#移行先 Exchange Online における権限

移行先に接続するには、認証方法として、サービス アカウント・Fly アプリ プロファイル・カスタム アプリ プロファイルのいずれかの使用を選択することができます。サービス アカウントと Fly アプリ プロファイルの組み合わせ、またはサービス アカウントとカスタム アプリ プロファイルの組み合わせを使用することもできます。

認証方法によって必要な権限については、以下のセクションを参照してください。

#Fly アプリ プロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 で Fly アプリ プロファイルを作成して、Fly アプリを使用している Microsoft 365 テナントに接続することができます。

Fly アプリ プロファイルの作成方法および必須権限については、Fly アプリ プロファイル権限 を参照してください。

アプリの承認ユーザーに Exchange 管理者 ロールを割り当てない場合は、アプリにカスタム ロールを追加して上記の機能が利用可能であることを確保します。詳細については、アプリへのカスタム役割の追加方法 を参照してください。

#カスタム アプリ プロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 でカスタム アプリ プロファイルを作成して、カスタム Azure アプリを使用している Microsoft 365 テナントに接続することができます。

カスタム アプリ プロファイルを作成するには、以下の説明を参照してください。

1. Microsoft Entra ID で証明書を準備します。詳細については、カスタム Azure アプリ用の証明書の準備 を参照してください。

   証明書がある場合、このステップを無視することができます。

2. Microsoft Entra IDでカスタム Azure アプリを作成します。詳細については、カスタム Azure アプリの作成 を参照してください。

3. テナントを AvePoint Online Services に接続 します。

4. AvePoint Online Services で カスタム Azure アプリ用アプリ プロファイルを作成 します。

以下の表の内容に従って、Exchange Online 移行に必要な API アクセス許可を追加してください。

以下のことに注意してください。

• Exchange Online テナントの検出を実行する場合、アプリを承認するアカウントがメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。

• 以下の場合に、カスタム アプリに Exchange 管理者 ロールを割り当てる必要があります。詳細については、以下の Exchange 管理者ロールのアプリへの割り当て方法 を参照してください。

  • Exchange Online PowerShell を使用してアプリを承認するアカウントのメールボックスを作成する

  • 移行先で共有メールボックス / 配布リスト / メールが有効なセキュリティ グループを作成する

  アプリの承認ユーザーに Exchange 管理者 ロールを割り当てない場合は、アプリにカスタム ロールを追加して上記の機能が利用可能であることを確保します。詳細については、アプリへのカスタム役割の追加方法 を参照してください。

簡単に使用するため、以下のコマンドを直接使用して、マニフェスト を介して必要な API アクセス許可を Microsoft 365 テナントに追加することができます。

"requiredResourceAccess": [
	{
		"resourceAppId": "00000003-0000-0000-c000-000000000000",
		"resourceAccess": [			
			{
				"id": "df021288-bdef-4463-88db-98f22de89214", //Required when using either the Graph API or EWS for migration.
				"type": "Role"
			},
			{
				"id": "ef54d2bf-783f-4e0f-bca1-3210c0444d99", // Required when using either the Graph API or EWS for migration.
				"type": "Role"
			},
			{
                "id": "6918b873-d17a-4dc1-b314-35f528134491", //Required when using the Graph API instead of EWS for migration.
                "type": "Role"
            },
            {
                "id": "e2a3a72e-5f79-4c64-b1b1-878b674786c9", //Required when using the Graph API instead of EWS for migration.
                "type": "Role"
            },
            {
                "id": "fef87b92-8391-4589-9da7-eb93dab7dc8a", //Required when using the Graph API instead of EWS for migration.
                "type": "Role"
            },
            {
				"id": "76577085-e73d-4f1d-b26a-85fb33892327", //Required when using the Graph API instead of EWS for migration.
				"type": "Role"
			},
			{
				"id": "7d9f353d-a7bd-4fbb-822a-26d5dd39a3ce", //Required when using the Graph API instead of EWS for migration.
				"type": "Role"
			},
			{
				"id": "6931bccd-447a-43d1-b442-00a195474933", //Required when using the Graph API instead of EWS for migration.
				"type": "Role"
			},
			{
				"id": "44e666d1-d276-445b-a5fc-8815eeb81d55", //Required when using the Graph API instead of EWS for migration.
				"type": "Role"
			},
			{
				"id": "62a82d76-70ea-41e2-9197-370581804d09", //Required when using the EWS for migration.
				"type": "Role"
			}
		]
	},
	{
		"resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
		"resourceAccess": [
			{
				"id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40", //Required when using the EWS for migration.
				"type": "Role"
			},
			{
				"id": "dc50a0fb-09a3-484d-be87-e023b12c6440", //Required when using either the Graph API or EWS for migration.
				"type": "Role"
			}
		]
	}
],

#サービス アカウント権限

Microsoft 365 テナントに AvePoint Online Services を接続するには、テナントの所有者およびサービス管理者は Microsoft 365 に対して サービス アカウント プロファイルの作成 を実行することもできます。

サービス アカウントは以下の要件を満たすメールボックス (Exchange ライセンスの割り当てまたは PowerShell の使用のいずれかによって作成されているメールボックス) を持っていることを確認してください。

アプリ プロファイルも使用する場合の必須権限

移行先 Exchange Online でサービス アカウント認証とアプリ プロファイル認証の両方を使用しており、かつアプリ プロファイルが Exhcnage 管理者 ロールを持っている場合、サービス アカウントに必要な権限がありません。アプリ プロファイルが Exhcnage 管理者 ロールを持っていない場合、サービス アカウントはメールボックスを持っており、かつ以下の権限が付与されている必要があります。

#委任アプリ プロファイル権限

Fly 委任アプリ プロファイルまたはカスタムの委任アプリ プロファイルを使用してワークスペースに接続することができます。

委任アプリ プロファイルを使用するには、以下のことに注意してください。

• 同意ユーザーのライセンスと権限の要件は、サービス アカウントのライセンスと権限の要件と同じです。詳細については、サービス アカウント権限 を参照してください。

• 委任アプリ プロファイルの同意ユーザーの多要素認証 (MFA) が有効になっている場合、MFA の有効化後に委任アプリ プロファイルを承認または再承認する必要があります。MFA の有効化後にアプリ プロファイルを承認または再承認しないと、委任アプリ プロファイルを使用している移行ジョブは失敗します。

• アプリ プロファイルの再承認時に権限の更新がある場合、承認後、アプリ プロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリ プロファイルを移行の実行に使用することはできません。

• 21Vianet テナントに委任アプリ プロファイルのみを使用している場合、Exchange PowerShell を使用することはできません。

必要な権限を持っているカスタム委任アプリ プロファイルを使用するには、Fly 委任アプリ プロファイルの権限 セクションを参照してください。

必要な権限を持っているカスタムの委任アプリ プロファイルを使用するには、以下の説明を参照してください。

1. Microsoft Entra ID でアプリを登録した後、以下の表内の権限をアプリに追加します。

   API	アクセス許可	タイプ	目的
   Office 365 Exchange Online	EWS.AccessAsUser.All (Access mailboxes as the signed-in user via Exchange Web Services)	委任済み	指定したユーザーにアクセスし、データをインポートします。
   Office 365 Exchange Online	Exchange.Manage (Manage Exchange configuration)	委任済み	メールボックス権限、配布リスト、動的配布リストを移行する Exchange PowerShell を使用します。
   Microsoft Graph	Domain.Read.All (Read domains)	委任済み	Microsoft 365 グループ メールボックスを作成します。
   Microsoft Graph	Group.ReadWrite.All (Read and write all groups)	委任済み	Microsoft 365 グループ メールボックスを作成します。

   簡単に使用するため、以下のコマンドを直接使用して、マニフェスト を介して必要な API アクセス許可を Microsoft 365 テナントに追加することができます。

   "requiredResourceAccess": [
    	{
    		"resourceAppId": "00000003-0000-0000-c000-000000000000",
    		"resourceAccess": [
    			{
    				"id": "2f9ee017-59c1-4f1d-9472-bd5529a7b311",
    				"type": "Scope"
    			},
    			{
    				"id": "4e46008b-f24c-477d-8fff-7bb4ec7aafe0",
    				"type": "Scope"
    			}
    		]
    	},
    	{
    		"resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
    		"resourceAccess": [
    			{
    				"id": "ab4f2b77-0b06-4fc1-a9de-02113fc2ab7c",
    				"type": "Scope"
    			},
    			{
    				"id": "3b5f3d61-589b-4a3c-a359-5dd4b5ee5bd5",
    				"type": "Scope"
    			}
    		]
    	}
    ],

2. アプリの画面の左側の [認証] をクリックします。

3. [プラットフォームを追加] をクリックします。

4. プラットフォームの構成 パネルで Web を選択します。

5. Web の構成 パネルで、リダイレクト URI フィールドに AvePoint Online Services URL (https://www.avepointonlineservices.com) を入力します。

   

6. [構成] をクリックします。

7. 認証 ページで アクセス トークン および ID トークン チェックボックスを選択します。

   

8. [保存] をクリックします。

9. AvePoint Online Services で モダン モード を使用してアプリ用のアプリ プロファイルを作成するには、委任されたアクセス許可を持つカスタム Azure アプリへの同意 を参照してください。

   NOTE

   アプリに同意する際に、アプリに管理者の同意権限を付与し、パブリック クライアント フローを許可している場合、グローバル管理者の同意 または ユーザーの同意 方法を選択することができます。そうしない場合、グローバル管理者の同意 方法のみを使用できます。