SharePoint および OneDrive でファイルの秘密度ラベルを有効にする

Microsoft Purview サービスの説明

ユーザーが Office for the web で秘密度ラベルを適用できるように、SharePoint と OneDrive でサポートされている Office ファイルと PDF ファイルの組み込みラベル付けを有効にします。 この機能を有効にすると、ユーザーはリボンに [秘密度] ボタンが表示され、ラベルを適用したり、適用されたラベル名がステータス バーに表示されたりすることができます。

また、ユーザーは SharePoint や OneDrive の詳細ウィンドウを使用して、最初にファイルを開かなくても、秘密度ラベルを確認して適用することもできます。 このラベル付け方法は、Microsoft Teams の [Files] タブからも使用できます。

この機能を有効にすると、SharePoint と OneDrive は、Office ファイルの内容、およびオプションで、機密ラベルを使用して暗号化された PDF ドキュメントの内容を処理できるようになります。 ラベルは、Office for the web、または Office デスクトップ アプリに適用でき、SharePoint と OneDrive にアップロードまたは保存できます。 この機能を有効にするまで、これらのサービスは暗号化されたファイルを処理できません。つまり、これらのファイルに対して共同編集、電子情報開示、データ損失防止、検索、その他の共同作業機能は機能しません。

SharePoint および OneDrive でこれらのファイルの秘密度ラベルを有効にした後、クラウドベースのキーによる暗号化を適用する ( かつ二重キー暗号化を使用しない) 秘密度ラベルを持つ新規ファイルと変更されたファイルについては、次の操作を行います。

• Word、Excel、PowerPoint ファイル、およびアップロードされた PDF ファイルの場合、SharePoint と OneDrive はラベルを認識し、暗号化されたファイルのコンテンツを処理できるようになりました。

• ユーザーが SharePoint または OneDrive からこれらのファイルをダウンロードまたはアクセスすると、秘密度ラベルおよび秘密度ラベルの暗号化設定が適用され、保存されている場所に関係なくファイルに残ります。 ラベルのみを使用してドキュメントを保護するためのユーザー ガイダンスを必ず提供してください。 詳細については、「Information Rights Management (IRM) オプションと秘密度ラベル」を参照してください。

• ユーザーがラベル付けおよび暗号化されたファイルを SharePoint または OneDrive にアップロードする場合、少なくともそれらのファイルに対する 表示の使用権限 が必要です。 たとえば、SharePoint の外部でファイルを開くことができます。 この最小限の使用権限がない場合、アップロードは成功しますが、サービスはラベルを認識せず、ファイルのコンテンツを処理できません。

• Office for the web (Word、Excel、PowerPoint) を使用して、暗号化を適用する秘密度ラベルを持つ Office ファイルを開いて編集します。 暗号化を使用して割り当てられたアクセス許可が適用されます。 これらのドキュメントには 自動ラベル付け を使用することもできます。

• 外部ユーザーは、ゲスト アカウントを使用して、暗号化のラベルが付いたドキュメントにアクセスできます。 詳細については、「外部ユーザーとラベル付きコンテンツのサポート」を参照してください。

• 電子情報開示では、これらのファイルのフルテキスト検索がサポートされ、データ損失防止 (DLP) ポリシーでは、これらのファイル内のコンテンツがサポートされます。

SharePoint と OneDrive で Office ファイルの秘密度ラベルを有効にすると、SharePoint と OneDrive のドキュメントに適用される秘密度ラベルを監視するために、次の 3 つの新しい 監査イベント を使用できます。

• ファイルに適用された機密ラベル
• ファイルに適用された機密ラベルの変更
• ファイルから削除された機密ラベル

SharePoint および OneDrive の Office ファイルの秘密度ラベルはいつでも無効にできます (オプトアウト)。

現在、SharePoint Information Rights Management (IRM) を使用して SharePoint 内のドキュメントを保護している場合は、このページの SharePoint Information Rights Management (IRM) と秘密度ラベルのセクションを必ずチェックしてください。

要件

これらの新機能 は、秘密度ラベル でのみ機能します。

Windows では OneDrive 同期アプリのバージョン 19.002.0121.0008 以降を使用し、macOS ではバージョン 19.002.0107.0008 以降を使用します。 これらのバージョンはどちらも 2019 年 1 月 28 日にリリースされました。 詳細については、 OneDrive のリリース ノートを参照してください。 SharePoint と OneDrive の秘密度ラベルを有効にすると、古いバージョンの同期アプリを実行しているユーザーに更新を求めるメッセージが表示されます。

サポートされているファイルの種類

SharePoint と OneDrive の秘密度ラベルを有効にすると、次の Office ファイルの種類で秘密度ラベル付けのシナリオがサポートされます。

Office for the web または SharePoint で秘密度ラベルを適用する:

• Word: .docx、.docm
• Excel: .xlsx、.xlsm、.xlsb
• PowerPoint: .pptx、.ppsx

ラベル付き Office ドキュメントをアップロードし、その秘密度ラベルを抽出して表示する:

• Word: .doc、.docx、.docm、.dot、.dotx、.dotm
• Excel: .xls、.xlt、.xla、.xlc、.xlm、.xlw、.xlsx、.xltx、.xlsm、.xltm、.xlam、.xlsb
• PowerPoint: .ppt、.pot、.pps、.ppa、.pptx、.ppsx、.ppsxm、.potx、.ppam、.pptm、.potm、.ppsm

ビデオのサポート (MP4 ファイル)

このサポートには、まず PowerShell を使用して有効にする必要があります。

MP4 ファイルでは秘密度ラベルを手動で適用できますが、自動または既定でラベル付けすることはできません。 さらに、MP4 ファイルは、 Teams 会議から秘密度ラベルを自動的に継承できます。

MP4 ビデオ ファイルのサポートを有効にするには、 Set-SPOTenant コマンドレットを EnableSensitivityLabelForVideoFiles パラメーターで使用します。

 Set-SPOTenant -EnableSensitivityLabelForVideoFiles $true

Microsoft 365 Multi-Geo の場合は、各地理的位置に接続し、コマンドを個別に実行する必要があります。

MP4 ファイルに暗号化を適用する秘密度ラベルがある場合は、ダウンロードできません。 ラベル付きの MP4 ファイルはすべて、SharePoint、Teams、Clipchamp での再生をサポートしています。

暗号化を適用する秘密度ラベルは、ユーザー定義のアクセス許可ではなく、[ 今すぐアクセス許可を割り当て る] オプションを使用して構成する必要があります。

PDF のサポートの追加

次のシナリオで PDF のサポートを有効にすることができます。

• Office for the web で秘密度ラベルを適用する
• ラベル付きドキュメントをアップロードし、その秘密度ラベルを抽出して表示する
• 検索、電子情報開示、データ損失防止
• SharePoint ドキュメント ライブラリの自動ラベル付けポリシーと既定の秘密度ラベル

秘密度ラベルは署名済み PDF をサポートしていません。

Microsoft Purview ポータルからサポートを有効にするには:

• Microsoft Purview ポータルにサインインします>解決方法>Information Protection>秘密度ラベル>ポリシー>自動ラベル付けポリシー

  自動 ラベル付けを使用して PDF を保護するというメッセージが表示された場合は、このバナーを選択して、SharePoint と OneDrive のファイルの PDF 保護を有効にするかどうかを確認します。

または、PowerShell を使用して PDF サポートを有効にすることもできます。 Set-SPOTenant コマンドレットを EnableSensitivityLabelforPDF パラメーターと共に使用します。

Set-SPOTenant -EnableSensitivityLabelforPDF $true

この PDF パラメーターには、SharePoint Online 管理シェルの最小バージョン 16.0.24211.12000 が必要です。 この PowerShell モジュールをインストールする方法、またはコマンドレットを実行する方法の詳細については、 このページのセクションを参照して秘密度ラベルのサポートを有効にしてください。

Microsoft 365 Multi-Geo の場合: PowerShell コマンドを実行して秘密度ラベルのサポートを有効にする手順と同様に、各地理的位置に接続し、コマンドを実行して PDF のサポートを有効にする必要があります。

ユーザー定義のアクセス許可用に構成されたラベルのサポート

ユーザー定義のアクセス許可とは、暗号化構成と [ユーザーがラベルを適用するときにアクセス許可を割り当てる] とチェック ボックスを適用するときに [ユーザーにアクセス許可を割り当てる] 設定が選択されています。 Word、PowerPoint、Excel では、ユーザーにアクセス許可を指定するよう求めるプロンプトが選択されています。

SharePoint と OneDrive の秘密度ラベルを有効にすると、ユーザー定義のアクセス許可がラベル付けされたコンテンツを検索、データ損失防止、および電子情報開示のために検査できます。 この機能は、新しくアップロードおよび編集されたファイルにのみ適用されます。

次のアクションでは、ユーザー定義のアクセス許可用に構成されたラベルがサポートされています。

• ドキュメントにユーザー定義のアクセス許可がラベル付けされ、SharePoint または OneDrive にアップロードされると、これらのサービスはドキュメントを処理して、Office for the web で開いて編集できるようになり、[秘密度] 列にラベル名が表示されます。

• この構成のラベルは Office for the web に表示されます。 ユーザーがこれらのラベルを選択してユーザーとアクセス許可を指定したり、適用されるラベルを変更したりする前に、 秘密度ラベルで暗号化されたファイルの共同編集が有効になっていることを確認してください。

デスクトップ アプリを使用してこれらの暗号化されたファイルの自動保存と共同編集をサポートするには、 秘密度ラベルで暗号化されたファイルの共同編集 を最初に有効にする必要があります。

この機能には、暗号化の動作が次のように変更されます。

• ユーザー定義のアクセス許可でラベル付けされた既存のファイルに、暗号化を適用しない秘密度ラベルが再ラベル付けされた場合、元の暗号化は保持されずに削除されます。 詳細については、「 ラベルが適用されたときの既存の暗号化に起こること」を参照してください。

制限事項

• SharePoint および OneDrive は、Office デスクトップ アプリからラベル付けおよび暗号化された一部のファイルに Power Query データ、カスタム アドインによって格納されたデータ、またはカバー ページ プロパティ、コンテンツ タイプ スキーマ、カスタム ドキュメント情報パネル、カスタム XSN などのカスタム XML パーツが含まれている場合、これらのファイルを処理できません。 この制限は、 文献目録を含むファイルと、アップロード時に ドキュメント ID が追加されたファイルにも適用されます。

  これらのファイルについては、ユーザーが後で Office for the web で開くことができるように暗号化しないラベルを適用するか、デスクトップ アプリでファイルを開くようにユーザーに指示します。 Office for the web でのみラベル付けおよび暗号化されている Files は影響を受けません。

• 秘密度ラベルのこれらのサービスを有効にする前にラベルを適用した場合、SharePoint と OneDrive は秘密度ラベルをサポートしません。 ラベルは認識されません。ラベルに暗号化が適用されている場合、コンテンツは処理されません。 ラベルと暗号化を SharePoint と OneDrive でサポートするには、これらのファイルをダウンロードし、元の場所にアップロードします。

• 暗号化を適用したラベルに次のいずれかの 暗号化構成が含まれている場合、SharePoint と OneDrive は暗号化されたファイルを処理できません。

  • コンテンツへのユーザー アクセスは有効期限が切れています は、[使用しない] 以外の値が設定されています。

  • 二重キー暗号化 が選択されています。

    これらの暗号化構成のいずれかを持つラベルの場合、ラベルは Office for the web のユーザーには表示されません。 親ラベルの場合、サブラベルが暗号化を適用するように構成されていない場合でも、そのラベルのサブラベルはユーザーに表示されません。

    さらに、これらの新機能は、既にこれらの暗号化設定があるラベル付きドキュメントでは使用できません。 たとえば、これらのドキュメントは、更新されても検索結果に返されません。

• ドキュメントがパスワードで保護されている場合、SharePoint と OneDrive は読み取りや秘密度ラベルの適用を行えません。

• SharePoint と OneDrive は、暗号化を適用する機密ラベルを持つ MP4 ファイルのダウンロードを防止します。 これらのファイルに暗号化を適用しないラベルがある場合は、ダウンロードできますが、ラベル付け情報は失われます。

• パフォーマンス上の理由から、ドキュメントを SharePoint にアップロードまたは保存し、ファイルのラベルに暗号化が適用されていない場合、ドキュメント ライブラリの [秘密度] 列にラベル名が表示されるまでに時間がかかることがあります。 この列のラベル名に依存するスクリプトまたは自動化を使用する場合は、この遅延を考慮してください。

• ドキュメントが SharePoint でチェックアウトされている間にラベル付けされている場合、ドキュメント ライブラリの [秘密度] 列には、ドキュメントがチェックインされ、次に SharePoint で開くまでラベル名は表示されません。

• ラベル付けされた暗号化されたドキュメントが、サービス プリンシパル名を使用するアプリまたはサービスによって SharePoint または OneDrive からダウンロードされ、別の暗号化設定を適用するラベルで再度アップロードされると、アップロードは失敗します。 シナリオの例として、Microsoft Defender for Cloud Apps がファイルの秘密度ラベルを社外秘から極秘に変更したり、社外秘から一般に変更したりします。

  「ラベル付きドキュメントの暗号化を削除する」セクションで説明されているように、アプリまたはサービスが最初に Unlock-SPOSensitivityLabelEncryptedFile コマンドレットを実行した場合、アップロードは失敗しません。 または、アップロード前に元のファイルが削除されるか、ファイル名が変更されます。

• 次の [名前を付けて保存] シナリオでは、暗号化されたドキュメントを開くのに遅延が発生する可能性があります。 デスクトップ版の Office では、ユーザーは暗号化を適用する秘密度ラベルを持つドキュメントに対して [名前を付けて保存] を選択します。 ユーザーは場所として SharePoint または OneDrive を選択し、すぐにそのドキュメントを Office for the web で開こうとします。 サービスがまだ暗号化を処理している場合、ユーザーには、ドキュメントをデスクトップ アプリで開く必要があるというメッセージが表示されます。 数分後にもう一度試してみると、ドキュメントは Office for the web で正常に開かれます。

• 暗号化されたドキュメントの場合、印刷、ダウンロード、エクスポート、コピーの作成は Office for the web ではサポートされていません。

• Office for the web で暗号化されたドキュメントの場合、スクリーン キャプチャは防止されません。 ただし、ドキュメントにラベル付けと暗号化が行われていて、コピー使用権が付与されていない場合、デスクトップ アプリがこの操作を防止するのと同じように、Office for the web はクリップボードへのコピーを防ぎます。

• 既定では、Office デスクトップ アプリとモバイル アプリは、暗号化でラベル付けされたファイルの共同編集をサポートしていません。 これらのアプリは、ラベル付きおよび暗号化されたファイルを排他的編集モードで引き続き開きます。 既定の動作を変更するには、「 秘密度ラベルで暗号化されたファイルの共同編集を有効にする」を参照してください。

• ユーザーの同期クライアントにダウンロードされたファイルに既に適用されている発行済みラベルの設定を管理者が変更した場合、ユーザーは OneDrive 同期フォルダーにファイルに加えた変更を保存できない可能性があります。 このシナリオは、暗号化でラベル付けされたファイルに適用され、ラベルが暗号化を適用しなかったラベルから暗号化を適用するラベルに変更された場合にも適用されます。 ユーザーに は赤い丸と白い十字アイコンのエラーが表示され、新しい変更を別のコピーとして保存するように求められます。 代わりに、ファイルを閉じて再度開くか、Office for the web を使用できます。

• 条件のラベル設定が機密情報の種類のみを対象としている場合、自動ラベル付け用に構成された秘密度ラベルは、Office for the web でサポートされます。 条件にトレーニング可能な分類子が含まれている場合、自動ラベル付けは Office for the web ではサポートされません。

• ユーザーは、Office for the web を使用する代わりに、Word、Excel、または PowerPoint 用のデスクトップおよびモバイル アプリを使用すると、オフラインまたはスリープ モードになった後に保存の問題が発生する可能性があります。 これらのユーザーの場合、Office アプリのセッションを再開して変更を保存しようとすると、元のファイルを保存する代わりにコピーを保存するオプションを含むアップロード失敗メッセージが表示されます。

• 次の方法で暗号化されたドキュメントは、Office for the web で開くことはできません。

  • オンプレミスのキーを使用する暗号化 ("独自キーを保持する" または HYOK)
  • 二重キー暗号化を使用して適用された暗号化
  • たとえば、Rights Management 保護テンプレートを直接適用することにより、ラベルから独立して適用された暗号化。

• 他の言語用に構成されたラベルはサポートされておらず、元の言語のみが表示されます。

• 該当するラベル ポリシーからラベルを削除するのではなく、SharePoint または OneDrive でドキュメントに適用されているラベルを削除した場合、ダウンロードされたドキュメントはラベル付けまたは暗号化されません。 一方、ラベル付けされた文書が SharePoint または OneDrive の外部に保存されている場合、ラベルが削除されても文書は暗号化されたままです。 テスト フェーズ中にラベルを削除することはできますが、運用環境でラベルを削除することはほとんどありません。

• ラベル付けおよび暗号化された 12 MB を超える Office ファイルをコピーまたは別のサイトに移動すると、SharePoint ではこのファイルを処理できなくなります。 その結果、[秘密度] 列にラベル名が表示されず、ユーザーが Office for the web を使用してファイルを開くことができません。 ユーザーが Office クライアント アプリを使用すると、ファイルを正常に開くことができます。

• 次のシナリオでは、外部テナントのユーザーは、ユーザー定義のアクセス許可秘密度ラベルで保護されたファイルを Office for the web で開くことができません。 同じ制限は、ユーザーが Microsoft Office デスクトップ アプリケーションを使用して SharePoint または OneDrive からファイルを開くときにも適用されます。

  • 外部テナント (fabrikam) のユーザー (UserA) がゲスト ユーザーとして contoso テナントに招待されます。
  • ファイルに適用された秘密度ラベルは、外部 fabrikam テナント内のグループにアクセス許可を付与し、UserA はそのグループのメンバーです。
  • ファイルは contoso テナントの SharePoint にアップロードされ、UserA は Office for the web でファイルを開こうとします。

  外部テナント ユーザーがユーザー定義のアクセス許可秘密度ラベルで保護されたファイルを開くことを許可するには、次のいずれかの方法を使用します。

  • 秘密度ラベルで外部ユーザーに直接アクセス許可を付与します。
  • Contoso テナント内のグループに外部ユーザーを追加し、秘密度ラベルでその contoso テナント グループにアクセス許可を付与します。

SharePoint と OneDrive の秘密度ラベルを有効にする方法 (オプトイン)

Microsoft Purview ポータルを使用するか、PowerShell を使用して、新しい機能を有効にすることができます。 手順については、次のセクションを参照してください。

SharePoint と OneDrive のすべてのテナントレベルの構成変更の場合と同様、変更が有効になるまでに約 15 分かかります。

ポータルを使用して秘密度ラベルのサポートを有効にする

このオプションは、SharePoint と OneDrive の秘密度ラベルを有効にする最も簡単な方法です。 テナントのグローバル管理者としてサインインする必要があります。

1. Microsoft Purview ポータルにサインインします>解決方法>Information Protection>秘密度ラベル。

2. Office Online ファイルのコンテンツを処理する機能をオンにするようにメッセージが表示された場合は、[ 今すぐ有効にする] を選択します。

   

   コマンドは直ちに実行され、次にページを更新すると、メッセージやボタンは表示されなくなります。

PowerShell を使用して秘密度ラベルのサポートを有効にする

Microsoft Purview ポータルを使用する代わりに、SharePoint Online PowerShell から Set-SPOTenant コマンドレットを使用して、秘密度ラベルのサポートを有効にすることができます。 その後、同じ Set-SPOTenant コマンドレットを再度実行して、OneDrive の秘密度ラベルを有効にすることができます。

Microsoft 365 Multi-Geo を使用している場合、Powershell を使用して、すべての地理的位置に対してこのサポートを有効にする必要があります。

SharePoint Online 管理シェルを準備する

PowerShell コマンドを実行して SharePoint と OneDrive の Office ファイルの秘密度ラベルを有効にする前に、SharePoint Online 管理シェルのバージョン 16.0.19418.12000 以降を実行していることを確認してください。 OneNote の秘密度ラベルを追加でサポートするには、SharePoint Online 管理シェル バージョン 16.0.26914.12004 以降が必要です。 最新のバージョンを既に入手している場合は、 次の手順 に進み、PowerShell コマンドを実行できます。

1. PowerShell ギャラリーから以前のバージョンの SharePoint Online 管理シェルをインストールした場合は、次のコマンドレットを実行してモジュールを更新します。

   Update-Module -Name Microsoft.Online.SharePoint.PowerShell
   

2. または、Microsoft ダウンロード センターから以前のバージョンの SharePoint Online 管理シェルをインストールした場合は、「プログラムの追加と削除」に移動して、SharePoint Online 管理シェルをアンインストールすることもできます。

3. Web ブラウザーで [ダウンロード センター] ページへと移動し、最新の SharePoint Online 管理シェルをダウンロードします。

4. 言語を選択し、[ダウンロード] を選択します。

5. x64 および x86 の .msi ファイルのいずれかを選択します。 Windows の 64 ビット版を実行している場合には x64 ファイルを、32 ビット版を実行している場合には x86 ファイルをダウンロードします。 不明な場合は、「使用中の Windows オペレーティング システムのバージョンを確認する」を参照してください。

6. ファイルをダウンロードしたら、そのファイルを実行し、セットアップ構成の手順に従います。

秘密度ラベルのサポートを有効にするには、PowerShell コマンドを実行します

新しい機能を有効にするには、 Set-SPOTenant コマンドレットを EnableAIPIntegration パラメーターと共に使用します。

1. Microsoft 365 の SharePoint 管理者特権を持つ職場または学校アカウントを使用して、SharePoint に接続します。 方法の詳細については、「SharePoint Online 管理シェルの使用を開始する」を参照してください。

   注:

   Microsoft 365 Multi-Geo を使用している場合、Connect-SPOService を使用して -Url パラメータを使用し、地理的位置のいずれかに SharePoint Online 管理センターのサイト URL を指定します。

2. 次のコマンドを実行し、 Y キーを押して確認します。

   Set-SPOTenant -EnableAIPIntegration $true
   

3. Microsoft 365 Multi-Geo の場合: 残りの地理的な場所ごとに、手順 1 と 2 を繰り返します。

4. OneNote の秘密度ラベル ( セクション レベルでサポート) を追加で有効にする場合は、 Set-SPOTenant をもう一度実行しますが、次のコマンドを使用します。

   Set-SPOTenant -EnableSensitivityLabelforOneNote $true
   

   Microsoft 365 Multi-Geo の場合、残りの地理的位置ごとにこの手順を繰り返します。

秘密度ラベルの公開と変更

SharePoint と OneDrive で秘密度ラベルを使用する場合、新しい秘密度ラベルを発行するか、既存の秘密度ラベルを更新するときは、レプリケーション時間を考慮する必要があることに注意してください。 このレプリケーション時間は、暗号化を適用する新しいラベルでは特に重要です。

たとえば、暗号化を適用する新しい秘密度ラベルを作成して公開すると、ユーザーのデスクトップ アプリにすぐに表示されます。 ユーザーはこのラベルをドキュメントに適用し、SharePoint または OneDrive にアップロードします。 サービスのラベル レプリケーションが完了していない場合、アップロード時にそのドキュメントに新しい機能は適用されません。 その結果、ドキュメントは検索または電子情報開示で返されず、ドキュメントを Office for the web で開くことができません。

ラベルのタイミングの詳細については、「新しいラベルと変更が反映されるタイミング」を参照してください。

安全策として、最初に少数のテスト ユーザーにのみ新しいラベルを発行し、少なくとも 1 時間待ってから、SharePoint と OneDrive でラベルの動作を確認します。 既存のラベル ポリシーにユーザーを追加するか、標準ユーザーの既存のラベル ポリシーにラベルを追加して、より多くのユーザーがラベルを使用できるようになるまで少なくとも 1 日待ちます。 標準ユーザーにラベルが表示される前に、ラベルはすでに SharePoint および OneDrive と同期されています。

SharePoint Information Rights Management (IRM) と秘密度ラベル

SharePoint Information Rights Management (IRM) は、ユーザーがファイルをダウンロードするときに暗号化と制限を適用することで、リストとライブラリ レベルでファイルを保護する古いテクノロジです。 この古い保護テクノロジは、SharePoint の外部にあるときに、権限のないユーザーがファイルを開けないように設計されています。

これに対し、秘密度ラベルは、暗号化に加えて、視覚的なマーキング (ヘッダー、フッター、透かし) の保護設定を提供します。 暗号化設定では、ユーザーがコンテンツに対して実行できる内容を制限するためのすべての 使用権限 がサポートされており、 多くのシナリオで同じ秘密度ラベルがサポートされます。 ワークロードとアプリ全体で一貫した設定で同じ保護方法を使用すると、一貫した保護戦略が得られます。

ただし、両方の保護ソリューションを一緒に使用でき、動作は次のようになります。

• 暗号化を適用する秘密度ラベルを持つファイルをアップロードすると、SharePoint はこれらのファイルの内容を処理できないため、これらのファイルでは共同編集、電子情報開示、DLP、および検索はサポートされません。

• Office for the web を使用してファイルにラベルを付けると、ラベルの暗号化設定が強制されます。 これらのファイルでは、共同編集、電子情報開示、DLP、および検索がサポートされています。

• Office for the web を使用してラベル付けされたファイルをダウンロードする場合、ラベルは保持され、IRM の制限設定ではなくラベルの暗号化設定が適用されます。

• 秘密度ラベルで暗号化されていない Office ファイルまたは PDF ファイルをダウンロードすると、IRM 設定が適用されます。

• IRM をサポートしていないドキュメントをユーザーがアップロードできないようにするなど、追加の IRM ライブラリ設定のいずれかを有効にした場合、これらの設定が強制されます。

この機能により、すべての Office ファイルと PDF ファイルは、ラベルが付けられていなくても、ダウンロードされた場合に不正アクセスから保護されます。 ただし、アップロードされたラベル付きファイルは、新しい機能の利点はありません。

秘密度ラベルでドキュメントを検索する

管理プロパティ InformationProtectionLabelId を使用して、SharePoint または OneDrive 内で特定の秘密度ラベルを持つすべてのドキュメントを検索します。 次の構文を使用します。 InformationProtectionLabelId:<GUID>

たとえば、「機密」とラベル付けされ、そのラベルの GUID が 8faca7b8-8d20-48a3-8ea2-0f96310a848e のすべてのドキュメントを検索するには、検索ボックスに次のテキストを入力します。

InformationProtectionLabelId:8faca7b8-8d20-48a3-8ea2-0f96310a848e

Search では、.zip ファイルなどの圧縮ファイル内でラベル付きドキュメントを見つけることができません。

秘密度ラベルの GUID を取得するには、 Get-Label コマンドレットを使用します。

1. まず、Office 365 Security & Compliance PowerShell に接続します。

   たとえば、管理者として実行する PowerShell セッションでは、コンプライアンス管理者アカウントを使用してサインインします。

2. 次のコマンドを実行します。

   Get-Label |ft Name, Guid
   

管理プロパティの使用の詳細については、「 SharePoint で検索スキーマを管理する」を参照してください。

ラベル付きドキュメントの暗号化を解除する

まれに、SharePoint 管理者が SharePoint に保存されているドキュメントから暗号化を削除する必要が生じることがあります。 そのドキュメントに対して Rights Management の使用権限であるエクスポートまたはフル コントロールが割り当てられているユーザーは、Azure Rights Management サービスによって適用された暗号化を Microsoft Purview Information Protection から削除できます。 たとえば、これらの使用権限のいずれかを持つユーザーは、暗号化を適用するラベルを暗号化なしのラベルに置き換えることができます。 スーパー ユーザーは、ファイルをダウンロードし、暗号化なしでローカル コピーを保存することもできます。

代わりに、 SharePoint 管理者 は Unlock-SPOSensitivityLabelEncryptedFile コマンドレットを実行して、秘密度ラベルと暗号化の両方を削除することもできます。 このコマンドレットは、管理者にサイトまたはファイルへのアクセス許可がない場合や、Azure Rights Management サービスが利用できない場合でも実行されます。

例:

Unlock-SPOSensitivityLabelEncryptedFile -FileUrl "https://contoso.com/sites/Marketing/Shared Documents/Doc1.docx" -JustificationText "Need to decrypt this file"

要件:

• SharePoint Online 管理シェル バージョン 16.0.20616.12000 以降。

• 暗号化は、管理者が定義した暗号化設定 ([ 今すぐアクセス許可を割り当て る] ラベル設定) を使用して適用されます。 このコマンドレットでは、二重キー暗号化はサポートされていません。

「ファイルから秘密度ラベルを削除しました」の監査イベントに正当な理由テキストが追加され、暗号化解除アクションも Azure Rights Management サービスの使用状況ログに記録されます。

SharePoint と OneDrive の秘密度ラベルを無効にする方法 (オプトアウト)

これらの新機能を無効にすると、SharePoint と OneDrive は新しくラベル付けされたファイルと暗号化されたファイルを処理できなくなります。 その結果、これらのファイルでは共同編集、電子情報開示、データ損失防止、検索、その他の共同作業機能は機能しません。 ただし、これらの機能は、秘密度ラベルを無効にする前にラベル付けおよび暗号化されたファイルに対して引き続きサポートされます。

この混合の保護状態は、一貫性のない動作を調査するためのヘルプ デスク インシデントで管理オーバーヘッドが高くなる可能性があります。 また、コンプライアンス要件が問題になる場合もあります。

SharePoint と OneDrive の秘密度ラベルを無効にする前後のラベル付きファイルの動作をよりよく理解するには、[ ラベルの動作 ] タブを使用してください。

Set-SPOTenant -EnableAIPIntegration $false

次の手順

SharePoint と OneDrive でファイルの秘密度ラベルを有効にした後、次のラベル付け方法のいずれかまたは両方を使用してファイルに自動的にラベル付けすることを検討してください。

• SharePoint で新規ファイルと編集されたファイルに、ドキュメント ライブラリに既定の秘密度ラベルを適用します。 詳細については、「SharePoint ドキュメント ライブラリの既定の秘密度ラベルを構成する」を参照してください。
• SharePoint および OneDrive 内のファイルに対してコンテンツ検査を使用する自動ラベル付けポリシー。 詳細については、「 Microsoft 365 データに秘密度ラベルを自動的に適用する」を参照してください。

ラベル付きおよび暗号化されたドキュメントをorganization外のユーザーと共有する必要がありますか? 「暗号化されたドキュメントを外部ユーザーと共有する」を参照してください。

• 二重キー暗号化の詳細