はじめに
「サポート対応でMicrosoftのエンジニアがうちのメールボックスの中身を見ることってあるの?」と疑問に思ったことはないでしょうか。実は、それを組織側でコントロールできるCustomer Lockbox(カスタマー ロックボックス)という機能がMicrosoft 365には用意されています。
名前が似ている「Customer Key」との違いも含めて整理してみました。有効化の具体的な手順は元記事にまとめています。
元記事: [【Microsoft365参考書】Customer LockboxとCustomer Keyの違いは？管理者向けにわかりやすく解説]
Customer Lockboxとは何か
Microsoftのエンジニアが顧客データへアクセスする必要が生じた場合に、顧客側がそのアクセス要求を承認または拒否できる機能です。Microsoft 365、Azure、Power Platform、Dynamics 365など幅広いサービスで提供されています。
通常、Microsoftのサポートエンジニアはテレメトリや管理ツールで障害解析を行うため、顧客データそのものへアクセスする必要はほとんどありません。ただし、メールボックスやファイルの中身の確認が問題解決に必要になるケースもあり、その際は次の流れでアクセスが制御されます。
- Microsoftエンジニアがアクセスを要求
- 顧客側の承認者へ通知
- 承認者が承認または拒否
- 承認された場合のみ、一時的なアクセスが付与
Exchange Online・SharePoint Online・OneDrive for Business・Teams・Windows 365に加え、Microsoft 365 Copilot関連のExchange Onlineデータアクセスもこの保護対象に含まれています。
Exchange Onlineでの具体例
例えば「メールボックスの障害が発生していて、Microsoftサポートでも原因が特定できない」というケースを考えてみます。Microsoftがメールボックス内部のデータ確認を必要と判断すると、Customer Lockbox要求が作成され、顧客の承認者が承認するまでMicrosoftエンジニアはそのデータへアクセスできません。
逆に言うと、要求を拒否したり一定時間内に承認しなかった場合はアクセス権が付与されず、障害調査やサポート対応が継続できなくなる可能性があるという点は覚えておく必要があります。「セキュリティのために有効化したら、いざという時のサポート対応が止まってしまった」とならないよう、承認者が迅速に対応できる体制を整えておくことが重要です。
Customer Keyとの違い(混同しやすいので要注意)
名前が似ていますが、目的はまったく異なります。
| 機能 | 目的 |
|---|---|
| Customer Lockbox | Microsoftエンジニアによるデータアクセスを顧客が承認する |
| Customer Key | 顧客が管理する暗号化キーでデータを保護する |
一言でまとめると、Customer Lockboxは「誰がデータを見るか」を制御し、Customer Keyは「どの鍵でデータを暗号化するか」を制御する機能です。「Microsoftのアクセスを承認制にしたい」ならCustomer Lockbox、「暗号化キーを自社で管理したい」ならCustomer Key、と目的で切り分けて考えると混同を防げます。
有効化の大まかな流れ
- 承認者ロールを割り当てる: 「Customer Lockbox Access Approver」ロールを、承認者となるユーザーに割り当てる
- Customer Lockboxを有効化する: 管理センターの「設定」→「組織設定」→「セキュリティとプライバシー」から、「すべてのデータアクセス要求に対して承認を要求する」をオンにする
- アクセス要求を承認する: Microsoftからアクセス要求が来たら、承認者が管理センターの「Customer Lockbox Requests」から内容を確認し、「Approve」または「Deny」を選択する
運用のメリット
Customer Lockboxを有効化しておくと、次のようなメリットがあります。
- Microsoftのアクセス要求ごとに承認・拒否を判断できる
- アクセス要求と承認内容が監査ログに記録される
- 誰が承認したかを後から追跡できる
コンプライアンス要件が厳しい業種や、顧客データの取り扱いについて説明責任を求められる組織にとっては、導入しておく価値の高い機能だと思います。
おわりに
Customer Lockboxは、クラウドサービスにありがちな「ベンダー側が勝手にデータを見られるのでは」という不安に対して、承認フローという形で明確な統制を効かせられる機能です。承認体制の構築とセットで検討することをおすすめします。より詳しい設定画面のスクリーンショットは元記事にまとめていますので、あわせてご覧ください。
- 元記事: 社畜の所業「Customer LockboxとCustomer Keyの違いは？管理者向けにわかりやすく解説」
- ブログ全体: 社畜の所業(Microsoft365解説ブログ) — セキュリティ・コンプライアンス関連の解説記事も多数掲載しています