Copilot Studioを会社で使う前に②｜DLPで「認証なし」の公開を止める

Copilot Studio で作ったエージェントは、「認証なし」で公開することができます。リンクを知っていれば社外の誰でも話せる状態です。
この記事では、その選択肢を管理側から選べなくする設定を1本作ります。
DLPを初めて触る方に向けて、押す場所と、そこで何が起きるかを画面ごとに載せました。

この記事は企業導入編の2本目です。
前編：Copilot Studioを会社で使う前に①｜開発用の環境を分けて、既定の環境から出る

会社でCopilot Studioを使い始めるとき、情報システム部門から聞かれることはだいたい2つに絞られます。「誰でも勝手に作れる状態にならないか」と「社内のデータが外に出ないか」です。

前編で環境を分けたのが前者への答えでした。
今回のDLPが、後者への答えにあたります。

この記事のゴール
エージェントの設定画面で、「認証なし」が選べなくなる。
しかも、なぜ選べないのかという理由が、作った人の画面に表示される。
口頭で「やらないでね」とお願いするのではなく、選べない状態を会社として作ります。

はじめる前に用意するもの

1. Power Platform 管理センターに入れる権限（Power Platform 管理者、またはグローバル管理者）。
2. 試してよい環境を1つ。
前編で作った開発用の環境を使います。
3. 時間は30分ほど。
途中で保存されるので、分けて進めても大丈夫です。

この設定は、あとから元に戻せます。
ポリシーを削除するか、対象の環境を外せば、元の状態に戻ります。
戻し方は記事の最後にまとめました。
開発用の環境で試すぶんには、失敗しても影響は出ません。

いまここ

1DLPとは何か

2いまの状態を記録する

3ポリシーを1本作る

4効き目を確かめる

① DLPとは何か
② いまの状態を記録する
③ ポリシーを1本作る
④ 効き目を確かめる
元に戻したくなったら
作業前に押さえておく仕様
まとめ

① DLPとは何か

この節ですること

DLPが何をする仕組みなのかを、絵で1回だけ確認します。
まだ操作はしません。

終わるとこうなる

このあと自分が何を作ろうとしているのかが分かった状態になります。

DLP はデータ損失防止のことです。
管理センターの画面上ではデータポリシーという名前で並んでいます。

用語DLP（データ損失防止）：社内のデータが外へ流れる経路をふさぐ仕組みのことです。
管理センターの画面では「データポリシー」と表示されます。

やっていることは1つだけです。つなぎ先を3つの箱に分けて、違う箱どうしを一緒に使わせない。
これだけです。

用語コネクタ：つなぎ先を表す部品です。
SharePoint や Outlook のような外部サービスのほか、Copilot Studio では「認証なしで公開する」といった機能も、1本のコネクタとして並びます。

箱は3つです。

業務：仕事で使ってよいもの
非ビジネス：仕事のデータとは混ぜてほしくないもの
ブロック済み：そもそも使わせないもの

同じ箱の中どうしなら組み合わせられます。業務と非ビジネスをまたぐ組み合わせは作れません。
たとえば SharePoint を業務に、Twitter を非ビジネスに置くと、社内文書をSNSへ流すフローが作れなくなります。

Copilot Studio では、これにもう1つの使い方が加わります。
データの流れだけでなく、エージェントに何をさせないかを決められます。
認証なしの公開、Teamsへの公開、スキルの利用が、それぞれ1本のコネクタとして並んでいます。

今回止めるのは、このうち「認証なしで公開する」の1本です。

DLPって言葉はいかつく聞こえますが、中身はつなぎ先を3つの箱に分けて、違う箱どうしはまたがせないという仕組みです。
ここが分かると、この先の画面もそんなに身構えずに読めると思います。

② いまの状態を記録する

この節ですること

空のエージェントを1体だけ作り、設定を変える前の認証画面を控えておきます。

終わるとこうなる

ポリシーを作ったあとに同じ画面を開けば、効いたかどうかを自分の目で確認できます。

なぜそうするかDLPの効き目は、管理センターの画面には出てきません。
作る人の画面にだけ現れます。
そのため、先に「変える前」を見ておかないと、効いたのかどうかを確かめようがありません。

1空のエージェントを作る

Copilot Studio を開き、右上の環境が「CopilotStudio45 開発」になっていることを確認する
左ナビの「エージェント」を開く
右上の「＋空のエージェントを作成する」をクリック
名前を入れて「作成」（ここでは「DLPテスト用」）。
指示文もナレッジも入れなくてよい

▲ 名前を入れるだけで作れる。「エージェント設定（オプション）」は開かなくてよい

▲ 作成直後の画面。Agent status が Setting up… の間は少し待つ

2変更前の認証設定を見ておく

右上の「設定」をクリック
左メニューの「セキュリティ」を選ぶ
「認証」を開く
この画面を控えておく（あとで見比べる）

「認証」を開くと、選択肢が3つ出てきます。

用語Microsoft Entra ID：会社のアカウントを管理する仕組みです。
以前は Azure Active Directory と呼ばれていました。

認証なし：すべてのチャネルで一般的に公開する。
リンクを知っていれば誰でも話せて、使った人が誰かは分からない
Microsoft で認証する（既定）：Entra ID で自社のユーザーだけが使える。
Teams・SharePoint・Power Apps・Microsoft 365 Copilot 上で会話する
手動で認証する：任意のチャネル向けに、認証を自分で構成する

社内のデータをその人の権限で検索させたい場合、Microsoft で認証するのが前提になります。
相手が誰か分からないままでは、権限を見て絞り込むことができないためです。
「認証なし」に警告アイコンが付いているのは、公開範囲が一気に広がるからです。

この画面をあとで開き直します

いま見た「認証なし」が黒い文字で選べる状態を覚えておいてください。
ポリシーを作り終えたあと、同じ画面がどう変わるかを見比べます。

効いたかどうかは管理センター側には出なくて、作る人の画面にだけ出ます。
私は変える前の認証画面を1枚だけ控えておいて、あとで見比べるようにしました。

③ ポリシーを1本作る

この節ですること

管理センターに移り、「認証なしで公開する」を止めるポリシーを作ります。
ここが本題で、手順は9つあります。

終わるとこうなる

開発用の環境にだけ効くルールが1本できあがります。

③の中の道のり（全9手）
画面を開く → 名前をつける → 箱を見る → 止めたいものを探す → ブロックする → カスタムは素通り → 効く範囲を選ぶ → 環境を追加する → 確認して作成

3データポリシーの画面を開く

Power Platform 管理センター（admin.powerplatform.microsoft.com）を開く
左ナビの「セキュリティ」（盾のアイコン）をクリック
「データとプライバシー」を選ぶ
一覧の中から「データポリシー」を開く

▲ データ保護とプライバシーの一覧。下のほうに「エージェントのナレッジソース」「Copilot Studio のスキル」も並ぶ

この一覧には、データポリシーとは別に Copilot Studio 専用の項目も並んでいます。
今回使うのは一番上の「データポリシー」です。

4ポリシーに名前をつける

「＋新しいポリシー」をクリック
名前を入れる（ここでは「コパスタ45 開発環境お試しポリシー」）
「次へ」をクリック

▲ 作成は5ステップ（ポリシー名 → 事前構築済みコネクタ → カスタムコネクタ → スコープ → レビュー）

なぜそうするかポリシーはこの先どんどん増えていきます。
名前を見ただけで「何のための、どこに効くルールか」が分かるようにしておくと、あとで他の人に引き継ぐときに説明が要りません。

5コネクタの箱を見る

「事前構築済みコネクタ」の画面が開く
タブが3つ並んでいる（業務／非ビジネス／ブロック済み）
まだ何も動かさず、既定の状態を見ておく

▲ 既定では1711本すべてが「非ビジネス」に入っている。業務とブロック済みはどちらも0

1711本すべてが同じ箱に入っています。
つまりまだ何も分かれていないので、実質的に何も止まっていない状態です。
ポリシーを作るというのは、ここから必要なものだけを別の箱へ移す作業です。

「ブロック可能」という列もあります。
SharePoint と OneDrive for Business は「いいえ」になっていて、これらは土台にあたるため止められません。

6止めたいコネクタを探す

右上の検索ボックスにキーワードを入れる
日本語の「認証」では結果が出ない
「Studio」と英語で検索すると Copilot Studio 関連が並ぶ

ここは名前で引っかかりやすい場所です管理センターの表示は日本語ですが、コネクタ名は英語のままです。
「認証」で検索しても1件も出ないので、無いと思ってしまいがちです。
「Studio」と英語で入れてください。

▲ 「Studio」で検索した結果。目的のものは Chat without Microsoft Entra ID authentication in Copilot Studio

※ コネクタ名の読み方

Copilot Studio 系のコネクタは、つなぎ先のサービスではなく機能そのものを指しています。
Chat without Microsoft Entra ID authentication in Copilot Studio ＝認証なしでチャットさせる機能。
Microsoft Teams + M365 Channel ＝ Teams と Microsoft 365 への公開。
Direct Line channels ＝ Webサイトやアプリへの公開。
Skills with Copilot Studio ＝スキルの利用。

7ブロックする