アプリの登録

Microsoft Entra 管理センターでの手順

CA Policy Manager は、お使いのテナントに登録したアプリを使ってサインインします。登録は最初に 1 回行います。クライアント シークレットと証明書は使いません。

必要な条件

• ライセンス: Microsoft Entra ID P1 または P2
• サインインするユーザーのロール: Global Reader を推奨します。条件付きアクセスの結果とポリシーの全項目を読み取れます。Reports Reader だけでは、適用されたポリシーの情報が応答から省かれます。
• 管理者の同意: Privileged Role Administrator が行います。

1. アプリを登録する

1. Microsoft Entra 管理センターで「Entra ID > アプリの登録 > 新規登録」(Entra ID > App registrations > New registration)を開きます。
2. 「名前」(Name)を入力します(例: CA Policy Manager)。
3. 「サポートされているアカウントの種類」(Supported account types)で、自分の組織のテナントだけを対象にする種類を選択し、登録します。

2. リダイレクト URI を追加する

1. 登録したアプリで「認証 > リダイレクト URI 構成 > リダイレクト URI の追加 > モバイル アプリケーションとデスクトップ アプリケーション > カスタム リダイレクト URI > 構成」(Authentication > Redirect URI configuration > Add Redirect URI > Mobile and desktop applications > Custom redirect URIs > Configure)を開きます。
2. 次の 2 つの URI を追加して保存します。<クライアント ID> は、「概要」(Overview)に表示される「アプリケーション (クライアント) ID」(Application (client) ID)に置き換えます。
   • ms-appx-web://microsoft.aad.brokerplugin/<クライアント ID>(通常のサインインで使います)
   • https://login.microsoftonline.com/common/oauth2/nativeclient(ブラウザーを表示してサインインするときに使います)

3. アクセス許可を追加する

「API のアクセス許可 > アクセス許可の追加 > Microsoft Graph > 委任されたアクセス許可」(API permissions > Add a permission > Microsoft Graph > Delegated permissions)を開き、次のアクセス許可を選択して「アクセス許可の追加」(Add permissions)を選択します。アプリの接続設定の画面に表示されるアクセス許可と同じです。

アクセス許可	区分	用途
AuditLog.Read.All	必須	サインインログの読み取り
Policy.Read.All	必須	条件付きアクセスのポリシー定義とネームドロケーションの読み取り
User.Read.All	必須	ユーザーのグループ所属と種類(ゲストなど)の読み取り
Application.Read.All	任意	アプリの表示名の読み取り。無くても他の機能は利用できます。
GroupMember.Read.All	任意	グループの名前、メンバー、上位のグループの読み取り。無くても他の機能は利用できます。

4. 管理者の同意を付与する

「API のアクセス許可」で「{tenant} に管理者の同意を付与」(Grant admin consent for {tenant})を選択します。Privileged Role Administrator が行います。任意のアクセス許可は、必要になったときにアプリが同意を求めます。

5. ID を控える

「概要」(Overview)に表示される「アプリケーション (クライアント) ID」(Application (client) ID)と「ディレクトリ (テナント) ID」(Directory (tenant) ID)を控え、接続設定に入力します。

最終更新: 2026-11-04