管理者同意したアプリが、どのデータへ届くか分からない

結論は、管理者同意を一回限りの承認にしないことです。同意前審査、付与記録、所有者・資格情報の維持、定期棚卸し、不要時の失効までを一つのライフサイクルとして管理します。

なぜ説明できなくなるのか

アプリ導入時には必要性が明確でも、担当者の異動、ベンダー変更、機能追加、API権限の追加、証明書やシークレットの更新を重ねると、当初の承認内容と現在の状態がずれます。

特に、ユーザーとして動作する委任された権限と、ユーザーなしで動作できるアプリケーション権限を区別しないと、実際のアクセス範囲を誤って説明する可能性があります。

台帳に必要な情報

• 表示名、Application ID、Object ID、テナント種別
• アプリ登録とサービスプリンシパルの対応
• 委任された権限とアプリケーション権限
• 権限を要求するAPIと付与済み同意
• 業務目的、利用部門、データ区分、ベンダー
• 業務所有者、技術所有者、承認者
• 証明書、シークレット、フェデレーション資格情報と期限
• 最終利用確認日、次回棚卸し日、廃止条件

解決までの進め方

1. 全アプリを取得するエンタープライズアプリ、アプリ登録、所有者、権限、資格情報を関連付けます。
2. 権限を分類する委任とアプリケーション、管理者同意とユーザー同意、対象APIを分けます。
3. 業務目的と照合する現在の業務に必要なデータと操作に対し、権限が過剰でないか確認します。
4. 同意経路を整える申請者、業務責任者、技術審査、法務・情報管理確認、最終承認を定義します。
5. 資格情報を管理する利用状況、保管場所、期限、更新担当、失効手順を一覧化します。
6. 定期棚卸しを行う所有者不在、未使用、過剰権限、期限切れ間近、廃止済み業務を確認します。

相談が必要な状態

• 管理者同意済みアプリの一覧を定期取得していない
• アプリケーション権限の業務上の必要性が不明
• アプリまたはサービスプリンシパルの所有者が空欄
• 証明書・シークレットの期限と更新担当が分からない
• 不要アプリを削除する前の影響確認手順がない