詳説 - Rights Management Services Azure Information Protection

1. Session ID: SEC016
本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。

2. Microsoft Tech Summit

4. • モバイル用 Office / Outlook の RMS 対応
(iOS, Android)
• Azure Information Protection Viewer (AIP
Viewer) 提供
Office Outlook
iOS
AIP
Viewer
Office Outlook
AIP
Viewer
Office Outlook
Android
AIP
Viewer
Office Outlook
AIP
Viewer
Office Outlook
macOS
RMS
Sharing
Apps
Office Outlook
RMS
Sharing
Apps
Office Outlook
Windows
RMS
Sharing
Apps
Office Outlook
RMS
Sharing
Apps

5. • (原則) 同時利用不可
• 機能の違い (主要なもの)
• マルチ プラットフォーム対応
• Azure RMS はネイティブで対応、AD RMS はモバイル デバイス
拡張 (MDE) + AD FS が必要
• 追跡と失効と B2B 共有 (個人用 RMS) の機能は Azure
RMS のみの機能
• SharePoint Online との連携は AD RMS は不可
VS

6. • ユーザーを識別する電子メール アドレスの設計
• 権利ポリシー テンプレートの利用設計
• セルフサービス サブスクリプション (Adhoc) の
管理 (Azure RMS 以外のサービスにも影響がある点は
注意)
Set-MsolCompanySettings -AllowEmailVerifiedUsers <Boolean>
Set-MsolCompanySettings -AllowAdHocSubscriptions <Boolean>

7. Microsoft Tech Summit

8. Azure Information Protection (AIP)
分類と
ラベリング
• 分類
• ラベリング
追跡と失効
• 利用状況の
トラッキング
• 権限の失効
保護
• 暗号化
• 認証
• 権限制御
基盤 (AD RMS)
基盤 (Azure RMS)
OR基盤 (AIP)
NEW

9. オンプレミスの
連携サーバー
Azure 旧ポータル
クライアント RMS コネクター
保護 追跡・失効 分類とラベリング Azure 新ポータル

10. Azure Information Protection (AIP)
保護
• 暗号化
• 認証
• 権限制御
基盤 (AD RMS)
基盤 (Azure RMS)
OR

11. データ部の暗号化
暗号化対象ごとにコンテンツ キーを生成
暗号化アルゴリズム : AES
鍵長 : 128 bit or 256 bit (保護方法による)
平文のデータ
ポリシー +
aEZQAR]ibr{qU@M
]BXNoHp9nMDAtn
BfrfC;jx+Tg@XL2,Jz
ujisisiacMa8(JBIJX
()&(*7812(*:
コンテンツ キーとポリシーの暗号化
RMS の公開鍵 or ユーザーの公開鍵
暗号化アルゴリズム : RSA
鍵長 : 2048 bit (モード 2)
証明書の署名 : SHA-256

12. aEZQAR]ibr{q
U@M]BXNoHp
9nMDAtnBfrfC;
jx+Tg@XL2,Jzu
jisisiacMa8(JBI
JX()&(*7812(*:
ポリシー+
ポリシー +
ポリシー +
ポリシー +
ポリシー+
平文

14. ポリシー (権限)
誰が internalA@contoso.com
externalB@fabrikam.com
GroupC@contoso.com
何を 閲覧 〇
編集 〇
保存 ×
Etc… -
いつ
まで
利用期限 11/30
aEZQAR]ibr{q
U@M]BXNoHp
9nMDAtnBfrfC;
jx+Tg@XL2,Jzu
jisisiacMa8(JBI
JX()&(*7812(*:
ポリシー+

15. • Azure AD 導入済み : Azure AD でそのまま認証可能
• Azure AD 未導入 : 個人用 RMS にサインアップ (B2B)
個人用 RMS の利用

16. • 保護コンテンツの新規作成は試用目的での提供

17. Microsoft Tech Summit

18. 保有権限 ユーザー A ユーザー B グループ C
閲覧 ○ ○ 〇
編集 ○ × ×
保存 ○ × ×
コピー & ペースト ○ × ×
印刷 × × ×
など… - - -
利用期限 2016/11/30

19. Microsoft Tech Summit

20. • 権限制御を機能させるためには、コンテンツに埋め込
まれたポリシーの情報をアプリケーションが理解でき
る必要がある
RMS ネイティブ Pxxx ネイティブ PFILE – 汎用
ネイティブ保護 汎用保護
RMS による保護 (権限制御)

21. • Microsoft Office (Word, Excel, PowerPoint, Visio
(2016 のみ)) のファイル、Outlook のメールが対象
• PDF ファイル
• ISO 32000 の仕様拡張 – IRM 対応 PDF リーダーが必要
暗号化 認証 権限制御
基盤
対象
機能

22. • テキスト、画像、PDF などの一部フォーマットのみ
• 拡張子変更、Protected ファイル (Pxxx) として制御
• 専用のビューア (IPViewer / AIP Viewer) で閲覧のみ
できる形で展開
暗号化 認証
権限制御
(閲覧のみ)
基盤
対象
機能

23. 元のファイルの拡張子 保護されたファイルの拡張子
.txt .ptxt
.xml .pxml
.jpg .pjpg
.jpeg .pjpeg
.pdf .ppdf
.png .png
.tif .ptif
.tiff .ptiff
.bmp .pbmp
.gif .pgif
.giff .pgiff
.jpe .pjpe
.jfif .pjfif
.jt .pjt

24. • すべてのファイル フォーマットに対応
• zip ファイルのような形でファイルをカプセル化
• 展開されたファイルの権限は制御されない
暗号化 認証 権限制御
基盤
対象
機能

25. 元のまま *.Pxxx *.PFILE
ネイティブ 汎用
RMS
Microsoft Office と 対応 PDF
暗号化
認証
IPViewer / AIP Viewer
暗号化
認証
元の拡張子に関連付けられた
アプリ
暗号化
Office と PDF テキスト、画像、PDF すべて
認証
権限制御 権限制御 (閲覧)
保護
機能
アプリ
拡張子
ファイル
保護
基盤

26. • Microsoft Office (Azure RMS は Office 2010 以降)
• RMS Sharing Application / AIP Client
• SharePoint Online / SharePoint Server
• Exchange Online / Exchange Server
• Windows Server 2012 / 2012 R2 / 2016
• RMS Protection tool

27. 機密区分 B テンプレート
ユーザー
グループ
Contoso
Senior
Managers
Contoso
Managers
Contoso
Employees
閲覧 ○ ○ ○
編集 ○ ○ ×
保存 ○ ○ ×
印刷など ○ × ×
利用期限 30 日間
機密区分 A テンプレート
ユーザー
グループ
Contoso
Senior
Managers
Contoso
Managers
Contoso
Employees
閲覧 ○ ○ ○
編集 ○ ○ ×
保存 ○ ○ ×
印刷など ○ × ×
利用期限 30 日間
既定
追加

28. • SharePoint / SharePoint
Online
• ファイル サーバー
プロテクター サポートされるファイル フォーマット
MS Office Microsoft Office
PDF PDF (PPDF はサポートされない)
プロテクター サポートされるファイル フォーマット
MS Office Microsoft Office

29. プロテクター サポートされるファイル フォーマット
MS Office Microsoft Office

30. • PDF ファイルをネイティブ (*.pdf) で保護
• *.ppdf とはならない
• RMS Sharing Application (PC 用) は現時点で非対応

31. • RMS Protection tool であれば、標準の FSRM (FCI)
で対象とならない Office 以外のファイルも保護する
ことが可能 (Pxxx, PFILE 形式での保護)
Protect-RMSFile コマンドレットによる一括保護
Unprotect-RMSFile コマンドレットによる一括復号

32. ツール Office Pxxx PFILE
Microsoft Office (保護メニュー) 〇 × ×
RMS Sharing Apps 〇 〇 〇
AIP Client 〇 × ×
SharePoint(SPO,SPS) 〇
+PDF
× ×
Exchange (ExO,Exchange) 〇 × ×
Windows Server (FCI) 〇 × ×
RMS Protection Tool (PowerShell) 〇 〇 〇

33. Azure Information Protection (AIP)
追跡と失効
• 利用状況の
トラッキング
• 権限の失効
基盤 (Azure RMS)

34. Bob が南米からアクセス
Jun が北米からアクセス
Bob が中国でブロック
Bob が英国でブロック

35. • Azure ポータル (クラシック)
• Azure Rights Management 管理モジュール
(PowerShell による管理)
Get-AadrmUserLog -Path <location> -fordate <date>
logparser –i:w3c –o:csv "SELECT * INTO AllLogs.csv FROM *.log"

36. • ライセンスの取得
• 権限の失効など

37. Microsoft Tech Summit

38. ツール Office Pxxx
PFILE
追跡と
失効
Microsoft Office (保護メニュー) 〇 × ×
RMS Sharing Application 〇 〇 〇
AIP Client 〇 × 〇
SharePoint(SPO,SPS) 〇
+PDF
× ×
Exchange (ExO,Exchange) 〇 × ×
Windows Server (FSRM - FCI) 〇 × ×
RMS Protection Tool (PowerShell) 〇 〇 ×

39. Azure Information Protection (AIP)
分類と
ラベリング
• 分類
• ラベリング
基盤 (AIP)
NEW

40. 財務資料
社外秘

41. • 手動時
• 既定のラベル定義と強制
• ラベル変更時に理由の入力を要求 (イベントに記録)
• 組み込み・カスタムの条件によるラベリング自動化
• クレジットカードの番号などのビルトイン テンプレート
の利用
• 正規表現の利用も可能
財務資料
社外秘

42. AIP Client
保護 追跡・失効
分類とラベリング
RMS Client
クライアント

43. Subject: TechSummit Demo
Thread-Topic: TechSummit Demo
//
msip_labels: =?iso-2022-jp?B?TVNJUF9MYWJlbF83MzI3NDhiZyMi1hODZmE1?=
=?iso-2022-jp?B?Y2ExM2NfRW5hYmxlZD1UcnVlOyBNU0lQX0Mjc0OGJkLTI3?=
=?iso-2022-jp?B?NjMtNDUwMS1iNDIyLWE4NmYyMTVjYTEzYHM6Ly9hcGku?=
=?iso-2022-jp?B?aW5mb3JtYXRpb25wcm90ZWN0aW9uLmF69hcGkvNWFzQz?=
=?iso-2022-jp?B?YzAtOTMzOC00YjkwLTg1MDEtYjI4MzQzN2NU0lQX0xhYmVs?=
=?iso-2022-jp?B?XzczMjc0OGJkLTI3NjMtNDUwMS1iNDIyLWETVjYTEzY193Np?=
=?iso-2022-jp?B?Z25lZEJ5PXRtaWNyb0Bra3N0dS5jb207IE1TSFiZWxfNzMyQ4?=
=?iso-2022-jp?B?YmQtMjc2My00NTAxLWI0MjItYTg2ZjIxNWNX0RhdGVDcdGVk?=
=?iso-2022-jp?B?PTIwMTYtMTAtMjVUMTI6NDA6MDQuODk2wOTowMDsNJUF?=
MSIP_Label_<GUID>_Enabled=True;
MSIP_Label_<GUID>_Ref=https://api.informationprotection.azure.com/api/…;
MSIP_Label_<GUID>_AssignedBy=tmicro@kkstu.com;
MSIP_Label_<GUID>_DateCreated=2016-10-25T12:40:04.8965357+09:00;
MSIP_Label_<GUID>_Name=公開資料;
MSIP_Label_<GUID>_Extended_MSFT_Method=Manual;
Sensitivity=公開資料
ポリシー
誰が
いつ
ラベル
手動 or 自動

44. Microsoft Tech Summit

45. • メタデータの
活用
Windows
Information
Protection
• RMS 基盤に
よる暗号化
Cloud App
Security
• コンテンツ
ラベリングの
自動化
Office 365
DLP

46. • Azure RMS Premium
Azure Information Protection Plan 1/2
• 以下の機能を利用するためには Plan 2 が必要
• コンテンツの条件もしくは自動による分類・ラベリング
• Microsoft Cloud App Security (MCAS) との連携
• HYOK (Hold Your Own Key) RMS 基盤の同時利用
https://www.microsoft.com/en-us/cloud-platform/azure-information-protection-pricing

47. Azure Information Protection (AIP)
分類と
ラベリング
• 分類
• ラベリング
追跡と失効
• 利用状況の
トラッキング
• 権限の失効
保護
• 暗号化
• 認証
• 権限制御
基盤 (AD RMS)
基盤 (Azure RMS)
OR基盤 (AIP)