10分でまるわかり「Veeam Data Cloud for Microsoft 365」の概要

Veeam Data Cloud for Microsoft 365（VDCM365）は、Salesforce、Entra ID、Azure、AWS、Veeam VaultなどをサポートするVeeam Data Cloudプラットフォームの一部であり、特にMicrosoft 365のデータを保護するために設計されたクラウドベースのバックアップサービスです。Exchange Online、SharePoint Online、OneDrive for Business、Microsoft Teamsなど、さまざまなツールのデータを安全に保護することができます。

本稿では、Veeam Data Cloud for Microsoft 365（VDCM365）の技術的な概要について解説します。

Veeam Data Cloudプラン

VCDM365は、多様なパッケージで提供されていますが、主に以下の3通りのプランのいずれかで利用するのが一般的です。

● Foundation ― Graph APIを通じてMicrosoft 365のデータを保護できます。Flexポリシーと呼ばれるバックアップポリシーが適用されます。

● Advanced ― Foundationプランの全機能に加え、Entra ID保護の追加機能を備えています。Threat Center機能も近日追加される予定です。

● Premium ― Advancedプランの全機能に加え、二次的な追加バックアップポリシー（Expressポリシー）がサポートされます。ExpressポリシーはMicrosoft Backup Storage APIにもとづきます。

Veeam Data Cloudライセンス

ライセンスモデル

Veeam Data Cloudは、ユーザーごとのライセンスモデルでシンプルな使いやすいサービスを徹底しています。顧客組織は、保護したいMicrosoft 365ユーザーにライセンスを割り当てることができます。特定のユーザーに属さない非ユーザーメールボックスはライセンスなしで保護されます（メールボックス自体にMicrosoft 365ライセンスがともなう場合やメールボックスがライセンス必須の場合は除く）。

非ユーザー／共有データ

非ユーザーデータ（SharePointやTeamsなど）は、それ自体でライセンスを必要とはしません。SharePoint／Teamsにアクセス可能な社内ユーザーにVeeam Data Cloudライセンスが付与されている場合は、そのサイト／チームを追加料金なしで保護できます。

旧ユーザーデータ

ライセンスは動的に消費され、31日間バックアップアクティビティがない場合は自動的に解除されます。つまり、顧客組織でライセンスが割り当てられているユーザーが辞めた場合、31日間バックアップが作成されないと、そのライセンスはライセンスプールに戻され、別のユーザーに割り当てることが可能になります。バックアップの履歴データは、ライセンスの状況にかかわらず、指定のリテンション期間にしたがって保持されます。

ワークロード単位の柔軟なRBAC設定

Veeam Data Cloud for Microsoft 365では、保護する対象アプリケーション本体で提供されるデフォルトRBAC（ロールベースアクセス制御）を超えた、より柔軟で細分化されたRBACを適用できます。

Microsoft 365は「データが命」なので、メタデータが開示されるだけでも深刻な問題となる可能性があります。たとえば、社内で経営幹部と法務／人事部長との間でリストラに関するメールのやり取りがあったとします（下図を参照してください。英語で表記されていますが、“C-Suite Exec”は経営幹部／取締役、“Legal/HR”は法務／人事、メールの件名“Proposed Redundancies”は「余剰人員の整理」を意味します）。このメールの件名が何かに表示されるだけでも、データ漏洩のリスクがあります。

これを防ぐには、ユーザーグループにRBACロールを割り当てる際に、RBAC権限をMicrosoft 365ユーザーのサブセットに限定するのが有効です。これはEntra IDグループを対象にすることも可能です。サブセットの限定方法には、インクルージョン（包含）ベースとエクスクルージョン（除外）ベースとがあります。インクルージョンでは、” Grant access if these users EXIST within these groups”（これらのグループ内に該当するユーザーがいた場合にアクセスを許可）し、エクスクルージョンでは、“Grant access if these users DO NOT EXIST within these groups”（これらのグループに該当するユーザーがいなかった場合にアクセスを許可）します。これにより、組織のニーズに応じて細分化されたスコープにもとづき、柔軟で多様なルールセットを作成できます。このインクルージョン／エクスクルージョンベースのフィルタ機能は、SharePointやMicrosoft Teamsにもサイトごとに適用できます。

柔軟に割り当てられるカスタムRBAC権限には、特定のMicrosoft 365サービスにアクセスを限定する機能もあり、上の図では”Ability to assign permissions to specific services”として右側に示されています。たとえば、ヘルプデスク（Help Desk）のスタッフには、メールボックスとOneDriveのデータにアクセス権限を限定し、SharePointやMicrosoft Teamsの共有サービスを誤って変更してしまうことのないよう防止できます。同様に、専門スタッフ、たとえば、Exchange管理者（Exchange Admins）には、その対象となるワークロードのデータリストアに処理権限を限定し、スコープ外の処理を制限することができます。

データの暗号化とBYOK

Veeam Data Cloudは、保存するすべてのデータをAES256方式で暗号化できます。デフォルトでは、Vendor Managed Keys（VMK：ベンダー管理の暗号キー）を活用したシンプルなプロセスに徹し、暗号キーはVeeamが提供し、管理します。これ以外に、Bring Your Own Key（BYOK：ユーザー定義の暗号キー）もサポートし、VMKをユーザーが独自に使用するKMS（キー管理サービス）に代替させることができます。サポート対象のKMSプラットフォームについては、こちらのVeeamドキュメントを参照してください。

最初はVMKの使用を選択したものの途中でBYOKに変更したくなった場合も、いつでもマイグレーションが可能です。暗号化方式を変更しても、既存のバックアップへのアクセスを失ったり、新しいバックアップチェーンの作成が必要になったりすることはありません。

Veeam Data Cloudは、暗号キーに対して以下の多重アプローチを採用し、ペタバイト規模のデータでも再暗号化なしで鍵をローテーションできるようになっています。

● Data Key（データキー）でバックアップデータパックが暗号化されます。一つのデータキーが暗号化できる最大サイズ（MB）が定義され、それに応じて鍵が頻繁にローテーションされます。

● Backup Key（バックアップキー）でデータキーが暗号化されます。バックアップキーはシークレットキーがローテーションされるたびにローテーションされ、データキーはバックアップキーを通じてのみアクセスできます。

● Secret Key（シークレットキー）でバックアップキーの各バージョンを暗号化し、組織内のVeeam Data Cloud運用ポリシーに沿って定期的にローテーションされます。

上記の多重構造によって、鍵の階層が構成され、シークレットキーへのアクセスにはバックアップキーが、バックアップキーへのアクセスにはデータキーが必要になります。すべてのキーオペレーションはバックアップデータがストレージに書きこまれる前に処理されます。

BYOKが実装されると、ベンダー管理のシークレットキーがTenant Root Key（テナントルートキー）に置き換えられ、下図のような仕組みが構成されます。

	③テナントルートキー（TRK）	②バックアップキー（BK）	①データキー（DK）	暗号化データ
暗号化	バックアップキーの各バージョン	データキー	バックアップデータパック
永続化	VDC Azure KMS*	TRKを使用した暗号化形式でのみ保存	データパックごとのBK暗号化バージョン
アクセス	Azure KMSへのアクセスが必要	TRKへのアクセスが必要	BKへのアクセスが必要
ローテーション	VDC運用ポリシーに沿って定期的に	TRKローテーションとキーライフサイクルイベント時	頻繁に（例：最大100MBのデータ暗号化ごと）

* オペレータアカウントで直接アクセスはできず、本番環境のサービスでのみアクセス

BYOKの実装アーキテクチャは以下の原則にもとづいて管理されています。

● テナントルートキー（TRK）は暗号化チェーン全体を制御できるので、ユーザーはいつでもアクセスを撤廃できます。

● TRKがVeeamによって保存されることはありません。

● TRKの暗号化／復号化オペレーションは、ユーザーがVeeamのアクセス目的でプロビジョニングしたEntra IDサービスの原則に沿って安全に実施されます。

● 復号化されたバックアップキーが長期に保持されることはありません。定期的なリボケーションチェックによって管理され、TRKの暗号化／復号化プロセスによってのみアクセスされます。

● TRKアクセスはすべてのデータアクセス（バックアップ、リストア、検索など）に必要となります。TRKがデータアクセスに必須とならないような形式でバックアップデータが保持されることはありません。

データの耐久性

Flexポリシーベースで保護されているデータは、顧客組織の複数地理（multi-geo）要件にもとづいて一か所または複数か所のAzureリージョンにおけるVeeamのAzureテナントに保存されます。そこでは、AzureのZone Redundant Storage（ZRS：ゾーン冗長ストレージ）が活用され、99.9999999999%（12個の9）のデータ耐久性が確保されます。保護されたデータは、Azureリージョン内のアベイラビリティゾーン（AZ）と呼ばれる3つのデータセンターに同期的に保存されます。同一リージョン内のすべてのゾーンは、データ境界を尊重して、一か国の領域内で保管されています。

Expressポリシーベースで保護されているデータは、顧客組織がMicrosoft 365サービスで使用しているリージョンおよびデータセンターを活用して、顧客組織のMicrosoft 365テナントに保存されます。これにより、データリカバリ時に最低（つまり最速）のレイテンシが確保され、たとえ顧客組織がMicrosoft 365の複数地理（multi-geo）機能を使用していても、データレジデンシーにもとづくデータ境界が遵守されます。Expressポリシーベースで保護されたデータには、地理的な冗長性が確保されています。

データ主権

Flexポリシーベースのデータ保護では、データが世界のどこの地域で処理されるべきかを顧客組織が選択できます。Veeam Data Cloud for Microsoft 365は現在（2026年3月時点で確認）、世界25か所のリージョンをサポートしています。利用可能なリージョンの最新リストについては、こちらのVeeamドキュメントを参照してください。

顧客組織がリージョンを選択し、使用を開始すると、保護対象に指定したすべてのオブジェクトは、そのリージョン内でのみ処理され、保存されます。

Expressポリシーベースのデータ保護では、Microsoft 365テナントで該当オブジェクトに対して適用されたMicrosoft 365の地理（geo）指定のリージョンでのみデータが保持されます。これは、複数地理（multi-geo）指定の場合も同じで、Microsoft 365テナントで複数地理（multi-geo）が選択されている場合は、Expressポリシーベースのバックアップで選択されたgeoリージョン内でのみデータが保持されます。

Microsoft 365 multi-geoとの統合

Veeam Data Cloud for Microsoft 365（VDCM365）の複数リージョンにデータを配置するために、Microsoft 365テナントを手動で複数回オンボーディングすることは可能ですが、VDCM365では、Microsoft 365の複数地理（multi-geo）指定機能との統合もサポートされています。

Multi-Geoライセンスを持つMicrosoft 365テナントには、組織の要件に応じて、一つの主要プロビジョニング地域と、追加で一つ以上のサテライト地域が定義されています。これらの地域はPreferred Data Location（PDL：優先的データロケーション）と呼ばれます。

VDCM365では、複数リージョンのオンボーディングが簡素化されており、Multi-Geoの顧客組織は、個々のPDLを任意のVDCM365リージョンに割り当てることができます。また、PDLはリストアワークフロー全般でトラッキングされるので、データが誤ってリージョンをまたいでしまう（たとえば、誤ってテナントのデフォルトPDLにリストアしてしまう）ようなことが未然に防止されます。

データのイミュータビリティ

Veeam Data Cloud for Microsoft 365によるデータ保護は、FlexポリシーとExpressポリシーのどちらにもとづく場合でも、サービスレベルのイミュータビリティ（データ不変性）を提供します。これは、たとえVeeam Data Cloudで全権を有する組織の管理者であっても、該当サービスにおいて、いかなるバックアップおよび監査ログも削除、修正、変更、改ざんできないことを意味します。ただし、Expressポリシーベースのデータ保護は、アペンドオンリーストレージを活用しているので、オフボーディングプロセスによるデータ削除が生じる可能性はあります。その対策として、90日間固定の猶予期間（データ保持期間）が設けられており、悪意あるオフボーディング破壊（たとえば、辞職者による故意のデータ削除）から組織を守る仕組みが確立されています。

サービスインテグレーション

Veeam Data Cloudは、Microsoft Graph APIとの統合を通じて、Microsoft 365の各種サービスと連携します。各Microsoft 365サービスには、個々に関連する異なるAPIエンドポイントが使用されます。VDCM365では、最小権限の原則を徹底するために、対象範囲を限定した権限を使用して個々のアプリケーションの登録を行っています。これにより、仮に一つのアプリケーションが悪用されても、すべてのGraph APIエレメントにわたる統一アクセスが取得されることはありません。

Flexポリシーベースのデータ保護では、より従来型のGraph APIエンドポイントが使用されます。これに加え、最新型のMicrosoft Graphエンドポイントと、さらにOffice 365 Exchange OnlineとOffice 365 SharePoint Onlineのエンドポイントも使用されます。これらのエンドポイントが追加で使用される理由は、Microsoft Graph APIの相当するエンドポイントには、Office 365の包括的なデータおよびメタデータ保護に必要な特定メカニズムをサポートする完全な機能が含まれない場合があるためです。

Expressポリシーベースのデータ保護では、最新のMicrosoft 365 Backup Storage APIエンドポイントが使用され、Microsoft 365バックアップストレージ機能との統合がサポートされます。

Veeamは、Microsoft 365のより広範なサービスをサポートするデータ保護機能を拡大し続けており、そのために必要な権限のリストも継続的に更新しています。

データフロー

Flexポリシーベースのデータ保護

Flexポリシーにもとづくデータ保護は、安全性と効率性を重視した設計になっています。クラウド規模のプロキシコンピューティングリソースが、自動のモニタリングとプロビジョニングで動的に管理され、負荷の予測とアクティブデマンドレスポンスの両方にもとづいて、十分なコンピューティングが常に利用可能な状態で確保されます。

Veeam Data Cloudは、コンピューティング確保にプロアクティブなアプローチを採用しています。クラウド規模のコンピューティングは無限に感じられますが、現実にはさまざまな制約が次から次へと発生します。AzureやAWSのリージョンが容量の制約で一時的にリソースプロビジョニングに対応できなくなった事例も一度や二度ではありません。

そこで、Veeamでは、コンピューティング確保へのプロアクティブアプローチを実践するために、直近の負荷履歴にもとづくプロキシプロビジョニングを軸にしながら、適切な量のコンピューティングを判断しています。これに、追加で余裕を持たせ、コンピューティングオンデマンドアーキテクチャに影響を及ぼす予備的コンピューティング容量の一時的な急増にも対応できる状態を堅持しています。

Microsoft Graph APIを通じてMicrosoft 365データを保護するには、個々のMicrosoft 365サービスごとに複数のAPIエンドポイントを呼び出す必要があります。これによって、保護すべきリソースを見極め、変更を追跡してGraph経由でデータを取得し、圧縮、暗号化を適用してストレージに書き込みます。また、データのインデックスを保全することで効率的な検索もサポートしています。これらの各ステップにはコンピューティングリソースが消費され、分単位で生成されるAPI呼び出しも増えるので、Veeamはスケールアウトアーキテクチャでパフォーマンスを維持しています。

下の図は、Flexポリシーにもとづくデータ保護の流れを示しています。バックアップポリシー管理はウェブユーザーインターフェース（下図左上のVeeam Data Cloud UI）から発動され、ポリシーやスケジュールの変更が下図右側のVDCM365コントローラ（Multi-Geoデプロイメントでは、Microsoft 365データが保存される各リージョンのコントローラ）へと伝達されます。

タスクのスケジュール設定や管理はすべて、Veeam Data Cloudのバックエンドで行われます。VDCM365コントローラがバックアップポリシーにもとづくデータ保護の実行、リストアタスク、Veeamのスケールアウトコンピューティングプラットフォームに対する検索クエリを積極的に実行します。VDCM365は、基底となる顧客組織のストレージ（上図右下のIsolated Storage）に内部限定のネットワークトポロジーで直接アクセスします。Microsoft 365サービス（上図中央）へのGraph API経由での通信はプロキシコンピューティングを通じて行われ、個々の特定Microsoft 365サービスへのクエリと、Application Registrations（「サービスインテグレーション」セクションの権限リスト参照）にもとづく認証が行われます。

Expressポリシーベースのデータ保護

Expressポリシーにもとづくデータ保護は、Flexのそれとは根本的に異なるアーキテクチャで行われます。Expressポリシーベースの場合、明確なパフォーマンスとサポート対象サービスの重視で、バックアップ頻度の高さもFlexと大きく異なります。Microsoft Backup Storage（MBS）APIを活用しており、保護されたデータは顧客組織のMicrosoft 365テナント内に保存されるので、機密性の高いデータのバックアップが必須で、なおかつ別リージョンへの保存が禁止されている組織に最適です。

Flexベースのデータ保護はアイテム単位で行われるのに対し、Expressベースはコンテナ全体を一つのオブジェクトとして保護します（一つのコンテナが一つのメールボックス、OneDrive、SharePointサイトとして保護されます）。また、Expressポリシーでは、バックアップ頻度とリテンション期間が固定されています（「リテンション」セクション参照）。

Expressベースのワークロード保護では、VDCM365コントローラからMBS API経由でAPI呼び出しが発動され、Microsoft 365でどのリソースを保護し、リストアすべきかが指示されます。

Microsoft 365とのMBS APIを介した直接統合は、オブジェクトとデータ用にイミュータブルな二次的リサイクルビンを作成するので、Expressベースのデータ保護で管理されているメールボックス、OneDrive、SharePointサイトが永久的に削除されることはありません。また、これがMicrosoft 365ライセンスやストレージの余計な消費を発生させることもありません。Microsoft はMBSサービスに対するストレージデータに課金するので、VeeamはMBSストレージの料金を直接Microsoft と連携して処理します。

RPO（目標復旧時点）

Veeam Data Cloud for Microsoft 365のFlexポリシーは、Microsoftで適用されるGraph APIの日次割り当て制限を受けるため、Recovery point objective（RPO：目標復旧時点）は24時間となっています。

一方、ExpressポリシーではRPOが10分に固定されています。

初回のバックアップパフォーマンス

Veeam Data Cloud for Microsoft 365のFlexポリシーにもとづく最初のフルバックアップは、Microsoft Graph APIを原動力として実行され、以下のパフォーマンスが期待できます。

● Microsoft Exchange ― メールボックス単位で処理が起動されます。顧客組織がVeeamのガイドライン（https://www.veeam.com/kb4198）を遵守している場合、各メールボックスは一日43.2 GBのスピードで取り込まれます。

● SharePoint／OneDrive／Teams ― Microsoftは2026年3月1日以降、一つのMicrosoft 365サービスにつき一つのアプリの登録を厳密に適用しています。これにより、パフォーマンスは分単位／日単位で利用可能なリソースユニット数にもとづき、それがMicrosoft 365シート数で管理されます。どちらが先にヒットするかによって、最大パフォーマンスは毎時400 GBまで到達します。パフォーマンスを左右する最近のスロットル変更について詳しくは、関連のVeeamドキュメントを参照してください。

Veeam Data Cloud for Microsoft 365のExpressポリシーにもとづくデータの取り込みは、時間ごとの保護ユニット数に応じて処理されます。メールボックス、OneDrive、SharePointサイトが保護ユニットに相当します。

最初のデータ取り込み（オンボーディング）は、毎時4000保護ユニットのスピードで行われます。まず、保護するリソースを指定すると、一時間以内にExpressポリシーが作成され、このスピードでオンボーディングが開始されます。データはMicrosoft 365の領域内に保存され、保護ユニットが完全にオンボーディングされると、その後は追加の増分バックアップが10分ごとに作成されます。この一連のプロセスにより、大概の組織は一日か二日で完全に保護された状態になります。

バックアップマイグレーション

Veeamは、セルフインストールのMicrosoft 365データ保護サービスをVeeam Backup for Microsoft 365という名称で提供し続けて（以前のVeeam Backup for Office 365も含め）約10年になります。現在このサービスのアクティブな実装を使用しているユーザーは、一定の条件をクリアすれば、データをVeeam Data Cloud for Microsoft 365（VDCM365）にインポートすることができます。まれにデータの取り込みができない場合もありますが、Veeam Data Cloud for Microsoft 365コミュニティエディションの無料のソリューションを利用して、リテンション期間中に履歴バックアップに引き続きアクセスすることができます。

ExpressポリシーはMicrosoft Backup Storage（MBS）を活用しているので、VDCM365の使用を開始するユーザーが既存のMBSバックアップの移管を希望する場合は、Microsoft 365ソリューションがファーストパーティかサードパーティかにかかわらず、これを行うことができます。

別のMBSプロバイダからのバックアップ移管は通常、一週間ほどかかります。Microsoftから現在のプロバイダに通知を送って移管プロセスを開始するので、もっと時間がかかる場合もあります。MBSオーナーシップがVeeamに割り当てられさえすれば、単にバックアップポリシーを再生成するだけで、データ保護が継続されます。マイグレーション後にExpressポリシーで保護されていないオブジェクトがあれば、そのリテンション期間中はVDCM365でアクセスでき、手動でオフボーディングすることも可能です。

リカバリパフォーマンス

Veeam Data Cloud for Microsoft 365のFlexポリシーにもとづくリストアは、Microsoft Graph APIを原動力として実行され、以下のパフォーマンスが期待できます。

● Microsoft Exchange ― メールボックス単位で処理が起動されます。顧客組織がVeeamのガイドライン（https://www.veeam.com/kb4198）を遵守している場合、各メールボックスは一日43.2 GBのスピードでリストアされます。

● SharePoint／OneDrive／Teams ― Microsoftによる中央で一元化されたスロットリングが適用されています。これにより、パフォーマンスは分単位／日単位で利用可能なリソースユニット数にもとづき、それがMicrosoft 365シート数で管理されます。どちらが先にヒットするかによって、最大パフォーマンスは毎時400 GBまで到達します。

Expressポリシーベースでは、大量データの一括リストア向けに設計された業界でも最速のリカバリが可能で、障害復旧（DR）時に最大の効果を発揮します。Microsoft Exchangeは毎時3TBのスピードで、さらにOneDriveとSharePointも追加割り当ての毎時3TBで処理されます。

ExpressポリシーベースのリストアにおけるTime-To-First-Byte（TTFB：最初のバイトまでの時間）は、SharePointおよびOneDrive使用時のリカバリ設定によって変わります。SharePointもOneDriveもSQLでホストされ、10分のRPOを可能にするためにデータベースの日次フルバックアップと増分トランザクションログシッピングを活用しています。10分間隔のバックアップの細密性を維持するには、Microsoft 365テナントへのリストア前に、まずデータベースをマウントし、すべてのトランザクションログを再生する必要があります。このプロセスが、再生するトランザクション量に応じて数時間かかる場合もあるため、ある程度のTTFBが必要になってきますが、TTFB後のパフォーマンスには一切影響ありません。

脅威の検出

Veeam Data Cloud for Microsoft 365には、二種類の脅威検出エンジンが搭載されており、具体的なサイバー脅威に対して最適化されています。マルウェアなど、従来型の悪意ある脅威に対し、VDCM365にはジャストインタイム（Just-In-Time）アクセス、バックアップ時およびリストア時の最新ウイルス定義ファイルに照らしたスキャニング、悪意あるファイルの共有防止などのセキュリティ対策が備わっています。さらに、Veeamのランサムウェア検出サービスがこれを補強し、たとえばランサムウェア攻撃時に暗号化されたデータなど、悪意あるバイナリではないものの、不正アクセスの餌食になってしまったデータのファイルを発見する仕組みも備わっています。Microsoft 365データへの攻撃は悪用されたIDやエンドポイントを通じてリモートで実行されることがあるので、従来型のアンチウイルスソリューションでは検出しづらく、悪意あるバイナリによる暗号化を防ぐことは大変重要です。詳しくは、Veeamのホワイトペーパー「Veeam Ransomware Detection Service」を参照してください。

リテンション

Veeam Data Cloud for Microsoft 365のFlexポリシーでは、バックアップリポジトリごとにリテンション（データ保持）期間を設定することができます。しかも、VDCM365サービスで作成できるバックアップリポジトリ数に制限はありません。リテンション期間は日数または年数で定義できるうえ、「keep」というオプションもあり、これを指定すると、ユーザーが有効なVDCM365有料サービスの顧客である限り、永久にデータを保持できます。バックアップはイミュータブル（不変）なので、リテンション期間は伸ばすことはできても、短縮することはできません。

Expressポリシーでは、個々のMicrosoft 365サービスに応じて固定されたリテンション期間が適用されます。

● Microsoft Exchange ― 10分ごとのバックアップを52週間まで保持できます。

● SharePoint／OneDrive ― 10分ごとのバックアップを過去2週間分、その後は一週間ごとのバックアップを52週間まで保持できます。