Azure Rights Management 暗号化サービスについて説明します

Azure Rights Management は、Azure RMS と省略される場合があります。これは、Microsoft Purview Information Protectionからの主要なクラウドベースの暗号化サービスです。

Azure Rights Management は、暗号化、ID、承認ポリシーを使用して、電話、タブレット、PC を含む複数のデバイス間でファイルやメールなどのアイテムを保護するのに役立ちます。

たとえば、従業員がパートナー企業にドキュメントを電子メールで送信したり、ドキュメントをクラウド ドライブに保存したりすると、Azure Rights Management からの永続的な暗号化によってデータのセキュリティ保護が役立ちます。

• 暗号化設定は、organizationの境界を離れた場合でもデータに残り、organization内と外部の両方でコンテンツが保護されます。

• コンプライアンス、法的検出要件、または情報管理のベスト プラクティスには、暗号化が法的に必要な場合があります。

• Microsoft Purview Information Protectionには、Microsoft 365 サブスクリプションまたはサブスクリプションで Azure Rights Management を使用します。 詳細については、 セキュリティ & コンプライアンスに関する Microsoft 365 ライセンス ガイダンス に関するページを参照してください。

Azure Rights Management を使用すると、検索やインデックス作成などの承認されたユーザーやサービスが、暗号化されたデータの読み取りと検査を続行できます。

"データに対する推論" とも呼ばれる承認されたユーザーとサービスへの継続的なアクセスを確保することは、organizationのデータの制御を維持する上で重要な要素です。 この機能は、ピアツーピア暗号化を使用する他の情報保護ソリューションでは容易に実現できない場合があります。

保護機能

グループ作業機能

プラットフォームサポート機能

Azure Rights Management サービスでは、次のようなさまざまなプラットフォームとアプリケーションがサポートされています。

インフラストラクチャ機能

Azure Rights Management サービスには、IT 部門とインフラストラクチャ組織をサポートするための次の機能が用意されています。

• シンプルで柔軟なポリシーを作成する
• 簡単なアクティブ化
• 監査と監視サービス
• organization全体でスケーリングする機能
• データに対する IT 管理を維持する

シンプルで柔軟なポリシーを作成する

秘密度ラベルで適用される暗号化設定は、管理者が情報保護ポリシーを適用し、ユーザーが必要に応じて各項目に適切なレベルの保護を適用するための迅速かつ簡単な方法を提供します。

たとえば、会社全体の戦略論文をすべての従業員と共有するには、すべての内部従業員に読み取り専用ポリシーを適用します。 財務レポートなど、より機密性の高いドキュメントの場合は、エグゼクティブのみにアクセスを制限します。

詳細については、「 秘密度ラベルを使用してコンテンツへのアクセスを制限して暗号化を適用する」を参照してください。

簡単なアクティブ化

新しいサブスクリプションの場合、アクティブ化は自動的に行われます。 既存のサブスクリプションの場合、 Rights Management サービスをアクティブ化するには 、2 つの PowerShell コマンドだけが必要です。

監査と監視サービス

これらのファイルがorganizationの境界を離れた後でも、暗号化されたファイルの使用状況を監査して監視します。

たとえば、Contoso, Ltd の従業員が Fabrikam, Inc の 3 人との共同プロジェクトに取り組んでいる場合、Fabrikam パートナーに対して、暗号化され 、読み取り専用に制限されたドキュメントを送信する場合があります。

Azure Rights Management 監査では、次の情報を提供できます。

• Fabrikam パートナーがドキュメントを開いたかどうか、およびいつ開いたか。

• ドキュメントを指定、試行、および開けなかった他のユーザーかどうか。 これは、メールが転送された場合、または共有の場所に保存された場合に発生する可能性があります。

管理者は、 ドキュメントの使用状況を追跡し、Office ファイルのアクセス権を取り消すことができます 。 ユーザーは、必要に応じて、ラベル付けされたドキュメントと暗号化されたドキュメントのアクセス権を 取り消 すことができます。

organization全体でスケーリングする機能

Azure Rights Management は、スケールアップとスケールアウトのために Azure 弾力性を備えたクラウド サービスとして実行されるため、追加のオンプレミス サーバーをプロビジョニングまたはデプロイする必要はありません。

データに対する IT 管理を維持する

組織は、次のような IT 制御機能の恩恵を受けることができます。

セキュリティ、コンプライアンス、規制の要件

Azure Rights Management では、次のセキュリティ、コンプライアンス、規制の要件がサポートされています。

• 業界標準の暗号化を使用し、FIPS 140-2 をサポートします。 詳細については、「 暗号化コントロール: アルゴリズムとキーの長さ 」を参照してください。

• Microsoft Azure データ センターにテナント キーを格納するための nCipher nShield ハードウェア セキュリティ モジュール (HSM) のサポート。

  Azure Rights Management では、北米、EMEA (ヨーロッパ、中東、アフリカ)、アジアのデータ センターに個別のセキュリティワールドが使用されるため、キーはリージョンでのみ使用できます。

• 次の標準の認定:

  • ISO/IEC 27001:2013 (./は ISO/IEC 27018 を含む)
  • SOC 2 SSAE 16/ISAE 3402 構成証明
  • HIPAA BAA
  • EU モデル句
  • Office 365サーティフィケーションのMicrosoft Entra IDの一環として、FEDRAMP 機関機関が HHS によって運用する FedRAMP 機関機関を発行しました
  • PCI DSS レベル 1

これらの外部認定の詳細については、 Microsoft セキュリティ センターを参照してください。

よく寄せられる質問

Microsoft Purview Information Protectionからの Azure Rights Management 暗号化サービスに関してよく寄せられる質問の一部:

Azure Rights Management サービスで暗号化するには、ファイルをクラウドに含める必要がありますか?

いいえ、これは一般的な誤解です。 Azure Rights Management サービス (および Microsoft) では、暗号化プロセスの一部としてデータが表示または格納されません。 暗号化した情報は、Azure に明示的に格納したり、Azure に保存する別のクラウド サービスを使用したりしない限り、Azure に送信されたり、保存されたりすることはありません。

詳細については、「 Azure Rights Management サービスのしくみ: オンプレミスで作成および格納されるシークレット数式が Azure Rights Management サービスによって暗号化されるが、オンプレミスのままである方法を理解するための技術的な詳細」を参照してください。

他の Microsoft クラウド サービスでの Azure Rights Management の暗号化と暗号化の違いは何ですか?

Microsoft では、さまざまなシナリオ (多くの場合は補完的なシナリオ) に対してデータを保護できる複数の暗号化テクノロジを提供しています。 たとえば、Microsoft 365 では、Microsoft 365 に格納されているデータに対して保存時の暗号化が提供されますが、Microsoft Purview Information Protectionからの Azure Rights Management サービスでは、場所や送信方法に関係なく保護されるように、データが個別に暗号化されます。

これらの暗号化テクノロジは補完的であり、それらを使用するには、それらを個別に有効にして構成する必要があります。 これを行うと、暗号化用の独自のキー ("BYOK" とも呼ばれるシナリオ) を持ち込むオプションが用意されている場合があります。これらのテクノロジの 1 つに対して BYOK を有効にしても、他のテクノロジには影響しません。 たとえば、Azure Rights Management サービスには BYOK を使用でき、他の暗号化テクノロジには BYOK を使用できません。その逆も可能です。 これらの異なるテクノロジで使用されるキーは、サービスごとに暗号化オプションを構成する方法に応じて、同じか異なる場合があります。

条件付きアクセスで利用可能なクラウド アプリとして Microsoft Rights Management Services が一覧表示されていることがわかります。この機能はどのように機能しますか?

はい。Azure Rights Management サービスMicrosoft Entra条件付きアクセスを構成できます。

ユーザーが Azure Rights Management サービスによって暗号化されたドキュメントを開くと、管理者は、標準の条件付きアクセス制御に基づいて、テナント内のユーザーへのアクセスをブロックまたは許可できます。 多要素認証 (MFA) の要求は、最も一般的に要求される条件の 1 つです。 もう 1 つは、たとえば、モバイル デバイスがパスワード要件とオペレーティング システムの最小バージョンを満たし、コンピューターがドメインに参加している必要があるなど、デバイスが Intune ポリシーに準拠している必要があるということです。

詳細については、「 条件付きアクセス ポリシーと暗号化されたドキュメント」を参照してください。

追加情報 :

ドキュメントを暗号化し、使用権限を変更したり、ユーザーを追加したりしたい場合は、ドキュメントを再暗号化する必要がありますか?

秘密度ラベルまたは権限管理テンプレートを使用してドキュメントが暗号化されている場合は、ドキュメントを再暗号化する必要はありません。 使用権限を変更するか、新しいグループ (またはユーザー) を追加して秘密度ラベルまたは権限管理テンプレートを変更し、次の変更を保存します。

• 変更を行う前にユーザーがドキュメントにアクセスしていない場合、ユーザーがドキュメントを開くとすぐに変更が有効になります。

• ユーザーがドキュメントに既にアクセスしている場合、使用 ライセンス の有効期限が切れると、これらの変更が有効になります。 使用ライセンスの有効期限が切れるのを待てない場合にのみ、ドキュメントを再暗号化します。 たとえば、暗号化を適用した秘密度ラベルを削除し、保存し、ラベルをもう一度適用します。 再暗号化により、ドキュメントの新しいバージョンが効果的に作成されるため、ユーザーの新しい使用ライセンスが作成されます。

または、必要なアクセス許可のグループを既に構成している場合は、ユーザーを含めたり除外したりするようにグループ メンバーシップを変更したり、秘密度ラベルや権限管理テンプレートを変更する必要はありません。 グループ メンバーシップは Azure Rights Management サービスによって キャッシュ されるため、変更が有効になるまでに少し時間がかかる場合があります。

秘密度ラベルの [ユーザーがアクセス許可を 割り当てる ] 暗号化設定など、ユーザー定義のアクセス許可を使用してドキュメントが暗号化された場合、既存のドキュメントのアクセス許可を変更することはできません。 ドキュメントをもう一度暗号化し、この新しいバージョンのドキュメントに必要なすべてのユーザーとすべての使用権限を指定する必要があります。 暗号化されたドキュメントを再暗号化するには、 フル コントロールの使用権限が必要です。

運用環境でこの暗号化ソリューションを使用する場合、会社はソリューションにロックされていますか?

いいえ。Azure Rights Management サービスを使用しなくなった場合でも、データは常に制御され、引き続きアクセスできます。 詳細については、「 Azure Rights Management サービスの使用停止と非アクティブ化」を参照してください。

Azure Rights Management サービスを使用してコンテンツを暗号化できるユーザーを制御できますか?

はい。 秘密度ラベルを使用してコンテンツを暗号化する場合、ラベル発行ポリシーによって、アプリにラベルを表示するユーザーが定義されます。 一部のユーザーにコンテンツを暗号化させたくない場合は、別のラベル発行ポリシーを作成し、ポリシーに暗号化を適用しないラベルのみを含めます。 詳細については、「秘密度ラベルとそのポリシーを作成して構成する」を参照してください。

暗号化されたドキュメントを社外のユーザーと共有すると、そのユーザーはどのように認証されますか?

既定では、Azure Rights Management サービスでは、Microsoft Entra アカウントと関連する電子メール アドレスがユーザー認証に使用されるため、管理者はビジネス間のコラボレーションをシームレスに行うことができます。 他のorganizationが Azure サービスを使用している場合、これらのアカウントがオンプレミスで作成および管理され、Azure に同期されている場合でも、ユーザーは既にMicrosoft Entra IDにアカウントを持っています。 organizationに Microsoft 365 が含まれている場合、このサービスはユーザー アカウントにもMicrosoft Entra IDを使用します。 ユーザーのorganizationに Azure にマネージド アカウントがない場合は、ゲスト アカウントで認証できます。 詳細については、「外部ユーザーと暗号化されたドキュメントを共有する」を参照してください。

これらのアカウントの認証方法は、他のorganizationの管理者がMicrosoft Entra アカウントを構成した方法によって異なる場合があります。 たとえば、これらのアカウント、フェデレーション、またはActive Directory Domain Servicesで作成された後、Microsoft Entra IDに同期されたパスワードに対して作成されたパスワードを使用できます。

その他の認証方法:

• Microsoft Entra IDにアカウントを持たないユーザーに Office ドキュメントの添付ファイルを含むメールを暗号化すると、認証方法が変更されます。 Azure Rights Management サービスは、Gmail などの一部の一般的なソーシャル ID プロバイダーとフェデレーションされています。 ユーザーの電子メール プロバイダーがサポートされている場合、ユーザーはそのサービスにサインインでき、電子メール プロバイダーが認証を担当します。 ユーザーのメール プロバイダーがサポートされていない場合、または優先設定として、ユーザーが認証を行い、暗号化されたドキュメントを含むメールを Web ブラウザーに表示するワンタイム パスコードを申請できます。

• Azure Rights Management サービスでは、サポートされているアプリケーションに Microsoft アカウントを使用できます。 ただし、Microsoft アカウントが認証に使用されている場合、すべてのアプリケーションで暗号化されたコンテンツを開くことができるわけではありません。

Azure Rights Management サービスで使用できるグループの種類

ほとんどのシナリオでは、電子メール アドレスを持つMicrosoft Entra ID内の任意のグループの種類を使用できます。 この経験則は、使用権限を割り当てるときに常に適用されますが、Azure Rights Management サービスを管理するための例外がいくつかあります。 詳細については、「 グループ アカウントの Azure Rights Management サービス要件」を参照してください。

暗号化されたメールを Gmail または Hotmail アカウントに送信操作方法?

Exchange Onlineと Azure Rights Management サービスを使用する場合は、暗号化されたメッセージとしてユーザーに電子メールを送信するだけです。 たとえば、[転送不可] を自動的に適用する秘密度ラベルを選択できます。

受信者には、Gmail、Yahoo、または Microsoft アカウントにサインインするオプションが表示され、暗号化されたメールを読み取ることができます。 または、1 回限りのパスコードのオプションを選択して、ブラウザーで電子メールを読み取ることもできます。

このシナリオをサポートするには、Azure Rights Management サービスとMicrosoft Purview Message Encryptionに対してExchange Onlineを有効にする必要があります。

すべてのデバイス上のすべてのメール アカウントのサポートを含む機能の詳細については、次のブログ投稿を参照してください:Office 365 Message Encryption で利用可能な新機能の発表。

Azure Rights Management サービスでサポートされているファイルの種類はどれですか?

Azure Rights Management サービスでは、すべてのファイルの種類をサポートできます。 テキスト、画像、Microsoft Office (Word、Excel、PowerPoint) ファイル、PDF ファイル、およびその他のアプリケーション ファイルの種類については、Azure Rights Management サービスでは、使用権限 (アクセス許可) の適用を含むネイティブ暗号化がサポートされています。 その他のすべてのアプリケーションとファイルの種類では、汎用暗号化によってファイルのカプセル化と認証が提供され、ユーザーがファイルを開く権限があるかどうかを確認できます。

Office アプリとサービスでサポートされているファイルの種類の一覧については、秘密度ラベル付けドキュメントで サポートされている Office ファイルの種類 に関するページを参照してください。

Microsoft Purview Information Protection クライアントでサポートされるその他のファイルの種類の一覧については、情報保護クライアントのドキュメントの「サポートされているファイルの種類」を参照してください。

Azure Rights Management サービスによって暗号化された Office ドキュメントを開くと、関連付けられている一時ファイルもこのサービスによって暗号化されますか?

いいえ。 このシナリオでは、関連付けられている一時ファイルに元のドキュメントのデータは含まれません。代わりに、ファイルが開いている間にユーザーが入力したデータのみが含まれます。 元のファイルとは異なり、一時ファイルは明らかに共有用に設計されておらず、BitLocker や EFS などのローカル セキュリティコントロールによって保護されたデバイス上に残ります。

organizationを残した従業員によって暗号化されたファイルへのアクセスを回復するにはどうすればよいですか?

スーパー ユーザー機能を使用します。これにより、テナントによって暗号化されたすべてのアイテムに対して、承認されたユーザーにフル コントロールの使用権限が付与されます。 スーパー ユーザーはいつでもこの暗号化されたコンテンツを読み取ることができ、必要に応じて、暗号化を削除するか、別のユーザーの項目を再暗号化します。 この同じ機能により、必要に応じて、承認されたサービスで項目のインデックス作成と検査を行うことができます。

コンテンツが SharePoint または OneDrive に格納されている場合、管理者は Unlock-SensitivityLabelEncryptedFile コマンドレットを実行して、秘密度ラベルと暗号化の両方を削除できます。 詳細については、「 ラベル付きドキュメントの暗号化を削除する」を参照してください。

Rights Management は画面キャプチャを防ぐことができますか?

コピーの使用権限を付与しないことにより、Rights Management では、Windows プラットフォームで一般的に使用される多くのスクリーン キャプチャ ツールからの画面キャプチャを防ぐことができます。 Office for Macでは、Word、Excel、PowerPointのOffice for Macでも同様にスクリーン キャプチャを防止できますが、Outlook では防止できません。

ただし、iOS および Android の他のアプリの場合、これらのオペレーティング システムでは、アプリによる画面キャプチャの防止は許可されません。 さらに、Edge 以外のブラウザーでは、画面キャプチャを防止できません。 ブラウザーの使用には、Outlook on the webとOffice for the webが含まれます。

画面キャプチャを防ぐことは、機密情報または機密情報の偶発的または過失的な開示を回避するのに役立ちます。 ただし、ユーザーが画面に表示されるデータを共有できる方法は数多くあり、スクリーンショットを撮ることは 1 つの方法にすぎません。 たとえば、表示された情報を共有するユーザーの意図は、カメラフォンを使用して写真を撮ったり、データを再入力したり、単に口頭で誰かに伝えたりすることができます。

これらの例が示すように、すべてのプラットフォームとすべてのソフトウェアが Rights Management API をサポートして画面キャプチャをブロックしたとしても、テクノロジだけでは、ユーザーがデータを共有できないようにすることはできません。 Rights Management は、承認と使用ポリシーを使用して重要なデータを保護するのに役立ちますが、このエンタープライズ権限管理ソリューションは他のコントロールと共に使用する必要があります。 たとえば、物理的なセキュリティを実装し、organizationのデータへのアクセスを承認したユーザーを慎重に選別して監視し、共有すべきではないデータをユーザーが理解できるようにユーザー教育に投資します。

転送不可を使用してメールを暗号化するユーザーと、転送権限を含まない使用権限の違いは何ですか?

その名前にもかかわらず、 転送不可 は、前方使用権またはテンプレートの反対ではありません。 実際には、メールの転送を制限するだけでなく、メールボックスの外部で電子メールのコピー、印刷、保存を制限する権限のセットです。 権限は、管理者によって静的に割り当てられず、選択した受信者を介してユーザーに動的に適用されます。 詳細については、「Azure Rights Management サービスの使用権限を構成する」の「電子メールの転送不可オプション」セクションを参照してください。

次の手順

Azure Rights Management サービスのしくみの詳細については、「Azure Rights Management サービスのしくみ: 技術的な詳細」を参照してください。

Azure Rights Management 暗号化を情報保護ソリューションの統合部分にする準備ができたら、「 Microsoft Purview を使用して情報保護ソリューションをデプロイする」を参照してください。