AB Projects（エイビープロジェクト） が Microsoft Graph の権限を必要とする理由

AB Projects（エイビープロジェクト）は 2 か所で権限を求めます。管理者は組織全体を対象とした Microsoft の同意画面を一度だけ確認し、チーム所有者はアプリがチームに追加されたときや更新されたときに、短いチームの権限の一覧を承認します。どの項目も製品で目に見える機能に対応しており、そのほとんどは委任アクセスです。つまりアプリはあなたとして動作し、あなたがすでにできること以上のことは決してできません。

Microsoft Graph とは何か、権限は何に使われるのか

Microsoft Graph は Microsoft 365 に組み込まれた API で、アプリが Teams、Outlook、プロフィールを扱うための公式の入り口です。AB Projects はこれを 4 つの用途に使います。

組織全体の権限

管理者が Microsoft Entra ID で一度だけ同意する権限です。委任 = アプリがサインインしたユーザーとして動作し、そのユーザーがすでにできることに限定されます。アプリケーション = サインインしたユーザーがいなくても AB Projects が使う権限で、プロジェクトのメンバーをチャネルと一致させておくといったバックグラウンド処理のためのものです。

チームの権限（チーム所有者が承認）

いくつかの権限は1 つのチームだけに適用されます。Microsoft はこれをリソース固有の同意と呼んでいます。管理者が組織全体にアクセスを許可する代わりに、AB Projects がチームに追加されたとき、または更新で新しい権限が追加されたときに、チーム所有者が承認します。これらの権限はそのチームの外では何も与えず、AB Projects をチームから削除すると失われます。

管理者向けの注意事項

• 委任アクセスはユーザーの権限を超えません。上記のほとんどの行はサインインした本人として動作します — その人がチャネルを見られなければ、アプリも見られません。
• アプリケーション権限は名簿同期のためのものです。誰もサインインしていないときに、AB Projects がプロジェクトのメンバーをチャネルと一致させておくために使います。読み取るのはメンバーシップだけで、メッセージは読み取りません。
• 返信の同期には、組織全体の権限ではなくチームの権限を使います。ChannelMessage.Read.Group はチーム所有者がチームごとに承認するため、承認していないチームには決して適用されません。
• カレンダーへの書き込みはタスクごとのオプトインです。アプリがカレンダーに触れるのは、タスクを明示的に同期したとき、またはタスクから会議をスケジュールしたときだけです。
• 管理はいつでもあなたの手にあります。組織全体の権限は Microsoft Entra ID でいつでも確認・取り消しできます。初回サインイン時に組織ごとに一度同意が必要になる場合があります（SSO と Microsoft ログイン を参照）。チームの権限は、AB Projects をチームから削除した時点で終了します。

まとめると、これらの権限はタスク、Teams チャネル、カレンダーを同期させるためにあります — メールやファイルを読み取るものは一つもなく、常に同意画面が正式な一覧です。