用している Microsoft 365 テナントに接続することができます。

Fly アプリプロファイルの作成方法および必須権限については、Fly アプリプロファイル権限を参照してください。

NOTE

Exchange Online テナントの検出または Exchange Online から Exchange Online への移行を実行する場合、アプリを承認するアカウントがメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。

以下の場合に、Exchange 管理者 ロールを AvePoint Fly アプリに割り当てる必要があります。詳細については、以下の Exchange 管理者ロールのアプリへの割り当て方法を参照してください。

移行先メールボックスに X500 メールアドレスを追加する
移行先で共有メールボックス / 配布リスト / 動的配布リスト / メールが有効なセキュリティグループを作成する
移行先でメールボックス権限を追加する

アプリに Exchange 管理者 ロールを割り当てない場合は、アプリにカスタムロールを追加して上記の機能が利用可能であることを確保します。詳細については、アプリへのカスタム役割の追加方法を参照してください。

カスタムアプリプロファイル権限

NOTE

AvePoint Online Services は、Exchange Web Services (EWS) から Microsoft Graph への移行を実行しています。この移行の一環として、Exchange Online から Exchange Online への移行の場合、管理者は AvePoint アプリケーションを再認証して必要な Microsoft Graph アクセス許可を付与するか、以下の Microsoft Graph API アプリケーションのアクセス許可を移行先カスタム Azure アプリに追加する必要があります。

Calendars.ReadWrite
Contacts.ReadWrite
Mail.ReadWrite
MailboxFolder.ReadWrite.All
MailboxItem.ImportExport.All
MailboxItem.Read.All
MailboxSettings.ReadWrite
Tasks.ReadWrite.All

Exchange Online から Exchange Online への移行におけるカスタムアプリの権限については、カスタムアプリプロファイル権限を参照してください。

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 でカスタムアプリプロファイルを作成して、カスタム Azure アプリを使用している Microsoft 365 テナントに接続することができます。

カスタムアプリプロファイルを作成するには、以下の説明を参照してください。

Microsoft Entra ID で証明書を準備します。詳細については、カスタム Azure アプリ用の証明書の準備を参照してください。

証明書がある場合、このステップを無視することができます。
Microsoft Entra IDでカスタム Azure アプリを作成します。詳細については、カスタム Azure アプリの作成を参照してください。
テナントを AvePoint Online Services に接続します。
AvePoint Online Services でカスタム Azure アプリ用アプリプロファイルを作成します。

NOTE

アプリプロファイルの再承認時に権限の更新がある場合、承認後、アプリプロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリプロファイルを移行の実行に使用することはできません。

以下の表の内容に従って、Exchange Online 移行に必要な API アクセス許可を追加してください。

以下のことに注意してください。

Exchange Online テナントの検出または Exchange Online から Exchange Online への移行を実行する場合、アプリを承認するアカウントがメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。
以下の場合に、カスタムアプリに Exchange 管理者 ロールを割り当てる必要があります。詳細については、以下の Exchange 管理者ロールのアプリへの割り当て方法を参照してください。
- 移行先メールボックスに X500 メールアドレスを追加する
- 移行先で共有メールボックス / 配布リスト / 動的配布リスト / メールが有効なセキュリティグループを作成する
- 移行先でメールボックス権限を追加する
アプリに Exchange 管理者 ロールを割り当てない場合は、アプリにカスタムロールを追加して上記の機能が利用可能であることを確保します。詳細については、アプリへのカスタム役割の追加方法を参照してください。

API	アクセス許可	タイプ	目的
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	Content.DelegatedWriter (Create protected content on behalf of a user)	アプリケーション	メールの秘密度ラベルを管理する場合にのみ必要です。注意: Exchange Online テナントの検出または Exchange Online から Exchange Online への移行を実行する場合、アプリを承認するアカウントがメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。また、Exchange 管理者* ロールをカスタム Azure アプリに手動的に割り当てて、Exchange Online PowerShell が利用可能であることを確認します。詳細については、以下の Exchange 管理者ロールのアプリへの割り当て方法を参照してください。 (移行に Graph API または EWS を使用している場合に必要です。)
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	Content.Writer (Create protected content)	アプリケーション	メールの秘密度ラベルを管理する場合にのみ必要です。注意: Exchange Online テナントの検出または Exchange Online から Exchange Online への移行を実行する場合、アプリを承認するアカウントがメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。また、Exchange 管理者* ロールをカスタム Azure アプリに手動的に割り当てて、Exchange Online PowerShell が利用可能であることを確認します。詳細については、以下の Exchange 管理者ロールのアプリへの割り当て方法を参照してください。 (移行に Graph API または EWS を使用している場合に必要です。)
Microsoft Information Protection Sync Service	UnifiedPolicy.Tenant.Read (Read all unified policies of the tenant)	アプリケーション	メールの秘密度ラベルを管理する場合にのみ必要です。 (移行に Graph API または EWS を使用している場合に必要です。)
Office 365 Exchange Online	Exchange.ManageAsApp (Manage Exchange As Application)	アプリケーション	Exchange PowerShell を使用してメールボックスの権限、配布リスト、動的に配布リストを移行します。 (移行に Graph API または EWS を使用している場合に必要です。)
Office 365 Exchange Online	full_access_as_app (Use Exchange Web Services with full access to all mailboxes)	アプリケーション	すべてのメールボックスからアイテムを取得して移行します。 *注意: この権限をアプリに追加しない場合、アプリに RBAC 割り当てを作成して、特定のメールボックスへのアクセス権のみをアプリに付与します。詳細については、ApplicationImpersonation ロールなしでのメールボックスの移行方法セクションのオプション 3 を参照してください。 (移行に EWS を使用している場合に必要です。)
Microsoft Graph	User.Read.All (Read all users’ full profiles)	アプリケーション	メールボックスタイプを取得して、会議リンクの置き換えおよびユーザー ID の取得を実行します。 (移行に Graph API または EWS を使用している場合に必要です。)
Microsoft Graph	Calendars.ReadWrite (Read and write calendars in all mailboxes)	アプリケーション	予定表を取得して更新し、メールアドレスおよび会議リンクを置き換えます。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	Contacts.ReadWrite (Read and write contacts in all mailboxes)	アプリケーション	メールアドレスを置き換えるため、連絡先を取得して更新します。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	Mail.ReadWrite (Read and write mail in all mailboxes)	アプリケーション	メールを取得し、メールアドレスを置き換えるためにメールを更新し、秘密度ラベルに関連するメールを削除します。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	MailboxFolder.ReadWrite.All (Read and write all the users' mailbox folders)	アプリケーション	メールボックスフォルダーを取得してリストアします。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	MailboxItem.ImportExport.All (Allows the app to perform backup and restore for all mailbox items)	アプリケーション	メールボックスアイテムを取得します。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	MailboxItem.Read.All (Read all the users' mailbox items)	アプリケーション	競合するアイテムを識別するため、メールボックスアイテムを取得します。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	MailboxSettings.ReadWrite (Read and write all user mailbox settings)	アプリケーション	自動応答設定など、メールボックス設定をリストアします。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	Tasks.ReadWrite.All (Read and write all users’ tasks and tasklists)	アプリケーション	競合するタスクを削除します。 (移行に EWS の代わりに Graph API を使用している場合に必要です。)
Microsoft Graph	Directory.Read.All (Read directory data)	アプリケーション	Exchange Online テナントの検出を実行する場合にのみ必要です。 (移行に EWS を使用している場合に必要です。)
Microsoft Graph	Group.ReadWrite.All (Read and write all groups)	アプリケーション	Microsoft 365 グループメールボックスを取得・作成します。 (移行に EWS を使用している場合に必要です。)
Microsoft Graph	Reports.Read.All (Read all usage reports)	アプリケーション	Exchange Online テナントの検出を実行する場合にのみ必要です。 (移行に EWS を使用している場合に必要です。)
Microsoft Graph	ReportSettings.Read.All (Read all admin report settings)	アプリケーション	Exchange Online テナントの検出を実行する場合にのみ必要です。 (移行に EWS を使用している場合に必要です。)

簡単に使用するため、以下のコマンドを直接使用して、マニフェスト を介して必要な API アクセス許可を Microsoft 365 テナントに追加することができます。

"requiredResourceAccess": [
        {
            "resourceAppId": "00000003-0000-0000-c000-000000000000",
            "resourceAccess": [
                {
                    "id": "df021288-bdef-4463-88db-98f22de89214", //Required when using either the Graph API or EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "ef54d2bf-783f-4e0f-bca1-3210c0444d99", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"

                },
                {
                    "id": "6918b873-d17a-4dc1-b314-35f528134491", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "e2a3a72e-5f79-4c64-b1b1-878b674786c9", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "fef87b92-8391-4589-9da7-eb93dab7dc8a", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "76577085-e73d-4f1d-b26a-85fb33892327", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "7d9f353d-a7bd-4fbb-822a-26d5dd39a3ce", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "6931bccd-447a-43d1-b442-00a195474933", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "44e666d1-d276-445b-a5fc-8815eeb81d55", //Required when using the Graph API instead of EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "62a82d76-70ea-41e2-9197-370581804d09", //Required when using the EWS for migration.
                    "type": "Role"
                },

                {
                    "id": "ee353f83-55ef-4b78-82da-555bfa2b4b95", //Required when using the EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "230c1aed-a721-4c5d-9cb4-a90514e508ef", //Required when using the EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "7ab1d382-f21e-4acd-a863-ba3e13f7da61", //Required when using the EWS for migration.
                    "type": "Role"
                }
            ]
        },
        {
            "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
            "resourceAccess": [
                {
                    "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40", //Required when using the EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "dc50a0fb-09a3-484d-be87-e023b12c6440", //Required when using either the Graph API or EWS for migration.
                    "type": "Role"
                }
            ]
        },
        {
            "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
            "resourceAccess": [
                {
                    "id": "8b2071cd-015a-4025-8052-1c0dba2d3f64", //Required when using either the Graph API or EWS for migration.
                    "type": "Role"
                }
            ]
        },
        {
            "resourceAppId": "00000012-0000-0000-c000-000000000000",
            "resourceAccess": [
                {
                    "id": "006e763d-a822-41fc-8df5-8d3d7fe20022", //Required when using either the Graph API or EWS for migration.
                    "type": "Role"
                },
                {
                    "id": "d13f921c-7f21-4c08-bade-db9d048bd0da", //Required when using either the Graph API or EWS for migration.
                    "type": "Role"
                }
            ]
        }
],

サービスアカウント権限

Microsoft 365 テナントに AvePoint Online Services を接続するには、テナントの所有者およびサービス管理者は Microsoft 365 に対してサービスアカウントプロファイルの作成を実行することもできます。

NOTE

多要素認証 (MFA) が有効なユーザーは、移行を実行するためのサービスアカウントとして使用することはできません。その代わりに、委任アプリプロファイルを使用することができます。

サービスアカウントは以下の要件を満たすメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。

NOTE

サービスアカウントがメールボックスを持っていることを確認するには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービスアカウントの ライセンスとアプリ タブで Exchange Online を選択します。

必須権限	注記
移行の移行先メールボックスに対するフルアクセス許可	Microsoft は、Exchange Online の ApplicationImpersonation ロールを廃止することを発表しました。詳細については、Exchange Online の ApplicationImpersonation ロール廃止の影響と対応策を参照してください。移行でグループメールボックスを移行しない場合、ApplicationImpersonation ロールを追加せずにフルアクセス許可を付与することができます。移行先リソースメールボックス / 共有メールボックスが移行中に新規作成されたものである場合、フルアクセス許可はサービスアカウントに自動付与されます。
Distribution Groups ロール	配布リストまたは動的配布リストを移行する場合に必要です。
Mail Recipients ロール	メールボックス権限の移行、メールボックスエイリアスの移行などを実行する際にメールボックスを取得します。
Mail Recipient Creation ロール	移行先に共有メールボックス、リソースメールボックス、動的配布リストを作成する場合は必要です。
Security Group Creation and Membership ロール	移行先でメールが有効なセキュリティグループを作成する場合に必要です。
管理センター内グループ管理者ロール	配布グループを既存の Microsoft 365 グループに移行する場合に必要です。

アプリプロファイルも使用する場合の必須権限

移行先 Exchange Online でサービスアカウント認証とアプリプロファイル認証の両方を使用している場合、一部のサービスアカウント権限は必要なくなります。サービスアカウントがメールボックスおよび以下の権限を持っていることを確認してください。

NOTE

移行先サービスアカウント権限	注記
Distribution Groups ロール	配布リストまたは動的配布リストを移行する場合に必要です。
Mail Recipients ロール	メールボックス権限の移行、メールボックスエイリアスの移行などを実行する際にメールボックスを取得します。
Mail Recipient Creation ロール	移行先に共有メールボックス、リソースメールボックス、動的配布リストを作成する場合は必要です。
Security Group Creation and Membership ロール	移行先でメールが有効なセキュリティグループを作成する場合に必要です。

委任アプリプロファイル権限

Fly 委任アプリプロファイルまたはカスタムの委任アプリプロファイルを使用してワークスペースに接続することができます。

委任アプリプロファイルを使用するには、以下のことに注意してください。

同意ユーザーのライセンスと権限の要件は、サービスアカウントのライセンスと権限の要件と同じです。詳細については、サービスアカウント権限を参照してください。
委任アプリプロファイルの同意ユーザーの多要素認証 (MFA) が有効になっている場合、MFA の有効化後に委任アプリプロファイルを承認または再承認する必要があります。MFA の有効化後にアプリプロファイルを承認または再承認しないと、委任アプリプロファイルを使用している移行ジョブは失敗します。
アプリプロファイルの再承認時に権限の更新がある場合、承認後、アプリプロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリプロファイルを移行の実行に使用することはできません。
21Vianet テナントに委任アプリプロファイルのみを使用している場合、Exchange PowerShell を使用することはできません。
移行先リソースメールボックス / 共有メールボックスが移行中に新規作成されたものである場合、フルアクセス 許可は委任アプリプロファイルの同意ユーザーに自動付与されます。

移行先用の既定の委任アプリプロファイルまたはカスタム委任アプリプロファイルの作成手順は、移行元用の委任アプリプロファイル権限の作成手順と同じです。

Fly 委任アプリプロファイルの権限については、Fly 委任アプリプロファイルの権限を参照してください。

カスタム委任アプリプロファイルの権限については、以下の説明を参照してください。

API	権限	タイプ	目的
Office 365 Exchange Online	EWS.AccessAsUser.All (Access mailboxes as the signed-in user via Exchange Web Services)	委任済み	指定したユーザーにアクセスし、データをインポートします
Office 365 Exchange Online	Exchange.Manage (Manage Exchange configuration)	委任済み	メールボックス権限、配布リスト、動的配布リストを移行する Exchange PowerShell を使用します。
Microsoft Graph	Domain.Read.All (Read domains)	委任済み	Microsoft 365 グループメールボックスを作成します。
Microsoft Graph	Group.ReadWrite.All (Read and write all groups)	委任済み	Microsoft 365 グループメールボックスを取得して作成します。
Microsoft Graph	InformationProtectionPolicy.Read (Read user sensitivity labels and label policies)	委任済み	メールの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	User.Read.All (Read all users' full profiles)	委任済み	メールボックスタイプを取得して、会議リンクの置き換えおよびユーザー ID の取得を実行します。
Microsoft Information Protection Sync Service	UnifiedPolicy.User.Read (Read all unified policies a user has access to)	委任済み	メールの秘密度ラベルを管理する場合にのみ必要です。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	user_impersonation (Create and access protected content for users)	委任済み	メールの秘密度ラベルを管理する場合にのみ必要です。

"requiredResourceAccess": [
    {
        "resourceAppId": "00000003-0000-0000-c000-000000000000",
        "resourceAccess": [
        {
            "id": "2f9ee017-59c1-4f1d-9472-bd5529a7b311",
            "type": "Scope"
        },
        {
            "id": "4e46008b-f24c-477d-8fff-7bb4ec7aafe0",
            "type": "Scope"
        },
        {
            "id": "4ad84827-5578-4e18-ad7a-86530b12f884",
            "type": "Scope"
        },
        {
            "id": "a154be20-db9c-4678-8ab7-66f6cc099a59",
            "type": "Scope"
        }
        ]
    },
    {
        "resourceAppId": "00000012-0000-0000-c000-000000000000",
        "resourceAccess": [
        {
            "id": "c9c9a04d-3b66-4ca8-a00c-fca953e2afd3",
            "type": "Scope"
        }
        ]
    },
    {
        "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
        "resourceAccess": [
        {
            "id": "34f7024b-1bed-402f-9664-f5316a1e1b4a",
            "type": "Scope"
        }
        ]
    },
    {
        "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
        "resourceAccess": [
        {
            "id": "ab4f2b77-0b06-4fc1-a9de-02113fc2ab7c",
            "type": "Scope"
        },
        {
            "id": "3b5f3d61-589b-4a3c-a359-5dd4b5ee5bd5",
            "type": "Scope"
        }
        ]
    }
    ],

このページの内容

Exchange Online 移行の必須権限

Microsoft 365 グループ移行の必須権限

Microsoft Teams 移行の必須権限

Microsoft Teams チャット移行の必須権限

OneDrive 移行の必須権限

Power Platform 移行の必須権限

SharePoint Online 移行の必須権限

Gmail 移行の必須権限

Google チャット移行の必須権限

Google ドライブ移行の必須権限

カスタム機能の構成

Fly アプリプロファイル権限

移行先 Exchange Online における権限

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限

#移行先 Exchange Online における権限

#Fly アプリ プロファイル権限

#カスタム アプリ プロファイル権限

#サービス アカウント権限

#委任アプリ プロファイル権限

移行先 Exchange Online における権限

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限