Password Vault 概要
Password Vault は、各ユーザーの保管庫を、そのユーザーの OneDrive のアプリ フォルダーにあるファイルに保管します。このファイルを読み書きするために、ソリューション パッケージは Microsoft Graph のアクセス許可をちょうど 1 つだけ要求します。それが Files.ReadWrite.AppFolder です。パッケージの展開後、テナント管理者がこれを一度承認する必要があります。承認されるまで、Web パーツは保管庫を開くことも作成することもできません。この記事では、このアクセス許可とその承認について説明します。
Password Vault にこのアクセス許可が必要な理由
Web パーツは、Microsoft Graph を次の 3 つの操作に使用します。いずれも、サインインしているユーザーの OneDrive のアプリ フォルダー内での操作です。
- 保管庫ファイル
vitextra-password-vault.jsonを検索する。 - ユーザーが初めて Password Vault を開いたときに、このファイルを作成する。
- このファイルを読み取り、変更のたびに保存する。
Password Vault は、これ以外の Microsoft Graph のアクセス許可を要求せず、SharePoint リストのアクセス許可も必要としません。ページを開くことができるユーザーであれば、誰でも自分の保管庫を使用できます。
ユーザーには、プロビジョニング済みの OneDrive と承認済みのアクセスも必要です。以下のアクセス許可エラーは、必要なファイル アクセスが別の既存の許可によって付与されていない場合を想定しています。
このアクセス許可で許可されることと許可されないこと
| 項目 | 詳細 |
|---|---|
| アクセス許可の種類 | 委任: サインインしているユーザーに代わってのみ機能し、独立したアプリケーション ID としては動作しません |
| 許可されること | サインインしているユーザー自身の OneDrive のアプリ フォルダー内のファイルの読み取りと書き込み |
| 許可されないこと | ユーザーの他の OneDrive ファイル、他のユーザーの OneDrive、SharePoint サイト、メール、予定表、ディレクトリ データの読み取りまたは変更 |
| アプリケーション (アプリのみ) アクセス | なし。Password Vault にはサービス アカウントもバックグラウンド プロセスもありません |
📝 注
SharePoint Online では、SPFx ソリューションの API アクセス許可は、テナント内のすべての SPFx ソリューションが共有する 1 つの Microsoft Entra ID アプリケーション SharePoint Online Client Extensibility Web Application Principal に付与されます。Files.ReadWrite.AppFolder が承認されると、このアクセス許可はテナントに展開されているすべての SPFx ソリューションで使用可能になり、アプリ フォルダーはこの共有アプリケーションのフォルダーになります。これは、すべてのベンダーに共通する SharePoint Framework の仕組みです。信頼できる SPFx ソリューションのみを展開してください。KB10360. SharePoint 管理センターで Vitextra ソリューションの Microsoft Graph API アクセス許可を承認する方法のセキュリティに関する注意事項を参照してください。
アクセス許可を承認する方法
アクセス許可の要求は、Password Vault パッケージが**テナント**のアプリ カタログに展開されたときに作成されます (KB10035. SharePoint Online に Vitextra 製品をインストールする方法を参照)。グローバル管理者のロールが必要です。SharePoint 管理者のロールだけでは Microsoft Graph のアクセス許可を承認できません。 Microsoft
1. **SharePoint 管理センター**を開きます。
2. 詳細設定 > API アクセスに移動します。
3. 保留中の要求タブで、Microsoft Graph / Files.ReadWrite.AppFolder に対する Vitextra Password Vault パッケージの要求を選択します。
4. 承認をクリックし、確定します。
5. 承認済みの要求タブにアクセス許可が表示されていることを確認します。
Files.ReadWrite.AppFolder が別の SPFx ソリューションのために既に承認されている場合、新しい要求は表示されません。SharePoint は既存の付与を再利用します。ユーザーに同意を求めるメッセージは表示されません。承認後、通常は数分以内に、テナント内のすべてのユーザーが Web パーツを使用できるようになります。使用できない場合は、ページを再読み込みしてください。
💡 ヒント
スクリーンショット、PowerShell コマンド、一部のみの承認、アクセス許可の取り消し、更新時の動作については、KB10360. SharePoint 管理センターで Vitextra ソリューションの Microsoft Graph API アクセス許可を承認する方法を参照してください。
アクセス許可が承認されるまでユーザーに表示される内容
要求が保留中のままでも、パッケージを展開し、Web パーツをページに追加することはできます。ただし、アクセス許可がないと、Web パーツは保管庫を読み取ることも作成することもできません。ユーザーには、PINコードの設定 画面や PINコードの入力 プロンプトの代わりに、「申し訳ございません。問題が発生しました。ページを更新してやり直してください。」というメッセージと更新ボタンが表示されます。保管庫ファイルは作成されません。
承認後、ユーザーが更新を押すかページを再読み込みすると、Web パーツが通常どおり開きます。
承認済みのアクセス許可を後で承認済みの要求タブから削除した場合も、同じメッセージが表示されます。アクセス許可を削除しても保管庫ファイルは削除されません。ファイルはユーザーの OneDrive に残り、アクセス許可が承認されると再び開けるようになります。このメッセージのその他の原因については、KB10459. Password Vault が読み込まれない理由: 「問題が発生しました」とアクセス許可のエラーを参照してください。
