Customer Lockboxとは？Microsoft 365 E5でMicrosoftのデータアクセスを承認制にする
この記事について
この記事は、生成AIを活用した自動生成フローで作成しています。2026年9月18日時点のMicrosoft公式情報を確認し、Microsoft Purview Customer Lockboxの役割、E3/E5の違い、承認・監査フローを整理しています。検証ステータス：📘 Microsoft公式情報確認済み・実機未確認
Customer Lockboxは、Microsoftサポートエンジニアが障害調査などで組織のcustomer content（顧客コンテンツ）へアクセスする必要が生じたとき、組織側の明示承認を要求する仕組みです。通常の運用でMicrosoft担当者が自由にメールやファイルを読む、という意味ではありません。
E3/E5でどう違う？
| 項目 | Microsoft 365 E3 | Microsoft 365 E5 |
|---|---|---|
| Customer Lockbox | E3単体の標準包含ではない | 含まれる |
| 追加方法 | 対象のInformation Protection and Compliance / Advanced Compliance系add-onを確認 | E5権利で利用 |
Microsoft公式FAQではMicrosoft 365 / Office 365 E5に含まれ、その他の対象プランでは追加subscriptionで利用できるとされています。契約時は最新のPurview service descriptionでSKUを確認します。
対象サービス
2026年9月時点の公式ドキュメントでは、Exchange Online、SharePoint Online、OneDrive for Business、Teams、Windows 365をサポートします。Microsoft 365 Copilot interactionsもExchange Onlineのサポートを通じてCustomer Lockboxの対象とされています。
sequenceDiagram
participant C as 組織
participant S as Microsoft Support
participant A as 組織の承認者
participant E as Microsoft Engineer
C->>S: サポート要求
S->>S: 顧客コンテンツアクセスが必要か判断
S->>A: Customer Lockbox request
A->>A: 理由・SR番号・対象サービス確認
alt 承認
A-->>S: Approve
S-->>E: 一時アクセスを付与
E->>E: 必要な作業
E-->>C: Audit logに操作記録
else 拒否/12時間未応答
A-->>S: Deny / Expire
S-->>E: アクセスなし
end
まず試す：設定と担当者を読む
Microsoft 365 admin centerで Settings > Org Settings > Security & Privacy > Customer Lockbox を開き、変更せず確認します。
Require approval for all data access requests
Customer Lockbox access approverの担当者
Support > Customer Lockbox Requestsの履歴
監査ログを検索できる担当者
成功条件は「要求が来たとき誰が、何を確認して、誰の代替承認者がいるか」を説明できることです。
1か所変える
設定ではなく運用表の「承認者」を1名から主担当＋副担当へ変更し、休日・夜間に12時間の要求期限へ対応できるか検討します。
監査ログをPowerShellで読み取る
承認そのものをPowerShellで試すのではなく、まず監査履歴を読み取る方が安全です。
# Exchange Online PowerShellへ接続済みの前提 # Customer Lockboxの承認/拒否操作を読み取りで確認 Search-UnifiedAuditLog ` -StartDate (Get-Date).AddDays(-7) ` -EndDate (Get-Date) ` -Operations Set-AccessToCustomerDataRequest
ここを見る：結果の日時、操作、要求IDをサポート案件と照合します。
成功条件：対象期間に要求がなければ0件でも正常です。
1か所変える：AddDays(-7) を AddDays(-30) に変え、検索期間だけ広げます。
Microsoft engineerの関連操作はMicrosoft Operatorとして監査ログで追える場合があります。承認・拒否に使うSet-AccessToCustomerDataRequestは重要な書き込み操作なので、初回コピペ例にはしません。
時間制限を理解する
Customer Lockbox requestは未応答なら通常12時間で期限切れになります。承認後のMicrosoft engineerのアクセス権は最大4時間で、要求された時間が短ければそれに従います。恒久アクセスを与える仕組みではありません。
3つの視点
一般利用者：サポート依頼を出したからといってMicrosoftが自動的に内容を読むわけではない。
事務職：承認メールだけで判断せず、サポート案件番号と理由を担当部門へ確認する。
情シス/監査：承認者、期限、audit log、support ticketを一つの証跡として管理する。
管理者が確認する点
Customer Lockboxのライセンス
Global Administratorを日常承認に常用しない
Customer Lockbox access approverの最小権限
12時間の要求期限とバックアップ担当
承認後最大4時間のアクセス
Microsoft 365 audit logの保持と検索権限
Support ticketとの照合
Microsoft公式情報・一次情報
Customer Lockboxは「Microsoftを信用するか」という話ではなく、例外的な顧客データアクセスを組織自身の承認と監査のプロセスへ入れるための統制機能です。
