日本語

Home > Microsoft 365 グループ移行の実行 > Microsoft 365 グループ移行の必須権限 > 移行先 Microsoft 365 グループにおける権限

移行先 Microsoft 365 グループにおける権限

Fly アプリプロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 で Fly アプリプロファイルを作成して、Fly アプリを使用している Microsoft 365 テナントに接続することができます。

Fly アプリプロファイルの作成方法および必須権限については、Fly アプリプロファイル権限を参照してください。

NOTE

Fly アプリプロファイルの認証方法のみを使用しており、移行先が Multi-Geo テナントであり、かつ移行先グループが定義済み場所で作成される必要がある場合、Microsoft 365 グローバル管理者、SharePoint 管理者、Exchange 管理者 ロールを Fly アプリに割り当てる必要があります。ロール割り当ての例として、Exchange 管理者ロールのアプリへの割り当て方法を参照してください。

NOTE

Fly アプリプロファイルの認証モードのみを使用して Planner タスクコメントを移行する場合、同意ユーザーは Exchange Online ライセンスを持っている必要があります。

カスタムアプリプロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 でカスタムアプリプロファイルを作成して、カスタム Azure アプリを使用している Microsoft 365 テナントに接続することができます。

NOTE

アプリプロファイルの認証モードのみを使用して Planner タスクコメントを移行する場合、同意ユーザーは Exchange Online ライセンスを持っている必要があります。

カスタムアプリプロファイルを作成するには、以下の説明を参照してください。

Microsoft Entra ID で証明書を準備します。詳細については、カスタム Azure アプリ用の証明書の準備を参照してください。

証明書がある場合、このステップを無視することができます。
Microsoft Entra IDでカスタム Azure アプリを作成します。詳細については、カスタム Azure アプリの作成を参照してください。
テナントを AvePoint Online Services に接続します。
AvePoint Online Services でカスタム Azure アプリ用アプリプロファイルを作成します。

NOTE

アプリプロファイルの再承認時に権限の更新がある場合、承認後、アプリプロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリプロファイルを移行の実行に使用することはできません。

以下の表の内容に従って、カスタム Azure アプリに Microsoft 365 グループ移行に必要な API アクセス許可を追加してください。

API	アクセス許可	タイプ	目的
Microsoft Information Protection Sync Service	UnifiedPolicy.Tenant.Read (Read all unified policies of the tenant.)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Directory.ReadWrite.All (Read and write directory data)	アプリケーション	移行先が以下の条件を満たす Multi-Geo テナントである場合にのみ必要です。認証方法は、カスタムアプリプロファイルのみを使用します。移行先グループを定義済みの場所で作成する必要があります。
Microsoft Graph	Domain.Read.All	アプリケーション	テナントのドメインを取得します。
Microsoft Graph	RoleManagement.Read.Directory	アプリケーション	ディレクトリロールを取得します。
Microsoft Graph	Group.ReadWrite.All	アプリケーション	Microsoft 365 グループおよびグループメンバーを取得して移行します。
Microsoft Graph	Sites.Read.All (Read items in all site collections)	アプリケーション	チームサイトを取得します。
Microsoft Graph	User.Read.All (Read all users’ full profiles)	アプリケーション	Microsoft 365 ユーザープロファイルの情報を取得します。
Microsoft Graph	InformationProtectionPolicy.Read.All (Read all published labels and label policies for an organization)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Reports.Read.All (Read all usage reports)	アプリケーション	テナント検出にのみ必要です。
Microsoft Graph	Tasks.ReadWrite.All (Read and write all users’ tasks and tasklists)	アプリケーション	Planner 内の Planner およびデータを移行先に移行します。
Microsoft Graph	RoleManagement.ReadWrite.Directory	アプリケーション	移行先グループに Microsoft Entra ロールを割り当てることができる場合にのみ必要です。アプリプロファイルの同意ユーザーをグループ所有者として追加できることを確認します。
Microsoft Graph	ReportSettings.Read.All (Read all admin report settings)	アプリケーション	Microsoft 365 管理センターのレポート設定を取得します。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	Content.DelegatedWriter (Create protected content on behalf of a user)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	Content.Writer (Create protected content)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Office 365 Exchange Online	Exchange.ManageAsApp (Manage Exchange As Application)	アプリケーション	Exchange PowerShell を使用してメールボックスの権限を取得します。
Office 365 Exchange Online	Full_access_as_app (Use Exchange Web Services with full access to all mailboxes)	アプリケーション	すべてのメールボックスからアイテムを取得します。 *注意: この権限をアプリに追加しない場合、アプリに RBAC 割り当てを作成して、特定のメールボックスへのアクセス権のみをアプリに付与します。詳細については、ApplicationImpersonation ロールなしでのメールボックスの移行方法セクションのオプション 3 を参照してください。
SharePoint/Office 365 SharePoint Online	Sites.FullControl.All (Have full control of all site collections)	アプリケーション	チームサイトの設定および権限を取得します。
SharePoint/Office 365 SharePoint Online	TermStore.ReadWrite.All	アプリケーション	Managed Metadata Service を取得して移行します。注意: 用語グループ / 用語セット / 用語が同じ名前を持っており、かつ移行元のレベル (グローバルまたはローカルレベル) と同じである用語グループ / 用語セット / 用語が移行先に存在する場合、この権限を TermStore.Read.All* に変更することができます。

簡単に使用するため、以下のコマンドを直接使用して、マニフェスト を介して必要な API アクセス許可を Microsoft 365 テナントに追加することができます。

"requiredResourceAccess": [
  {
    "resourceAppId": "00000003-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "dbb9058a-0e50-45d7-ae91-66909b5d4664",
        "type": "Role"
      },
      {
        "id": "62a82d76-70ea-41e2-9197-370581804d09",
        "type": "Role"
      },
      {
        "id": "19da66cb-0fb0-4390-b071-ebc76a349482",
        "type": "Role"
      },
      {
        "id": "230c1aed-a721-4c5d-9cb4-a90514e508ef",
        "type": "Role"
      },
      {
        "id": "ee353f83-55ef-4b78-82da-555bfa2b4b95",
        "type": "Role"
      },
      {
        "id": "483bed4a-2ad3-4361-a73b-c83ccdbdc53c",
        "type": "Role"
      },
      {
        "id": "332a536c-c7ef-4017-ab91-336970924f0d",
        "type": "Role"
      },
      {
        "id": "44e666d1-d276-445b-a5fc-8815eeb81d55",
        "type": "Role"
      },
      {
        "id": "9e3f62cf-ca93-4989-b6ce-bf83c28f9fe8",
        "type": "Role"
      },
      {
        "id": "df021288-bdef-4463-88db-98f22de89214",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "c8e3537c-ec53-43b9-bed3-b2bd3617ae97",
        "type": "Role"
      },
      {
        "id": "678536fe-1083-478a-9c59-b99265e6b0d3",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40",
        "type": "Role"
      },
      {
        "id": "dc50a0fb-09a3-484d-be87-e023b12c6440",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
    "resourceAccess": [
      {
        "id": "8b2071cd-015a-4025-8052-1c0dba2d3f64",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000012-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "d13f921c-7f21-4c08-bade-db9d048bd0da",
        "type": "Role"
      },
      {
        "id": "006e763d-a822-41fc-8df5-8d3d7fe20022",
        "type": "Role"
      }
    ]
  }
],

サービスアカウント権限

移行先 Groups でサービスアカウント認証のみを使用している場合、そのサービスアカウントは以下の条件を満たす必要があります。

NOTE

多要素認証 (MFA) が有効なユーザーは、移行を実行するためのサービスアカウントとして使用することはできません。その代わりに、委任アプリプロファイルを使用することができます。

Exchange Online のライセンスを持っている

NOTE
サービスアカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービスアカウントの ライセンスとアプリ タブで Exchange Online を選択します。
移行先が Multi-Geo テナントである場合、移行先サービスアカウントが Microsoft 365 グローバル管理者、SharePoint 管理者 または Exchange 管理者 である
移行先グループのグループ所有者である

サービスアカウントをグループの所有者として手動追加することができます。サービスアカウントに グループ管理者 または グローバル管理者 ロールを付与すると、Fly はサービスアカウントをグループ所有者として自動追加することができます。

NOTE
移行前に移行先グループが存在せず、移行中に作成する必要がある場合、サービスアカウントは Microsoft 365 ユーザーであるだけで済みます。サービスアカウントはグループの所有者として自動追加されます。

移行の実行後、PowerShell を使用してサービスアカウントをグループの所有者から削除するか、サービスアカウントを直接ブロックすることができます。アカウントを削除するには、サービスアカウントの削除を参照してください。サービスアカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。
サービスアカウントが SharePoint 管理者 または グローバル管理者 である場合、完全移行ジョブの実行中、サービスアカウントは移行先グループのチームサイトの サイトコレクション管理者 として自動追加されます。移行の実行後、チームサイトからサービスアカウントを削除することができます。
サービスアカウントプールは移行で利用できなくなりました。以前移行先にサービスアカウントプールを使用したことがあり、そのサービスアカウントプールを引き続き使用したい場合、グループ接続を作成する際に複数のサービスアカウントを選択し、選択したすべてのサービスアカウントが上記の条件を満たしていることを確認してください。

アプリプロファイルも使用する場合の必須権限

移行先 Groups でサービスアカウント認証とアプリプロファイル認証の両方を使用している場合、サービスアカウントは以下の条件を満たす必要があります。

NOTE

Exchange Online のライセンスを持っている

NOTE
サービスアカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービスアカウントの ライセンスとアプリ タブで Exchange Online を選択します。
移行先が Multi-Geo テナントである場合、移行先サービスアカウントが Microsoft 365 グローバル管理者、SharePoint 管理者 または Exchange 管理者 である
グループに移行する際に、サービスアカウントは対応するグループの所有者である

接続のアプリプロファイルが存在する場合、手動でグループ所有者を追加する必要はありません。サービスアカウントはグループの所有者として自動追加されます。

移行の実行後、サービスアカウントを直接ブロックすることができます。サービスアカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。
移行ジョブの実行中、サービスアカウントは移行先グループのチームサイトの サイトコレクション管理者 として自動追加されます。移行の実行後、チームサイトからサービスアカウントを削除することができます。
サービスアカウントプールは移行で利用できなくなりました。以前移行先にサービスアカウントプールを使用したことがあり、そのサービスアカウントプールを引き続き使用したい場合、グループ接続を作成する際に複数のサービスアカウントを選択し、選択したすべてのサービスアカウントが上記の条件を満たしていることを確認してください。

委任アプリプロファイル権限

Fly 委任アプリプロファイルまたはカスタムの委任アプリプロファイルを使用してワークスペースに接続することができます。

NOTE

同意ユーザーのライセンスと権限の要件は、サービスアカウントのライセンスと権限の要件と同じです。詳細については、サービスアカウント権限を参照してください。

NOTE

委任アプリプロファイルの同意ユーザーの多要素認証 (MFA) が有効になっている場合、MFA の有効化後に委任アプリプロファイルを承認または再承認する必要があります。MFA の有効化後にアプリプロファイルを承認または再承認しないと、委任アプリプロファイルを使用している移行ジョブは失敗します。

NOTE

移行先用の既定の委任アプリプロファイルまたはカスタム委任アプリプロファイルの作成手順は、移行元用の委任アプリプロファイル権限の作成手順と同じです。

Fly 委任アプリプロファイルの権限については、Fly 委任アプリプロファイルの権限を参照してください。

カスタム委任アプリプロファイルの権限については、以下の説明を参照してください。

NOTE

カスタム委任アプリプロファイルを使用して、移行先 Multi-Geo テナントの特定場所でグループを作成する場合、Microsoft 365 グローバル管理者・SharePoint 管理者・Exchange 管理者 ロールをアプリに割り当てる必要があります。ロール割り当ての例として、Exchange 管理者ロールのアプリへの割り当て方法を参照してください。

API	アクセス許可	タイプ	目的
Microsoft Information Protection Sync Service	UnifiedPolicy.User.Read	委任済み	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Directory.ReadWrite.All	委任済み	移行先が Multi-Geo テナントであり、かつ移行先グループを定義された場所に作成する必要がある場合にのみ必要です。
Microsoft Graph	Domain.Read.All	委任済み	テナントのドメインを取得します。
Microsoft Graph	RoleManagement.Read.Directory	委任済み	Microsoft グローバルグループを取得します。
Microsoft Graph	Group.ReadWrite.All	委任済み	Microsoft 365 グループおよびグループメンバーを取得して移行します。
Microsoft Graph	Sites.Read.All	委任済み	サイトコレクションを取得します。
Microsoft Graph	RoleManagement.ReadWrite.Directory	委任済み	移行先グループに Microsoft Entra ロールを割り当てることができる場合にのみ必要です。アプリプロファイルの同意ユーザーをグループ所有者として追加できることを確認します。
Microsoft Graph	User.Read.All	委任済み	Microsoft 365 ユーザープロファイルの情報を取得します。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	user_impersonation	委任済み	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Office 365 Exchange Online	EWS.AccessAsUser.All	委任済み	Exchange Web サービスを使用し、偽装でユーザーデータへのフルアクセスを実現します。
Office 365 Exchange Online	Exchange.Manage	委任済み	メールボックスの権限を取得します。
SharePoint/Office 365 SharePoint Online	AllSites.FullControl	委任済み	チームサイトの設定および権限を取得します。
SharePoint/Office 365 SharePoint Online	TermStore.ReadWrite.All	委任済み	Managed Metadata Service を取得して移行します。

"requiredResourceAccess": [
  {
    "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "59a198b5-0420-45a8-ae59-6da1cb640505",
        "type": "Scope"
      },
      {
        "id": "56680e0d-d2a3-4ae1-80d8-3c4f2100e3d0",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "ab4f2b77-0b06-4fc1-a9de-02113fc2ab7c",
        "type": "Scope"
      },
      {
        "id": "3b5f3d61-589b-4a3c-a359-5dd4b5ee5bd5",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "00000012-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "c9c9a04d-3b66-4ca8-a00c-fca953e2afd3",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "00000003-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "c5366453-9fb0-48a5-a156-24f0c49a4b84",
        "type": "Scope"
      },
      {
        "id": "2f9ee017-59c1-4f1d-9472-bd5529a7b311",
        "type": "Scope"
      },
      {
        "id": "4e46008b-f24c-477d-8fff-7bb4ec7aafe0",
        "type": "Scope"
      },
      {
        "id": "741c54c3-0c1e-44a1-818b-3f97ab4e8c83",
        "type": "Scope"
      },
      {
        "id": "205e70e5-aba6-4c52-a976-6d2d46c48043",
        "type": "Scope"
      },
      {
        "id": "d01b97e9-cbc0-49fe-810a-750afd5527a3",
        "type": "Scope"
      },
      {
        "id": "a154be20-db9c-4678-8ab7-66f6cc099a59",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
    "resourceAccess": [
      {
        "id": "34f7024b-1bed-402f-9664-f5316a1e1b4a",
        "type": "Scope"
      }
    ]
  }
],

このページの内容

Exchange Online 移行の必須権限

Microsoft 365 グループ移行の必須権限

Microsoft Teams 移行の必須権限

Microsoft Teams チャット移行の必須権限

OneDrive 移行の必須権限

Power Platform 移行の必須権限

SharePoint Online 移行の必須権限

Gmail 移行の必須権限

Google チャット移行の必須権限

Google ドライブ移行の必須権限

カスタム機能の構成

Fly アプリプロファイル権限

移行先 Microsoft 365 グループにおける権限

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限

#移行先 Microsoft 365 グループにおける権限

#Fly アプリ プロファイル権限

#カスタム アプリ プロファイル権限

#サービス アカウント権限

#委任アプリ プロファイル権限

移行先 Microsoft 365 グループにおける権限

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限