複数テナント（MSP）ガイド

1. テナントごとにデータフォルダを用意する

テナントごとに 1 つの「データフォルダ」を用意します（それぞれが自己完結：config.json ＋ そのテナント用の .env ＋ そのテナント宛のライセンスファイル）。各フォルダのセットアップは、そのフォルダを「データフォルダ」に切り替えて初回セットアップを行う要領です。

C:\TenantSnap\
├─ contoso\    ← config.json ＋ .env ＋ license\ フォルダ（.key ファイル）
├─ fabrikam\   ← 同上（別テナントの認証情報・ライセンス）
└─ delivery\   ← 任意：生成物の集約先（共有フォルダでも可）

ライセンスファイル（.key）は、各テナントの license\ フォルダに複数置けます。Intune 版・Entra ID 版の両方をご契約のテナントは、2 つの .key を同じ license\ フォルダに入れるだけで両製品が有効になります（ファイル名は任意・有効なものが合算されます）。

「設定 ＞ ライセンス」画面との関係：ライセンスの置き場所は 1 か所だけで、常に各データフォルダの license\ フォルダです。設定画面の「読み込み」は、選択中のデータフォルダの license\ へファイルを検証のうえ配置する操作で、MSP 用に別の登録があるわけではありません。最初に設定画面で登録したテナントのデータフォルダは、そのまま 1 テナント分として tenants.json に載せられます（登録のし直しは不要）。2 テナント目以降は、データフォルダをそのテナントのフォルダへ切り替えて設定画面から読み込むか、お手元の .key ファイルをそのテナントの license\ フォルダへ直接コピーしてください（どちらでも動作は同じです。設定画面経由は配置前にファイルを検証できる分おすすめです）。

無人実行で使う場合は、各テナントの初回セットアップ（認証情報の保存）を、無人実行に使う Windows ユーザーでサインインした状態で行ってください。認証情報は Windows の暗号化機能（DPAPI）により「保存したときと同じ Windows ユーザー」だけが読み出せる形で保存されるため、別のユーザーで保存すると無人実行のときに読み出せず失敗します。詳しくは定期実行・無人実行ガイドの「認証情報（DPAPI）の制約」をご覧ください。

2. テナント一覧ファイル tenants.json を用意する

処理するテナントを列挙した一覧ファイルです（雛形は同梱の tenants.example.json）。delivery_dir（納品先フォルダ）を指定すると、各テナントの生成物を「納品先フォルダ ＞ テナント名」のフォルダへ自動でコピーします。共有フォルダを指定すれば、生成物を 1 か所にまとめて回収できます。

{
  "delivery_dir": "C:/TenantSnap/delivery",
  "defaults": { "format": "docx,pdf", "products": ["intune"] },
  "tenants": [
    { "name": "Contoso",  "data_dir": "C:/TenantSnap/contoso" },
    { "name": "Fabrikam", "data_dir": "C:/TenantSnap/fabrikam", "format": "pdf" }
  ]
}

defaults は全テナント共通の既定で、各テナントで format・products を個別に上書きできます。products にはご利用の製品（intune／entra／両方）を指定します。生成物のコピーは外部送信せず、ローカル／共有フォルダへの配置のみです。

tenants.json は文字コード UTF-8（BOM なし）で保存してください。Windows のメモ帳で保存するときに「UTF-8」を選べば問題ありません（「UTF-8 (BOM 付き)」は不可）。PowerShell の Out-File などで作成すると先頭に BOM という不可視の印が付き、読み込み時に「JSON が不正です」というエラーになることがあります。その場合はメモ帳で開き、「UTF-8」を選んで保存し直してください。

3. GUI から手動でまとめて実行する

今すぐ全テナントを実行したいときは、ホーム画面の「複数テナント一括実行（MSP）」で tenants.json を選び「複数テナントを実行」を押します。一覧の全テナントを順に処理し、テナントごとの進捗・成否をその場で確認できます。

手動実行は生成のみで、共有フォルダへの納品は行いません（納品は次の定期実行が担当）。各テナントの認証情報は、GUI を操作している Windows ユーザーで保存したものである必要があります（保存したユーザーだけが読み出せる、という上記の暗号化のしくみと同じ理由です）。

4. 定期実行で共有フォルダへ納品する

1. 「設定 ＞ 定期実行 ＞ 複数テナント（MSP）」で、この tenants.json を指定します。
2. 無人実行（サインアウト中も実行）と併用すると、サインアウト中でも一覧の全テナントを順に「取得 → 設計書 → 差分レポート」し、共有フォルダへ納品します。
3. 1 テナントの処理が失敗しても残りのテナントは続行します。空欄のときは現在のデータフォルダ 1 件のみを実行します（従来どおり）。

無人実行時の認証情報の扱い（保存したときと同じ Windows ユーザーだけが読み出せる）は、定期実行・無人実行ガイドの「認証情報（DPAPI）の制約」と共通です。共有フォルダには無人実行ユーザーの書き込み権限が必要です。

5. テナントの状態を一覧で確認する

同じ画面の「状態を確認」で、各テナントの最終取得日・未反映の変更件数・シークレットの有効期限・状態（最新／取得が古い／未取得／シークレット期限切れ 等）を表で見渡せます。どの顧客の取得が遅れているか、更新が必要かを一目で把握できます。各テナントのデータフォルダから読み取るだけで、外部送信はありません。