Microsoft 365更新まとめ 2026年8月第3週｜Purview・Entraの管理者影響

自分

閲覧ありがとうございます。ゆっくりよんでいってください

Microsoft 365 の更新って、毎週追いかけるだけでも大変ですよね。

特に管理者や情シス担当者の場合、「新しい機能が追加された」というところだけではなく、既存ポリシーへの影響、ライセンス、セキュリティ、利用者への案内が必要かどうかまで確認する必要があります。

今回は、2026年8月12日〜8月19日ごろに確認された Microsoft 365 管理者向けの更新情報から、実務への影響がありそうな内容を中心にまとめてみました。

特に今回は、

・Microsoft Purview における生成AI・DLP関連の強化
・Microsoft EntraにおけるActive Directory依存の見直し
・Exchange Server Subscription Edition CU1の状況
・Microsoft 365 Apps周辺のセキュリティ情報
・OneDriveの管理関連情報

あたりが気になるところです。

1 この記事で分かること
2 今回の更新で見えた全体傾向
3 主要アップデート一覧
4 管理者向けチェックリスト
5 まとめ

この記事で分かること

この記事では、主に次の内容を確認できます。

・2026年8月第3週に確認しておきたい Microsoft 365 関連更新
・Microsoft Purview と生成AIサービスの連携がどのように広がっているか
・Microsoft Entraで進むActive Directory依存低減の考え方
・Exchange Server Subscription Edition CU1に関する状況
・Microsoft 365 Appsのセキュリティ情報を確認するときのポイント
・OneDrive管理者が確認しておきたい更新

初心者の方向けにも、できるだけ「そもそも何のための機能なのか」から補足していきます。

今回の更新で見えた全体傾向

Microsoft Purviewが生成AIを含むデータセキュリティへ広がっている

今回かなり目立ったのが、Microsoft Purview関連の更新です。

Microsoft Purviewという名前を聞いても、
「結局何をする製品なの？」と思う方もいるかもしれません。

ざっくり言うと、Microsoft Purviewは、
「組織内の重要な情報がどこにあり、誰が利用していて、どこへ持ち出されようとしているのか」を管理・保護するための仕組みです。

たとえば、

・秘密度ラベル
・DLP（Data Loss Prevention：情報漏えい防止）
・監査
・eDiscovery
・Insider Risk Management
・データセキュリティ調査

など、情報保護に関するさまざまな機能が含まれています。

今回の更新候補を見ると、

・Anthropic Claude data connector
・Data Security Posture Management
・生成AIアプリの監視
・管理されていないAIアプリへのデータ送信制御
・Endpoint DLPの証拠収集

など、生成AIを利用することを前提としたデータ保護機能が増えていることが分かります。

管理者目線では、「生成AIを禁止するか、許可するか」という二択だけではなく、
「どのAIサービスへ、どの情報を送れるのか」まで管理する段階へ進んでいると考えておいたほうがよさそうです。
今後は、生成AIの利用ルールだけではなく、DLPや監査を含めた技術的な制御も確認していきたいところです。

Active Directoryだけに依存しないID管理が引き続き重要

Microsoft Entra Blogでは、2026年8月13日に、

「Why Active Directory alone is no longer enough」

という記事が公開されています。

直訳すると、「なぜActive Directoryだけでは、もはや十分ではないのか」といった内容です。

ここで注意したいのは、「Active Directoryがすぐ使えなくなる」という意味ではないことです。

オンプレミスの Active Directory Domain Services、いわゆる従来のADは、現在でも多くの企業で利用されています。

一方で、

・Microsoft 365
・SaaS
・クラウドアプリ
・リモートワーク
・外部ユーザー
・モバイルデバイス
・生成AIサービス

などを利用する現在の環境では、オンプレミスADだけでIDやアクセスを管理するのが難しくなっています。

Microsoft Entra ID、条件付きアクセス、IDガバナンスなどを組み合わせ、
「社内ネットワークにいるから安全」ではなく、「誰が、どの端末から、どのような条件でアクセスしているのか」を
判断するZero Trust型の考え方が、ますます重要になっていると思います。

生成AIへのデータ持ち出し対策が具体的になってきた

Purview関連では、生成AIサービスに対する監視や制御の項目が複数確認されています。

たとえば、

・Anthropic Claudeとのデータ連携
・監視する生成AIアプリの選択
・Microsoft Edge for Businessから管理されていないAIアプリへの共有防止
・Microsoft 365 Copilot関連のDLP

などです。

生成AIを企業で利用する場合、「機密情報は入力しないでください」という社内ルールだけでは限界がありますよね。

利用者に悪意がなくても、「この資料を要約して」と、社外の生成AIサービスへファイルをアップロードしてしまうことも考えられます。

今後は、「利用ルール」「技術的な制御」「監査」の3つを組み合わせた生成AI管理が重要になってくると思います。

セキュリティ更新はCVE番号の数だけで判断しない

Microsoft 365 Apps関連の収集結果では、2026年8月18日付近に多数のCVE情報が確認されています。

ただし、今回取得できた情報だけでは、

・具体的な対象製品
・影響を受けるバージョン
・深刻度
・実際の悪用状況
・修正済みバージョン

までは確認できませんでした。

そのため、「CVEがたくさん出たから、Microsoft 365 Appsの全端末で重大な問題がある」と判断することはできません。

Microsoft Security Response Center（MSRC）の各アドバイザリを確認し、
自社で使用している製品・バージョンが対象なのかを確認することが大切です。

主要アップデート一覧

今回確認された情報を、管理者目線で整理すると次のようになります。

2026-08-week3の主要だと感じたアップデート情報まとめ。特にPurviewが多め。

サービス	更新内容	管理者影響度	利用者影響度
Microsoft Purview	Anthropic Claude data connector	高	中
Microsoft Purview	Data Security Posture Management関連の強化	高	低
Microsoft Purview	Endpoint DLP evidence collection	高	中
Microsoft Purview	生成AIアプリの監視・持ち出し制御	高	中
Microsoft Entra	Active Directory依存を減らすIDモダナイゼーション	中	低
Exchange	Exchange Server SE CU1のリリース状況	高	低
Microsoft 365 Apps	複数のCVE情報	高	中
OneDrive	同期クライアント・フォルダー名関連	中	中
Teams	Frontlineなどの更新候補	低	中

特に Microsoft Purview を利用している組織では、生成AI関連の機能を重点的に確認しておくとよさそうです。

一方で、Intune、Defender、Teamsについては、今回の収集結果にタグページやカテゴリーページが多く含まれており、具体的な新機能として断定できる情報が少なかったため、主要更新としては扱っていません。

Anthropic Claude data connectorがMicrosoft Purviewに追加

一言まとめ

ざっくり言うと、Microsoft PurviewからAnthropic Claudeに関連するデータを扱うための仕組みとして確認しておきたい更新です。

企業で複数の生成AIサービスを利用している場合は、今後の監査やコンプライアンス設計にも関係してきそうです。

要点

Microsoft Learnでは、「Anthropic Claude data connector」という
ドキュメントが2026年8月14日付近の更新候補として確認されています。

データコネクタとは、外部サービスの情報をMicrosoft Purview側へ取り込み、コンプライアンスや調査などに利用するための仕組みです。

初心者向けにざっくり言うと、「Microsoft 365以外のサービスで発生した活動についても、Purview側から確認・管理しやすくする仕組み」と考えると分かりやすいと思います。

経験則

実務では、こうした外部サービスとの連携機能は、機能そのものよりも、

「誰が設定できるのか」

「どのデータがMicrosoft側へ取り込まれるのか」

「保存期間はどうなるのか」

「誰が監査データを閲覧できるのか」

を整理しておくことが重要だと思います。

特に生成AIサービスは、情シスだけではなく、セキュリティ部門や法務部門なども関係する可能性があります。
社内の生成AI利用ルールとセットで確認すると安心です。

管理者影響度

Microsoft Purviewで生成AIサービスまで含めた監査やコンプライアンス管理を行っている組織では、確認しておきたい内容です。

現在Claudeを業務利用していない組織では、すぐに設定変更が必要になる内容ではありません。

一方で、今後Claudeを正式な業務ツールとして採用する可能性がある場合は、事前にPurviewとの連携方法を把握しておく価値があります。

利用者影響度

通常の利用者が直接設定する機能ではないため、画面操作が突然変わるような直接的な影響は限定的と考えられます。
ただし、Claudeの利用状況が監査対象になったり、社内ルールが変更されたりする場合は、利用者への案内が必要になる可能性があります。

確認したいポイント

・自社でAnthropic Claudeを業務利用しているか
・Microsoft Purviewとの連携が必要か
・Preview / Public Preview / GAのどの状態か
・必要となるPurviewライセンス
・取得対象となるデータ
・必要な管理者権限
・データ保持や監査ポリシーとの整合性

kurataku所感

Microsoft 365 Copilotだけではなく、Claudeなど他社の生成AIサービスまでPurviewの管理対象が広がっているところは、かなり興味深いですね。

生成AIの企業利用は、

「どのAIを使うのか」

だけではなく、

「どのAIをどう管理・監査するのか」

まで考える必要が出てきそうです。

Data Security Posture Management関連の機能が拡充

一言まとめ

Microsoft PurviewのData Security Posture Managementについて、
アプリケーション単位でデータリスクを把握するための機能などが確認されています。

要点

今回の更新候補には、

「Application card for Data Security Posture Management」

が含まれています。

公式記事：https://learn.microsoft.com/en-us/purview/data-security-posture-management-application-card
Data Security Posture Managementは、組織内のデータがどこにあり、どのようなリスクがあるのかを把握するための仕組みです。

初心者向けにざっくり言うと、
「会社の重要データが、どのアプリや場所にあり、どのくらいリスクがある状態なのかを見るための仕組み」
と考えると分かりやすいと思います。

今回の更新候補では、ほかにも、

・Administrative Unitsへの対応
・非アクティブテナントでのデータ更新停止

などの関連情報が確認されています。

経験則

こうしたダッシュボード系の機能は、導入しただけでは効果が出にくいです。

実務では、
「何を問題として判断するのか」
「誰がアラートやレポートを見るのか」
「問題を検出した後、誰にエスカレーションするのか」
まで決めておくことで、実際の運用につながります。

管理画面だけ増えて、誰も確認しない状態にならないようにしたいところです。

Endpoint DLPで証拠収集機能

一言まとめ

Endpoint DLPで発生した情報持ち出しについて、インシデント調査に利用できる情報をより詳しく収集する方向の更新です。

要点

今回、「Endpoint DLP evidence collection」という項目が確認されています。

公式記事：https://learn.microsoft.com/en-us/purview/data-security-investigations-search#endpoint-dlp-evidence-collection-preview

Endpoint DLPは、Windows端末などから重要情報がUSBデバイスやクラウドサービスなどへ持ち出されることを検知・制御するための仕組みです。

証拠収集機能によって、インシデントが発生したときに、

「実際に何が起きたのか」

を判断するための情報を増やせる可能性があります。

経験則

DLPというと、「情報をブロックする機能」というイメージを持ちやすいですが、

実際の運用では、「なぜブロックされたのか」
「本当に情報漏えいだったのか」を調査できることもかなり重要です。

誤検知が多いと、管理者も利用者もDLPを信用しなくなってしまいます。
検知だけではなく、調査まで含めて運用を考えることが大切だと思います。

確認したいポイント

・Preview機能としての提供条件
・Endpoint DLPを現在利用しているか
・収集されるデータの範囲
・証拠データへのアクセス権
・データの保持期間
・個人情報やプライバシーポリシーとの整合性

kurataku所感

セキュリティ機能は、「取得できる情報が多ければ多いほど良い」とは限りません。

運用者が本当に必要な情報を取得し、適切な権限を持つ担当者だけが確認できる状態にしておくことが大切ですね。

管理されていない生成AIアプリへの情報持ち出し対策

一言まとめ

生成AIへの情報持ち出し対策が、社内ルールだけではなく、Microsoft PurviewとMicrosoft Edge for Businessを組み合わせた技術的な制御へ広がっています。

要点

今回のPurview関連更新では、

「Help prevent sharing via Microsoft Edge for Business to unmanaged AI apps from managed devices」

が確認されています。

公式記事：https://learn.microsoft.com/en-us/purview/dlp-create-policy-block-to-ai-via-edge

また、ブラウザーポリシーが対応する管理されていないAIアプリの一覧についても公式記事があります。
https://learn.microsoft.com/en-us/purview/dlp-browser-dlp-learn#unmanaged-cloud-apps

さらに、Insider Risk Managementでは、監視する生成AIアプリを選択する項目も確認されています。
https://learn.microsoft.com/en-us/purview/insider-risk-management-settings-policy-indicators#select-generative-ai-apps-to-monitor

経験則

生成AI利用ルールで、「機密情報を入力しないでください」と案内しても、100％防ぐことは難しいですよね。

特に利用者が悪意なく、
「このExcelを要約して」
「この契約書を読みやすくして」

などの目的で、外部AIへファイルをアップロードしてしまうケースは考えておく必要があります。

実務では、

・許可するAIサービス
・利用を制限するAIサービス
・持ち出してよい情報
・技術的にブロックする情報
・例外を認める場合の申請方法

まで整理することが重要です。

確認したいポイント

・自社で許可している生成AIサービス
・管理されていないAIアプリの定義
・Edge for Businessの管理状況
・DLP対象となる情報
・ブロック時に利用者へ表示される内容
・例外申請の運用方法
・必要なPurviewライセンス

kurataku所感

個人的には、今回かなり注目したいところです。

生成AI対策が、「利用者へ注意してくださいと言うだけ」から、技術的にも管理しやすい方向へ広がってきています。

今後のMicrosoft 365セキュリティ設計では、生成AI向けDLPも普通に検討項目へ入ってきそうですね。

Microsoft EntraでActive Directory依存を見直す動き

一言まとめ

今回の内容は新しい設定が突然追加されるというより、
Microsoftが今後のID管理をどう考えているのかを確認しておきたい公式記事です。

要点

Microsoft Entra Blogで2026年8月13日、
「Why Active Directory alone is no longer enough」
という記事が公開されています。

公式記事：https://techcommunity.microsoft.com/blog/microsoft-entra-blog/why-active-directory-alone-is-no-longer-enough/4546402

記事概要では、組織がActive Directoryだけでは対応しきれなくなっている兆候と、依存度を減らしてID環境をモダナイズするための考え方が紹介されています。

初心者向けに補足すると、Active Directoryは主にオンプレミス環境でユーザーやPCを管理してきた仕組みです。

一方、Microsoft Entra IDはMicrosoft 365や各種クラウドサービスへの認証・アクセス管理を担います。

今後は、「社内PCだからアクセスを許可する」という考え方だけではなく、

「誰が」
「どの端末から」
「どの場所から」
「どのような条件で」

アクセスしているのかを確認しながら判断する設計が重要になっています。

根拠

公式記事：https://techcommunity.microsoft.com/blog/microsoft-entra-blog/why-active-directory-alone-is-no-longer-enough/4546402

公開日：2026年8月13日

経験則

Active Directoryからクラウド中心の構成へ移行するとき、いきなりADをなくそうとするとかなり大変です。

実務では、

現在ADに依存しているシステムを洗い出す
Microsoft 365認証へ移行できるものを確認する
デバイス管理をIntuneへ寄せる
条件付きアクセスを整備する
古い認証方式やアプリケーションを減らす

というように、少しずつ依存度を下げていくほうが現実的だと思います。

確認したいポイント

・オンプレミスADに依存しているシステム
・Entra IDへ移行済みのサービス
・条件付きアクセスの利用状況
・レガシー認証の残存状況
・Intuneによるデバイス管理状況
・現在のハイブリッド構成
・今後もADに残す必要があるシステム

対応方針

すぐActive Directoryを廃止するのではなく、まず依存しているサービスを一覧化するところから始めるとよいと思います。
一覧があるだけでも、将来的にクラウドへ移行するときの難易度がかなり見えやすくなります。

Exchange Server Subscription Edition CU1のリリース状況

一言まとめ

Exchange Server Subscription Editionをオンプレミスで運用している組織は、CU1のリリース状況を継続して確認しておきたい内容です。

要点

Exchange Team Blogで2026年8月13日、
「Where is Exchange SE CU1 anyway?」
という記事が公開されています。

kurataku所感

Exchange Serverは影響範囲が広いので、「CUが出たからすぐ適用」よりも、しっかり情報を確認してから進めたいところですね。
特にハイブリッド環境では、Exchange Online側だけを見ているとオンプレミス側の要件を見落としやすいので注意したいです。

Microsoft 365 Apps周辺で複数のCVE情報を確認

一言まとめ

2026年8月18日付近に複数のCVEアドバイザリが確認されています。
ただし、今回取得された情報だけでは対象製品や深刻度を判断できないため、CVE番号だけで影響を断定しないことが重要です。

要点

今回確認されたCVEには、たとえば次のものがあります。

・CVE-2026-63518
・CVE-2026-65807
・CVE-2026-68793
・CVE-2026-68794
・CVE-2026-68795
・CVE-2026-68796
・CVE-2026-68797
・CVE-2026-68798
・CVE-2026-68799
・CVE-2026-68800
・CVE-2026-68801
・CVE-2026-68802
・CVE-2026-68803
・CVE-2026-68804
・CVE-2026-68805
・CVE-2026-68806
・CVE-2026-68807
・CVE-2026-68808
・CVE-2026-68810
・CVE-2026-68811
・CVE-2026-68812
・CVE-2026-68813
・CVE-2026-68814
・CVE-2026-68815
・CVE-2026-68816
・CVE-2026-68817
・CVE-2026-70327
・CVE-2026-70328

経験則

セキュリティ更新では、「CVEが何件あるか」よりも、

・自社環境が対象か
・すでに悪用されているか
・インターネット経由で攻撃可能か
・管理者権限などが必要か
・修正プログラムが提供されているか

を見るほうが重要です。

同じ「重要な脆弱性」でも、自社環境で使用していない製品であれば直接的な対応対象にはなりません。

確認したいポイント

・各CVEの対象製品
・深刻度
・悪用が確認されているか
・Microsoft 365 Appsの対象バージョン
・自社で利用している更新チャネル
・修正版が端末へ適用されているか

OneDrive同期クライアントとフォルダー名関連の情報

一言まとめ

OneDriveでは、同期クライアントのリリース情報と、OneDriveフォルダー名をカスタマイズするグループポリシー関連の情報が確認されています。

経験則

OneDrive同期クライアントは、Microsoft 365のサーバー側機能とは少し違い、PC側のバージョン差が問い合わせ原因になりやすいです。

たとえば、「Aさんには新しい表示があるのに、Bさんにはない」といった場合は、
同期クライアントのバージョン差も確認してみると切り分けしやすいです。

管理者影響度

OneDriveを組織全体で利用している場合は、同期クライアントのバージョン管理方法を確認しておきたいところです。
GPOでOneDriveを管理している環境では、フォルダー名設定についても確認しておく価値があります。

利用者影響度

フォルダー名称やエクスプローラー上の表示、写真表示などは利用者が気付きやすい変更です。

展開方法によっては、「いつもと表示が違う」という問い合わせにつながる可能性があります。

対応方針

まず管理端末のOneDriveバージョンを確認し、公式リリースノートとの差が大きくないかを確認するとよいと思います。
GPO変更を行う場合は、一部ユーザーや検証端末で動作を確認してから全社へ展開する流れが安心です。

kurataku所感

OneDriveは小さなUI変更でも問い合わせが出やすいサービスです。
特にフォルダー名やエクスプローラー上の表示が変わる場合は、事前にスクリーンショット付きで案内しておくと、サポート側がかなり楽になります。

管理者向けチェックリスト

今回の内容を踏まえると、管理者側では次の順番で確認してみるとよさそうです。

・Microsoft Purviewで生成AI関連の新しい設定項目が表示されているか確認する
・社内でClaudeなど外部生成AIサービスを利用しているか整理する
・DLPで管理対象にする生成AIサービスを検討する
・Edge for BusinessによるAIサービスへの持ち出し制御を確認する
・Endpoint DLPのPreview機能を利用する必要があるか検討する
・Purview関連機能のライセンス要件を公式情報で確認する
・Active Directoryに依存している社内システムを棚卸しする
・Microsoft Entra IDと条件付きアクセスの現在の構成を確認する
・Exchange Server Subscription Editionを利用している場合はCU1の状況を確認する
・MSRCで今回のCVEが自社製品に影響するか確認する
・Microsoft 365 Appsの更新チャネルと端末バージョンを確認する
・OneDrive同期クライアントのバージョンを確認する
・PreviewとGAを区別して本番導入を判断する
・Microsoft 365管理センターのメッセージセンターも確認する

全部を一度に対応する必要はありません。

個人的にはまず、「Purviewの生成AI関連」「CVE」「Exchange SE利用環境」「Entraの中長期計画」「OneDrive」くらいの順番で、
自社に関係するものから確認していくと整理しやすいと思います。

まとめ

今回は、2026年8月12日〜19日ごろのMicrosoft 365管理者向け更新をまとめてみました。
全体を見て特に感じたのは、
「Microsoft Purviewが生成AI時代のデータセキュリティ基盤として強化されている」という点です。

Anthropic Claudeなど外部生成AIサービスとの連携、生成AIアプリの監視、Edge for Businessを利用したDLPなど、
「AIを使わせない」のではなく、「安全に利用するために管理する」方向へ進んでいる印象があります。

一方、Microsoft Entraでは、Active Directoryだけに依存しないID管理への移行が引き続き重要なテーマになっています。

管理者としては、

・生成AIサービスへの情報持ち出し
・Microsoft Purviewのライセンスと提供条件
・Active Directory依存環境の棚卸し
・Exchange Server SE CU1の状況
・Microsoft 365 Appsのセキュリティ更新
・OneDrive同期クライアントの管理

あたりを、自社環境に合わせて確認しておくとよさそうです。

Previewや段階的ロールアウトについては、公開された情報だけで判断せず、自社テナントでの表示と公式情報をあわせて確認するのがおすすめです。

Microsoft 365は毎週かなり多くの情報が出るので、全部追いかけようとすると大変ですよね。
今後も、管理者目線で「実際に確認したほうがいいところ」を中心にまとめていきたいと思います。
ぜひぜひ、自社環境の定例確認にも活用してみてください。