Microsoft Defender統合ロールベースのアクセス制御 (RBAC)

適用対象:

Microsoft Defenderは、エンドポイント、メール、アイデンティティ、アプリケーション、データ間で統合された脅威保護、検出、対応を単一のポータル内で提供します。 ユーザーのアクセスに関するアクセス許可を制御してデータを表示したり、タスクを完了したりすることは、組織が未承認のアクセスに関連するリスクを最小限に抑えるために不可欠です。

Microsoft Defender統合ロールベースのアクセス制御 (RBAC) モデルは、管理者がさまざまなセキュリティ ソリューション全体でユーザーのアクセス許可を制御するための 1 つの中心的な場所を提供する 1 つのアクセス許可管理エクスペリエンスを提供します。

重要

2025 年より、Microsoft Defender統合 RBAC モデルは、新しい Microsoft Defender エンドポイント テナントとMicrosoft Defender for Identity テナントの既定のアクセス許可モデルです。 これらのテナントは、古いモデルからロールとアクセス許可をエクスポートできません。 この日付より前に割り当てまたはエクスポートされたロールとアクセス許可を持つ Defender for Endpoint または Defender for Identity テナントは、古いロールとアクセス許可の構成を維持します。

2026 年 7 月以降、Microsoft Defender統合 RBAC モデルは、新しい Microsoft Defender for Office 365 Plan 2 組織の既定のアクセス許可モデルでもあります。 詳細については、 MC1246006を参照してください。

Microsoft Defender統合 RBAC モデルでサポートされる内容

一元化されたアクセス許可管理は、次のサービスでサポートされています。

サービス名 統合 RBAC のサポート
Microsoft Defender Microsoft Defender体験のための集中権限管理。
Microsoft Defender for Endpoint すべてのエンドポイント データとアクションの完全なサポート。 すべてのロールは、デバイス グループ ページで定義されているデバイス グループのスコープと互換性があります。 さまざまなデバイス グループへのアクセス許可の制限は、[デバイス グループ] ページで行います。
Microsoft Defender 脆弱性の管理 すべてのDefender 脆弱性の管理機能の一元化されたアクセス許可管理。
Microsoft Defender for Office 365 すべてのデータとアクションの完全なサポート。

注:
  • 当初、Microsoft Defender RBACモデルはMicrosoft Defender for Office 365 Plan 2ライセンスを持つ組織のみで利用可能で、トライアルライセンスはサポートされていません。
  • Exchange Online PowerShell とセキュリティ & コンプライアンス PowerShell では、引き続きExchange OnlineロールとEmail &コラボレーション ロールが使用されます。 Microsoft Defender の統合 RBAC は、Exchange Online PowerShell または Security & Compliance PowerShell には影響しません。
Microsoft Defender for Identity すべての ID データとアクションの完全なサポート。 すべてのロールは、Microsoft Defender for Identity のスコープ付きアクセスと互換性があります。

注: Defender for Identity のエクスペリエンスは、Microsoft Defender for Cloud Apps から付与されたアクセス許可にも従います。 詳細については、「Microsoft Defender for Identity役割グループ」を参照してください。
Microsoft Defender for Cloud Microsoft Defender ポータルで利用可能な Defender for Cloud のすべてのデータのアクセス管理をサポートします。
Microsoft セキュリティ露出管理 Microsoft セキュア スコア データを含むすべての Exposure Management データとアクションを完全にサポートします。
Microsoft Defender for Cloud Apps (プレビュー) メモ： 統合 RBAC がアクティブになると、一部の組み込みスコープ ロールはサポートされなくなります。 詳細については、「Microsoft Defender for Cloud Appsアクセス許可をMicrosoft Defender統合 RBAC アクセス許可にマップする」を参照してください。
Microsoft Sentinel Defender ポータルにオンボードされているすべてのMicrosoft Sentinel ワークスペースの統合アクセス管理をサポートします。 Sentinel の Unified RBAC で作成されたロール割り当ては、Azure RBAC と同期され、Azure RBAC に表示されます。 ただし、統合 RBAC は、有効になるとアクセス許可のソースになります。

統合 RBAC でSentinelをアクティブ化すると、有効なワークスペース内の MTP 統合 RBAC アプリにユーザー アクセス管理者ロールが割り当てられます。

Microsoft Sentinelのサービス プリンシパルまたは GDAP ユーザー グループへのアクセス許可の割り当ては、統合 RBAC ではサポートされていません。 いずれかの機能が必要な場合は、Microsoft Sentinel Azure RBAC を使用し続けます。 詳細については、「Microsoft Defender統合 RBAC のアクティブ化」を参照してください。

Defender ポータルのSentinelエクスペリエンスは、URBAC に加えて ARM の役割とアクセス許可を引き続き尊重します。 そのため、ARM で URBAC よりも多くのアクセス許可を持つユーザーは、URBAC アクセス許可で構成されているデータよりも、Defender ポータルのSentinel ページに多くのデータが表示される場合があります。

Microsoft Sentinelが Defender ポータルとMicrosoft Sentinel データ レイクの両方にオンボードされている場合は、Microsoft Sentinel データ レイクの既定のワークスペースのアクセス許可管理をサポートします。

ワークスペースに対して組み込みの Azure RBAC ロールが付与されている Microsoft Sentinel ユーザーには、レイク エクスプローラーやノートブックなどの Microsoft Sentinel のデータ レイク エクスペリエンスでも、対応する権限が付与されます。 詳細については、「Microsoft Sentinel データ レイクのロールとアクセス許可」を参照してください。

再利用可能なスコープタグを用いて行レベルでSentinelデータにアクセスするには、「Microsoft Sentinelのスコーピング設定」を参照してください。

サポートされているロールを確認するには、統合 RBAC ロール マッピングをチェックします。

注:

コンプライアンスアクセス許可によって制御されるシナリオとエクスペリエンスは、Microsoft Purview ポータルで管理されます。 具体的には、Defender ポータルからアクセスできるデータ損失防止 (DLP) と Insider Risk Management のエクスペリエンスは、Microsoft Defender の統合 RBAC ではなく、Microsoft Purview RBAC によって管理されます。 これらのエクスペリエンスのアクセス許可を管理するには、 Microsoft Purview ポータルのアクセス許可に関するページを参照してください。

始める前に

このセクションでは、Microsoft Defender の統合 RBAC の使用を開始する前に知っておくべき役立つ情報を提供します。

アクセス許可の前提条件

  • 以下を行うには、少なくともMicrosoft Entra IDのセキュリティ管理者である必要があります。

    • Microsoft Defender ポータルでアクセス許可とロールへの初期アクセス権を取得します。

    • Microsoft Defender統合 RBAC でロールとアクセス許可を管理します。

    • Microsoft Defender 統合 RBAC で、セキュリティ グループまたは個別のユーザーに、ロールとアクセス許可を管理するためのアクセス権を付与できるカスタム ロールを作成します。 これにより、アクセス許可の管理に Microsoft Entra のグローバル ロールが不要になります。 これを行うには、Microsoft Defender の統合 RBAC で 認可 アクセス許可を割り当てる必要があります。 承認アクセス許可を割り当てる方法の詳細については、「 ロールとアクセス許可にアクセスして管理するロールを作成する」を参照してください。

  • Microsoft Defenderのセキュリティソリューションは、Microsoft Defenderの統合RBACモデルを一部のまたは全部のワークロードで有効化する際、既存のMicrosoft Entraグローバル役割を尊重し続けます。つまり、セキュリティ管理者は割り当てられた管理者権限を保持します。

  • 統合 RBAC でMicrosoft Sentinel ワークスペースをアクティブ化するには、次のものが必要です。

    • Microsoft Entra IDのセキュリティ管理者ロール
    • および次のいずれか:
      • サブスクリプション所有者(OR)
      • ワークスペース上のユーザー アクセス管理者 + Sentinel 共同作成者

  • 統合 RBAC では、グローバル管理者はワークスペースに対する自動アクセス許可を付与しません。 これにより、自分自身に対するものを含め、アクセス許可を割り当てる権限が付与されます。

既存のロールとアクセス許可の移行

新しいMicrosoft Defender統合 RBAC モデルを使用すると、サポートされている個々の統合 RBAC モデル内の既存のアクセス許可を新しい RBAC モデルに簡単に移行できます。

Defender for Endpoint Devices グループは、インターフェイスのデバイス グループ側を使用して、適切なデバイス グループにアクセスできるグループを定義するようになりました。

Microsoft Defender統合 RBAC モデル内に一覧表示されているすべてのアクセス許可は、下位互換性を確保するために、個々の RBAC モデルのアクセス許可に合わせて調整されます。 アクセス許可の調整方法の詳細については、「Microsoft Defender統合ロールベースのアクセス制御 (RBAC) でのアクセス許可のマップ」を参照してください。

Microsoft Defender統合 RBAC モデルのアクティブ化

Microsoft Defenderの統一RBACモデルを使用するには、ワークロードをMicrosoft Defenderでアクティベートする必要があります。 有効化されるまでは、Microsoft Defenderは既存のRBACモデルを引き続き尊重しています。 Microsoft Sentinelは、ワークスペースごとにアクティブ化する必要があります。 詳細については、「Microsoft Defender統合 RBAC のアクティブ化」を参照してください。

新しいアクセス許可モデルを使用するためにワークロードの一部またはすべてをアクティブ化すると、これらのワークロードのロールとアクセス許可は、Microsoft Defender ポータルのMicrosoft Defender統合 RBAC モデルによって完全に制御されます。

Microsoft Defender の統合 RBAC モデルの使用を開始する

Microsoft Defender統合 RBAC モデルの使用を開始するには、次の手順をガイドとして使用します。

  1. カスタムロールの作成と既存の RBAC ロールモデルからのロールのインポートを開始する

  2. Microsoft Defender統合 RBAC モデルを使用してロールをアクティブ化および管理する

  3. Microsoft Defender統合 RBAC モデルの詳細

  4. Microsoft Defender for Identity のスコープ付きアクセスの詳細を見る

  5. 複数のテナント間で統合 RBAC を管理する

前の手順の動作を確認するには、次のビデオをご覧ください。

ヒント

さらに詳しく知りたいですか？ Tech Community 内の Microsoft Security コミュニティにご参加ください: 「Microsoft Defender XDR Tech Community」。

  • Last updated on