セキュリティ・データの取り扱い（管理者向け）

通信先と外部送信

• 外部と通信するのは Microsoft の公式エンドポイント（login.microsoftonline.com／graph.microsoft.com）だけです。
• 取得した設定の処理・保存はすべて端末内で完結し、取得したデータを当社や第三者に送信しません（テレメトリなし）。
• 社内プロキシに対応します（設定画面の「プロキシ」カード。PAC は手動指定で対応）。

構成の取得には Microsoft への接続が必要なため、完全なオフライン動作ではありません。閉域環境では上記エンドポイントへの通信を許可してください。

テナントの設定を変更しません

• 本製品はお客様のテナントの設定を変更しません（構成の取得のみを行います）。Intune／Entra ID の取得に必要な権限はすべて読み取り専用（Read.All 系）のため、アプリ登録には読み取り専用の権限のみを付与してください。
• 万一シークレットが漏えいした場合でも、Intune／Entra ID の取得に使う権限は読み取り専用のため、この権限で設定を変更されることはありません。
• 付与する権限の一覧は初期設定ガイドの「アプリを登録する」をご覧ください。

データの保存場所

すべてのデータは既定で %APPDATA%\TenantSnap 内に保存されます（設定画面の「フォルダを開く」から開けます）。共有ドライブや暗号化ボリュームへ変更することもできます（使い方ガイドの「保存先を変更する」参照）。

生成ファイルの取り扱い

• 取得データや設計書には、ポリシー設定の詳細・グループ名・変更者の UPN（メールアドレス形式のユーザー名）など、組織の内部情報が含まれます。
• 保管は暗号化されたドライブ（BitLocker 等）上を推奨します。メール添付や社外共有の際は、含まれる情報の範囲を事前にご確認ください。
• 管理者パスワード・証明書署名要求などの機微フィールドは、保存時に自動でマスクされます。
• 不要になった古いスナップショットは削除してください（差分比較に使うのは直近 2 世代のみです）。

認証情報（.env）の取り扱い

• 設定画面で保存したシークレット（クライアントシークレット・プロキシのパスワード）は、Windows の DPAPI で暗号化して保存されます（dpapi: で始まる値）。保存した PC・Windows ユーザーでのみ復号でき、ファイルが PC の外へ出ても平文は漏れません。
• PC の入替・Windows ユーザーの変更後は復号できなくなります。その場合は設定画面から認証情報を再設定してください。

暗号化は万能ではありません。同じ Windows ユーザーとして動作するプログラムからは読み取り可能なため、PC 自体の保護（OS 更新・ウイルス対策）は引き続き必要です。バックアップやクラウド同期（OneDrive 等）の対象フォルダに認証情報を置かないでください。シークレットの漏えいが疑われる場合は、Microsoft Entra 管理センターで該当シークレットを直ちに削除し、新しいシークレットを発行してください。