Power PlatformのDLPポリシー｜分類・適用範囲と設定時の確認点

Power PlatformのDLP（データ損失防止）ポリシーは、コネクタの利用や組み合わせなどを制御する仕組みです。Power Apps、Power Automate、Copilot Studioの設計では、環境に適用されるポリシーを確認します。

2026年10月3日更新。公式資料に基づいて本文を見直しました。掲載する旧画面は撮影当時の資料として区別しています。

DLPで制御すること

コネクタを通じたデータの流れを管理しますが、すべてのデータ内容を検査する仕組みでも、アプリや接続先のアクセス権限を置き換える仕組みでもありません。対象と制御の範囲は Microsoftのデータポリシー概要で確認できます。

分類	意味
Business（業務用）	このグループに分類したコネクタ同士の組み合わせを認める。
Non-Business（非業務用）	Businessとは別のグループ。同じグループ内の組み合わせを認める。
Blocked（ブロック）	対象ポリシーでコネクタの利用を禁止する。従来型ではブロックできないコネクタもある。

BusinessとNon-Businessは管理者が設定する分類です。「SharePointは常にBusiness」「メールサービスは常にBlocked」と決まっているわけではありません。同じアプリやフローでBusinessとNon-Businessを組み合わせることは制限されます。

同じグループであることは、認証・ライセンス・他の適用ポリシーまで満たすことを保証しません。新規コネクタの既定グループも確認します。従来型の新規ポリシーではNon-Businessが既定ですが、管理者が変更できます。詳細はコネクタの分類に関する公式資料を参照してください。

説明用の設定例	この例での結果
SharePointをBusiness、Office 365 OutlookをNon-Businessにする。	同じフローで両方を使うと、グループをまたぐ組み合わせとして制限される。
SharePointとOffice 365 Outlookを同じグループにする。	この分類によるグループ間の制限は解消する。他のポリシーや権限は別途確認する。

これは仕組みを説明するための例です。メール送信を許可するかどうかは、業務目的と送信するデータを確認して決めます。例の分類をそのまま本番環境の推奨設定とするものではありません。

ポリシーには対象環境の範囲があります。作成・変更できる範囲も管理者の役割によって異なるため、環境だけでなくテナント側の設定も確認します。手順と権限はデータポリシーの作成ガイドを参照してください。

従来型のポリシーが複数適用される場合、一つで許可されていても他のポリシーによる制限は解除されません。複数ポリシーの組み合わせの説明に沿って、適用されるすべてのポリシーを確認します。

2026年10月の公式資料では、Advanced connector policies（ACP）も説明されています。従来型のグループ分類とは異なり、明示的に許可したコネクタやアクションを使う許可リスト方式で、既定では拒否する考え方です。

作成画面での制御の提供状況もワークロードによって異なります。実行時と設計時の挙動、Managed Environmentの要件、対応範囲は高度なコネクタポリシーの公式資料で確認してください。既存環境を機械的にACP-onlyへ切り替える手順として読むものではありません。

当時はSharePointをBusiness、OutlookをNon-Businessに設定し、両方を含むフローでデータポリシー違反が表示されることを確認しました。これはその設定での検証記録です。現在の全テナントに共通する既定分類や、ACPの動作を示すものではありません。

以下は初回公開時（2022年）のスクリーンショットです。従来型ポリシーの作成、コネクタ分類、適用環境の選択と、Power Automateでのエラー表示を保存しています。現在の画面や提供条件と一致することを保証するものではありません。