環境を分けてDLPを当てても、「作った人が誰にでも配れる」状態は残ります。
ここでは、エージェントを共有できる相手と人数を管理側から絞ります。
操作した画面をすべて順番に載せているので、この記事だけで同じ設定を再現できます。
①で開発用の環境を作り、②でDLPを1本当てました。
ここまでで「どこで作るか」と「どう公開させないか」が決まっています。
残っているのは配る範囲です。
作った本人が組織の全員に共有できる状態のままだと、環境を分けた意味が薄れます。
① マネージド環境とは何か → ② 有効にする前の状態を確認する → ③ 設定パネルの中身を見る → ④ 共有の制限を入れて有効にする → ⑤ 作る側の画面で確認する → ⑥ 環境に入れる人を絞る
いまここ
① マネージド環境とは何か
この節ですること
まだ操作はしません。
終わるとこうなる
マネージド環境は、その環境だけ管理者の目と制御を強める設定です。
有効にすると、共有できる範囲の制限、ソリューションの検査、利用状況の週次レポートなどが使えるようになります。
今回の目的は、この中の共有の管理です。
エージェントを誰に、何人まで渡せるかを管理側で決めます。
共有の制限や検査、利用状況のレポートが使えるようになります。
編集者は中身を直せて、閲覧者は使うだけです。
②でDLPを使って「認証なし」を止めておくことが、この設定を効かせる前提になります。
3本の記事が、ここで1本につながりました。
まずここを勘違いしないでおくと、話が早いです。
いまここ
② 有効にする前の状態を確認する
この節ですること
終わるとこうなる
1環境の一覧でマネージドの列を見る
- 管理センター（admin.powerplatform.microsoft.com）を開く
- 左ナビの「管理」→「環境」
- 一覧の「マネージド」列を確認する
2環境の詳細を開く
- 対象の環境名（ここでは CopilotStudio45 開発）をクリック
- 詳細ページが開く
- セキュリティ グループの欄を確認する
あとで見比べられるだけでなく、「セキュリティ グループが未割り当て」のように、別に手を打つべき点もここで分かる。
同じページを下にスクロールすると、生成 AI 機能の欄がありました。
リージョン間でのデータ移動、Bing 検索、Microsoft 365 サービスが、それぞれ「許可する」になっています。
いまここ
③ 設定パネルの中身を見る
この節ですること
終わるとこうなる
3マネージド環境のパネルを開く
- 詳細ページ上部のコマンドバーで「マネージド環境を有効にする」をクリック
- 右側に設定パネルが開く
- まだ「有効にする」は押さず、項目を確認する
無償ライセンスだけの利用者がいる環境で有効にすると、その人たちが使えなくなる可能性があります。
本番のテナントでは、対象環境の利用者のライセンスを先に確認します。
下にスクロールすると、共有の管理のほかに3つの機能がありました。
問題があるものをブロックすることもできます。
- ソリューション チェッカー強制：持ち込むソリューションを自動で検査する。
ブロックまで上げると、問題があるものは取り込めない - 使用状況の分析情報：週ごとのダイジェストメールに、この環境の利用状況を含める
- 作成者を歓迎するコンテンツ：作り始める人に社内ルールを表示できる。
利用規約のURLも設定できる
いまここ
④ 共有の制限を入れて有効にする
この節ですること
終わるとこうなる
4Copilot Studio の共有設定を開く
- パネルの「共有の管理」まで戻る
- 「Copilot Studio」の左の「＞」をクリックして展開する
説明文の最後に、今回いちばん重要な一文があります。
5人数の制限を入れる
- 「個人に限定して共有する (セキュリティ グループなし)」にチェックを入れる
- グレーだった「各エージェントにアクセスできる閲覧者の人数を制限する」が押せるようになる
- チェックを入れ、人数を入力する（ここでは 20）
人数で縛るには、先に個人単位の共有へ限定する必要がある。
この順番があるため、人数の制限だけを単独で設定することはできない。
6有効にする
- パネル下部の「有効にする」をクリック
- 完了すると緑のバナーが表示される
- 環境の一覧に戻って「マネージド」列を確認する
既定の環境や、他の利用者がいる環境には影響していません。
まず1つで試してから広げる、という順番はDLPのときと同じです。
作った人が勝手に全社へ広げられない、という状態にできます。
いまここ
⑤ 作る側の画面で確認する
この節ですること
終わるとこうなる
7共有ダイアログを開く
- Copilot Studio を開き、環境が対象のものになっていることを確認する
- エージェントを開き、右上の「…」をクリック
- メニューから「共有する」を選ぶ
ここで分かったのは、制限は画面から項目を消す形では現れないということでした。
ユーザーを追加する欄も、「組織内のすべてのユーザー」の選択肢もそのまま表示されています。
※ 制限が効くのは「共有しようとしたとき」
マネージド環境の共有制限は、実際に共有を実行した時点で判定されます。
人数の上限を超えたときや、セキュリティ グループを指定したときに止まります。
②のDLPが「選択肢がグレーになる」形で現れたのとは、効き方が違います。
検証はここまでにしています。
上限を超える共有を確かめるには、実際に多数の利用者へ配る必要があるためです。
いまここ
⑥ 環境に入れる人を絞る（セキュリティ グループ）
この節ですること
終わるとこうなる
共有の範囲を絞ったので、最後に環境そのものに入れる人を確認します。
②で見たとおり、この環境のセキュリティ グループは「割り当てられていません」のままです。
8環境の詳細を編集する
- 環境の詳細ページを開く
- 「詳細」カード右上の「編集」をクリック
- セキュリティ グループの欄を確認する
環境に割り当てると、その名簿に載っている人だけが入れるようになります。
開発者環境には、セキュリティ グループを割り当てられませんでした。
所有者だけが使う環境なので、入れる人を絞るという設定自体が用意されていません。
同じ画面をサンドボックス環境で開くと、表示が変わります。
※ 未割り当ての意味
サンドボックス側の説明文には「テナント全体でアクセスを開くには、[なし] に設定します」と書かれています。
裏を返すと、グループを割り当てていない環境はテナント全員が入れるということです。
環境を分けただけでは、入れる人は絞られていません。
ここまでやって、分離が実際に効く。
1人で検証するなら開発者環境で足ります。
チームで使う開発環境を作るなら、有料の容量を使ってでもサンドボックスを選ぶ理由がこれです。
開発者環境には割り当てられないなど、環境の種類で挙動が違いました。
ここまで完了
⑦ 作業前に押さえておく仕様
- プレミアムライセンスが前提：パネルの冒頭に明記されている。
対象環境の利用者を先に確認する - 開発者環境にはセキュリティ グループを割り当てられない：入れる人を絞るならサンドボックス
- グループ未割り当て＝テナント全員が入れる：環境を分けただけでは絞られていない
- 認証なしのエージェントには共有制限が効かない：DLPで「認証なし」を止めておくことが前提
- 人数の制限は単独では設定できない：「個人に限定して共有する」を先に有効にする
- 共有ダイアログの見た目は変わらない：制限は共有を実行した時点で効く
- ソリューション チェッカーの既定は「警告」：止めたい場合は「ブロック」に上げる
- マネージド環境は環境単位：1つだけ有効にして、他はそのままにできる
ここまで完了
まとめ
- ① 環境を分けてDLPを当てても、「誰にでも配れる」状態は残る
- ② マネージド環境を有効にすると、共有の相手と人数を管理側で決められる
- ③ 編集者・閲覧者・個人限定・人数上限の4段階で絞る
- ④ 認証なしのエージェントには共有制限が効かないため、DLPとセットで考える
- ⑤ 有効化は環境単位。
まず1つで試してから広げる - ⑥ 環境に入れる人を絞るにはセキュリティ グループ。
開発者環境では割り当てられない
3本を通してやったことは、作る場所を分ける・公開の仕方を縛る・配る範囲を絞るの3つでした。
どれも設定そのものは短時間で終わります。
時間がかかるのは、社内で「どこまで許すか」を決めるほうです。
②：DLPで「認証なし」の公開を止める
費用の考え方：Copilot Studioは“使うほど課金”される
課金の境界：Copilot Studioの「無償で使える線」はどこか
※ 本記事は公開日時点の情報をもとに、筆者が実際に試した内容を整理しました。
Copilot Studio と Power Platform 管理センターは更新が続いており、画面や名称、既定値は変わることがあります。
最新の状況は公式情報（Microsoft Learn）もあわせてご確認ください。
※ 掲載している画面は、操作中に撮りました。
氏名・メールアドレス・環境IDなどは伏せています。
構成や図解の一部は、AI と壁打ちしながら作成しています。
＼ 最新情報をチェック ／
コメント