はじめに
Copilot Studio の Microsoft Copilot Harness の検証やプロジェクト用に、Azure サブスクリプションで従量課金される Power Platform 環境 を用意する機会がよくあるので、手順をメモしておきます。
M365 Copilot ライセンスはあるものの、メッセージパックを用意するほどではなく、Power Platform 管理者やグローバル管理者などのテナント管理者ロール がない状態でもできる範囲での手順です。
M365 Copilot ライセンスがない場合は、テナント管理者にテナント設定の Copilot Studio 作成者 を設定してもらう必要があります（補足: M365 Copilot ライセンスを持っていない場合）。
標準ハーネスは M365 Copilot ライセンス単体でも利用可能です。
構成
作業と必要な権限は次のとおりです。
| 作業 | 場所 | 必要な権限 |
|---|---|---|
| リソースグループの作成 | Azure portal | サブスクリプションの所有者または共同作成者 |
| セキュリティグループの作成 | Microsoft Entra 管理センターなど | ユーザーによるグループ作成が許可されていること |
| 請求プランの作成 | Power Platform 管理センター | 環境管理者以上 + Azure 側でリソース作成とリソースプロバイダー登録ができること |
| 環境の作成 | Power Platform 管理センター | 実稼働環境を作成できるライセンスと、テナントポリシーでの許可 |
| セキュリティロールの割り当て | Power Platform 管理センター | 対象環境のシステム管理者 |
前提条件
- Azure サブスクリプションの 所有者 または 共同作成者 であること
- 請求プランの作成時に、Azure 側でリソースの作成とリソースプロバイダーの登録が行われます（従量課金制の設定 - 設定できるユーザー）
- Power Platform で 実稼働環境を作成できる こと
- Power Apps、Power Automate、Copilot Studio、Dynamics 365 などの、実稼働環境を作成できるライセンスが必要です。Microsoft 365 のプランだけでは作成できません（環境の作成）
- テナントの環境作成ポリシーで、管理者以外の環境作成が制限されていないこと
- 開発者には M365 Copilot ライセンスが付与されていること
Azure 側の準備
1. リソースグループを作成する
請求プランの作成時に、Power Platform アカウント の非表示リソースが自動作成されます。その配置先として使うリソースグループを作成しておきます。請求プランの作成画面では既存のリソースグループを選択します。
手順は Azure portal を使用した Azure リソース グループの管理 - リソース グループの作成 のとおりです。
2. セキュリティグループを作成する
役割の違う 2 つのグループを用意します。筆者の環境では Microsoft 365 グループで構成しています。
| グループ | 用途 | 設定先 |
|---|---|---|
| アクセス用グループ | 環境に入れるユーザーを制限する | 環境のセキュリティグループ |
| 作業用グループ | 環境内でエージェントを作成・編集する | 環境の「環境作成者（Environment Maker）」セキュリティロール |
小規模な検証では、1 つのグループを両方に使っても問題ありません。
- 環境のセキュリティグループには、セキュリティグループと Microsoft 365 グループのどちらも指定できます（セキュリティ グループを使用して環境へのユーザー アクセスを制御する）。
- 環境のセキュリティグループで入れるユーザーを制限するため、作業用グループのメンバーはアクセス用グループにも所属している必要があります。
- 入れ子のグループのメンバーは、環境に自動では追加されません。
- グループを作成できるかどうかは、Entra ID の「ユーザーはセキュリティ グループを作成できる」「ユーザーは Microsoft 365 グループを作成できる」の設定によります（グループの設定）。
請求プランを作成する
従量課金の請求プランは、環境管理者 でも作成できます（Power Platform 管理者、Dynamics 365 管理者、グローバル管理者も可）。ただし、環境管理者には次の制約があります（従量課金制の設定 - 設定できるユーザー）。
- 編集できるのは、自分が作成した請求プランだけです。
- 請求プランに紐づけられるのは、自分が管理者になっている環境だけです。
手順は次のとおりです（請求プランを作成する）。
- Power Platform 管理センター で ライセンス > 請求プラン（ドキュメント上は「従量課金制プラン」）に移動します。
- 新しい請求プラン > Azure サブスクリプション を選択します。
- 次の項目を入力します。
- 名前: 任意の名前
- Azure サブスクリプション: 課金先のサブスクリプション
- リソース グループ: 先ほど作成したリソースグループ
- Power Platform 製品 で Copilot Studio を選択します。
- 次へ を選択し、リージョンと紐づける環境を選択して 保存 します。この後に新しく環境を作成する場合は、環境作成時にこの請求プランを指定します。
- Copilot Studio の従量課金は、Copilot クレジット単位（1 クレジットあたり $0.01） で請求されます（従量課金制のメーター）。
- 作成された Power Platform アカウントリソースは、Azure portal のリソースグループで 非表示の種類の表示 をオンにすると表示されます。
- 請求プランを削除しても、Azure 側のリソースは削除されません。
環境を作成する
Power Platform 管理センター の 管理 > 環境 > 新規 から、次の設定で環境を作成します（データベースを含む環境を作成する）。
| 項目 | 設定値 |
|---|---|
| 種類 | 実稼働 |
| リージョン | 請求プランと同じリージョン |
| Dataverse データ ストアの追加 | はい |
| Azure での従量課金制 | はい（先ほど作成した請求プランを選択） |
実稼働環境にしている理由
環境に入れるユーザーをセキュリティグループで、環境内の権限をセキュリティロールで、どちらもグループ単位で管理したいためです。開発者環境にはセキュリティグループを割り当てられません（セキュリティ グループを使用して環境へのユーザー アクセスを制御する）。
ちょっとした開発をユーザー個人単位で回すだけなら、開発者環境などでも従量課金を利用できるはずです（未検証）。ただし、公式ドキュメントでは従量課金の対象として開発者環境は記載されていません（従量課金制の設定）。
次のページで セキュリティ グループ に アクセス用グループ を指定して、環境を作成します。
セキュリティグループは環境作成時に設定しておきましょう。 既存の環境にセキュリティグループを後から関連付ける場合は、 Power Platform 管理者または Dynamics 365 管理者が必要とされています（セキュリティ グループを使用して環境へのユーザー アクセスを制御する）。
- Dataverse の追加は、後から取り消せません。
- 従量課金の環境では、Dataverse のデータベース容量 1 GB とファイル容量 1 GB が無料で含まれ、超過分が課金されます。ログ容量（監査ログ）は最初から課金対象です（従量課金制の概要）。
アクセス権を管理する
セキュリティグループのメンバーであることと、Dataverse のセキュリティロールは別の制御です。環境に入れても、ロールがなければ作業できません。
Copilot Studio でエージェントを作成するユーザーには、環境作成者（Environment Maker） ロールを割り当てます（Copilot Studio のセキュリティとガバナンス - セキュリティ ロールを使用して作成権限を割り当てる）。
| ロール | エージェント（bot） | トピックなど（botcomponent） | 会話トランスクリプト |
|---|---|---|---|
| システム管理者 | 環境内の全件 | 環境内の全件 | 環境内の全件 |
| システム カスタマイザー | 環境内の全件 | 環境内の全件 | なし |
| 環境作成者（Environment Maker） | 自分のもの | 自分のもの | なし |
環境作成者（Environment Maker）は、自分が作成したエージェントだけを操作でき、会話トランスクリプトは閲覧できません。ほかのユーザーのエージェントを編集する場合はエージェントの共有を使い、トランスクリプトを分析する担当者には別途ロールを検討します。
割り当て手順は次のとおりです（セキュリティ ロールを構成する）。
- 管理 > 環境 で、作成した環境を選択します。
- アクセス タイルの セキュリティ ロール で すべて表示 を選択します。
- 環境作成者（Environment Maker） を選択します。
- ユーザーの追加 から 作業用グループ を追加します。
- セキュリティロールを割り当てるには、対象環境の システム管理者 ロール（またはセキュリティロールの読み取り・割り当て権限を持つカスタムロール）が必要です。
- 個別のユーザーにロールを割り当てる場合は、ユーザーが環境に追加されて有効になっている必要があります。一覧に表示されない場合は、環境の 設定 > ユーザー + アクセス許可 > ユーザー > ユーザーの追加 で先に追加します（環境にユーザーを追加する）。
動作確認
作業用グループのユーザーで Copilot Studio にサインインし、上部バーの環境選択から作成した環境を選択します。エージェントを作成・発行できれば完了です（Copilot Studio で環境を操作する）。
補足: M365 Copilot ライセンスを持っていない場合
テナント管理者（Power Platform 管理者または Dynamics 365 管理者）であれば、Power Platform 管理センターの テナント設定 にある Copilot Studio 作成者 にセキュリティグループを割り当てる必要がああります（テナント設定）。
Copilot Studio でエージェントを作成するユーザーには、次のいずれかが必要であるためです（Copilot Studio のライセンス - Copilot Studio の使用を開始する）。
- Copilot Studio ユーザーライセンス（無償。ただしテナントに前払いのクレジットパックが必要）
- Copilot Studio 作成者 セキュリティグループのメンバーであること
- Microsoft 365 Copilot ライセンス（GitHub Copilot ハーネス用のエージェントを作成する場合）
- 試用版ライセンス（発行はできない）
従量課金の環境でエージェントを発行するときに「現在、Copilot Studio で発行できるユーザー ライセンスがありません」というエラーが出る場合は、ユーザーに資格がありません。テナント管理者に Copilot Studio 作成者 グループへの追加、またはライセンスの割り当てを依頼してください（Copilot Studio でエージェントを発行するときのライセンス エラー）。
まとめ
- Azure サブスクリプションがあれば事前購入クレジットがなくとも Copilot Studio の従量課金機能を試せる
- 実稼働で環境作成することでアクセス管理をセキュリティグループで行う
- 「環境作成者（Environment Maker）」ロールを使うとエージェント作成権限が付与される
- 発行までの完全な利用では Copilot 作成者 or M365 Copilot などのライセンス要件を要確認
参考：