日本語

Home > Microsoft 365 グループ移行の実行 > Microsoft 365 グループ移行の必須権限 > 移行元における権限 (移行先が Microsoft 365 グループである場合)

移行元における権限 (移行先が Microsoft 365 グループである場合)

Fly アプリプロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 で Fly アプリプロファイルを作成して、Fly アプリを使用している Microsoft 365 テナントに接続することができます。

Fly アプリプロファイルの作成方法および必須権限については、Fly アプリプロファイル権限を参照してください。

カスタムアプリプロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 でカスタムアプリプロファイルを作成して、カスタム Azure アプリを使用している Microsoft 365 テナントに接続することができます。

カスタムアプリプロファイルを作成するには、以下の説明を参照してください。

Microsoft Entra ID で証明書を準備します。詳細については、カスタム Azure アプリ用の証明書の準備を参照してください。

証明書がある場合、このステップを無視することができます。
Microsoft Entra IDでカスタム Azure アプリを作成します。詳細については、カスタム Azure アプリの作成を参照してください。
テナントを AvePoint Online Services に接続します。
AvePoint Online Services でカスタム Azure アプリ用アプリプロファイルを作成します。

NOTE

アプリプロファイルの再承認時に権限の更新がある場合、承認後、アプリプロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリプロファイルを移行の実行に使用することはできません。

以下の表の内容に従って、カスタム Azure アプリに Microsoft 365 グループ移行に必要な API アクセス許可を追加してください。

API	アクセス許可	タイプ	目的
Microsoft Information Protection Sync Service	UnifiedPolicy.Tenant.Read (Read all unified policies of the tenant.)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Domain.Read.All	アプリケーション	テナントのドメインを取得します。
Microsoft Graph	RoleManagement.Read.Directory	アプリケーション	ディレクトリロールを取得します。
Microsoft Graph	Group.Read.All (Read all groups)	アプリケーション	Microsoft 365 グループおよびグループメンバーを取得します。
Microsoft Graph	Group.ReadWrite.All (Read and write all groups)	アプリケーション	移行元接続でアプリプロファイルとサービスアカウントの両方を使用し、移行元のサービスアカウントがグループの所有者でない場合にのみ、サービスアカウントをグループの所有者として自動追加するために必要です。
Microsoft Graph	Sites.Read.All (Read items in all site collections)	アプリケーション	チームサイトのファイルを取得します。
Microsoft Graph	User.Read.All (Read all users’ full profiles)	アプリケーション	Microsoft 365 ユーザープロファイルの情報を取得します。
Microsoft Graph	InformationProtectionPolicy.Read.All (Read all published labels and label policies for an organization)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Reports.Read.All (Read all usage reports)	アプリケーション	テナント検出にのみ必要です。
Microsoft Graph	ReportSettings.Read.All (Read all admin report settings)	アプリケーション	Microsoft 365 管理センターのレポート設定を取得します。
Microsoft Graph	RoleManagement.ReadWrite.Directory	アプリケーション	移行元グループに Microsoft Entra ロールを割り当てることができる場合にのみ必要です。アプリプロファイルの同意ユーザーをグループ所有者として追加できることを確認します。
Microsoft Graph	Tasks.Read.All (Read all users’ tasks and tasklist)	アプリケーション	Planner 内の Planner およびデータを取得します。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	Content.SuperUser (Read all protected content for this tenant)	アプリケーション	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Office 365 Exchange Online	Exchange.ManageAsApp (Manage Exchange As Application)	アプリケーション	Exchange PowerShell を使用してメールボックスの権限を取得します。
Office 365 Exchange Online	Full_access_as_app (Use Exchange Web Services with full access to all mailboxes)	アプリケーション	すべてのメールボックスからアイテムを取得します。 *注意: この権限をアプリに追加しない場合、アプリに RBAC 割り当てを作成して、特定のメールボックスへのアクセス権のみをアプリに付与します。詳細については、ApplicationImpersonation ロールなしでのメールボックスの移行方法セクションのオプション 3 を参照してください。
SharePoint/Office 365 SharePoint Online	Sites.FullControl.All (Have full control of all site collections)	アプリケーション	チームサイトの設定および権限を取得します。
SharePoint/Office 365 SharePoint Online	TermStore.ReadWrite.All (Read and write managed metadata)	アプリケーション	Managed Metadata Service を取得して移行します。注意: 管理されたナビゲーションで使用されている用語セットを移行するには、TermStore.ReadWrite.All* 権限が必要です。管理されたナビゲーションで使用されている用語セットを移行する必要がない場合、権限を TermStore.Read.All に置き換えることができます。

簡単に使用するため、以下のコマンドを直接使用して、マニフェスト を介して必要な API アクセス許可を Microsoft 365 テナントに追加することができます。

"requiredResourceAccess": [
  {
    "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "678536fe-1083-478a-9c59-b99265e6b0d3",
        "type": "Role"
      },
      {
        "id": "c8e3537c-ec53-43b9-bed3-b2bd3617ae97",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "dc50a0fb-09a3-484d-be87-e023b12c6440",
        "type": "Role"
      },
      {
        "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000012-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "7347eb49-7a1a-43c5-8eac-a5cd1d1c7cf0",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "00000003-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "62a82d76-70ea-41e2-9197-370581804d09",
        "type": "Role"
      },
      {
        "id": "df021288-bdef-4463-88db-98f22de89214",
        "type": "Role"
      },
      {
        "id": "dbb9058a-0e50-45d7-ae91-66909b5d4664",
        "type": "Role"
      },
      {
        "id": "5b567255-7703-4780-807c-7be8301ae99b",
        "type": "Role"
      },
      {
        "id": "19da66cb-0fb0-4390-b071-ebc76a349482",
        "type": "Role"
      },
      {
        "id": "230c1aed-a721-4c5d-9cb4-a90514e508ef",
        "type": "Role"
      },
      {
        "id": "ee353f83-55ef-4b78-82da-555bfa2b4b95",
        "type": "Role"
      },
      {
        "id": "483bed4a-2ad3-4361-a73b-c83ccdbdc53c",
        "type": "Role"
      },
      {
        "id": "332a536c-c7ef-4017-ab91-336970924f0d",
        "type": "Role"
      },
      {
        "id": "9e3f62cf-ca93-4989-b6ce-bf83c28f9fe8",
        "type": "Role"
      },
      {
        "id": "f10e1f91-74ed-437f-a6fd-d6ae88e26c1f",
        "type": "Role"
      }
    ]
  },
  {
    "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
    "resourceAccess": [
      {
        "id": "8b2071cd-015a-4025-8052-1c0dba2d3f64",
        "type": "Role"
      }
    ]
  }
],

サービスアカウント権限

移行元 Groups にサービスアカウント認証のみを使用している場合、サービスアカウントは以下の権限を持っている必要があります。

NOTE

多要素認証 (MFA) が有効なユーザーは、移行を実行するためのサービスアカウントとして使用することはできません。その代わりに、委任アプリプロファイルを使用することができます。

Exchange Online のライセンスを持っている

NOTE
サービスアカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービスアカウントの ライセンスとアプリ タブで Exchange Online を選択します。
移行元グループのグループ所有者である

サービスアカウントをグループの所有者として手動追加することができます。サービスアカウントに グループ管理者 または グローバル管理者 ロールを付与すると、Fly はサービスアカウントをグループ所有者として自動追加することができます。

移行の実行後、PowerShell を使用してサービスアカウントをグループの所有者から削除するか、サービスアカウントを直接ブロックすることができます。アカウントを削除するには、サービスアカウントの削除を参照してください。アカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。
サービスアカウントが SharePoint 管理者 または グローバル管理者 である場合、完全移行ジョブの実行中、サービスアカウントは移行元グループのチームサイトの サイトコレクション管理者 として自動追加されます。移行の実行後、チームサイトからサービスアカウントを削除することができます。
サービスアカウントプールは移行で利用できなくなりました。以前移行元にサービスアカウントプールを使用したことがあり、そのサービスアカウントプールを引き続き使用したい場合、グループ接続を作成する際に複数のサービスアカウントを選択し、選択したすべてのサービスアカウントが上記の条件を満たしていることを確認してください。

アプリプロファイルも使用する場合の必須権限

移行元 Groups でサービスアカウント認証とアプリプロファイル認証の両方を使用している場合、サービスアカウントは以下の条件を満たす必要があります。

NOTE

Exchange Online のライセンスを持っている

NOTE
サービスアカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービスアカウントの ライセンスとアプリ タブで Exchange Online を選択します。
移行元グループのグループ所有者

サービスアカウントをグループの所有者として手動追加することができます。既定の Fly アプリまたは必要な権限を持つカスタムアプリを使用し、サービスアカウントとアプリプロファイルの両方を提供する場合、Fly はサービスアカウントをグループ所有者として自動追加することができます。

移行の実行後、サービスアカウントを直接ブロックすることができます。アカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。
完全移行ジョブの実行中、サービスアカウントは移行元グループのチームサイトの サイトコレクション管理者 として自動追加されます。移行の実行後、チームサイトからサービスアカウントを削除することができます。
サービスアカウントプールは移行で利用できなくなりました。以前移行元にサービスアカウントプールを使用したことがあり、そのサービスアカウントプールを引き続き使用したい場合、グループ接続を作成する際に複数のサービスアカウントを選択し、選択したすべてのサービスアカウントが上記の条件を満たしていることを確認してください。

委任アプリプロファイル権限

Fly 委任アプリプロファイルまたはカスタムの委任アプリプロファイルを使用してワークスペースに接続することができます。

NOTE

同意ユーザーのライセンスと権限の要件は、サービスアカウントのライセンスと権限の要件と同じです。詳細については、サービスアカウント権限を参照してください。

NOTE

委任アプリプロファイルの同意ユーザーの多要素認証 (MFA) が有効になっている場合、MFA の有効化後に委任アプリプロファイルを承認または再承認する必要があります。MFA の有効化後にアプリプロファイルを承認または再承認しないと、委任アプリプロファイルを使用している移行ジョブは失敗します。

NOTE

必要な権限を持っているカスタム委任アプリプロファイルを使用するには、Fly 委任アプリプロファイルの権限セクションを参照してください。

必要な権限を持っているカスタムの委任アプリプロファイルを使用するには、以下の説明を参照してください。

Microsoft Entra ID でアプリを登録した後、以下の表内の権限をアプリに追加します。

API	アクセス許可	タイプ	目的
Microsoft Information Protection Sync Service	UnifiedPolicy.User.Read	委任済み	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Microsoft Graph	Directory.Read.All	委任済み	移行元が Multi-Geo テナントである場合にのみ必要です。
Microsoft Graph	Domain.Read.All	委任済み	テナントのドメインを取得します。
Microsoft Graph	RoleManagement.Read.Directory	委任済み	ディレクトリロールを取得します。
Microsoft Graph	Group.Read.All	委任済み	Microsoft 365 グループおよびグループメンバーを取得します。
Microsoft Graph	Group.ReadWrite.All	委任済み	委任アプリプロファイルのみを使用しており、同意ユーザーが移行元グループのグループ所有者ではない場合に必要です。つまり、同意ユーザーはグループ管理者ロールを持っている必要があります。この権限は、同意ユーザーをグループ所有者として自動追加することができます。同意ユーザーが既にグループ所有者である場合、この権限を Group.Read.All に変更することができます。
Microsoft Graph	Sites.Read.All	委任済み	チームサイトのファイルを取得します。
Microsoft Graph	RoleManagement.ReadWrite.Directory	委任済み	移行元グループに Microsoft Entra ロールを割り当てることができる場合にのみ必要です。アプリプロファイルの同意ユーザーをグループ所有者として追加できることを確認します。
Microsoft Graph	User.Read.All	委任済み	Microsoft 365 ユーザープロファイルの情報を取得します。
Azure Rights Management Services 注意: 21Vianet テナントの場合、API 名は Microsoft Rights Management Services* です。	user_impersonation	委任済み	ファイル / メール / グループの秘密度ラベルを管理する場合にのみ必要です。
Office 365 Exchange Online	EWS.AccessAsUser.All	委任済み	Exchange Web サービスを使用し、偽装でユーザーデータへのフルアクセスを実現します。
Office 365 Exchange Online	Exchange.Manage	委任済み	メールボックスの権限を取得します。
SharePoint/Office 365 SharePoint Online	AllSites.FullControl	委任済み	チームサイトの設定および権限を取得します。
SharePoint/Office 365 SharePoint Online	TermStore.Read.All	委任済み	Managed Metadata Service データを取得します。

"requiredResourceAccess": [
     {
       "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
       "resourceAccess": [
         {
           "id": "a468ea40-458c-4cc2-80c4-51781af71e41",
           "type": "Scope"
         },
         {
           "id": "56680e0d-d2a3-4ae1-80d8-3c4f2100e3d0",
           "type": "Scope"
         }
       ]
     },
     {
       "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
       "resourceAccess": [
         {
           "id": "ab4f2b77-0b06-4fc1-a9de-02113fc2ab7c",
           "type": "Scope"
         },
         {
           "id": "3b5f3d61-589b-4a3c-a359-5dd4b5ee5bd5",
           "type": "Scope"
         }
       ]
     },
     {
       "resourceAppId": "870c4f2e-85b6-4d43-bdda-6ed9a579b725",
       "resourceAccess": [
         {
           "id": "34f7024b-1bed-402f-9664-f5316a1e1b4a",
           "type": "Scope"
         }
       ]
     },
     {
       "resourceAppId": "00000012-0000-0000-c000-000000000000",
       "resourceAccess": [
         {
           "id": "c9c9a04d-3b66-4ca8-a00c-fca953e2afd3",
           "type": "Scope"
         }
       ]
     },
     {
       "resourceAppId": "00000003-0000-0000-c000-000000000000",
       "resourceAccess": [
         {
           "id": "06da0dbc-49e2-44d2-8312-53f166ab848a",
           "type": "Scope"
         },
         {
           "id": "2f9ee017-59c1-4f1d-9472-bd5529a7b311",
           "type": "Scope"
         },
         {
           "id": "5f8c59db-677d-491f-a6b8-5f174b11ec1d",
           "type": "Scope"
         },
         {
           "id": "4e46008b-f24c-477d-8fff-7bb4ec7aafe0",
           "type": "Scope"
         },
         {
           "id": "741c54c3-0c1e-44a1-818b-3f97ab4e8c83",
           "type": "Scope"
         },
         {
           "id": "205e70e5-aba6-4c52-a976-6d2d46c48043",
           "type": "Scope"
         },
         {
           "id": "d01b97e9-cbc0-49fe-810a-750afd5527a3",
           "type": "Scope"
         },
         {
           "id": "a154be20-db9c-4678-8ab7-66f6cc099a59",
           "type": "Scope"
         }
       ]
     }
   ],

アプリの画面の左側の [認証] をクリックします。
[プラットフォームを追加] をクリックします。
プラットフォームの構成 パネルで Web を選択します。
Web の構成 パネルで、リダイレクト URI フィールドにAvePoint Online Services URL (https://www.avepointonlineservices.com) を入力します。
暗黙的な許可およびハイブリドフロー フィールドで アクセストークン および ID トークン を選択します。
[構成] をクリックします。
[保存] をクリックします。
AvePoint Online Services で モダンモード を使用してアプリ用のアプリプロファイルを作成するには、委任されたアクセス許可を持つカスタム Azure アプリへの同意を参照してください。

NOTE
アプリに同意する際に、アプリに管理者の同意権限を付与し、パブリッククライアントフローを許可している場合、グローバル管理者の同意 または ユーザーの同意 方法を選択することができます。そうしない場合、グローバル管理者の同意 方法のみを使用できます。

このページの内容

Exchange Online 移行の必須権限

Microsoft 365 グループ移行の必須権限

Microsoft Teams 移行の必須権限

Microsoft Teams チャット移行の必須権限

OneDrive 移行の必須権限

Power Platform 移行の必須権限

SharePoint Online 移行の必須権限

Gmail 移行の必須権限

Google チャット移行の必須権限

Google ドライブ移行の必須権限

カスタム機能の構成

Fly アプリプロファイル権限

移行元における権限 (移行先が Microsoft 365 グループである場合)

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限

#移行元における権限 (移行先が Microsoft 365 グループである場合)

#Fly アプリ プロファイル権限

#カスタム アプリ プロファイル権限

#サービス アカウント権限

#委任アプリ プロファイル権限

移行元における権限 (移行先が Microsoft 365 グループである場合)

Fly アプリプロファイル権限

カスタムアプリプロファイル権限

サービスアカウント権限

委任アプリプロファイル権限