Power Automate for desktop「DLPポリシー設定について」

## 概要

2023年6月Power Automate for desktopにOneDrive for Businessのアクションが追加されました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/ec0d49b8-f160-b1ab-9738-5feed43271ed.png)

プレミアムコネクタであるため一般ユーザーがうっかりやっちゃった！ということは起きにくいと思いますが、一応、気になったので制御方法を試しました。

## 注意事項

- 本記事は2023年6月現在の情報です。
- お決まりですが自己責任でおねがいします。
- 検証目的でMicrosoft 365 開発者プログラムおよびPer-user plan with attended RPA試用版を利用させていただいています。
- インストール版Power Automate for desktop 2.33.89.23145を利用しています。
- 有償版利用が前提の記事です。
- [DLP ポリシーの適用はマネージド環境でのみ利用できます。](https://learn.microsoft.com/ja-jp/power-automate/prevent-data-loss#data-loss-prevention-for-desktop-flows)
- マネージド環境ライセンスの詳細については、[ライセンス](https://learn.microsoft.com/ja-jp/power-platform/admin/managed-environment-licensing)と[Microsoft Power Platform のライセンス](https://learn.microsoft.com/ja-jp/power-platform/admin/pricing-billing-skus)の概要を参照してください。

## DLPポリシーとは

DLPポリシーとは、データ損失防止ポリシー(Data loss prevention policies)のことです。Power AutomateのDLPポリシーは、Power Platformの管理センターから設定できます。

https://learn.microsoft.com/ja-jp/power-automate/prevent-data-loss

## デスクトップ フロー アクション グループをDLPに表示する

まず設定からデスクトップ フロー アクション グループをDLPに表示できるようにします。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/2941ad7d-6229-8ffd-4f62-ee6602b12893.png)

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/64dbd2c9-3b35-1991-6028-417b58080a13.png)

## DLPポリシーの設定

Power Automate for desktopのDLPポリシーを確認してみます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/35a25a3a-85e3-7079-7ee0-eb7e5b1569a5.png)
まだ設定していないので当然何もありません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/aceacee8-bb90-448e-b9d7-3912cad391dd.png)

Power Platformの管理センターからDLPポリシーを作成します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/1322fc56-8ad0-4411-cfb1-aee8c9181e39.png)

名前を入力して、進みます。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/5596291d-e44e-95b7-24f5-41f14e6b41e2.png)

既定ではすべてのアクションが非ビジネスにあります。めちゃめちゃ多すぎるのでフィルターでしぼります。今回はデスクトップ フロー アクション グループを選択します。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/8ba2eeee-8a9b-6058-79b6-c7475ec6a7e8.png)

DLPの挙動としてはユーザーがビジネスと非ビジネスそれぞれのグループにあるアクションを使用してフローを作成できないようになっています。またブロック済みに指定した場合は利用できなくなります。この挙動を利用して、ユーザーがデスクトップ フロー アクションで事故をなるべく起こさないようにします。

今回はOneDrive for BusinessのアクションをPower Automate for desktopで利用できないようにします（完全ではない）。そのためにまず現状のアクションをビジネスに移動します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/cbdb9540-8319-01dc-e148-6fe2dc1f8c48.png)

このデスクトップ フロー アクション にはOneDrive for Businessのアクションは含まれていません。なので一旦このまますすめて保存しPower Automate for desktopで確認してみます。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/67cfa59a-3810-3562-3051-2978e206eabb.png)


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/2bd0fbc9-06c0-6726-056f-9413bd652bdb.png)
非ビジネスに３件のこっています。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/2ce042be-4766-cd13-1cb3-1d0cf728021f.png)

Power Platformの管理センターからDLPポリシーを編集します。**どうやらクラウドフローのDLPと共通のようです。そしてた兼ね合いもあってブロックはできません。**

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/fad8c71d-3c3c-2ec4-5531-95b510038fb4.png)

この状態でPower Automate for desktopのOneDrive for Businessのアクションは、非ビジネスのアクションとの組み合わせ以外、ほかのアクションと一緒に利用できない状態となります。（変数など基本アクションとの組み合わせは可能です。）

ためしに適当にフローを作成してみます。
EXCELのアクションと組み合わせてみました。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/66fe84e0-0654-e2b6-748b-a930e57f5023.png)

実行や保存をしようとするとDLP違反となり警告が出て止まります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/b8776594-9eec-a69b-48d6-4dc729da68d2.png)
既に作成済みのフローがDLPポリシー抵触する場合は次のような警告が出たうえで実行できなくなります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/51ed4334-8eba-d709-34b7-2e14b5e44c35.png)


デスクトップ フローが制御できました。しかしクラウドフローのことも考えて設定しないと、アラートが飛んでしまうので注意が必要です。


## まとめ

Power Automate for desktopのOneDrive for Businessのアクションに対するDLPポリシーはクラウドフローと共通のようです。ブロックはできません。そのためこのアクションを制御したい場合は非ビジネスとビジネスでグループ分けすることでDLPポリシーを設定する必要があります。あくまでアクションの組み合わせを制御するだけであって利用を禁止できるわけではないので留意が必要です。クラウドフローの機能を利用するアクションについてはグループ分けを良い感じに利用してデータ損失防止してねといった感じです。

検証目的でPer-user plan with attended RPA試用版を利用させて頂いていたつもりだったのですが、ライセンス（プレビュー）をみるとPower Apps 試用版になっていました。どなたか詳しい方こっそり教えて下さい。
![CleanShot 2023-06-14 at 19.46.39@2x.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/680039/129395ce-357c-2fce-d59d-c0f7a822ebc1.png)

## 参考

https://learn.microsoft.com/ja-jp/power-automate/prevent-data-loss

https://learn.microsoft.com/ja-jp/power-automate/desktop-flows/data-loss-prevention

https://learn.microsoft.com/ja-jp/power-platform/admin/managed-environment-overview

https://learn.microsoft.com/ja-jp/power-platform/admin/managed-environment-licensing