AvePoint Learn
記事をリクエストする
サポートに問い合わせる
記事をリクエストする
サポートに問い合わせる
日本語

Home > Microsoft Teams 移行の実行 > Microsoft Teams 移行の必須権限 > 移行元における権限 (移行先が Google チャット スペースである場合)

この記事をダウンロード

移行元における権限 (移行先が Google チャット スペースである場合)

Fly アプリ プロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 で Fly アプリ プロファイルを作成して、Fly アプリを使用している Microsoft 365 テナントに接続することができます。

Fly アプリ プロファイルの作成方法および必須権限については、Fly アプリ プロファイル権限 を参照してください。

カスタム アプリ プロファイル権限

テナント所有者またはサービス管理者のロールを持っている場合、AvePoint Online Services > 管理 > アプリ管理 でカスタム アプリ プロファイルを作成して、カスタム Azure アプリを使用している Microsoft 365 テナントに接続することができます。

カスタム アプリ プロファイルを作成するには、以下の説明を参照してください。

  1. Microsoft Entra ID で証明書を準備します。詳細については、カスタム Azure アプリ用の証明書の準備 を参照してください。

    証明書がある場合、このステップを無視することができます。

  2. Microsoft Entra IDでカスタム Azure アプリを作成します。詳細については、カスタム Azure アプリの作成 を参照してください。

  3. テナントを AvePoint Online Services に接続 します。

  4. AvePoint Online Services で カスタム Azure アプリ用アプリ プロファイルを作成 します。

NOTE

アプリ プロファイルの再承認時に権限の更新がある場合、承認後、アプリ プロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリ プロファイルを移行の実行に使用することはできません。

以下の表の内容に従って、カスタム Azure アプリに Microsoft Teams 移行に必要な API アクセス許可を追加してください。

APIアクセス許可タイプ目的
Microsoft Graph
Domain.Read.All
(Read domains)		アプリケーション
テナントのドメインを取得します。
Microsoft Graph
RoleManagement.Read.Directory
(Read all directory RBAC settings)		アプリケーション
ディレクトリ ロールを取得します。
Microsoft Graph
Group.Read.All
(Read all groups)		アプリケーションMicrosoft 365 グループおよびグループ メンバーを取得します。
Microsoft Graph
Group.ReadWrite.All
(Read and write all groups)		アプリケーション移行元接続でアプリ プロファイルとサービス アカウントの両方を使用し、移行元のサービス アカウントがチームの所有者でない場合にのみ、サービス アカウントをチームの所有者として自動追加するために必要です。
Microsoft Graph
Sites.Read.All
(Read items in all site collections)		アプリケーションチーム サイトおよびプライベート チャネルのサイト コレクションのチャネル フォルダーおよびファイルを取得します。
Microsoft Graph
User.Read.All
(Read all users’ full profiles)		アプリケーションMicrosoft 365 ユーザー プロファイルの情報を取得します。
Microsoft Graph
ChannelMember.Read.All
(Read the members of all channels)		アプリケーションプライベート チャネル / 共有チャネルのメンバーを取得します。
Microsoft Graph
ChannelMember.ReadWrite.All
(Add and remove members from all channels)		アプリケーション移行元接続でアプリ プロファイルとサービス アカウントの両方を使用し、移行元サービス アカウントがプライベート / 共有チャネルの所有者でない場合にのみ、チャネルの所有者としてサービス アカウントを自動追加するために必要です。
Microsoft Graph
ChannelMessage.Read.All
(Read all channel messages)		アプリケーションすべてのチャネル メッセージを取得します。
Microsoft Graph
TeamMember.Read.All
(Read the members of all teams)		アプリケーションチーム メンバーを取得します。
Microsoft Graph
Reports.Read.All
(Read all usage reports)		アプリケーションテナント検出にのみ必要です。
Microsoft Graph
ReportSettings.Read.All
(Read all admin report settings)		アプリケーションMicrosoft 365 管理センターの レポート 設定を取得します。
SharePoint/Office 365 SharePoint OnlineSites.FullControl.All
(Have full control of all site collections)		アプリケーションチーム サイトの設定および権限を取得します。
Office 365 Exchange OnlineFull_access_as_app
(Use Exchange Web Services with full access to all mailboxes)		アプリケーションすべてのメールボックスからアイテムを取得します。
*注意: この権限をアプリに追加しない場合、アプリに RBAC 割り当てを作成して、特定のメールボックスへのアクセス権のみをアプリに付与します。詳細については、ApplicationImpersonation ロールなしでのメールボックスの移行方法 セクションのオプション 3 を参照してください。

簡単に使用するため、以下のコマンドを使用して、マニフェスト を介して必要な API 権限を追加することができます。

"requiredResourceAccess": [
     {
      "resourceAppId": "00000003-0000-0000-c000-000000000000",
      "resourceAccess": [
       {
        "id": "35930dcf-aceb-4bd1-b99a-8ffed403c974",
        "type": "Role"
       },
       {
        "id": "7b2449af-6ccd-4f4d-9f78-e550c193f0d1",
        "type": "Role"
       },
       {
        "id": "dbb9058a-0e50-45d7-ae91-66909b5d4664",
        "type": "Role"
       },
       {
        "id": "62a82d76-70ea-41e2-9197-370581804d09",
        "type": "Role"
       },
       {
        "id": "230c1aed-a721-4c5d-9cb4-a90514e508ef",
        "type": "Role"
       },
       {
        "id": "ee353f83-55ef-4b78-82da-555bfa2b4b95",
        "type": "Role"
       },
       {
        "id": "483bed4a-2ad3-4361-a73b-c83ccdbdc53c",
        "type": "Role"
       },
       {
        "id": "332a536c-c7ef-4017-ab91-336970924f0d",
        "type": "Role"
       },
       {
        "id": "660b7406-55f1-41ca-a0ed-0b035e182f3e",
        "type": "Role"
       },
       {
        "id": "df021288-bdef-4463-88db-98f22de89214",
        "type": "Role"
       }
      ]
     },
     {
      "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
      "resourceAccess": [
       {
        "id": "dc890d15-9560-4a4c-9b7f-a736ec74ec40",
        "type": "Role"
       }
      ]
     },
     {
      "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
      "resourceAccess": [
       {
        "id": "678536fe-1083-478a-9c59-b99265e6b0d3",
        "type": "Role"
       }
      ]
     }
    ],

サービス アカウント権限

移行元 Teams にサービス アカウント認証のみを使用している場合、そのサービス アカウントは以下の条件を満たす必要があります。

NOTE

多要素認証 (MFA) が有効なユーザーは、移行を実行するためのサービス アカウントとして使用することはできません。その代わりに、委任アプリ プロファイルを使用することができます。

また、Microsoft が Microsoft Teams 移行の API 権限を更新しました。古い権限が廃止された場合、会話およびその他の Teams データの移行時に、委任アプリ プロファイルを使用することができます。

  • Microsoft Teams のライセンスを持っている

    NOTE

    サービス アカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービス アカウントの ライセンスとアプリ タブで Microsoft Teams を選択します。

  • 移行元チームのチーム所有者、移行元プライベート / 共有チャネルのチャネル所有者である

    サービス アカウントをチーム / チャネルの所有者として手動追加することができます。サービス アカウントに Teams 管理者 または グローバル管理者 ロールを割り当てる場合、Fly はサービス アカウントをチーム / チャネルの所有者およびチームと関連付けられている Microsoft 365 グループの所有者とメンバーとして自動追加することができます。

    移行の実行後、PowerShell を使用してサービス アカウントをグループの所有者から削除するか、サービス アカウントを直接ブロックすることができます。アカウントを削除するには、サービス アカウントの削除 を参照してください。アカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。

  • 移行元チーム / プライベート チャネル / 共有チャネルのチーム サイトを移行する場合、サービス アカウントがチーム サイト / プライベート チャネル サイト / 共有チャネル サイトの サイト コレクション管理者 である

    サービス アカウントが SharePoint 管理者 または グローバル管理者 である場合、完全移行ジョブの実行中にサービス アカウントはチーム サイトの サイト コレクション管理者 として自動追加されます。移行の実行後、チーム サイトからサービス アカウントを削除することができます。

    また、移行元チーム サイトの Managed Metadata Service を移行する場合、サービス アカウントは Managed Metadata Service の 用語ストア管理者 である必要があります。

  • 移行元チームはクラシック エクスペリエンスのチーム サイトに基づいて作成されており、かつ移行元接続でサービス アカウントのみが構成されている場合、移行元サービス アカウントが移行元サイトの サイト コレクション管理者 である必要があります。サービス アカウントに SharePoint 管理者 ロールを付与することもできます。これにより、Fly は移行中に移行元サービス アカウントを移行元サイトの サイト コレクション管理者 に自動追加します。

  • サービス アカウント プールは移行で利用できなくなりました。以前移行元にサービス アカウント プールを使用したことがあり、そのサービス アカウント プールを引き続き使用したい場合、Teams 接続を作成する際に複数のサービス アカウントを選択し、選択したすべてのサービス アカウントが上記の条件を満たしていることを確認してください。

アプリ プロファイルも使用する場合の必須権限

移行元 Teams でサービス アカウント認証とアプリ プロファイル認証の両方を使用している場合、サービス アカウントは以下の条件を満たす必要があります。

NOTE

多要素認証 (MFA) が有効なユーザーは、移行を実行するためのサービス アカウントとして使用することはできません。その代わりに、委任アプリ プロファイルを使用することができます。

  • Microsoft Teams のライセンスを持っている

    NOTE

    サービス アカウントにライセンスを割り当てるには、Microsoft 365 管理センター > ユーザー > アクティブなユーザー に移動して、サービス アカウントの ライセンスとアプリ タブで Microsoft Teams を選択します。

  • 移行元チームのチーム所有者、移行元プライベート / 共有チャネルのチャネル所有者である

    サービス アカウントをチーム / チャネルの所有者として手動追加することができます。既定の Fly アプリまたは必要な権限を持つカスタム アプリを使用し、サービス アカウントとアプリ プロファイルの両方を提供する場合、Fly はサービス アカウントをチーム / チャネルの所有者およびチームに関連付けられている Microsoft 365 グループの所有者およびメンバーとして自動追加することができます。

    移行の実行後、サービス アカウントを直接ブロックすることができます。アカウントをブロックするには、Microsoft 365 管理センター > ユーザー に移動して、ユーザーの表示名をクリックします。サインインのブロック アイコンをクリックして、ユーザーによるサインインをブロックする を選択して変更を保存します。

  • 移行元チーム / プライベート チャネル / 共有チャネルのチーム サイトを移行する場合、サービス アカウントがチーム サイトの サイト コレクション管理者 である

    アプリ プロファイルを使用すると、サービス アカウントは完全移行ジョブ中にチーム サイトの サイト コレクション管理者 として自動追加されます。移行の実行後、チーム サイトからサービス アカウントを削除することができます。

    また、移行元チーム サイトの Managed Metadata Service を移行する場合、サービス アカウントは Managed Metadata Service の 用語ストア管理者 である必要があります。

  • 移行元チームはクラシック エクスペリエンスのチーム サイトに基づいて作成されており、かつ移行元接続でサービス アカウントのみが構成されている場合、移行元サービス アカウントが移行元サイトの サイト コレクション管理者 である必要があります。サービス アカウントに SharePoint 管理者 ロールを付与することもできます。これにより、Fly は移行中に移行元サービス アカウントを移行元サイトの サイト コレクション管理者 に自動追加します。

  • サービス アカウント プールは移行で利用できなくなりました。以前移行元にサービス アカウント プールを使用したことがあり、そのサービス アカウント プールを引き続き使用したい場合、Teams 接続を作成する際に複数のサービス アカウントを選択し、選択したすべてのサービス アカウントが上記の条件を満たしていることを確認してください。

委任アプリ プロファイル権限

Fly 委任アプリ プロファイルまたはカスタムの委任アプリ プロファイルを使用してワークスペースに接続することができます。

NOTE

同意ユーザーのライセンスと権限の要件は、サービス アカウントのライセンスと権限の要件と同じです。詳細については、サービス アカウント権限 を参照してください。

NOTE

委任アプリ プロファイルの同意ユーザーの多要素認証 (MFA) が有効になっている場合、MFA の有効化後に委任アプリ プロファイルを承認または再承認する必要があります。MFA の有効化後にアプリ プロファイルを承認または再承認しないと、委任アプリ プロファイルを使用している移行ジョブは失敗します。

NOTE

アプリ プロファイルの再承認時に権限の更新がある場合、承認後、アプリ プロファイルがトークンの更新を完了するまで約 1 時間がかかります。その間、アプリ プロファイルを移行の実行に使用することはできません。

必要な権限を持っているカスタム委任アプリ プロファイルを使用するには、Fly 委任アプリ プロファイルの権限 セクションを参照してください。

必要な権限を持っているカスタムの委任アプリ プロファイルを使用するには、以下の説明を参照してください。

  1. Microsoft Entra ID でアプリを登録した後、アプリに必要な権限を追加します。異なるテナントの必須権限については、以下のセクションを参照してください。

  2. アプリの画面の左側の [認証] をクリックします。

  3. [プラットフォームを追加] をクリックします。

  4. プラットフォームの構成 パネルで Web を選択します。

  5. Web の構成 パネルで、リダイレクト URI フィールドに AvePoint Online Services URL (https://www.avepointonlineservices.com) を入力します。

  6. 暗黙的な許可およびハイブリド フロー フィールドで アクセス トークン および ID トークン を選択します。

  7. [構成] をクリックします。

  8. [保存] をクリックします。

  9. AvePoint Online Services で モダン モード を使用してアプリ用のアプリ プロファイルを作成するには、委任されたアクセス許可を持つカスタム Azure アプリへの同意 を参照してください。

NOTE

アプリに同意する際に、アプリに管理者の同意権限を付与し、パブリック クライアント フローを許可している場合、グローバル管理者の同意 または ユーザーの同意 方法を選択することができます。そうしない場合、グローバル管理者の同意 方法のみを使用できます。

カスタム委任アプリ プロファイル

カスタム委任アプリには以下の権限が付与されていることを確認してください。

APIアクセス許可タイプ目的
SharePoint/Office 365 SharePoint OnlineAllSites.FullControl
(Have full control of all site collections)		委任済みチーム サイトの設定および権限を取得します。
Office 365 Exchange OnlineEWS.AccessAsUser.All
(Access mailboxes as the signed-in user via Exchange Web Services)		委任済みExchange Web サービスでサインイン ユーザーとしてメールボックスにアクセスします。
Microsoft GraphDomain.Read.All
(Read domains)		委任済みテナントのドメインを取得します。
Microsoft GraphRoleManagement.Read.Directory
(Read directory RBAC settings)		委任済みディレクトリ ロールを取得します。
Microsoft GraphGroup.Read.All
(Read all groups)		委任済みMicrosoft 365 グループおよびグループ メンバーを取得します。
Microsoft GraphGroup.ReadWrite.All
(Read and write all groups)		委任済み委任アプリ プロファイルのみを使用し、移行元承認ユーザーがチームの所有者でない場合に、承認ユーザーをチームの所有者として自動追加するために必要です。
Microsoft GraphSites.Read.All
(Read items in all site collections)		委任済みチーム サイトおよびプライベート チャネルのサイト コレクションのチャネル フォルダーおよびファイルを取得します。
Microsoft GraphUser.Read.All
(Read all users’ full profiles)		委任済みMicrosoft 365 ユーザー プロファイルの情報を取得します。
Microsoft GraphChannelMember.Read.All
(Read the members of all channels)		委任済みプライベート チャネル / 共有チャネルのメンバーを取得します。
Microsoft GraphChannelMember.ReadWrite.All
(Add and remove members from all channels)		委任済み移行元の承認ユーザーがプライベート チャネル / 共有チャンネルの所有者でない場合にのみ、承認ユーザーをチャンネルの所有者として自動追加するために必要です。
Microsoft GraphChannelMessage.Read.All
(Read all channel messages)		委任済みすべてのチャネル メッセージを取得します。

簡単に使用するため、以下のコマンドを使用して、マニフェスト を介して必要な API 権限を追加することができます。

"requiredResourceAccess": [
  {
    "resourceAppId": "00000003-0000-0000-c000-000000000000",
    "resourceAccess": [
      {
        "id": "2eadaff8-0bce-4198-a6b9-2cfc35a30075",
        "type": "Scope"
      },
      {
        "id": "0c3e411a-ce45-4cd1-8f30-f99a3efa7b11",
        "type": "Scope"
      },
      {
        "id": "767156cb-16ae-4d10-8f8b-41b657c8c8c8",
        "type": "Scope"
      },
      {
        "id": "2f9ee017-59c1-4f1d-9472-bd5529a7b311",
        "type": "Scope"
      },
      {
        "id": "5f8c59db-677d-491f-a6b8-5f174b11ec1d",
        "type": "Scope"
      },
      {
        "id": "4e46008b-f24c-477d-8fff-7bb4ec7aafe0",
        "type": "Scope"
      },
      {
        "id": "741c54c3-0c1e-44a1-818b-3f97ab4e8c83",
        "type": "Scope"
      },
      {
        "id": "205e70e5-aba6-4c52-a976-6d2d46c48043",
        "type": "Scope"
      },
      {
        "id": "a154be20-db9c-4678-8ab7-66f6cc099a59",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "00000003-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "56680e0d-d2a3-4ae1-80d8-3c4f2100e3d0",
        "type": "Scope"
      }
    ]
  },
  {
    "resourceAppId": "00000002-0000-0ff1-ce00-000000000000",
    "resourceAccess": [
      {
        "id": "3b5f3d61-589b-4a3c-a359-5dd4b5ee5bd5",
        "type": "Scope"
      }
    ]
  }
]