セキュリティ・データの取り扱い（管理者向け）

通信先と外部送信

• 外部と通信するのは Microsoft の公式エンドポイント（login.microsoftonline.com／graph.microsoft.com）だけです。
• アクセストークン（Microsoft が発行する一時的な認証情報）を付けた通信は、graph.microsoft.com にしか送りません。Microsoft Graph の応答に別のホストを指す URL が含まれていた場合も、そこへは送らずに取得を中断します。
• 取得した設定の処理・保存はすべて端末内で完結し、取得したデータを当社や第三者に送信しません（テレメトリなし）。
• 社内プロキシに対応します（設定画面の「プロキシ」カード。PAC は手動指定で対応）。

構成の取得には Microsoft への接続が必要なため、完全なオフライン動作ではありません。閉域環境では上記エンドポイントへの通信を許可してください。

テナントの設定を変更しません（「テナントでの準備」を除く）

• 設定の取得で本製品が行うのは構成の取得だけで、お客様のテナントの設定（ポリシーなど）を作成・変更・削除しません。Intune／Entra ID／SharePoint の取得に必要な権限はすべて読み取り専用（Read.All 系）のため、アプリ登録には読み取り専用の権限のみを付与してください。
• 万一シークレットが漏えいした場合でも、Intune／Entra ID／SharePoint の取得に使う権限は読み取り専用のため、この権限で設定を変更されることはありません。
• Exchange Online 版・Teams 版・Purview 版の構成の取得には、Microsoft の仕様により名前に「ReadWrite」を含むアクセス許可（ConfigurationMonitoring.ReadWrite.All）が必要です（読み取り用の ConfigurationMonitoring.Read.All では取得できません）。本製品がこのアクセス許可で行うのは、構成を取得する処理の依頼と、取得が終わったあとの依頼の削除だけです。Exchange Online・Teams・Purview の設定を変更することはありません。
• Exchange Online・Teams・Purview の構成の取得に使う権限（ConfigurationMonitoring.ReadWrite.All）で第三者ができるのは、構成の内容の読み取りと、Microsoft の構成監視の仕組みの設定（監視や取得の依頼）の作成・削除までで、2026年9月時点では、Exchange Online・Teams・Purview の設定そのものを変更する操作は Microsoft から提供されていません。
• 付与する権限の一覧は初期設定ガイドの「アプリを登録する」（Exchange Online 版・Teams 版・Purview 版は「4-2」、SharePoint 版は「4-3」）をご覧ください。

例外は、管理者が実行する「テナントでの準備」（バージョン 1.59.0 以降の初回セットアップの「自動で設定する」を含む）だけです。実行したときに限り、次を行います。

• 設定の取得に使う TenantSnap のアプリ登録を作り（既にあればそれを使い）、ご契約の製品のアクセス許可（必須・任意の両方）を追加して管理者の同意を与えます。Entra ID 版をお使いの場合は、このアプリ登録にロール「属性定義閲覧者」も割り当てます。
• 必要なときだけクライアントシークレットを発行し、この PC に暗号化して保存します（以前にこのデータフォルダで発行したシークレットは、確認のあとで削除します）。
• Exchange Online 版・Teams 版・Purview 版をお使いの場合は、Microsoft の構成の取得の仕組み（Tenant Configuration Management）をテナントに追加し、読み取りに必要なアクセス許可 2 つとロール「グローバル閲覧者」を割り当てます（初期設定ガイドの手順 4-2 と同じ内容です）。

テナントでの準備は管理者ご本人のサインインで行い、アプリの認証情報（クライアントシークレット）では行いません。管理者のサインイン情報は保存しません。上に挙げたもの以外、テナントの設定は変更しません。サインインはブラウザーで login.microsoftonline.com を開いて行い、結果はこの PC の中（localhost）で受け取るため、通信先は増えません。手動でアプリを登録して運用する場合は、テナントでの準備を使う必要はありません。

データの保存場所

すべてのデータは既定で %APPDATA%\TenantSnap 内に保存されます（設定画面の「フォルダを開く」から開けます）。共有ドライブや暗号化ボリュームへ変更することもできます（使い方ガイドの「保存先を変更する」参照）。

生成ファイルの取り扱い

• 取得データや設計書には、ポリシー設定の詳細・グループ名・変更者の UPN（メールアドレス形式のユーザー名）など、組織の内部情報が含まれます。
• Exchange Online 版をお使いの場合は、メール フロー ルールの条件や転送先・ジャーナル ルールの宛先・通知先、迷惑メール対策などのポリシーの適用先・送信者の許可／拒否の一覧などに登録された個人のメールアドレスも含まれます（設定の一部として、そのまま保存します）。Purview 版をお使いの場合も、DLP・秘密度ラベルのポリシーの適用先（メールボックス・利用者・グループ）やアラートの通知先に登録された個人のメールアドレスが含まれます。Teams 版は、Teams の組織全体の設定とポリシーの設定値・グループへの割り当て（グループの表示名）・外部アクセスで許可／禁止したドメインを保存し、利用者ごとの割り当ては取得しません。SharePoint 版をお使いの場合は、外部共有を許可・禁止する取引先などのドメイン名と、同期を許可する社内のドメインの識別子（GUID）が含まれます。評価版でも、付与したアクセス許可の範囲で同じです。
• 保管は暗号化されたドライブ（BitLocker 等）上を推奨します。メール添付や社外共有の際は、含まれる情報の範囲を事前にご確認ください。
• 管理者パスワード・証明書署名要求などの機微フィールドは、保存時に自動でマスクされます。
• 監査ログの蓄積をオンにした場合、蓄積ファイルには Microsoft から取得した監査ログをそのまま保存します（監査の記録として欠けのない形で残すため）。操作した方の名前・IP アドレスや、設定の変更前後の値といった個人データを含みます。パスワードなどの資格情報にあたる項目は保存時に伏せ字にし、外部にも送信しませんが、データフォルダはアクセスできる人を絞った場所に置いてください。なお、取得データ（スナップショット）・設計書・差分レポートには、変更前後の値と IP アドレスは載りません。
• 不要になった古いスナップショットは削除してください（差分比較に使うのは直近 2 世代のみです）。
• 評価版（バージョン 1.57.0 以降）では、Intune に加えて Microsoft Entra ID・Exchange Online・Teams・Purview・SharePoint の設定も取得します。付与したアクセス許可の範囲で、Entra ID のユーザー・グループの一覧（メンバーを含む）、Exchange Online・Purview の設定に含まれるメールアドレス、SharePoint の外部共有を許可・禁止しているドメイン名（バージョン 1.60.0 以降）もこの PC に保存されます（外部には送信しません）。初回セットアップの「自動で設定する」を評価版で使うと、すべての製品のアクセス許可が追加されます。

認証情報（.env）の取り扱い

• 設定画面で保存したシークレット（クライアントシークレット・プロキシのパスワード）は、Windows の DPAPI で暗号化して保存されます（dpapi: で始まる値）。保存した PC・Windows ユーザーでのみ復号でき、ファイルが PC の外へ出ても平文は漏れません。
• PC の入替・Windows ユーザーの変更後は復号できなくなります。その場合は設定画面から認証情報を再設定してください。

暗号化は万能ではありません。同じ Windows ユーザーとして動作するプログラムからは読み取り可能なため、PC 自体の保護（OS 更新・ウイルス対策）は引き続き必要です。バックアップやクラウド同期（OneDrive 等）の対象フォルダに認証情報を置かないでください。シークレットの漏えいが疑われる場合は、Microsoft Entra 管理センターで該当シークレットを直ちに削除し、新しいシークレットを発行してください。