広告枠を募集中 ご相談ください
日本語
English简体中文繁體中文日本語EspañolPortuguês한국어DeutschFrançais
すべてのサイト

企業 IT 管理者のための実戦ガイド：Microsoft Copilot Studio で基幹業務エージェントを構築し Microsoft 365 Copilot に安全連携する

ガイド
365Finds Editorial
Wiki 記事 11,430 本収録

あなたの AI で 365 Wiki を使う

下のプロンプトをコピーして、普段使っている AI に貼り付け、そのまま質問してください。

完全版 Skill をダウンロード

まずはプロンプトでお試しください。よく使う場合は完全版 365Wiki Skill をインストールすると、毎回貼り付ける必要がありません。普段使う AI がなければ、Gemini や Microsoft Copilot のウェブ版でも使えます。

365Wiki Skill

完全版 Skill をダウンロード
企業の IT 管理者およびシステムアーキテクトが組織全体の生産性向上や AI 導入を推進する上で、最大の障壁となるのが「基幹業務（LOB: Line-of-Business）データのサイロ化」です。SAP、Salesforce、Microsoft Dynamics 365、ServiceNow、各種社内データベースや REST API に重要な業務データが蓄積されている一方で、従業員の日常的な業務とコミュニケーションは Teams、Outlook、Word といった Microsoft 365 アプリケーション上で完結しています。


Microsoft Copilot Studio を活用してカスタム LOB エージェントを構築し、Microsoft 365 Copilot に統合することは、この分断を解消する最も効果的な手法です。従業員は複数の業務ポータルに個別にアクセスすることなく、Microsoft 365 Copilot の使い慣れたチャットインターフェースから直接、社内ナレッジの参照、基幹 API の呼び出し、トランザクション処理を実行できるようになります。


本ガイドでは、エンタープライズ規模で安全にカスタム LOB エージェントを設計・構築・公開・一元管理するためのエンドツーエンドの実践手順、セキュリティ境界、認証設計、DLP ガバナンスを体系的に解説します。




1. アーキテクチャ概要：Copilot Studio が Microsoft 365 Copilot を拡張する仕組み


エージェントの設計とガバナンスを適切に行うには、Microsoft 365 Copilot エコシステムがユーザーの意図をどのように解釈し、外部システムと連携しているかを正確に把握する必要があります。


+-----------------------------------------------------------------------------------+
|                        Microsoft 365 クライアント（利用環境）                     |
|           (Teams, Outlook, Microsoft 365 Copilot チャット, Web, 各種 Office アプリ) |
+-----------------------------------------------------------------------------------+
                                          |
                                          | 自然言語プロンプト / @エージェント呼出
                                          v
+-----------------------------------------------------------------------------------+
|                      Microsoft 365 Copilot オーケストレーター                     |
|     (意図解釈、コンテキスト抽出、セマンティックインデックス、Purview コンプライアンス)   |
+-----------------------------------------------------------------------------------+
                                          |
                      +-------------------+-------------------+
                      |                                       |
                      v                                       v
+----------------------------------+     +------------------------------------------+
|  宣言型エージェント (Declarative)|     |      Microsoft 365 標準ワークスペース      |
|    (Copilot Studio で構築・管理) |     |      (Exchange メール、SharePoint ファイル) |
+----------------------------------+     +------------------------------------------+
  | システム指示とガードレール (Guardrails)
  | 独自エンタープライズナレッジ (SharePoint, Graph コネクタ)
  | 生成型オーケストレーションエンジン
  |
  +---> ツール & アクション (Power Platform コネクタ、REST API、Power Automate フロー)
  |       |
  |       +---> 基幹業務システム (SAP ERP, Salesforce CRM, Dynamics 365, 社内 DB)
  |
  +---> ID・セキュリティ・ガバナンス層
          |
          +---> Microsoft Entra ID (SSO、ユーザー委任 OAuth 2.0 / トークン交換)
          +---> Power Platform DLP ポリシー & Microsoft Purview 監査ログ



エージェントの主要な 2 つの形態


Copilot Studio および Microsoft 365 Copilot では、主に以下の 2 種類のエージェント形態が存在します。


    

  1. Microsoft Copilot 向けエージェント（宣言型エージェント / Declarative Agents）：
Microsoft Copilot チャットハーネス（Copilot chat harness）上で動作し、Microsoft 365 Copilot のネイティブなチャット UI をそのまま継承します。特定のドメイン（購買調達、人事福利厚生、IT サポートなど）に特化した指示、ナレッジ、ツールを設定して意図を絞り込みます。従業員の日常業務に組み込む標準パターンです。
    2. 

  2. カスタムエンジンエージェント（Custom Engine Agents）：
独自の言語モデルやオーケストレーションロジック、Bot Framework コードで動作するスタンドアロン型のエージェントです。複雑なマルチターン対話ツリーや、専用の独立 Web 埋め込み UI を必要とするシナリオに用いられます。
    3. 



社内の全従業員に向けて日常的な業務自動化を提供するエンタープライズシナリオでは、Copilot Studio で構築するアクションツール付きの宣言型エージェントが標準的な選択肢となります。




2. 前提条件・ライセンス・管理者権限


エージェントの作成と配布に着手する前に、組織のテナントで必要なライセンスとロールが割り当てられているか確認します。


ライセンス要件



管理者ロールと権限





3. テナントガバナンス基準：Power Platform DLP ポリシーの構成


作成者にエージェント作成を解放する前に、IT 管理者はプラットフォームレベルで厳格なセキュリティガードレールを定義し、意図しないデータ漏洩や不正な接続を遮断する必要があります。


データ損失防止（DLP）ポリシーのベストプラクティス


Copilot Studio のすべてのエージェントは、Power Platform の DLP ポリシーによってリアルタイムに評価されます。異なるデータグループに属するコネクタが同一エージェント内で組み合わされた場合、公開および実行が即座にブロックされます。


Power Platform 管理センターで以下の基準を構成します。


    

  1. Power Platform 管理センターにサインインし、ポリシー > データ ポリシーに移動します。
    2. 

  2. 本番環境を対象とするデータポリシーを新規作成または編集します。
    3. 

  3. コネクタを厳格にグループ分けします。

      

    • ビジネス（Business）グループ： コア業務コネクタ（SAP ERP、Salesforce、Dataverse、Office 365 Outlook、SQL Server、社内 REST API のカスタムコネクタ）と、Microsoft Teams + M365 Channel in Copilot Studio コネクタを同一のビジネスグループに配置します。
      • 

    • ブロック（Blocked）グループ： 個人向けコンシューマー用ストレージや承認されていないサードパーティの外部メッセージングサービスを配置して遮断します。
      • 

    

    4. 

  4. Entra ID 認証の強制：
Chat without Microsoft Entra ID authentication in Copilot Studio コネクタを「ブロック」グループに移動します。これにより、作成者が認証不要の匿名エージェントを作成・公開することを防ぎ、社内すべてのエージェントで Entra ID SSO を必須化できます。
    5. 

  5. コネクタのエンドポイントフィルタリング（Endpoint Filtering）：
HTTP コネクタや社内 REST API カスタムコネクタに対してエンドポイントルールを適用し、通信先を社内の信頼されたドメイン（例: *.corp.contoso.com/api/*）のみに限定し、任意の外部 URL へのデータ送出を遮断します。
    6. 





4. Copilot Studio におけるカスタム LOB エージェントの構築手順


ガバナンス基盤が整備されたら、作成者やシステムアーキテクトは Copilot Studio でエージェントを構築します。


+-------------------------------------------------------------------------------+
|                       Copilot Studio エージェント構築フロー                   |
+-------------------------------------------------------------------------------+
|  1. 基本設定とシステムプロンプト (Prompt)                                      |
|     - エージェント名・説明 (Microsoft 365 Copilot の意図ルーティングに不可欠)     |
|     - 指示事項 (Instructions)：職責の明確化、対象範囲外の拒否、確認ルールの明示  |
+-------------------------------------------------------------------------------+
|  2. エンタープライズナレッジの接続 (Grounding)                                |
|     - SharePoint ドキュメントライブラリ、OneDrive の規定・マニュアル            |
|     - Microsoft Graph コネクタ (Confluence、ServiceNow 等のインデックス)       |
+-------------------------------------------------------------------------------+
|  3. 業務ツールとアクションの統合 (Tools & Actions)                            |
|     - 標準コネクタ (SAP ERP, Salesforce CRM, Dynamics 365)                    |
|     - カスタム OpenAPI / REST API コネクタ                                    |
|     - Power Automate エージェントフロー (複雑な分岐・承認ワークフロー)          |
+-------------------------------------------------------------------------------+
|  4. 実行時セキュリティと人機協調の制御                                        |
|     - エンドユーザー委任 OAuth 2.0 (バックエンドの行レベルアクセス権を維持)   |
|     - 「実行前にユーザーに確認」(データ変更処理に対する二重確認ゲートの有効化)   |
+-------------------------------------------------------------------------------+



ステップ 1：エージェントの作成


    

  1. Microsoft Copilot Studio にアクセスします。
    2. 

  2. 右上の環境セレクターで、指定された Power Platform 管理環境が選択されていることを確認します。
    3. 

  3. 左側のナビゲーションメニューで エージェント（Agents） を選択します。
    4. 

  4. Microsoft Copilot を選択してカード内の 追加（Add） をクリックするか、作成 > 新しいエージェント を選択します。
    5. 

  5. わかりやすい名前（最大 42 文字、< および > を除く）を入力し、192x192 ピクセル、72 KB 未満の PNG アイコンをアップロードします。
    6. 



ステップ 2：指示事項（Instructions）とプロンプトの設計


システム指示は、エージェントがどのように振る舞い、ハルシネーション（もっともらしい嘘）を防ぐかを決定する極めて重要な要素です。



ステップ 3：エンタープライズナレッジの接続


ナレッジソースを設定することで、生成 AI の回答を組織内の正確なデータに基づいてグラウンディング（根拠付け）します。


    

  1. エージェント概要ページの ナレッジ（Knowledge） カードで ナレッジの追加 を選択します。
    2. 

  2. 信頼できる社内データソースを指定します。

      

    • SharePoint サイトおよびライブラリ： 調達業務マニュアル、ベンダー規定、SOP が格納されたフォルダを指定します。Copilot は SharePoint の権限トリミングを自動的に継承するため、従業員自身がアクセス権を持つ文書からのみ回答が生成されます。
      • 

    • Microsoft Graph コネクタ： テナント管理者が外部リポジトリ（Confluence、ServiceNow など）からインデックスしたデータを指定します。
      • 

    

    3. 

  3. 指定したソースのみを使用する（Only use specified sources） を有効にして、社外の一般的な Web 情報を勝手に参照しないよう制限します。
    4. 



ステップ 4：業務ツール（Tools）とコネクタの統合


ツールを追加することで、エージェントは「回答する」だけでなく「システムに対して操作を実行する」ことが可能になります。


    

  1. エージェント画面の ツール（Tools） ページに移動します（または 構築 > ツール）。
    2. 

  2. ツールの追加（Add a tool） を選択します。
    3. 

  3. 連携方式を選択します。

      

    • 標準コネクタ： SAP ERP、Salesforce、Dynamics 365、ServiceNow などの既製コネクタを選択します。
      • 

    • カスタムコネクタ / REST API： 社内マイクロサービスの OpenAPI（Swagger）定義をインポートしたコネクタを選択、またはエンドポイントを直接登録します。
      • 

    • エージェントフロー（Agent Flows）： 複数テーブルの結合、データ変換、承認申請などの複雑なロジックが必要な場合、Power Automate フローを作成してツールとして組み込みます。
      • 

    

    4. 

  4. ツールの詳細メタデータを慎重に構成します。

      

    • ツールの説明（Description）： 非常に重要です。Microsoft 365 Copilot のオーケストレーターは、この説明文を読み取ってツールを呼び出すべきかを判断します（例: 「購買発注番号に基づいて SAP システムから発注詳細をリアルタイムに取得します。納期、明細ステータス、請求金額について尋ねられた際に使用します」）。
      • 

    • 入力パラメータの動的入力： パラメータの取得方法を AI を使用して動的に入力（Dynamically fill with AI） に設定すると、対話の文脈から発注番号などを自動抽出します。
      • 

    • 実行前にエンドユーザーに確認（Ask the end user before running）： 参照・照会のみのツールは「いいえ」のままとし、更新・削除・登録などの書き込み処理を行うツールは必ず はい に設定します。これにより、チャット画面上に確認カードが強制的に表示されます。
      • 

    

    5. 





5. 認証方式・セキュリティ境界・行レベルセキュリティの維持


基幹業務システムと接続する際、最も重視すべき点はセキュリティ境界の維持です。エージェントが特権アカウントを使ってバックエンドのアクセス制限を迂回することは決してあってはなりません。





































評価項目エンドユーザー認証（委任認証・推奨）作成者が提供する認証（サービスプリンシパル等）
認証フローMicrosoft Entra ID による OAuth 2.0 On-Behalf-Of（OBO）トークン交換固定 API キー、クライアントシークレット、共有サービスアカウント
データアクセス範囲ログインしている従業員本人の権限とロールに厳密に制限サービスアカウントが保持する広範な権限で全データにアクセス可能
行レベルセキュリティ（RLS）完全に維持。権限のない他部門の財務データや機密発注の参照を防止完全に無効化。一般社員による機密データの閲覧リスクが発生
監査ログの追跡性基幹システムの監査ログに操作した従業員の UPN が直接記録されるサービスアカウントのログしか残らず、実際の実行者を追跡不可
適したシナリオERP 発注照会、CRM 顧客管理、社内申請、パーソナルデータ参照一般公開の製品カタログ、全社共通の公開 FAQ、システム稼働監視


シングルサインオン（SSO）と委任認証の実装


    

  1. エージェントの 設定 > セキュリティ > 認証 で、Microsoft で認証 を選択します。
    2. 

  2. ツールやコネクタの設定において、認証方式を エンドユーザーの資格情報（End user credentials） に指定します。
    3. 

  3. ユーザーが Microsoft 365 Copilot 経由でエージェントを呼び出すと、Entra ID のアクセストークンが OAuth 2.0 経由でバックエンド API に中継されます。
    4. 

  4. ユーザーが SAP や Salesforce 上で該当レコードの閲覧権限を持たない場合、バックエンドから HTTP 403 エラーが返され、エージェントは権限不足であることを安全にユーザーに通知します。
    5. 





6. デバッグ・テスト・妥当性検証


組織全体へ公開する前に、エージェントの推論とツール呼び出しの動作を十分に検証します。


    

  1. テストキャンバスでの動作確認： Copilot Studio 画面右側のテストチャットを使用し、ナレッジの回答精度とツールのトリガー精度をテストします。
    2. 

  2. 開発者モードによるオーケストレーション追跡： テストチャットで -developer on と入力して送信します。Copilot Studio の詳細な診断トレースが有効になり、意図分類の結果、ツールが選択された理由、API へ送信された JSON ペイロード、返却値が生データとして可視化されます。
    3. 

  3. セッションキャッシュのクリア： Microsoft Copilot はセッション内で会話コンテキストをキャッシュします。指示事項やツールの定義を変更した後は、テストパネル上部の 新しいテスト セッションの開始 アイコンをクリックして、クリーンな状態で再テストしてください。
    4. 





7. 発行と公開チャネルの構成


テスト完了後、エージェントのバージョンを確定して Microsoft 365 チャネルを有効化します。


    

  1. Copilot Studio の上部ナビゲーションにある 発行（Publish） をクリックします。最新の設定内容を含む不変のビルドが生成されます。
    2. 

  2. 左メニューの チャネル（Channels） を開きます。
    3. 

  3. Microsoft 365 Copilot（または Teams と Microsoft 365 チャネル）を選択します。
    4. 

  4. 可用性オプション（Availability options）から適切な配布方法を選択します。

      

    • リンクのコピー： テストグループ内で直接 Teams またはブラウザから動作確認するためのディープリンクを取得します。
      • 

    • チームメイトおよび共有ユーザーに表示： 特定のセキュリティグループにのみアクセスを許可し、段階的パイロット運用を行います。
      • 

    • 組織内の全員に表示（Show to everyone in my org）： 組織のカタログへの登録を申請し、Microsoft 365 管理センターの承認フローへ送信します。
      • 

    • .zip としてダウンロード： マニフェスト（manifest.json）とアイコンを含む ZIP パッケージを出力し、IT 管理者が管理センターから手動で登録できるようにします。
      • 

    

    5. 





8. Microsoft 365 管理センターでの承認と段階的テナント展開


申請またはエクスポートされたエージェントは、テナント管理者が Microsoft 365 管理センターで集中管理します。


+-------------------------------------------------------------------------------+
|               Microsoft 365 管理センターでの展開ワークフロー                  |
+-------------------------------------------------------------------------------+
|  1. 検出と承認審査                                                            |
|     - Microsoft 365 管理センター (admin.microsoft.com) にアクセス             |
|     - 「エージェント (Agents)」または「設定」 > 「統合アプリ」を開く          |
+-------------------------------------------------------------------------------+
|  2. セキュリティおよびコンプライアンス検証                                    |
|     - マニフェストの権限、利用外部 API、ホスト製品 (Teams/Copilot/Outlook) 確認 |
|     - Power Platform DLP ポリシー適合性および秘密度ラベルの確認               |
+-------------------------------------------------------------------------------+
|  3. 段階的なパイロット展開 (Phased Rollout)                                    |
|     - フェーズ 1: パイロットセキュリティグループ (特定ユーザー) への限定展開   |
|     - フェーズ 2: 部門別グループまたは組織全体 (Entire organization) への展開   |
+-------------------------------------------------------------------------------+
|  4. 運用監視とライフサイクル管理                                              |
|     - Copilot エージェント利用状況レポートによる定着度とクレジット消費の追跡  |
|     - Microsoft Purview 統合監査ログによる継続的なセキュリティ監視            |
+-------------------------------------------------------------------------------+



エージェントの確認と承認手順


    

  1. 管理者アカウントで Microsoft 365 管理センター にサインインします。
    2. 

  2. エージェント > エージェント レジストリ（Agent Registry） または 設定 > 統合アプリ（Integrated apps） に移動します。
    3. 

  3. 申請一覧から該当の LOB エージェントを確認するか、カスタム エージェントのアップロード から ZIP パッケージを登録します。
    4. 

  4. 発行元、機能説明、要求されているアクセス許可、接続先 API を精査します。
    5. 

  5. 段階的なアクセス割り当て：

      

    • パイロット展開： 対象を特定のテスト用セキュリティグループ（例: SG-SupplyChain-Copilot-Pilots）に限定し、業務現場のコアメンバーによる 1〜2 週間の先行検証を実施します。
      • 

    • 全社展開： 運用上の問題がないことを確認後、割り当て先を対象部門のグループまたは 組織全体 に拡大します。
      • 

    

    6. 

  6. Teams でのアプリ固定（任意）： Teams 管理センター（https://admin.teams.microsoft.com）の Teams アプリ > セットアップ ポリシー でエージェントをピン留めアプリに追加し、従業員の画面左側に常時表示させることができます。
    7. 





9. 運用監視・コンプライアンス監査・コスト管理


エージェントの公開後は、利用状況、セキュリティ、コストを継続的にモニタリングします。


利用状況とパフォーマンス分析



Microsoft Purview によるデータ保護と監査


Microsoft 365 Copilot に統合されたエージェントは、エンタープライズ基準のガバナンス機能を完全に継承します。





10. エンタープライズ IT 管理者向け実装チェックリスト






























































導入フェーズ主な技術的アクションガバナンス・管理基盤
事前準備ライセンス確認（M365 Copilot, Copilot Studio）と管理者権限の割り当てMicrosoft 365 管理センター
DLP 設計基幹コネクタと M365 チャネルを「ビジネス」に分類；匿名接続を遮断Power Platform 管理センター
エージェント定義明確な指示、対象外業務の拒否ルール、おすすめプロンプトを設定Microsoft Copilot Studio
ナレッジ統合SharePoint や Graph コネクタを接続し、ユーザー権限トリミングを適用Microsoft Copilot Studio
ツール統合SAP/CRM コネクタや REST API を接続；ユーザー委任 OAuth 2.0 を強制Microsoft Copilot Studio
更新処理の保護データ更新・削除を伴うアクションに「実行前確認」ゲートを設定Microsoft Copilot Studio
動作検証-developer on で意図判定と通信電文を確認；キャッシュクリアしてテストMicrosoft Copilot Studio
発行とチャネルビルドを発行し、Microsoft 365 Copilot チャネルを有効化して申請Microsoft Copilot Studio
テナント配布管理センターで承認後、セキュリティグループによる段階的パイロット展開Microsoft 365 管理センター
継続的ガバナンスPurview 監査ログの確認；エージェント利用状況とクレジット消費の監視M365 管理センター & Purview


Microsoft Entra ID による一貫した ID 境界の保護、Power Platform DLP による堅牢なデータ防衛、そして Microsoft 365 管理センターによる集中展開コントロールを組み合わせることで、IT 部門は社内に散在する基幹業務システムを安心・安全に Microsoft 365 Copilot へと直結させ、組織全体の知的生産性を大幅に向上させることができます。




参考文献


取り上げた製品
Microsoft 365 Copilot