PowerPlatform管理者が環境の管理者に自動割り当てされなくなった


::: note
こちらの記事は投稿時点の情報です。
最新情報は公式ドキュメントMicrosoft Learnでご確認お願いいたします。
:::

今まで「グローバル管理者」・「Power Platform管理者」・「Dynamics 365 管理者」ロールが割り当たっていれば、全環境のシステム管理者ロールが付与される動きでしたが、新しく、手動付与・AdminコネクタやPowerShellで割り当てるなどの意図的な対応が必要になりました。

https://learn.microsoft.com/ja-jp/power-platform/admin/manage-high-privileged-admin-roles

# 今までの挙動
前はユーザーに「グローバル管理者」・「Power Platform管理者」・「Dynamics 365 管理者」いずれかが割り当たっていれば、そのテナント内のPower Platform環境すべてへのフルアクセス権・システム管理者ロールが自動で割り当たっていました。
（以下はM365管理センターのユーザーのビュー）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/667b09e8-6bce-aca5-8181-07f71a419aef.png)

（以下はPower Platform管理センターの環境＞ユーザーのビュー）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/5847c684-756f-c9ae-253c-35623b01d946.png)


# これからの挙動「自己昇格」
しかし、これからは環境内で手動付与する・AdminコネクタやPowerShellで割り当てるなどの操作が必要です。
- 権限を持つロール
    - グローバル管理者
    - Power Platform管理者
    - Dynamics 365 管理者（コネクタは部分的な権限しか持たないため、AdminコネクタやPowerShellでは[動作しない可能性があります](https://github.com/microsoft/coe-starter-kit/issues/8119)。）

注意が必要なところとして、「CoE Starter Kit」を導入している場合は、テナント内の環境を横断で監視するツールであるため、使うユーザーはすべての環境でシステム管理者ロールが必要でした。
この条件は、グローバル管理者、Power Platform管理者、Dynamics 365 管理者であることで満たされましたが、ここにプラスで作業する必要が生まれます。

応急処置として、CoE Starter Kit内で自動的に割り当てるフローを用意しているようです。ただ、ここで使われるコネクタがプレビューの間は公式リリースされないので、それまでの対処が必要な場合は一時ソリューションをお使いください。

https://github.com/user-attachments/files/15839078/testflowforPIM_20240614140015.zip

https://github.com/microsoft/coe-starter-kit/issues/8119

## 管理センターでの手動の自己昇格
設定したい環境を管理センターで選択し、環境の詳細画面にて、リボンUI上「メンバーシップ」をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/e93863d4-66d9-a946-d112-5fc7f96de4eb.png)

::: note
追加されていない環境やロールが割り当たっていない環境も一覧に表示されました。
ただ、追加されてない状態で、ユーザーなどの設定に行くとエラーが表示されます。
上記の方法で自分をシステム管理者ロールに割り当てると可能になります。
:::

「自分を追加」から自分をシステム管理者として追加する
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/fbe40134-a150-0b20-2320-b7135aacde8c.png)

::: note warn
ユーザーのビューでは追加できません。
システム管理者ロールがついていない環境では基本的にはユーザーへロールを付与したりする操作はできないためこの動きになります。
その為新しい
:::

管理者ロールを持たないユーザーには、「メンバーシップ」の表示がされません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/db507c15-5faf-658c-da7c-01497385ad20.png)

## Adminコネクタを使って自動化

Power Platform for Admins V2コネクタ（プレビュー中）を使って自動割り当ての仕組みを作ることも可能です。

::: note

現在このコネクタは、地域が限定的です。
フローを保存するとき、オンにするとき、以下のようなエラー表示がされる用でしたらこのアクションはお使いのリージョンでお使いになれません。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/ccae07b0-38ef-ebeb-4a0a-7687aff99e2a.png)

:::

https://learn.microsoft.com/ja-jp/connectors/powerplatformadminv2/#grants-requesting-tenant-admin-user-the-system-admin-role-within-dataverse-in-the-environment

「Grants requesting tenant admin user the system admin role within Dataverse in the environment」アクションが該当するアクションで、自動割り当てが実行可能です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/9420c74e-1757-3d9c-0be6-59a7216cd742.png)

[参考URL](https://learn.microsoft.com/en-us/connectors/powerplatformadminv2/#grants-requesting-tenant-admin-user-the-system-admin-role-within-dataverse-in-the-environment)


環境IDは以下から取得可能
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/66430242-3d97-e6d1-6078-0ba5f6873443.png)

もしくは他のアクションで、環境IDを動的にとってこれるアクションがあるので、こちらを使用します。

「環境一覧を管理者として作成する」「環境を管理者として取得する」などと組み合わせて、環境内のすべての環境に対して処理を行うことが可能です。

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2883014/2fdc1538-6e80-bfc0-1ffc-e97c4c7d6533.png)


CoE Starter Kitでもこのコネクタを使ったフローがリリースされる予定です。

https://github.com/microsoft/coe-starter-kit/issues/8119

## PowerShellを使った昇格方法

PowerShellで割り当てを自動化することも可能です。

詳細については、以下をご参照ください。

https://learn.microsoft.com/ja-jp/power-platform/admin/manage-high-privileged-admin-roles#set-up-powershell