[MC1163922]Exchange API と Teams API の今後の既定のセキュリティで保護された設定の変更 について影響範囲の確認方法

MC1163922 では、Exchange と Teams のコンテンツ にアクセスするアプリに管理者の同意が要求されるようになります。ただしアプリにすでに同意しているユーザーはアプリを引き続き使用できます。

新規のアプリや、既存のアプリにアクセスする新規のユーザーについては、管理者の同意が要求されますので、管理者の同意ワークフローを事前に構成することが望ましいでしょう。または同意ポリシーを作成するか、同意方法を事前構成します。

影響があるアプリケーションはすべてのエンタープライズ アプリケーションではなく、上記のように Exchange と Teams のコンテンツにアクセスするアプリだけなので、Microsoft Entra 管理センターで確認できるでしょう。

• エンタープライズ アプリケーションに付与されるアクセス許可の確認 - Microsoft Entra ID | Microsoft Learn

＞**Hebikuzure aka Murachi Akira様
回答ありがとうございます。**

影響のあるアプリケーションを一つずつ探すことはできるのですが、一覧化して出力というのは難しいでしょうか。

もしご存じでしたら、ご教示いただけますと幸いです。

PowerShell であれば、紹介した記事の上の方で PowerShell に切り替えると、サンプル コードが載っています。

エンタープライズ アプリケーションに付与されるアクセス許可の確認 - Microsoft Entra ID | Microsoft Learn

同様に Graph での操作もサンプルが確認できます。

※サンプルは最終的に許可の削除を行っていますが、その前段で許可の一覧を取得しています。

＞**Hebikuzure aka Murachi Akira様**

回答ありがとうございます。別途Q&Aに投稿させていただいたのですが、以下追加でご教示いただけますと幸いです。======

本件は、エンタープライズアプリケーションに登録されているサードパーティ製のアプリケーションに対し、特定のMSGraphアクセス許可設定がされている場合に、今後管理者の同意がなければエンドユーザーは該当のアプリケーションを利用することができなくなるというものと認識しています。

そこで、各アプリケーションのMSGraphアクセス許可設定を [ホーム] > [エンタープライズアプリ] > [すべてのアプリケーション] > [アクセス許可] から確認しているのですが、[管理者の同意] および [ユーザーの同意] タブが存在しています。

【質問】

・今回の件で参照するべき個所は、 [管理者の同意] タブのMSGraphアクセス許可設定のみでよいのでしょうか。

・[ユーザーの同意] タブで特定のMSGraphアクセス許可設定がされていてもそちらは関係なしと捉えてよいのでしょうか。

======

「管理者の同意」は組織のメンバー全員に反映される（全員がそのアプリを同意済みとして利用できる）ので、アプリの利用を全員に許可するのであれば「管理者の同意」で同意を設定してください。この場合はユーザーは同意を求められることはなくなります。

[ホーム] > [エンタープライズアプリ] > [すべてのアプリケーション] > [同意とアクセス許可] の「ユーザーの同意設定」で「ユーザーの同意を許可しない」にすれば、ユーザーは同意することができなくなる（管理者に許可を要求するように設定することはできる）ので、アプリを利用するには管理者が同意する必要があります。

MC1163922 の変更は、Exchange と Teams のコンテンツ にアクセスするアプリではこの状態（「ユーザーの同意を許可しない」）が既定の動作になるので、あらかじめ管理者が同意を構成しておくか、または同意要求に対する管理者の同意ワークフローを構成することが求められます。