複数テナント（MSP）ガイド

1. テナントごとにデータフォルダを用意する

お客様ごとに 1 つの「データフォルダ」を用意します（それぞれが自己完結：config.json ＝取得の設定 ＋ そのテナント用の .env ＝認証情報 ＋ そのテナント宛のライセンスファイル）。この時点では空のフォルダを作るだけで構いません（中身は次の手順以降で用意します）。

C:\TenantSnap\
├─ contoso\    ← config.json ＋ .env ＋ license\ フォルダ（.key ファイル）
├─ fabrikam\   ← 同上（別テナントの認証情報・ライセンス）
└─ delivery\   ← 任意：生成物の集約先（共有フォルダでも可）

config.json と .env は、次の手順のテナント一覧の画面から作れます。お客様ごとにフォルダを開いて設定ファイルをコピーする作業は不要です。画面から配置できないのはライセンスファイル（.key）だけで、こちらはお客様ごとにお渡ししたものを license\ フォルダへ置いてください。

ライセンスファイル（.key）は、各テナントの license\ フォルダに複数置けます。Intune 版・Entra ID 版の両方をご契約のテナントは、2 つの .key を同じ license\ フォルダに入れるだけで両製品が有効になります（ファイル名は任意・有効なものが合算されます）。

「設定 ＞ ライセンス」画面との関係：ライセンスの置き場所は 1 か所だけで、常に各データフォルダの license\ フォルダです。設定画面の「読み込み」は、選択中のデータフォルダの license\ へファイルを検証のうえ配置する操作で、MSP 用に別の登録があるわけではありません。最初に設定画面で登録したテナントのデータフォルダは、そのまま 1 テナント分としてテナント一覧に載せられます（登録のし直しは不要）。2 テナント目以降は、データフォルダをそのテナントのフォルダへ切り替えて設定画面から読み込むか、お手元の .key ファイルをそのテナントの license\ フォルダへ直接コピーしてください（どちらでも動作は同じです。設定画面経由は配置前にファイルを検証できる分おすすめです）。

2. テナント一覧を画面で作る

「設定 ＞ 接続・データ ＞ 複数テナント（MSP）」の「一覧を作成・編集…」を押すと、処理するお客様の一覧（テナント一覧ファイル tenants.json）を画面上で作れます。ファイルを手で書く必要はありません。

1. 「テナントを追加」で行を増やし、表示名とデータフォルダ（手順 1 で作ったフォルダ）を入れます。データフォルダは「選択…」でフォルダを選べます。
2. 必要なら「納品先フォルダ」を指定します（定期実行のとき、各テナントの生成物を「納品先フォルダ ＞ テナント名」のフォルダへコピーします。空欄ならコピーしません）。コピーするのは、その回に作成・更新した設計書・差分レポートだけです（前の回のファイルや、同じ出力先を使う別のテナントのファイルはコピーしません）。処理の途中で別の処理が同じ出力先へ書いたファイルは混ざることがあるため、出力先はテナントごとに分けることをおすすめします。出力先の指定にそのテナントの .env にだけある値を使っている場合は、最初の 1 回と、その値や出力先の指定を変えた直後の 1 回は、コピーせず失敗として表示します（出力先がその回の設計書の作成で初めて分かるため。次の回からコピーします）。
3. 必要なら「全テナント共通の既定」で出力形式を選びます。1 つも選ばなければ、各テナントのデータフォルダの設定に従います。
4. 各行のチェックボックスで「定期実行の対象」を選びます。追加した行は既定で対象です。外したお客様は定期実行では処理されませんが、手動実行では処理されます（都度だけ設計書を作るお客様に使えます）。
5. 「保存」で保存先を選びます。保存すると、そのファイルが「複数テナント（MSP）」カードの入力欄に入り、次回アプリを起動したときもそのまま使えます（ホーム画面には、いま使うテナント一覧として表示されます）。

一覧は上から順に処理します。先に片づけたいお客様を上にしておくと便利です。保存できない状態のときは、どの項目が問題かを名指しで画面の下に表示し、「保存」を押せないようにします。

すでに tenants.json をお持ちの場合は、同じカードの入力欄でそのファイルを指定してから「一覧を作成・編集…」を押すと、内容を読み込んで編集できます。画面に無い項目（テナントごとの出力形式の指定など）は、そのまま保った上で保存します。

テナント一覧ファイルをメモ帳などで直接編集する場合は、文字コードを UTF-8 で保存してください（「名前を付けて保存」の文字コード欄で選べます）。別の文字コードで保存されているときは、その旨と直し方を画面でお知らせします。

3. テナントごとの認証情報を画面で設定する

各行の「認証情報…」を押すと、そのテナントのデータフォルダに config.json と .env を作れます。設定の方法は初回セットアップと同じ 2 つから選べます。「自動で設定する（おすすめ・バージョン 1.59.0 以降）」では、テナント ID を入れて「サインインして自動で設定」を押し、そのテナントのグローバル管理者がブラウザーでサインインすると、アプリ登録・アクセス許可（一覧で選んだ製品の分）・管理者の同意・クライアントシークレットをアプリが用意します（お客様ごとのアプリ登録を手で作る必要はありません）。「手動で入力する」では、テナント ID・クライアント ID・クライアントシークレットを入れて「保存して接続テスト」を押すと、保存したうえでその場で接続を確認します（入力の誤りをその場で見つけられます）。行には「設定済み／設定が不完全／未設定」が表示されるので、何件目まで終わったかが一目で分かります。

データフォルダを指定するまで「認証情報…」は押せません（認証情報はそのフォルダの中に保存するためです）。アプリ登録に必要なアクセス許可は初回セットアップと同じで、Intune／Entra ID の取得に必要な権限は読み取り専用です。自動で設定するときだけは、管理者ご本人のサインインでそのテナントにアプリ登録などを書き込みます（詳しくはセキュリティ・データの取り扱いガイド）。自動で設定するときに付けるアクセス許可は、保存した一覧の対象製品で決まるため、一覧に保存していない変更があるときは先に一覧を保存してから進みます。

認証情報は、いま操作している Windows ユーザーでしか読めない形（Windows の暗号化機能 DPAPI）で保存されます。定期実行を「無人実行」で別のユーザー（サービスアカウントなど）で動かす場合は、そのユーザーでサインインしてから設定してください。別のユーザーで設定したテナントは、無人実行のときだけ失敗します。詳しくは定期実行・無人実行ガイドの「認証情報（DPAPI）の制約」をご覧ください。

4. GUI から手動でまとめて実行する

今すぐ全テナントを実行したいときは、ホーム画面の「複数テナント一括実行（MSP）」で「複数テナントを実行」を押します。一覧の全テナントを順に処理し、テナントごとの進捗・成否をその場で確認できます（取得できなかった機能があるテナントは、その件数も添えて表示します）。1 件が失敗しても残りのテナントは続行します。途中であるテナントの定期実行が始まったときは、そのテナントだけを実行せずに次へ進みます（同じデータフォルダで同時に動かさないため）。ホーム画面は実行だけを行い、一覧の作成・変更は手順 2 の設定画面で行います（単一のテナントでご利用の場合と同じ形です）。

テナント一覧を用意する前や、内容に誤りがあるときは「複数テナントを実行」「状態を確認」を押せない状態にし、押せない理由をボタンの下に表示します（「設定を開く」で該当の設定画面へ移動できます）。押したあとで叱られることはありません。

手動実行は生成のみで、共有フォルダへの納品は行いません（納品は次の定期実行が担当）。各テナントの認証情報は、GUI を操作している Windows ユーザーで保存したものである必要があります（保存したユーザーだけが読み出せる、という上記の暗号化のしくみと同じ理由です）。

5. 定期実行で共有フォルダへ納品する

1. 「設定 ＞ 定期実行」で「テナント一覧（複数テナント）を使う」にチェックを入れます。使うのは「接続・データ ＞ 複数テナント（MSP）」で指定したものと同じ一覧ファイルなので、二重に指定する必要はありません。処理するお客様は一覧の「定期実行の対象」で選びます。
2. 無人実行（サインアウト中も実行）と併用すると、サインアウト中でも一覧の全テナントを順に「取得 → 設計書 → 差分レポート」し、共有フォルダへ納品します。
3. 1 テナントの処理が失敗しても残りのテナントは続行します。納品先フォルダを指定しているのに、そのテナントの納品する設計書・差分レポートが 1 つも見つからなかった場合も、共有フォルダに何も届かないため失敗として扱います。出力先の指定にそのテナントの認証情報ファイル（.env）にだけある値を使っている場合は、最初の 1 回と、その値や出力先の指定を変えた直後の 1 回は、納品せず失敗として扱います（出力先がその回の設計書の作成で初めて分かるため。次の回から納品します）。チェックを外しているときは、現在のデータフォルダ 1 件のみを実行します（従来どおり）。

納品先フォルダ（手順 2 で指定した「納品先フォルダ」）を書いておくと、各テナントの生成物を共有フォルダへ自動でまとめて集約します（外部送信はせず、ローカル／共有フォルダへのコピーのみ）。無人実行時の認証情報の扱い（保存したときと同じ Windows ユーザーだけが読み出せる）は、定期実行・無人実行ガイドの「認証情報（DPAPI）の制約」と共通です。共有フォルダには無人実行ユーザーの書き込み権限が必要です。

6. テナントの状態を一覧で確認する

ホーム画面の「複数テナント一括実行（MSP）」にある「状態を確認」で、各テナントの最終取得日・未反映の変更件数・シークレットの有効期限・定期実行の結果・状態（最新／取得が古い／未取得／定期実行が失敗 等）を表で見渡せます。「定期実行」の列には、前回の定期実行の日時と成否（続けて失敗しているときはその回数）を表示し、定期実行の対象から外したテナントは「対象外」と表示します。どの顧客の取得が遅れているか、更新が必要かを一目で把握できます。各テナントのデータフォルダから読み取るだけで、外部送信はありません。