【管理者向け】Copilot Studioのセキュリティ・ガバナンス_利用開始＆環境制御・セキュリティロール編


# はじめに
みなさん、こんにちは。日本マイクロソフトの佐々木です。
何回かの記事に分けて、Power Platformの管理者の皆様に向けて、Copilot Studioのセキュリティ・ガバナンスについて、簡単にご説明していきます。（第2回目）

:::note info
2025年3月時点の設定方法となります。
なお、プレビュー機能も含むため、内容が変更となる可能性がございます。
:::


いくつかの記事に分けて、下記の内容を説明していきます。
1. [ライセンス体系](https://qiita.com/tomoyasasaki1204/items/cb480625e34d4467528f)
1. 利用開始
1. 環境制御・セキュリティロール
1. DLP ポリシー
1. 認証
1. 共有
1. アプリ登録
1. 分析


前回はCopilot Studioのライセンス体系についてお話しました。

https://qiita.com/tomoyasasaki1204/items/cb480625e34d4467528f


今回は「利用開始編＆環境制御・セキュリティロール」編として、Copilot Studioを利用するための、管理者の設定項目についてお話いたします。
本記事で説明するのは、下記の内容です。
・ライセンス、容量の割り当て <-こちらについては、前回記事で詳しく説明しています。
・Power Platformテナント設定
・Power Platform環境設定


# ライセンス・メッセージ容量の割り当て

:::note info
メッセージパックの体系の手順となります。
:::

従量課金プランの説明は下記を参考ください。

https://qiita.com/tomoyasasaki1204/items/1f9a5bcce51d3db3d17b


前回の記事でも説明していますが、まずCopilot Studioのライセンスについてです。
ライセンスやサブスクリプションに関することなので、企業テナントレベルでの権限が必要になります。

ここで必要な作業としては、
1. Copilot Studioサブスクリプションを購入（テナント単位）
1. 開発者に無償ユーザーライセンスを割り当て
1. Copilot Studioを利用する環境にメッセージ容量を割り当て（Power Platform環境単位）




## 1. Copilot Studioサブスクリプション（メッセージ容量）
こちらはMicrosoft365管理センターからテナント単位でサブスクリプションを購入可能となります。
試用版ライセンスもございます。

:::note info
Copilot Studioサブスクリプションライセンスの復習
・ テナント全体の容量ライセンスを容量パックで販売
・ 1 容量パック = 25,000 メッセージ/月
・ 開発者用のライセンスは別で用意（後述の無償のユーザーライセンスを提供）
:::

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/requirements-licensing-subscriptions



## 2. 開発者に無償ユーザーライセンスを割り当て

:::note info
この作業が必要なのは、メッセージパックのライセンス体系のみとなります。
従量課金プランでは不要となります。
:::

こちらはMicrosoft365管理センターからユーザーにライセンス割り当て可能となります。
開発者を対象にユーザーライセンス（無償）を割り当てしてください。



:::note info
Copilot Studioライセンスの復習
・ 開発者および管理者でライセンスにはユーザーライセンス（無償）が必要
・ Copilotのユーザー（エンドユーザー）は特別なライセンスを必要としない
:::

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/requirements-licensing?tabs=web

## 3.  Copilot Studioを利用する環境にメッセージ容量を割り当て（Power Platform環境単位）


:::note info
この作業が必要なのは、メッセージパックのライセンス体系のみとなります。
従量課金プランでは不要となります。
:::

Copilot Studioの開発をするための環境を用意し、メッセージ容量を割り当てします。
こちらの作業はPower Platform管理者の権限がある方の作業となります。

Copilot Studioのメッセージ容量はテナント全体にプールされ、環境内のCopilot Studio 機能を有効にするには、環境に容量を割り当てる必要があります。
Power Platform 管理センター で リソース>キャパシティ>概要 を選択し、左上のメニューで 環境への割り当て を選択すると割り当てが行われます。 

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/requirements-messages-management

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/environments-first-run-experience



# Power Platformテナント設定
上記のライセンス作業に加えて、ここで必要な作業としては、
1. 生成AIを使用するCopilotの公開を許可する（既定ON）
1. Teamsアプリの設定
1. DLPポリシーの設定（別記事で紹介します）


## 1. 生成AIを使用するCopilotの公開を許可する（既定ON）
こちらは既定でONなのでそこまで気にしなくてもいいかもしれませんが、
Power Platform管理センターからPower Platform 管理者相当の方が作業いただく必要があります。

テナント管理者はPower Platform 管理センターを使用して、テナントに対して生成型の回答とアクションを持つコパイロットを公開する機能をオフにすることができます（デフォルト=ON）

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2975138/05545c96-f51c-57bf-f4b1-6bd2555c79de.png)

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/security-and-governance


## 2. Teamsアプリの設定
こちらの作業はTeams管理者の方の作業になりますが、今後Copilot Studioで開発したCopilotチャットボットをTeamsアプリに公開する要件がある場合に必要な作業となります。
そのため、Teamsに公開する予定がない、もしくはCopilot Studioで開発する段階ではこの作業は**不要**となります。

自分や他のユーザーがコパイロットを Teams に直接インストールしたり、Teams アプリ ストアの [同僚による構築] セクションで確認できるようになるには、Microsoft Power Platform アプリが Microsoft Teams に追加されることを組織が許可する必要があります。


https://learn.microsoft.com/ja-jp/microsoftteams/manage-power-platform-apps


# Power Platform環境設定
これまで、ライセンス・メッセージ容量の割り当て、テナント作業について説明してきました。
ここからは、Power Platformの各環境の設定についてです。
主に環境単位の管理者（システム管理者相当以上）の方の作業となります。

1. 環境の用意
1. 生成AI機能の許可
1. セキュリティロールの割り当て
1. DLPポリシーの設定（別記事で紹介します）

## 1. 環境の用意
利用できる環境がない場合はPower Platform管理者の方が特定の環境を用意し、メッセージ容量を割り当てする必要がありますが、
ここではすでに環境が用意されており、メッセージ容量が割り当てされている前提で進めていきます。
環境の作成方法については、下記を参考にしてください。

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/environments-first-run-experience

:::note info
環境を作成する際にEntraIDのセキュリティグループと紐づけることを推奨しています。
そのセキュリティグループをCopilot Studioの開発者ユーザー群と紐づけることでライセンス管理や環境のアクセス管理が容易になります。
:::

## 2. 生成AI機能の許可
環境ごとに生成AI機能をオンにする必要があります。

環境がホストされている場所によっては、それらを使用するために地域間のデータ移動を許可する必要がある場合があります。 

こちらも既定でONなのですが、すでに作成されていた環境の場合はOFFの可能性があるため、念のため確認しておきましょう。
Power Platform管理センタ>環境>生成AI機能（トップページにでているとおもいます）よりアクセス可能です。

:::note info
環境のロケーションについて
Copilot Studioを利用するための環境は日本でも問題ないですが、
生成AI機能を利用するために米国のデータセンターを利用するため、リージョン間でのデータ移動の設定が必要となります。
:::

![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2975138/00090d12-f5cb-804e-a8ce-4c4a53c7954f.png)


:::note info
Bing検索について
Bing 検索 機能を有効にすると、Microsoft Copilot Studio のコパイロットは提供されたデータ ソースを使用できますが、Bing の API を使用して結果のインデックスを作成し、データ ソース内から最適な回答を見つけることができます。
つまり、生成型の回答でWebをデータソースとしない場合は無効でも問題ないです。
:::

https://learn.microsoft.com/ja-jp/power-platform/admin/geographical-availability-copilot?WT.mc_id=ppac_inproduct_settings


## 3. 作成者のセキュリティロール
Copilot Studioで開発するユーザーは環境に対して適切なアクセス権限がある状態（≒セキュリティロールが割り当てされている状態）である必要があります。
環境に対するアクセス権限については語ると長くなるのでここでは割愛しますが、
最低限、Copilot Studioで開発するユーザーは「**環境作成者 = Environment User**」のセキュリティロールが割り当てされている必要があります。

もちろんシステム管理者、システムカスタマイザーなどの権限でもいいですが、環境作成者と比べて、権限としてはリッチになる可能性が高いです。
自分か開発しているCopilotだけを管理できればいいのでしたら「**環境作成者 = Environment User**」が最適でしょう。

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/environments-first-run-experience#create-a-copilot-in-an-existing-environment


https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/admin-share-bots?tabs=web#assign-environment-security-roles


:::note info
ほかの開発者に共同作成者として共有する場合、
共同開発するユーザー（共有される側）は環境のメンバーであり、「環境作成者 = Environment User」を割り当てされていることが必要となります。
:::

:::note info
Copilot Studioで開発したCopilotを単に利用するエンドユーザーにはセキュリティロールは不要です。
Copilotがユーザーとして共有されているセキュリティグループ内（認証ありの場合）のユーザーであれば利用可能です。
ただし、Copilotが環境のリソースを参照する場合などはその参照権限が必要となります。
:::


### Copilot Studioに関連するDataverseテーブル
Copilot Studioの各種リソースや会話履歴が保存される各種Dataverseテーブルとなります。
これらのテーブルからリソース情報や会話履歴を管理することになり、
これらのテーブルにアクセスするためのセキュリティロールを検討する必要があります。

bot（日本語名：コパイロット）：エージェントのリソース情報が保存
botcomponent（日本語名：コパイロットコンポーネント）：エージェントのトピックなどのコンポーネントが保存
ConversationTranscript：エージェントの会話履歴が保存


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2975138/b2646799-81a5-4380-bfe1-35af2556f50b.png)

https://learn.microsoft.com/ja-jp/microsoft-copilot-studio/guidance/custom-analytics-strategy#copilot-studio-dataverse-tables

### Copilot Studioに関連するセキュリティロール
参考までにですが、Copiot Studio でエージェントを開発、管理するために必要なセキュリティロール例となります。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2975138/4a72fd44-7c1c-4df2-8d50-3223ef076365.png)


# おわりに
以上でCopilot Studioを開始するための作業についてお話しました。
ライセンス、テナントレベルの設定、環境レベルの設定が必要となるため、それぞれ役割の異なる方々の協力が必要となる可能性が高いですが、ぜひチャレンジしてみてください！
次回はCopilot Studioのデータ損失防止 (DLP) ポリシーについて説明します。