グループ内のメール連絡先は、暗号化されたコンテンツに断続的にアクセスできます
現象
以下のシナリオについて考えてみます。
- あなたは、Azure Information Protection サービスによって暗号化された一部のコンテンツを操作しています。
- 使用権限は、メール連絡先を含むグループに割り当てられます。
このシナリオでは、メールの連絡先は、暗号化されたコンテンツへのアクセスを失うか、コンテンツへの断続的なアクセスのみを持っています。
注:この暗号化を適用する一般的な方法は、Microsoft Purview コンプライアンス ポータルから作成および発行される秘密度ラベルを使用することです。
原因
この問題は、使用権限が割り当てられているグループ内のメール連絡先に影響する既知の問題が原因で発生します。
この場合、メールの連絡先は組織外のユーザーであり、Microsoft Entra オブジェクトの種類は User ではなく Contact。 Exchange 管理センターでは、これらの連絡先には MailContact の Contact Type が表示されます。
グループ メンバーのオブジェクトの種類を確認するには、次の Get-AzureADGroupMember コマンドレットを実行します。
Get-AzureADGroupMember -ObjectId <ObjectID>| fl
Note
Azure AD および MSOnline PowerShell モジュールは、2024 年 3 月 30 日の時点で非推奨となります。 詳細については、非推奨の最新情報を参照してください。 この日以降、これらのモジュールのサポートは、Microsoft Graph PowerShell SDK への移行支援とセキュリティ修正プログラムに限定されます。 非推奨になるモジュールは、2025 年 3 月 30 日まで引き続き機能します。
Microsoft Entra ID (旧称 Azure AD) を使用するには、Microsoft Graph PowerShell に移行することをお勧めします。 移行に関する一般的な質問については、「移行に関する FAQ」を参照してください。 ノート: バージョン 1.0.x の MSOnline では、2024 年 6 月 30 日以降に使用障害が発生する可能性があります。
注: このコマンドレットでは、 <ObjectID> を影響を受けるグループ ID に置き換えます。 グループ ID を取得するには、 Azure ポータルからグループを開きます。 出力で、 ObjectType 属性にグループ メンバーごとに User または Contact が表示されているかどうかを確認します。
回避策
使用権限とアクセス権を付与した既存のグループにメールの連絡先としてではなく組織外のユーザーをユーザーとして追加します。 または、既存のグループを使用する代わりに、影響を受けるメール連絡先を直接指定します。