初期設定ガイド

1. 動作環境を確認する

• Windows 11（64bit）
• Windows Server 2022 / 2025（Desktop Experience 版のみ）
  • GUI を使うため Server Core は対象外です。
  • 常時起動サーバーでの無人定期実行に対応します（手順は定期実行・無人実行ガイド）。
• Microsoft Edge WebView2 ランタイム
  • Windows 11 には標準搭載。Server や未導入環境はインストーラーが自動導入します。
  • 一般のインターネットが遮断された環境（Microsoft の公式エンドポイントのみ許可）では、WebView2 を事前に手動導入する必要があります（手順は定期実行・無人実行ガイド）。
• Python・Node.js などの追加インストールは不要です。

2. ダウンロードしてファイルを検証する（推奨）

ダウンロードしたインストーラーが破損・改ざんされていないことを確認できます。

1. PowerShell を開き、ダウンロードフォルダで次を実行します。
   • Get-FileHash .\TenantSnap_【バージョン】_x64-setup.exe -Algorithm SHA256
2. 表示されたハッシュ値が、ダウンロードページに併置している SHA256SUMS.txt（配布物にも同梱）の値と完全に一致することを確認します。
3. 一致しない場合はインストールせず、ダウンロードをやり直すか、お問い合わせください。

発行元の電子署名（バージョン 1.55.0 以降）も確認できます。ファイルを右クリック →「プロパティ」→「デジタル署名」タブの「署名者名」が PAKICETUS INC.（当社パキケトゥス株式会社の英文社名）で、その署名を選んで「詳細」を開くと「このデジタル署名は正常です」と表示されれば、当社が発行したファイルです。

3. インストールする

Microsoft Edge でダウンロードすると「一般的にダウンロードされていません」という警告が表示されることがあります。確認画面の「発行元」に PAKICETUS INC. と表示されていれば、当社が発行したファイルです。

これはダウンロードされた回数の実績がまだ少ないために表示されるもので、ウイルス検出ではありません。手順 2 の SHA-256 検証が一致していれば、配布時のままであることも確認できています。

1. ダウンロード一覧で該当ファイルにマウスを乗せ、「…」（その他の操作）→「保存」をクリックします。
2. 「信頼できることを確認してください」と表示されたら、「詳細情報」→「保持する」をクリックします。
3. ダウンロードした setup.exe をダブルクリックします。通常はそのままインストーラーが始まります。お使いの環境によって「Windows によって PC が保護されました」という青い画面が出た場合は、「詳細情報」→「実行」で続行します（理由は上記と同じです）。
   • 「詳細情報」を開いても「実行」ボタンが出ない環境（Windows 11 の「スマート アプリ コントロール」がオン／評価）では、setup.exe を右クリック →「プロパティ」→「全般」タブ下部の「許可する」にチェック →「OK」のあと、あらためてダブルクリックします。詳しくはトラブルシューティングの「ダウンロード・インストール時の警告が出る」をご覧ください。
4. インストーラー（日本語）の案内に従って進めます。途中で使用許諾契約書（EULA）の同意画面が表示されるので、内容をご確認のうえ進めてください（契約書 EULA.txt は配布物に同梱されており、ご購入前の検討や社内の稟議でも配布物だけでご確認いただけます）。管理者権限は不要で、現在のユーザーにのみインストールされます。
5. 完了後、スタートメニューの「TenantSnap」から起動できます。

バージョンアップは、新しいインストーラーをそのまま実行する上書きインストールで行えます（アンインストールは不要です。新しい版が別のアプリとして二重に登録されることはありません）。

EDR（CrowdStrike・SentinelOne 等）やアプリ制御が導入された環境では「アクセスが拒否されました (os error 5)」と表示されることがあります。対処はトラブルシューティングの「セキュリティ製品でブロックされる」をご覧ください。

4. Microsoft Entra ID でアプリを登録する

TenantSnap が構成を取得するために、Microsoft Entra ID にアプリを 1 つ登録します。Intune・Entra ID の取得に付与する権限はすべて読み取り専用（Read）で、この権限で設定を変更することはできません。登録の方法は次の 2 つから選べます。

■ 手動で登録する場合の手順

1. Azure ポータル（portal.azure.com）→ Microsoft Entra ID →「アプリの登録」→「新規登録」でアプリを作成します。
2. 「証明書とシークレット」でクライアントシークレットを作成し、表示された「値」を控えます（この後の初回セットアップで使います）。
3. 「API のアクセス許可」で、ご利用製品の表のアプリケーション権限を追加し、「管理者の同意を与えます」をクリックします。
4. 「概要」画面で、テナント ID とクライアント ID（アプリケーション ID）を控えます。

■ Intune 版をご利用の場合に付与する権限

■ Entra ID 版をご利用の場合に付与する権限

カスタム セキュリティ属性のみ、権限の同意に加えて、アプリに「Attribute Definition Reader」の役割（ロール）を割り当てる必要があります。他の項目は管理者の同意だけで取得できます。

「※任意」の権限は、その機能を使わなければ付与不要です。付与しない場合でも取得は中断せず、該当セクションのみ設計書に「取得不可」と記載されます（後から権限を追加して再実行できます）。最小権限で運用したい場合は必須の権限だけで始められます。なお Entra ID 版はディレクトリ全体の読み取り権限を必要とします（すべて読み取り専用です）。

4-2. Exchange Online 版・Teams 版・Purview 版を使う場合の準備（該当する場合）

Exchange Online 版（設計書の「Exchange Online」「Microsoft Defender for Office 365」の部）・Teams 版（「Microsoft Teams」の部）・Purview 版（「Microsoft Purview」の部）をご契約の場合は、アプリのアクセス許可の追加と、テナントでの準備（1 回だけ）の 2 つが必要です。Exchange Online・Teams・Purview の構成は、Microsoft が提供する構成の取得の仕組み（Tenant Configuration Management）を通して取得します。Intune 版・Entra ID 版だけをお使いの場合、この準備は不要です。評価版でこれらの製品を試す場合も、同じ準備が必要です。バージョン 1.59.0 以降は、手順 5 の「自動で設定する」（または「設定 ＞ 接続・データ ＞ テナントでの準備」）を使うと、グローバル管理者のサインインで下の準備をアプリが行います。この節の手順は、手動で準備する場合のものです。

テナントのライセンスの前提：この仕組みは、テナントに Microsoft 365 E3 / E5、Microsoft 365 Business Premium など、Microsoft Entra ID P1 以上を含む契約があるときだけ使えます（Microsoft の仕様です）。Microsoft 365 Business Basic・Business Standard だけのテナントでは、アクセス許可やテナントでの準備を済ませても取得できず、設計書の該当の章は「取得不可」、巻末の付録「未取得の機能一覧」の理由は「ライセンス未保有」になります。Exchange Online 版・Teams 版・Purview 版のいずれも同じです。

• Exchange Online 版・Teams 版・Purview 版のうち複数をご契約の場合も、アクセス許可とテナントでの準備は共通です（どれか 1 つで準備すれば、ほかの製品でも使えます）。
• Exchange Online 版・Teams 版・Purview 版だけをご契約の場合は、下の表の権限だけで足ります（Intune 専用の権限は不要です）。

■ 1. アプリのアクセス許可を追加する（手順 4 と同じ「API のアクセス許可」→ Microsoft Graph →「アプリケーションの許可」で追加し、「管理者の同意を与えます」をクリック）

ConfigurationMonitoring.ReadWrite.All は名前に「ReadWrite」を含みますが、これは Microsoft が構成の取得（スナップショットの作成）をこのアクセス許可でしか認めていないためです（読み取り用の ConfigurationMonitoring.Read.All では取得できません）。本製品がこのアクセス許可で行うのは、構成を取得する処理の依頼と、取得が終わったあとの依頼の削除だけです。Exchange Online・Teams・Purview の設定を変更することはありません。

■ 2. テナントでの準備（1 回だけ・グローバル管理者が行います）

Microsoft の「Tenant Configuration Management」（アプリ ID 03b07b79-c5bc-4b5e-9bfa-13acf4a99998・テナントでの表示名は「Unified Tenant Configuration Management」）をテナントに追加し、Exchange Online・Teams・Purview の構成を読めるようにします（3 つの製品で共通・追加のロールは要りません）。

1. サービス プリンシパルを作成します。
2. 作成したサービス プリンシパルに、2 つのアプリケーションのアクセス許可を割り当てます。Microsoft Graph の「Policy.Read.All」と、Office 365 Exchange Online の「Exchange.ManageAsApp」です。
3. Microsoft Entra のロール「グローバル閲覧者（Global Reader）」を割り当てます。
   • Microsoft Entra 管理センターの「ロールと管理者」＞「グローバル閲覧者」＞「割り当ての追加」で「Unified Tenant Configuration Management」を選んでも同じです。
   • テナントでの表示名は先頭に「Unified」が付きます。検索欄は名前の先頭から探すため、「Tenant」ではなく「Unified」と入力してください。

Microsoft Graph PowerShell では、次のとおり実行します（1〜3 の順です。サインインするときに、グローバル管理者のアカウントで同意を求められます）。先に次のコマンドでモジュールを入れてください（1 回だけ・数分かかります）。これを入れていないと、Connect-MgGraph を実行したときに「用語 'Connect-MgGraph' は、コマンドレット…として認識されません」と表示されます。途中で「NuGet プロバイダーが必要です」と表示されたら Y、「信頼されていないリポジトリ」と表示されたら A を入力してください。以前に Microsoft Graph PowerShell を入れたことがあるパソコンでも実行してください（-Force で 2 つのモジュールを同じ版にそろえます）。実行したあとは、PowerShell のウィンドウをいったん閉じて開き直してください。

Install-Module Microsoft.Graph.Applications, Microsoft.Graph.Identity.Governance -Scope CurrentUser -Force

サインインの画面が表示されない場合や、サインインの途中で PowerShell が閉じてしまう場合（エディターなどに組み込まれたターミナルで起きることがあります）は、Connect-MgGraph の行の末尾に -UseDeviceCode を付けて実行し直してください。表示されたコードを、ブラウザーで https://microsoft.com/devicelogin を開いて入力するとサインインできます。複数のテナントを管理している場合は、-TenantId "<テナント ID>" を付けると、準備するテナントを指定できます。

Connect-MgGraph -Scopes "Application.ReadWrite.All","AppRoleAssignment.ReadWrite.All","RoleManagement.ReadWrite.Directory"

# 1. サービス プリンシパルを作成する
$tcm = New-MgServicePrincipal -AppId "03b07b79-c5bc-4b5e-9bfa-13acf4a99998"

# 2. アプリケーションのアクセス許可を割り当てる（Microsoft Graph と Office 365 Exchange Online）
$graph = Get-MgServicePrincipal -Filter "appId eq '00000003-0000-0000-c000-000000000000'"
$exo = Get-MgServicePrincipal -Filter "appId eq '00000002-0000-0ff1-ce00-000000000000'"
$policyRead = $graph.AppRoles | Where-Object { $_.Value -eq "Policy.Read.All" }
$manageAsApp = $exo.AppRoles | Where-Object { $_.Value -eq "Exchange.ManageAsApp" }
New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $tcm.Id -PrincipalId $tcm.Id -ResourceId $graph.Id -AppRoleId $policyRead.Id
New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $tcm.Id -PrincipalId $tcm.Id -ResourceId $exo.Id -AppRoleId $manageAsApp.Id

# 3. グローバル閲覧者を割り当てる
New-MgRoleManagementDirectoryRoleAssignment -PrincipalId $tcm.Id -RoleDefinitionId "f2ef992c-3afb-46b9-b7cf-a126ee74c451" -DirectoryScopeId "/"

すでにサービス プリンシパルがある場合（1 で … is already in use. という赤いエラーが表示された場合）は、1 の代わりに $tcm = Get-MgServicePrincipal -Filter "appId eq '03b07b79-c5bc-4b5e-9bfa-13acf4a99998'" を実行してから 2 に進んでください。

# 3. の行で「ファイルまたはアセンブリ 'Microsoft.Graph.Authentication, Version=…' … が読み込めませんでした」と表示された場合は、モジュールの版がそろっていません（1・2 は済んでいます）。上の Install-Module のコマンドを実行し、PowerShell のウィンドウを開き直してから、次の 3 つだけを順に実行してください。① Connect-MgGraph の行 ② $tcm = Get-MgServicePrincipal -Filter "appId eq '03b07b79-c5bc-4b5e-9bfa-13acf4a99998'" ③ # 3. の New-MgRoleManagementDirectoryRoleAssignment の行。グローバル閲覧者の割り当ては、上の 3. の管理センターの画面で行うこともできます。

準備が済んでいるかは、「設定 ＞ 接続設定 ＞ 接続テスト」で確かめられます。サービス プリンシパルが無い場合は「テナントでの準備がまだ済んでいません」と表示されます（Application.Read.All を付与している場合）。サービス プリンシパルへのアクセス許可やロールの割り当てが足りない場合は、接続テストでは分かりません。設定の取得のあとで、設計書の該当の章に「取得不可」と記載され、巻末の付録「未取得の機能一覧」に「テナントでの準備が済んでいない可能性」と理由が記載されます。

Purview 版の設計書に載るのは、組織で作成したポリシーです。DLP ポリシー・秘密度ラベルのポリシーを作成していないテナントでは、該当の章は「構成されていません」と記載されます。自動ラベル付けポリシーは、自動ラベル付けを含む契約（Microsoft 365 E5 など）が無いテナントでは取得できず、「取得できませんでした」と記載されます。

4-3. SharePoint 版を使う場合の準備（該当する場合）

SharePoint 版（設計書の「SharePoint・OneDrive」の部）は、Intune 版・Entra ID 版と同じ方法で取得します。Exchange Online 版などとは違い、テナントでの準備は要りません。アプリのアクセス許可を追加するだけです。手順 5 の「自動で設定する」（または「設定 ＞ 接続・データ ＞ テナントでの準備」）を使う場合は、アプリが追加するため、下の作業は要りません。

• SharePoint 版だけをご契約の場合は、下の表の権限だけで足ります（Intune 専用の権限は不要です）。
• ほかの製品もご契約の場合は、下の表の SharePointTenantSettings.Read.All を追加してください。

追加したら「管理者の同意を与えます」を押してください。よく似た名前の SharePointTenantSettings.ReadWrite.All（書き込みもできる権限）は付与しないでください。

5. 初回セットアップ（接続テスト）

アプリを初めて起動すると、「テナントへの接続設定」というセットアップ画面が表示されます。「自動で設定する（おすすめ）」か「手動で入力する」を選びます。

■ 自動で設定する場合

1. テナント ID（GUID、または contoso.onmicrosoft.com の形）と、任意でテナント識別名を入力します。
2. 「サインインして自動で設定」をクリックし、開いたブラウザーで、そのテナントのグローバル管理者のアカウントでサインインします。
3. アクセス許可への同意の画面で「承諾」を選びます（「組織の代理として同意する」にチェックを付ける必要はありません）。
4. アプリがアプリ登録・アクセス許可・管理者の同意・クライアントシークレット（有効期限 1 年）を用意し、行った内容を「既にありました」「追加しました」で画面に表示します。既にあるものはそのままにし、足りない分だけを行います。
   • Microsoft Entra ID 版をお使いの場合は、カスタム セキュリティ属性の取得に要るロール「属性定義閲覧者」の割り当ても行います。
5. 続けて下の接続テストを行います。「接続テストに成功しました」と表示されたら、テナントに行った内容を確かめてから「ホームへ進む」をクリックします。

設定の取得は読み取りだけですが、自動で設定するときだけは、管理者ご本人のサインインでテナントに上記の設定（アプリ登録・アクセス許可と同意・シークレット）を書き込みます。アプリの認証情報で書き込むことはなく、管理者のサインイン情報は保存しません。サインイン後、テナントの「エンタープライズ アプリケーション」に準備用のアプリ（TenantSnap テナント準備）が残ります。不要なら削除してかまいません。

自動で設定すると、「※任意」の権限も含めて付与されます。任意の権限を付与したくない場合は「手動で入力する」をお使いください。テナントの方針（アプリ管理ポリシー）でシークレットの追加が制限されている場合も、手動で登録してください。

■ 手動で入力する場合

手順 4 で控えた情報を入力します。

1. テナント ID
2. クライアント ID（アプリケーション ID）
3. クライアントシークレットの「値」
   • 「シークレット ID」ではありません。「値」は作成直後にしか表示されないため、不明な場合は新しいシークレットを作成してください。
4. シークレットの有効期限（任意・期限前の通知に使われます）
5. 「保存して接続テスト」をクリックし、「接続テストに成功しました」と表示されれば完了です。接続テストでは（自動で設定した場合も）次の 3 段階を確かめます。
   • 認証：テナントにサインインできるか（テナント ID・クライアント ID・シークレットの確認）
   • 権限：必要なアクセス許可に「管理者の同意」が与えられているか（足りない権限と、それが無いと設計書に何が載らなくなるかを表示します）
   • 取得できる機能：主な機能ごとに 1 件だけ取得してみて、実際に取得できるか（権限は同意済みでもライセンスが無いと取得できない機能は、ここで分かります）

権限が足りない場合も設定は保存されます。アクセス許可を追加して管理者の同意を与えたあとは、「設定 ＞ 接続設定 ＞ 接続テスト」で、シークレットを入れ直さずにもう一度確かめられます（同意の反映には数分〜数十分かかることがあります）。「※任意」の権限を付与していないことや、任意の機能のライセンスをお持ちでないことは問題として扱いません（その章が載らないことだけをお知らせします）。

保存した認証情報は、その PC・その Windows ユーザーだけが復号できる形（DPAPI）で暗号化され、%APPDATA%\TenantSnap に保存されます。外部への送信は一切ありません。

あとから製品を追加で契約したとき・クライアントシークレットの期限が近づいたとき・シークレットが漏れたおそれがあるときは、「設定 ＞ 接続・データ ＞ テナントでの準備」で同じ処理をもう一度行えます（グローバル管理者のサインインが必要です）。新しいシークレットを発行したときは、以前にこのデータフォルダで発行したシークレットを削除します。

社内プロキシ経由でインターネットに接続する環境では、接続テストの前にプロキシを設定してください（下記「社内プロキシ環境の場合」）。

6. 社内プロキシ環境の場合（該当する場合）

社内プロキシ（インターネットへの通信を中継するサーバー）経由で接続する環境では、設定画面の「プロキシ」カードから設定できます。TenantSnap の接続先は login.microsoftonline.com と graph.microsoft.com のみです。次の 3 つの方法から選べます。

PAC ファイル（プロキシを自動で選ぶ設定スクリプト）には対応していません。PAC を使っている環境では、PAC が示すプロキシのアドレスを「手動で設定する」で直接指定してください。入力したプロキシのパスワードは、認証情報と同じように暗号化して保存されます。

7. 最初の取得〜設計書を生成する

1. ホーム画面の「実行」ボタンを押すと、取得 →（2 回目以降は）差分 → 設計書の生成までを一括で行います。
2. 出力形式（Word／PDF／Excel）や、出力する章は「設定」から選べます。
3. 生成物・取得データは %APPDATA%\TenantSnap に保存されます（設定画面の「フォルダを開く」から開けます）。

基本操作の詳細（変更レポート・2 時点比較・保存先の変更など）は使い方ガイドをご覧ください。うまくいかないときはトラブルシューティングをご覧ください。

8. ライセンスを登録する（ご購入後）

ライセンスを登録しない間は評価版として動作します（初回起動から 14 日間・全機能・設計書に「評価版」の透かし入り）。まずは評価版のままお試しいただけます。

1. ご購入いただくと、ライセンスファイル（license.key）をお送りします。
2. 「設定 ＞ ライセンス」を開き、お送りした license.key を読み込みます。
3. 登録すると、透かしのない設計書を生成できるようになり、定期実行などの製品版機能もご利用いただけます。

ライセンスは製品ごと（Intune 版・Entra ID 版・Exchange Online 版・Teams 版・Purview 版・SharePoint 版）に発行されます。複数の製品をご購入の場合は、それぞれのライセンスファイルを読み込むと、それぞれの製品が有効になります（「設定 ＞ ライセンス」は複数の license.key を受け付け、有効なものを合算します）。有効な製品に応じて、取得・設計書生成の対象が切り替わります。

ライセンスはテナント単位です。購入の流れ（お問い合わせ → ご利用製品とテナント ID をご連絡 → ライセンス発行）はお問い合わせ窓口でご案内します。