Microsoft Entra ID（旧 Azure Active Directory）は、Microsoft が提供するクラウドベースの ID・アクセス管理サービスであり、ユーザーによる Learn365などのサービスへのサインインおよびアクセスを管理します。

Learn365が各種リソースおよびデータにアクセスするためには、ユーザーまたは管理者による同意が必要です。サインイン後、ユーザーに同意画面の表示が必要かどうかは自動的に判断されます。

Learn365 では、主に次の2種類の同意を利用しています。

• ユーザー同意（Static user consent）：ユーザーが必要なコンテンツや機能にアクセスする際に求められる同意です。
• 管理者同意（Admin consent）：Microsoft 365 のグローバル管理者が、Learn365 の利用に必要なアクセス許可の一覧を承認するための同意です。

同意の付与（事前同意）

Microsoft 365 のグローバル管理者は、Learn365に対して管理者同意を付与することで、Learn365アプリが組織内の各ユーザーに代わって、定義されたリソースへアクセスできるよう承認できます。これにより、Learn365が個々のユーザーに対して都度同意を求める必要がなくなります。

また、この管理者同意により、ユーザー自身が同意を付与できない場合でも、Learn365の機能を利用できるようになります。たとえば、SharePoint Online に保存されているユーザーのリストやライブラリへのアクセスが必要なシナリオにおいても、適切なアクセス許可の範囲内で利用が可能となります。

Learn365がサポートするアクセス許可スコープの詳細については、「Learn365におけるデータへのアクセス権限（アプリケーションのアクセス許可および委任されたアクセス許可）」を参照してください。

ユーザーによる同意が必要な理由

Learn365が Microsoft 365 上の特定のデータへ初めてアクセスする際には、当該データへのアクセス許可を取得するため、ユーザーによる同意が必要となる場合があります。

たとえば、Learn365が SharePoint のデータへアクセスする必要がある場合、ユーザーに対して SharePoint 上のデータへのアクセス許可が求められます。ユーザーが同意を行うことで、Learn365は付与された権限の範囲内で当該データへアクセスできるようになります。

なお、この同意プロセスはデータ提供元によって提供されるものであり、Microsoft 365 のデータに対する同意画面は Microsoft により提供されます。

管理者同意を利用する理由

Microsoft 365 のグローバル管理者がLearn365に対して管理者同意を付与すると、組織内のユーザーは、各リソースへのアクセス時に個別の同意を繰り返し求められることがなくなります。

これにより、ユーザーごとの同意手続きが不要となり、Learn365の利用開始に伴う作業負荷を軽減できます。また、個別の同意要求に関するユーザーからの問い合わせを減らし、組織全体の運用効率向上にもつながります。

補足：管理者同意は、ユーザーに新たなアクセス権を付与するものではありません。データへのアクセスは、引き続き Microsoft 365 および SharePoint に設定された既存のアクセス権限に従って管理されます。

管理者同意を付与することによるリスクはありますか

Learn365では、管理者同意を付与することによる特有のリスクは確認されていません。

管理者同意を取り消す必要がある場合は、Microsoft Azure ポータルからいつでも同意を取り消すことができます。

すべての管理者が管理者同意を付与するべきですか

大規模な組織では、ユーザーごとに Microsoft 365 の各リソースに対する同意を個別に求める運用が負担となる場合があります。

管理者同意を付与することで、ユーザーが各リソースに対して個別に同意する必要がなくなり、利用開始時の手続きを削減できます。また、同意要求に関するユーザーからの問い合わせを減らし、運用効率の向上にもつながります。

特に利用者数の多い組織では効果が大きくなりますが、組織の規模にかかわらず、ユーザーエクスペリエンスおよび運用効率の向上という観点から、管理者同意の利用を推奨します。

管理者同意を付与する方法

管理者同意を付与する方法は2つあります。

• AppSource ポータルから Learn365（Modern）をインストールする場合は、インストール時およびコースカタログの初回利用時に同意を求められます。
• 既存の Learn365 Classic Add-in を利用している場合は、https://lms.365.systems にアクセスすることで管理者同意を付与できます。アクセス後、同意画面が表示されます。

管理者として、すべてのアクセス許可に同意したくない場合はどうなりますか

組織のセキュリティポリシー上、管理者同意の付与に慎重な場合があること、特に「AllSites.FullControl（すべてのサイト コレクションのフル コントロール）」への同意に対する懸念が存在することは十分に認識しています。

現在の Microsoft Entra ID（Azure AD）の管理者同意モデルでは、アプリケーション開発者がお客様ごとに異なる管理者同意フローを提供することはできず、単一の管理者同意フローのみが提供されています。

ただし、このアクセス許可は「委任されたアクセス許可（Delegated permission）」として付与されます。そのため、Learn365を利用するユーザーが、SharePoint 上で自身に付与されている権限を超えてデータへアクセスしたり、追加の管理権限を取得したりすることはありません。

言い換えると、「フル コントロール」というアクセス許可名が表示される場合でも、利用者が実際に行える操作は、既に SharePoint 上で許可されている範囲に限定されます。

Learn365は、将来的により細分化されたアクセス許可モデルを利用できるよう、Microsoft と連携して改善に取り組んでいます。

Azure における同意の管理

Learn365 アプリに対して現在付与されているアクセス許可は、Azure ポータルの 「エンタープライズ アプリケーション」から確認できます。

また、同じ画面から Learn365 アプリに付与された同意およびアクセス許可を取り消すこともできます。

補足：管理者同意を取り消した場合、関連する Learn365の機能の一部または全部が利用できなくなる場合があります。取り消しを行う際は、影響範囲を確認したうえで実施することをお勧めします。