Learn365が正常に動作するためには、ユーザーデータへのアクセス許可が必要です。

そのため、Learn365は必要なデータへのアクセス許可を要求します。これらのアクセス許可は、必要な同意の種類に応じて管理者またはユーザーによって付与されます。

Learn365では、管理者同意（Admin consent）および動的ユーザー同意（Dynamic user consent）の 2種類の同意モデルを利用しています。

• 管理者同意（Admin consent）では、Microsoft 365 のグローバル管理者が、組織内のすべてのユーザーを代表して、Learn365に必要なアプリケーションのアクセス許可および一部の委任されたアクセス許可を付与します。この同意は Learn365のインストール時に取得されます。管理者同意によって付与されるアクセス許可の詳細については、管理者同意により付与されるアクセス許可の項を参照してください。
• 動的ユーザー同意（Dynamic user consent）では、特定の機能の利用に必要な委任されたアクセス許可が、設定時に動的に要求されます。これらのアクセス許可は、通知メールアカウントの設定時などに取得されます。たとえば、Learn365がユーザーの予定表と連携するためにアクセス許可を必要とする場合、当該ユーザーによる同意後に必要なアクセス許可が付与されます。動的ユーザー同意によって付与されるアクセス許可の詳細については、動的ユーザー同意により付与されるアクセス許可の項を参照してください。

補足：

組織のポリシーによりユーザー同意が無効化または制限されている場合、Microsoft Graph PowerShell を使用して動的ユーザー同意を実行できます。また、セキュリティポリシー上、特定のユーザー（アカウント）のみがユーザー同意を付与できる環境でも利用可能です。詳細については、Microsoft の公式ドキュメントを参照してください。

Learn365では、アプリケーションのアクセス許可および委任されたアクセス許可を利用しています。

• アプリケーションのアクセス許可は、ユーザーのサインインを必要としないバックグラウンド処理の実行に使用され、Microsoft 365 のグローバル管理者による同意が必要です
• 委任されたアクセス許可は、サインイン中のユーザーとして処理を実行するために使用され、ユーザーまたは管理者による同意に基づいて付与されます。

Learn365が必要とするアクセス許可は、Zensai または EFI の従業員がお客様のデータへアクセスすることを意味するものではありません。

Learn365は、Microsoft 365 で使用されているものと同じ認証基盤を利用しています。お客様のデータは、多要素認証（MFA）を含む Microsoft 365 のセキュリティフレームワークによって保護されています。また、サインイン画面は Microsoft によって提供およびホストされており、Learn365のサインインプロセスは Microsoft 365 へのサインインと同様の仕組みで実行されます。

ユーザーは、Microsoft 365 において付与されている既存のアクセス権限に基づいてLearn365内のデータへアクセスできます。

Learn365を利用することで、他のユーザーのデータにアクセスできるようになることはありません。また、ここで説明するアクセス許可によって、Microsoft 365 上で許可されている範囲を超えてデータを閲覧できるようになることもありません。

たとえば、Sites.Read.All アクセス許可が付与されている場合でも、ユーザーが閲覧できるのは SharePoint 上でアクセス権を持つデータに限られます。当該アクセス許可によって、SharePoint 内のすべてのサイトやデータを閲覧できるようになるわけではありません。データへのアクセス制御は引き続き SharePoint によって管理されます。

SharePoint の画面を利用する場合とLearn365の画面を利用する場合のいずれにおいても、ユーザーがアクセスできるデータは SharePoint 上で許可された範囲に限定されます。SharePoint は Microsoft 365 の認証基盤によって保護されているため、お客様の Microsoft 365 テナントでアクセス権を付与されたユーザー以外がデータへアクセスすることはできません。

Learn365は、各データ提供元が提供するアクセス許可スコープを利用しています。Learn365が利用するアクセス許可スコープの内容については、以下の各項を参照してください。

管理者同意により付与されるアクセス許可

アプリケーションのアクセス許可

Learn365管理センターの「ユーザー」ページでは、現在のコースカタログに属するユーザーの詳細情報を表示および管理できます。この情報を提供するため、Learn365は Microsoft Graph と定期的に同期を行い、ユーザー情報を取得しています。

Microsoft Graph から情報を取得するために、Learn365は以下のアプリケーションのアクセス許可を利用します。

• すべてのグループ メンバーシップの読み取り（GroupMember.Read.All）

  Microsoft Entra ID グループおよび Microsoft 365 グループのメンバー情報を取得するために使用されます。これにより、ユーザーグループ単位でトレーニングへの登録を行うことができます。

• すべてのユーザーの完全なプロファイルの読み取り（User.Read.All）

  Learn365は、アカウント名、表示名、メールアドレス、部署、役職、オフィス所在地、国、市区町村、マネージャーの ID またはメールアドレスなどの情報を同期します。このアクセス許可は、組織階層レポートの作成に必要なマネージャー情報の取得や、「ユーザー」ページでの検索およびフィルター機能の提供に使用されます。

• 選択したサイトコレクションへのアクセス（Sites.Selected）

  Learn365管理者が、Learn365管理センターからコースカタログを管理し、コースの作成、編集、削除や、ユーザーの追加および研修への登録を行うために使用されます。

委任されたアクセス許可

Learn365は、サインインしたユーザーのコンテキストで動作する機能を提供するために、以下の委任されたアクセス許可を利用します。

• すべてのユーザーの完全なプロファイルの読み取り（User.Read.All）

  現在サインインしているユーザーに対し、他のユーザーの完全なプロファイル情報を読み取ることを許可します。これにより、Learn365はユーザー情報を表示および活用できます。

• サインインおよびユーザープロファイルの読み取り（User.Read）

  ユーザーが Microsoft Entra ID を使用してLearn365にサインインすることを可能にします。また、サインインしたユーザーのプロファイル情報および組織の基本情報の取得に使用されます。

• すべてのサイトコレクションのフルコントロール（AllSites.FullControl）

  AllSites.FullControl は、Learn365のインストールおよび初期構成を自動化するために使用されます。具体的には、SharePoint Framework（SPFx）パッケージおよびLearn365アドインの展開、Learn365コースカタログの作成、ならびに関連する SharePoint サイトコレクションのプロビジョニングに必要となります。

  このアクセス許可は主にインストールおよび管理機能のために使用されるものであり、利用者が自身に付与された Microsoft 365 のアクセス権限を超えてコンテンツにアクセスできるようになるものではありません。引き続き、SharePoint および Microsoft 365 のアクセス制御ポリシーが適用され、ユーザーは自身に許可されたデータのみにアクセスできます。

  詳細については、AllSites.FullControl アクセス許可によるコースカタログおよびサイトコレクションの作成の項を参照してください。

• 組織へのゲストユーザーの招待（User.Invite.All）

  現在サインインしているユーザーに代わって、Learn365が外部ユーザーを組織へ招待することを可能にします。このアクセス許可は、コースカタログ管理者がゲストユーザーをコースカタログへ招待するために使用されます。

  注意！

  Learn365のゲストユーザー招待機能を利用するには、Microsoft Entra ID の B2B 外部コラボレーション設定と、Learn365カタログをホストする SharePoint サイトコレクションの外部共有設定を有効にする必要があります。

  外部コラボレーションを構成するには、以下のドキュメントを参照してください。

  • Microsoft Entra 外部 ID で B2B の外部コラボレーション設定を構成する
  • SharePoint OnlineでLearn365外部ユーザーのアクセス許可を設定する

  また、Learn365カタログをホストする SharePoint サイトコレクションでは、以下の設定が有効である必要があります。

  • SharePoint テナントの外部共有設定
  • 対象サイトコレクションの外部共有設定

  これらの設定が有効になっていない場合、Learn365から外部ユーザーを招待することはできません。

AllSites.FullControl アクセス許可によるコースカタログおよびサイトコレクションの作成

AllSites.FullControl（すべてのサイトコレクションのフルコントロール）は、Microsoft 365 のグローバル管理者が、Learn365管理センターのグローバル設定画面から、Learn365コースカタログおよび関連する SharePoint サイトコレクションを作成するために使用される委任されたアクセス許可です。

Learn365が SharePoint サイトコレクションを作成するためには、対象となるサイトコレクションに対するフルコントロール権限が必要です。このアクセス許可により、Learn365は新しいサイトコレクションの作成に加え、機能の有効化または無効化、権限管理、およびサイトコレクション設定へのアクセスを実行できます。

このアクセス許可が付与されていない場合、Learn365はサイトコレクションの作成時に制限を受ける可能性があります。たとえば、新しいサイトコレクションのテンプレート、保存容量の割り当て、所有者の設定などを正常に実行できない場合があります。

現在、SharePoint においてサイトコレクションを作成するために必要な権限を提供するアクセス許可は AllSites.FullControl のみです。「編集」、「読み取り」、「閲覧のみ」などのより限定的な権限ではサイトコレクションを作成できません。

Microsoft は、委任されたアクセスに関するドキュメントにおいて、次のように説明しています。

委任されたアクセスでは、クライアントアプリケーションとサインインしているユーザーの双方が適切に認可されている必要があります。アクセス許可スコープを付与するだけでは十分ではありません。アプリケーションに必要なアクセス許可が付与されていない場合、またはユーザーに対象リソースの読み取りや変更を行うための十分な権限がない場合、その要求は失敗します。

動的ユーザー同意により付与されるアクセス許可

委任されたアクセス許可

Learn365は、一部の機能を提供するために、動的ユーザー同意（Dynamic user consent）に基づく委任されたアクセス許可を利用します。これらのアクセス許可は、通知メールアカウントの設定時などに必要に応じて要求され、特定のユーザーに対して付与されます。

• Exchange Web Services を介したメールボックスへのアクセス（EWS.AccessAsUser.All）

  Learn365が会議室リストおよび会議室情報を取得するために使用されます。

• ユーザーとしてのメール送信（Mail.Send）

  Learn365が通知メールを送信するために使用されます。

• オンライン会議の読み取りおよび作成（OnlineMeetings.ReadWrite）

  Learn365がオンライン会議の作成、参照、更新および削除を行うために使用されます。

• ユーザーの予定表への読み取りおよび書き込みアクセス（Calendars.ReadWrite）

  Learn365が連携されたユーザーの予定表に対して、研修イベントの作成、参照、更新および削除を行うために使用されます。

これらのアクセス許可は特定のユーザーに対して付与されるものであり、Learn365は付与された権限の範囲内でのみ機能を実行します。

Microsoft Graph を利用したLearn365のデータアクセスの詳細については、Microsoft の関連ドキュメントを参照してください。

Learn365 DA API登録

Learn365 DA API 登録

Learn365では、Microsoft Teams および Microsoft Copilot との連携機能を提供するために、Learn365 DA API 登録（Learn365 DA API registration）を利用しています。

これは、Microsoft Entra ID（旧 Azure Active Directory）に登録されたアプリケーションであり、Learn365 AIエージェント（Declarative Agent）が、Learn365のサービスへ安全にアクセスするための認証基盤として機能します。

Learn365 AIエージェントは、サインインしているユーザーの権限に基づいてLearn365のサービスと通信し、学習情報の提供や関連機能の実行を行います。

ユーザーが Microsoft Teams または Microsoft Copilot 上でLearn365の AIエージェント機能を初めて利用する際には、必要なアクセス許可に対する同意が求められる場合があります。同意が付与された後、Learn365 AIエージェント（Declarative Agent）は、ユーザーに代わって許可された範囲内で API を利用します。