Microsoft Graph Connector Agent登録時のAPI権限エラー(ExternalItem/Directory)の解決手順

オンプレミスのファイルサーバーをMicrosoft Search(Copilot連携)に含めるため、Graph Connector Agentをインストール。セットアップ時の認証(サインイン)後に、「十分なアクセス許可がありません」または「ExternalItem/Directoryに関連するAPIエラー」が表示され、エージェントの登録が完了しません。

原因と落とし穴

作業するアカウントに必要なロールがない、またはエージェント用に管理者が自分で登録したアプリ(Entra IDの「アプリの登録」)に、必要なAPIのアクセス許可(アプリケーションの許可)と管理者の同意が付いていないことが原因です。エージェントが自動でアプリを作ってくれるわけではない点が落とし穴です。

切り分け・対処手順

作業アカウントのロール確認: エージェントのインストールとサインインには「AI管理者」(またはCopilot管理者)、Entra IDでのアプリの登録には「アプリケーション管理者」相当のロールが必要です。

APIアクセス許可の確認: Entraポータルの「アプリの登録」で、エージェント用に新規登録したアプリ(エージェントにクライアントIDを入力したもの)を開きます。Microsoft Graphの「アプリケーションの許可」に ExternalItem.ReadWrite.OwnedBy(または ExternalItem.ReadWrite.All)と ExternalConnection.ReadWrite.OwnedBy があるかを確認します。ファイル共有・MS SQLなどのコネクタでは Directory.Read.All も必要です。追加したら「管理者の同意を与えます」を選び、状態が「付与済み」になったことを確認します。

エージェントの再登録: 構成アプリに戻り、アプリのクライアントIDと、クライアントシークレット(または証明書)を入力し直して登録します。ブラウザでの認証は成功するのに構成アプリ側でサインインに失敗する場合は、サービス「GcaHostService」が起動しているかも確認します。

まとめ

Graph Connectorの導入はインフラ作業だけでなく、Entra ID側のAPIガバナンス設定との調整が不可欠なステップとなります。

(2026-10-02追記: Microsoft Learn「Microsoft Graph connector agent overview」(2026-09-21更新)に合わせて、必要なロール・アプリの作り方・APIのアクセス許可の記述を修正しました)

■ この記事に関連するテンプレート

どのアプリにどのAPI権限を付け、誰が管理者の同意を与えたかは、記録しておかないと後から棚卸しできなくなります。権限の付与とその理由を整理して管理するためのNotionテンプレートを作りました。
まずは無料版で、使い方が合うかを確かめてみてください。

▶ 無料版（情シス向けNotionテンプレート3種）を見る
▶ 中小企業向けセキュリティベースライン設計キット（¥2,980）