JPFFI Team Blog https://docs.microsoft.com/archive/blogs/jpffi_team_blog/feed.xml Wed, 17 Apr 2019 03:37:23 GMT en-US hourly 1 [AIP] Azure Information Protection の一般的なトラブルシュート方法 https://docs.microsoft.com/archive/blogs/jpffi_team_blog/aip_troubleshooting Mon, 23 Apr 2018 06:43:44 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=795
  • Office 2010 で Azure Information Protection （Azure RMS）による保護 (暗号化) を利用する
  • 通信要件とその他の前提要件
    • - トラブルシュート編
    1. リセットする
    2. クライアントが最新のものであるか確認する
    3. お問合せいただく際に必要な情報
    ----------

    - 前提要件編

     

    ======================================================================== 1. Office 2010 で Azure Information Protection （Azure RMS）による保護 (暗号化) を利用する ========================================================================

    Azure Information Protection を利用する際に最も注意すべきなのは、Office 2010 でご利用いただく際の前提です。 Office 2010 はもともと、Azure Information Protection の利用する暗号化技術である Azure RMS への接続に対応していません。 そのため、Azure Information Protection の分類ラベル等の機能を利用するかどうかにかかわらず、Azure Information Protection クライアントをインストールする必要があります。 これにより、Office 2010 が Azure RMS に接続するために必要な構成を Azure Information Protection クライアントが自動的に行うようになります。 <Office アプリ: Azure Rights Management サービスを使用するようにクライアントを構成する> https://docs.microsoft.com/ja-jp/azure/information-protection/deploy-use/configure-office-apps#office-2010 ---------- クライアント コンピューターの Office 2010 で Azure Rights Management サービスを使用するには、Azure Information Protection クライアントまたは Windows 用 Rights Management 共有アプリケーションを用意する必要があります。 他の構成は必要ありません。 ユーザーが各自の Microsoft Office 365 資格情報でサインインしさえすれば、ファイルを保護したり、他のユーザーによって保護されたファイルを使用したりできます。 ---------- Office 2010 をご利用の環境へのインストール方法を含め、Azure Information Protection のインストール方法については、以下の参考情報をご参照ください。 <管理者ガイド: ユーザー向けに Azure Information Protection クライアントをインストールする> https://docs.microsoft.com/ja-jp/azure/information-protection/rms-client/client-admin-guide-install  

    ======================================================================== 2. 通信要件とその他の前提要件 ========================================================================

    Azure Information Protection, Azure RMS をご利用いただく際、厳しくインターネットへのアクセスを制限している環境では多くの URL に対するアクセスを許可する必要があります。 URL に関しては、以下の参考情報内、Azure Rights Management の項目で必須とされている項目に記載されているすべての必須 URL が必要です。 これには、"共有サービス" および "認証" の項目の必須 URL 群も含まれますのでご注意ください。 ネットワーク要件に関する問題のお問合せとして最も多いのは、Office 365 共有サービス内の "証明書失効リスト (ルート URL)" を許可していないことによる問題です。 <Office 365 ポータルと共有 - Office 365 URL および IP アドレス範囲> https://support.office.com/ja-jp/article/Office-365-URLs-and-IP-address-ranges-8548a211-3fe7-47cb-abb1-355ea5aa88a2?ui=en-US&rs=en-US&ad=US#bkmk_portal-identity なお、その他の URL や前提要件は以下の参考情報にもまとめられておりますので、熟読くださいますようお願い申し上げます。 <ファイアウォールとネットワーク インフラストラクチャ - Azure Information Protection の要件> https://docs.microsoft.com/ja-jp/azure/information-protection/get-started/requirements#firewalls-and-network-infrastructure ※こちらのページには通信要件以外の前提要件もまとめられております。  

    - トラブルシュート編

     

    ======================================================================== 1. リセットする ========================================================================

    Office アプリケーションや Azure Information Protection クライアント等の RMS クライアントが暗号化に関する動作を正常に行うことができなくなった場合、まずはリセットを行います。 リセットとは、RMS クライアントが利用する証明書ファイルキャッシュおよびレジストリキャッシュや設定をすべて削除する操作です。 これにより、RMS クライアントは初期状態に戻り、一から証明書の取得動作等を行います。 キャッシュや設定に問題が発生している場合にはこの操作で正常に戻る可能性があります。   1 - A. Azure Information Protection クライアントを使用している場合 ====================================================================== Azure Information Protection クライアントがインストールされている環境では、以下の操作のみでリセットを行うことができます。 1. Office アプリケーションの [ホーム] タブに追加されている [保護] ボタンをクリックし、[ヘルプとフィードバック] を選択します。 または、適当なファイルを右クリックして [分類して保護する] で起動してから、[ヘルプとフィードバック] を選択します。 2. [設定のリセット] を選択します。 3. [続行] でリセットを完了します。 4. RMS クライアントアプリケーション (Office 等) を再起動して事象が改善されたことを確認します。   1 - B. Azure Information Protection クライアントを使用していない場合 ======================================================================= Azure Information Protection クライアントを利用せず、Office やその他の RMS クライアントアプリケーションを利用しているような場合には、以下の手順で RMS Analyzer Tool をダウンロードして使用します。 1. 以下のリンクより、RMS Analyzer をダウンロードします。 <Rights Management Services Analyzer Tool> https://www.microsoft.com/en-us/download/details.aspx?id=46437 サイト内 [Download] をクリック後、ご利用のアーキテクチャにより以下の 2 種類の適切なものにチェックを入れ、[Next] をクリックしてダウンロードします。 -x86: RmsAnalyzer.zip -x64: RmsAnalyzer-x64.zip 2. ダウンロードした圧縮ファイルを、任意の場所に展開します。 3. 展開したフォルダ内、[RmsAnalyzer.exe] を右クリック -> [管理者として実行] を選択して起動します。 UAC が表示された場合は [はい] を選択します。 4. アプリケーション内、左ペインより、[Reset] を選択します。 5. アプリケーション下部に表示される [Reset] をクリックすると、リセットが行われます。  

    ======================================================================== 2. クライアントが最新のものであるか確認する ========================================================================

    Office や Azure Information Protection クライアント、およびその他サードパーティ製を含めた RMS クライアントが最新の状態であることを確認してください。 また、Azure Information Protection クライアントに関連する問題が見つかった場合には、現在最新の正式リリースやプレビューリリースで問題が改善されていないか、必ずご確認ください。 以下に Office アプリケーションおよび Azure Information Protection の更新方法についてご案内いたします。   2 - A. Office アプリケーションの更新 ======================================================================= Office アプリケーションはそのバージョンや配布形式により更新方法が異なります。 以下の参考情報を参照いただき、適切な方法で最新のバージョンに更新してください。 <Office の更新プログラムをインストールする> https://support.office.com/ja-jp/article/install-office-updates-2ab296f3-7f03-43a2-8e50-46de917611c5?ui=en-US&rs=en-US&ad=US なお、Office 2013 以降の Office アプリケーションにはクイック実行版と従来の MSI インストーラー版が存在しており、それぞれで更新方法が異なります。 上記公開情報では主にクイック実行版の更新方法がまとめられております。 インストーラー版では Microsfot Update より更新プログラムが配信されておりますため、通常は Windows Update で PC を最新の状態に保つことで最新の Office をご利用いただけます。 トラブルシュートで上記 2 つの実行形式を見分ける必要がある場合、以下の Office サポートチームによるブログをご参照ください。 <クイック実行形式 (C2R) と Windows インストーラー形式 (MSI) を見分ける方法> https://blogs.technet.microsoft.com/officesupportjp/2016/09/08/howto_c2r_or_msi/   2 - B. Azure Information Protection クライアントの更新 ======================================================================= Azure Information Protection クライアントは、比較的頻繁に更新が行われているアプリケーションです。 そのため、少し前のバージョンをご利用いただいていた際の問題が、最新のバージョンで修正されていることがよくあります。 最新の Azure Information Protection クライアントでの修正内容等は以下の参考情報にまとめられております。 <Azure Information Protection クライアント: バージョン リリース履歴とサポート ポリシー> https://docs.microsoft.com/ja-jp/azure/information-protection/rms-client/client-version-release-history 現在の Azure Information Protection クライアントのバージョンを確認するには、Office のホームタブから [保護] -> [ヘルプとフィードバック] を選択するか、ファイルを右クリック -> [分類して保護する] -> [ヘルプとフィードバック] を選択します。 Azure Information Protection は通常、Microsoft Update を通じて最新の安定板にアップデートされますが、更新されていない場合やプレビュー版をお試しいただきたい場合には、以下の URL から直接クライアントをダウンロードしてインストールすることができます。 <Microsoft Azure Information Protection> https://www.microsoft.com/en-us/download/details.aspx?id=53018 ※安定板のクライアントは "AzInfoProtection.exe", プレビュー版クライアントは "AzInfoProtection_PREVIEW_<バージョン>.exe" と命名されています。  

    ======================================================================== 3. お問合せいただく際に必要な情報 ========================================================================

    お問合せいただく際、事象の詳細と合わせまして以下の情報をご提供いただくことで、スムーズにご案内を進めることができる可能性があります。 ・ご利用のオペレーティングシステムのバージョン ・Office アプリケーションのバージョン ・Azure Information Protection クライアントのバージョン ・複数のクライアント マシンで同様の問題が発生するか ・これまでに行った切り分けや対処の詳細 ・特定のアカウントでのみ発生するなど、その他の事象発生条件   また、Azure Information Protection クライアントをご利用の環境では、以下の方法で簡単に事象発生時のログを採取することができます。 余裕がある際には、ぜひ採取をお試しいただき、お問合せ時に添付ください。 これにより、お電話にてご連絡を差し上げます前に、事象の概要を把握できる可能性がございます。   3 - A. 事象発生時の情報を採取する ======================================================================= 1. 可能な場合には、手順 1-A, 1-B に従って一度 RMS クライアントをリセットします。 2. 正常にラベルを適用できない、などの事象を再現します。 3. Office アプリケーション上のホームタブから [保護] -> [ヘルプとフィードバック] を選択するか、適当なファイルを右クリックして [分類して保護する] -> [ヘルプとフィードバック] を選択します。 4. [ログのエクスポート] を選択します。 5. しばらくして "名前を付けて保存" ダイアログが表示されましたら、適当な場所にログを保存します。 6. 出力された AIPLogs-*.zip ファイルを、お問合せ時に添付してお送りください。   以上が一般的なトラブルシュート方法です。 お問い合わせ前にはぜひ一度ご確認ください。  
    なお、本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。 何卒ご留意いただけますようお願い申し上げます。]]>         [AIP] Azure Information Protection の機能とライセンスについて https://docs.microsoft.com/archive/blogs/jpffi_team_blog/aip Tue, 13 Feb 2018 14:06:18 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=715 https://www.microsoft.com/ja-jp/cloud-platform/azure-information-protection-features   ただし、具体的な機能の利用方法や語句の説明などについてはまとまった記載がありません。 AIP のライセンスについては以下のとおり 4 つのライセンスがございますので、この場を借りて各ライセンス毎の詳細について記載していきます。 なお、この情報は 2018.2.13 時点 の情報となります。今後、機能の追加や変更が行われる場合極力修正を行って参りますが、まずは上記の公開情報をご確認くださいますと幸いです。   Azure Information Protection のライセンス ---------------------------------------------- 1. 個人用 RMS ライセンス 2. Office 365 用の Azure Information Protection (旧 Azure Rights Management) ライセンス 3. Azure Information Protection Premium 1 (P1) ライセンス 4. Azure Information Protection Premium 2 (P2) ライセンス ---------------------------------------------- [Tips] Azure RMS (Azure Rights Management) とは、オンプレミス AD RMS 相当の機能 (コンテンツの暗号化) を Azure 上で提供するサービスです。 この機能を用いると Active Directory (Azure AD) と連携して、指定したユーザーでのみコンテンツを開けるよう暗号化を行うことが可能となります。 AIP ではこの "RMS 保護" を用いたデータの管理もできるようになっております。 また、この記事の最後に RMS  と AIP のラベルの利用方法の違いやイメージについて AIP利用方法 として資料を作成しておりますので、参考情報として併せてご参照くださいますと幸いです。   1. 個人用 RMS ライセンスについて
    このライセンスはフリーのライセンスとなります。 以下のサイトよりご登録いただければどなたでもご利用いただけます。 なお、このライセンスでサポートされる動作としては "RMS 保護されたコンテンツの利用（閲覧や編集など）" のみとなります。 2018.2.13 時点では "RMS 保護の適用" もできてしまいますが、サポートはされません。 また、同様に後述するラベルによるデータ管理はできません。 このサービスにサインアップすることによって、Azure AD にアカウントが無いお客様でも RMS 保護が適用されたドキュメントを開くことができるようになります。   2. Office 365 用の Azure Information Protection (旧 Azure Rights Management) ライセンス
    このライセンスは Office 365 E3 以上のサブスクリプションなどに含まれるライセンスとなります。 単体での購入はできません。 こちらを割り当てているユーザーでは RMS の保護機能が利用できるようになります。 Azure Information Protection クライアントをインストールして PDF や TXT ファイルを保護することもこのライセンスで可能です。 また、Exchange Online と連携して、Outlook Web App 上（ブラウザ上）でメールの保護を適用したり、SharePoint Online と連携して IRM ライブラリを利用することもこのライセンスで可能です。 その他のご利用シナリオとしましては Azure Information Protection クライアントをサーバーにインストールし FCI（弊社ファイルサーバー機能）と連携して、特定フォルダ内のファイルを自動的に保護することも可能となっております。 この他、BYOK という言葉も上述したライセンス表にはございます。 こちらはお客様側で秘密鍵を作成して、作成された秘密鍵でドキュメントの保護を行う仕組みとなります。 秘密鍵を作成いただく場合は専用のハードウェアが必要となり、会社のポリシーや政治的な要件などでクラウドの RMS が利用できない一部のお客様にご利用いただいております。   3. Azure Information Protection Premium 1 (P1) ライセンス
    このライセンスは Enterprise Mobility + Security (以下 EMS) E3 などに含まれるライセンスです。 単体での購入も可能です。 こちらを割り当てているユーザーでは、Azure Information Protection クライアントをインストールし、AIP のラベルが利用できるようになります。 AIP のラベルは以下のように Office 上に表示され、ヘッダーやフッター透かしの適用、及び "RMS 保護" が適用できるようになります。 その他、追跡と取り消し機能（ドキュメントトラッキング機能とも呼ばれます）が利用できるようになります。 この機能は自分が RMS 保護したドキュメントに対し、どのユーザーが閲覧したかの確認を行ったり、後からドキュメントへのアクセスを禁止できる機能となります。 追跡と取り消し機能の利用を目的として AIP を導入されるお客様も多いのですが、AIP P1 以上のライセンスが必要となりますのでご留意ください。 また、この機能については後述する AIP ご利用方法.docx の中でもご案内しておりますので、ご参照くださいますと幸いです。   4. Azure Information Protection Premium 2 (P2) ライセンス
    このライセンスは EMS E5 などに含まれるライセンスとなります。 単体での購入も可能です。 このライセンスでは AIP P1 ライセンスの機能に加えて、クレジットカード番号や特定の文字列が含まれる、 または正規表現で定義された条件に合致するドキュメントを自動的に保護したり、保護を推奨したりする機能がご利用いただけるようになります。 また、HYOK という機能が利用できるようになります。 HYOK については上述した BYOK と似ておりますが、こちらは RMS 保護 (暗号化) に  AD RMS の鍵を利用する仕組みとなります。 そのため、AD RMS サーバー（オンプレミス）も同時にご用意いただく必要がございます。 こちらも BYOK 同様にクラウド上で秘密鍵を管理できないお客様などが用いられます。 ただし、多数の制限があり、HYOK を導入されているお客様は世界的にも少ない状況となります。   上述の内容を以下のファイルにもまとめておりますので、必要に応じてダウンロードし、ご確認、ご活用ください。   なお、本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。 何卒ご留意いただけますようお願い申し上げます。 ]]>         [RMS] 権利ポリシーテンプレート利用時と Adhoc-Policy による保護時のフルコントロール権限の動作の違いについて https://docs.microsoft.com/archive/blogs/jpffi_team_blog/rms-policy-templates-vs-adhoc-policy Fri, 26 Jan 2018 02:24:21 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=615 ================================================= - コンテンツの有効期限が切れた際の動作の違いについて ================================================= コンテンツの有効期限が切れた場合には、通常のユーザーは当該のコンテンツにアクセスすることができなくなります。 ただし、権利ポリシーテンプレートにてフルコントロールを与えられたユーザーは、そのテンプレートで保護されたファイルの有効期限が切れた場合にも、サーバーから使用ライセンス (EUL) を取得して継続してコンテンツを閲覧したり保護を解除したりすることができます。 これに対してアドホックポリシーで保護されたコンテンツは、フルコントロールを持つユーザーであっても後から EUL を取得することができません。(EUL が取得済みの場合には、権利ポリシーテンプレートでの保護と同様に継続してコンテンツを利用することができます。) これは、権利ポリシーテンプレートで保護されたコンテンツと、アドホックポリシーで保護されたコンテンツに対するサーバーの EUL 発行動作が異なるためです。 権利ポリシーテンプレートで保護されたコンテンツに対してフルコントロールを持つユーザーには、コンテンツの有効期限が切れた後も EUL が発行されますが、アドホックポリシーで保護されたコンテンツの有効期限が切れた場合には、フルコントロールを持つユーザーに対しても EUL が発行されません。 ※使用ライセンス (EUL) は、RMS 暗号化されたコンテンツを利用するために必要な証明書です。詳細については後述の “使用ライセンス (EUL) について” をご参照ください。 以下の表に、ユーザーの持つ権限と暗号化方法に応じた、有効期限が切れたコンテンツの利用可否をまとめさせていただきました。 表: 動作の違い ※これは AD RMS および Azure Information Protection (Azure RMS) で共通の動作です。 ※2 オーナー/Rights Management 所有者の EUL は、暗号化時にコンテンツに埋め込まれます。(AD RMS テンプレートにて "所有者 (作成者) に無期限のフルコントロールの権利を付与する" のチェックを外した場合には含まれません。)  

    ================================================= - 使用ライセンス (EUL) について =================================================

    使用ライセンス (EUL) は、RMS 暗号化されたコンテンツの暗号化を解除し、閲覧や編集等の操作を行うことができるようにするための証明書 (鍵) です。 EUL は通常、RMS サーバーから一度取得されるとクライアント PC のキャッシュフォルダに保存され、2 回目以降はキャッシュフォルダに保存された証明書を利用してコンテンツが開かれます。 Office アプリケーションでは、キャッシュファイルを以下の場所に保存します。 Office 2013 以降 (MSIPC.dll): %localappdata%\Microsoft\MSIPC\EUL-*.drm Office 2010 (MSDRM.dll): %localappdata%\Microsoft\DRM\EUL-*.drm 取得された EUL は既定では有効期限がありませんが、権利ポリシーテンプレートの設定を変更することで、EUL をサーバーから再取得する必要がある期限を設定することができます。 この期限が過ぎた場合、クライアントは RMS サーバーに再度 EUL を要求してキャッシュを更新する必要があります。 EUL 有効期限は、コンテンツの有効期限とは別の設定です。 <Rights Management の使用ライセンス - Azure Rights Management の使用権限を構成する> https://docs.microsoft.com/ja-jp/information-protection/deploy-use/configure-usage-rights#rights-management-use-license EUL の有効期限は、コンテンツの有効期限をアドホックポリシーで保護されたコンテンツに適用する際にも重要になります。 例えば、一度 EUL を取得したフルコントロールを持つユーザーは、その後キャッシュを使用して継続してコンテンツを利用可能となりますが、EUL の有効期限を設定することで EUL を再取得するために再び RMS サーバーに要求を行うこととなり、その際には発行が拒否されるためにコンテンツを利用することができなくなります。 また、EUL はローカル PC のみにキャッシュされるため、例えばユーザーが別の PC にサインインしてコンテンツを利用しようとした場合にも、RMS サーバーに EUL を要求します。 アドホックポリシーで保護されたコンテンツの有効期限を設定する際には、前述の動作の違いと EUL の有効期限に注意することで、より適切にコンテンツのライフサイクルを管理することができるようになります。 なお、EUL の有効期限は、例えば以下の場所で設定することができます。
    • テンプレート (AD RMS):
    • テンプレート (Azure Information Protection ポリシー):
     

    ================================================= - Office 2010 の動作について =================================================

    Office 2010 は EUL のキャッシュ方法が異なり、Office 2013 以降のアプリケーションとは有効期限に関する動作が異なる可能性があります。 Office 2010 では、フルコントロールを持つユーザーの EUL は一度取得するとファイルに埋め込まれます。 そのため、一度フルコントロールを持つユーザーが Office 2010 でコンテンツを閲覧したり、または Office 2010 を使用して暗号化を行った場合には、すべての有効期限に関する設定が無効となります。 <Office 2010 で IRM 保護を行ったファイルでは、作成者とフル コントロール権限のユーザーに対する使用ライセンスの有効期限は切れず、再取得しない> https://support.microsoft.com/ja-jp/help/3070457 ---------------------------------------------------------------------------------------------------------------------------------- Office 2010 では、コンテンツ所有者としてフルコントロール権限を持つユーザーは、無期限の所有者 (OWNER) 権限が付与されます。また、そのライセンス情報はファイルに埋め込まれます。 これによって、コンテンツ所有者は、オフラインでの使用時や RMS サーバーが使用できないような場合であっても、ドキュメントを開くことができます。 なお、この動作によって、以下の権利ポリシーテンプレート設定は、コンテンツ所有者となるユーザーについては機能しません。 "所有者 (作成者) に無期限のフルコントロールの権利を付与する" のチェックをオフ ”コンテンツの有効期限” の設定値 "使用ライセンスの有効期限" の設定値 "コンテンツを利用する度に使用ライセンスを要求する" のチェックをオン ---------------------------------------------------------------------------------------------------------------------------------- ※ただし、コンテンツがネットワークフォルダ上にある場合や書き込みが禁止されている場合には埋め込みが行われず、キャッシュフォルダに EUL キャッシュが作成されます。  

    ================================================= - コンテンツの有効期限について =================================================

    有効期限が切れたコンテンツは通常のユーザーが利用することができなくなります。 そのため、例えば一定の期間が経過したり、特定の日付を迎えると閲覧することができなくなることが望ましいようなファイルに対して設定することで、そのコンテンツのライフサイクルを管理することができます。 <Rights Management による保護でラベルを構成する方法> https://docs.microsoft.com/ja-jp/information-protection/deploy-use/configure-policy-protection#to-configure-a-label-for-rights-management-protection ---------------------------------------------------------------------------------------------------------------------------------- [コンテンツの有効期限] このテンプレートによって保護されているドキュメントまたは電子メールを、 選択したユーザーが開けなくなる日付またはそれまでの日数を定義します。 日付を指定するか、保護がコンテンツに適用された時点からの日数を指定できます。 ---------------------------------------------------------------------------------------------------------------------------------- コンテンツの有効期限は、例えば以下の場所で設定することができます。
    • テンプレート (AD RMS):
    • テンプレート (Azure Information Protection ポリシー):
    • アドホックポリシー (AIP クライアント):
    • アドホックポリシー (Office 2016):
    前述の権限による動作の違いについてご留意の上、コンテンツの有効期限を活用いただけましたら幸いです。 なお、本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。 何卒ご留意いただけますようお願い申し上げます。]]>         ADRMS にて ServiceLocator.asmx に対して匿名認証を有効化する際の注意事項について https://docs.microsoft.com/archive/blogs/jpffi_team_blog/anonymous-for-servicecolator Mon, 11 Dec 2017 08:41:37 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=607 https://technet.microsoft.com/ja-jp/library/ee221071(v=ws.10).aspx -- 該当部抜粋 -- Please remember that an AD RMS Trust does not require a Windows Forest Trust or connectivity between AD RMS domains Remember that there are Windows Integrated Authentication constraints placed on the licensing pipeline within IIS. In order for a user from another domain to be able to request a use license, the user must be able to authenticate to your server running IIS. This can be accomplished in several ways such as enabling anonymous authentication, establishing a Windows trust relationship with the other forest,  or using a dummy account for authentication.     The DOs and DON’Ts of RMS https://blogs.technet.microsoft.com/rmssupp/2007/10/18/the-dos-and-donts-of-rms/ -- 該当部抜粋 -- DO set the IIS permissions on the License.asmx, and the ServiceLocator.asmx in the licensing pipeline to 'anonymous access' only, on your Internet facing RMS machine, if you have a TUD (Trusted User Domain) with another company, or are trusting Passport RACs.     一方で、ServiceLocator.asmx に匿名認証を付与することで、500 番の例外処理が発生することも事象として把握いたしております。 AD RMS Troubleshooting: 500 exception on servicelocator.asmx https://social.technet.microsoft.com/wiki/contents/articles/17290.500-exception-on-servicelocator-asmx.aspx   また、上記エラーを受け、以下の公開情報では、ServiceLocator.asmx に対する匿名アクセスが誤りである記述もあります。   Step 2: Configure AD RMS to Work Across Forests https://technet.microsoft.com/en-us/library/ef69894c-0231-427d-b921-f6fff770cd74 -- 該当部抜粋 Error in guide: Do not configure ServiceLocator.asmx for anonymous access In the procedure “To enable anonymous access on the AD RMS licensing pipeline”, do not do steps 6 through 8 to configure anonymous authentication for ServiceLocator.asmx (for either domains). This configuration is not needed and will result in an error. For more information, see https://social.technet.microsoft.com/wiki/contents/articles/17290.500-exception-on-servicelocator-asmx.aspx     このように、公開情報内でも一部、矛盾が発生している状況となりますが、意図としては以下の通りとなります。   1. ServiceLocator.asmx に匿名認証を付与すると、想定外の動作がいくつか起こることから、基本的には、匿名認証は付与しないことを推奨する。 2. シナリオによっては、匿名認証の付与以外で対応することが出来ない為、そういったケースに限り、制限事項があるものの設定自体についてはサポート対象とする。   ================================================================= RMS Client SDK の Renew 処理について ================================================================= ServiceLocator.asmx に匿名認証を設定した場合、IpcGetTemplateIssuerList など pContext を使用できる API において、pContext を指定しない場合には、証明書の更新ができないという事例が報告されています。 その為、SharePoint や RMS Protection Tool など、弊社 MSIPC ベースのアプリケーションの一部や、MSIPC SDK を使用したアプリケーションにおいて、RAC の有効期限が切れた場合に、キャッシュをクリアしなければ更新ができないといった不具合が発生します。 これらについては、新規で RAC などの証明書を取得するロジックと、証明書を更新するロジックが異なるために発生します。 開発部門としても、ServiceLocator.asmx に対して匿名認証をつけなければ動作しないシナリオを把握する一方で、そのシナリオが非常に稀なシナリオであることから、改善はせず、キャッシュクリアでの対応を回避策として採用し修正を行わないという結論を出しております。 弊社としましては、双方のシナリオをサポートする一方で、必要な要件がない場合には可能な限り、サイドエフェクトが大きい ServiceLocator.asmx への匿名認証の有効化は避けていただくことを推奨いたします。 一番大きい影響点としては、証明書の更新ができないという問題となりますが、それ以外にも潜在的にエラーとなる場合もあります。 その為、そういった環境にて想定されない動作が発生した場合には、まずはキャッシュフォルダーを削除し、事象が改善するかどうかご確認ください。 キャッシュの場所については以下となりますが、Rights Management Services Analyzer Tool を使用し、キャッシュをクリアすることも可能です。   <キャッシュのパスについて> クライアント モードのパス : %localappdata%\Microsoft\MSIPC サーバー モードのパス : %allusersprofile%\Microsoft\MSIPC\Server*\   RMS クライアントのデプロイに関する注意事項 https://docs.microsoft.com/ja-jp/information-protection/rms-client/client-deployment-notes#BKMK_Settings   Rights Management Services Analyzer Tool https://www.microsoft.com/ja-jp/download/details.aspx?id=46437  ]]> MIM 2016 SP1 に新しい Hotfix がリリースされました！！ https://docs.microsoft.com/archive/blogs/jpffi_team_blog/mim-2016-sp1-hotfix-4-4-1749-0 Mon, 04 Dec 2017 11:19:33 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=595 https://support.microsoft.com/ja-jp/kb/4050936   Hotfix Download https://www.microsoft.com/download/details.aspx?id=56271   MIM Version Release History https://docs.microsoft.com/en-us/microsoft-identity-manager/reference/version-history]]> Windows Server 2012 以降での AD RMS サーバー上の DB メンテナンスについて - その 2 https://docs.microsoft.com/archive/blogs/jpffi_team_blog/windows-server-2012-db-maintenance-2 Tue, 07 Nov 2017 02:35:40 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=585 Windows Server 2012 以降での AD RMS サーバー上の DB メンテナンスについて」にてご紹介したクエリについて、今回は改良版をご用意いたしました。 MSIPC のバージョンアップに伴い、以下の公開情報にもあるとおり、今までは多くのデータが保管されることが少なかった UserAgent および、ErrorInformation についても削除を行うよう修正を加えております。ご利用方法については、前回のブログを参照ください。 弊社の複数環境にて動作確認を致しておりますが、ご利用いただく中でご不明な点などございましたら、弊社サポートをご利用いただければ幸いでございます。   [ご参考] Windows サーバーで AD RMS のイベント ID 84 が発生します。 https://support.microsoft.com/ja-jp/help/4038927/event-id-84-ad-rms-windows-server   SQL 文をコピーする際には、ダブルバイトが存在しないことをご確認ください。 ブラウザによっては、「'」等がダブルバイトになることがあります。ご注意ください。 [Delete 用 SQL 文] --//////////////////////////////////////////////////////////////////////////////////////////////// -- Description: --       This script can be used to delete records in the AD RMS Logging source database. -- ////////////////////////////////////////////////////////////////////////////////////////////////   ----debug print select 'ServiceRequestAndCertificate',count(*) from ServiceRequestAndCertificate select 'ServiceRequest',count(*) from ServiceRequest select 'Certificate',count(*) from Certificate select 'XrmlObject',count(*) from XrmlObject select 'UserAgent',count(*) from UserAgent --Add ----debug print   DECLARE @DeleteEndTime DateTime DECLARE @MaxErrorInformationId int DECLARE @MaxCertificateId int DECLARE @MaxXrmlObjectId int   SET @DeleteEndTime = DATEADD(day, -1, getutcdate()) SELECT @MaxErrorInformationId = MAX(ErrorInformationId) FROM ErrorInformation SELECT @MaxCertificateId = MAX(CertificateId) FROM Certificate SELECT @MaxXrmlObjectId = MAX(XrmlObjectId) FROM XrmlObject -- //////////////////////////////////////////////////////////////////////////////////////////////// IF OBJECT_ID('tempdb..#Temp_ArchivedSvcRequestIDs_del') IS NOT NULL DROP TABLE #Temp_ArchivedSvcRequestIDs_del CREATE TABLE #Temp_ArchivedSvcRequestIDs_del ( ServiceRequestId int NOT NULL, RequestTypeId smallint, ServerInformationId smallint, ErrorInformationId int, RequestUserId int, UserAgentId int, PRIMARY KEY CLUSTERED (ServiceRequestId ASC) ) INSERT INTO #Temp_ArchivedSvcRequestIDs_del (ServiceRequestId, RequestTypeId, ServerInformationId, ErrorInformationId, RequestUserId, UserAgentId) ( SELECT SRC_SR.ServiceRequestId, SRC_SR.RequestTypeId, SRC_SR.ServerInformationId, SRC_SR.ErrorInformationId, SRC_SR.RequestUserId, SRC_SR.UserAgentId FROM ServiceRequest AS SRC_SR WHERE SRC_SR.CreatedTime <= @DeleteEndTime   )   -- //////////////////////////////////////////////////////////////////////////////////////////////// -- CLEAN UP -- //////////////////////////////////////////////////////////////////////////////////////////////// BEGIN DELETE FROM ServiceRequestAndCertificate FROM ServiceRequestAndCertificate AS SRC_SVC_CERT INNER JOIN #Temp_ArchivedSvcRequestIDs_del ON #Temp_ArchivedSvcRequestIDs_del.ServiceRequestId = SRC_SVC_CERT.ServiceRequestId END   BEGIN DELETE FROM ServiceRequest FROM ServiceRequest AS SRC_SR INNER JOIN #Temp_ArchivedSvcRequestIDs_del ON #Temp_ArchivedSvcRequestIDs_del.ServiceRequestId = SRC_SR.ServiceRequestId END   BEGIN DELETE FROM UserAgent where UserAgentId not in (select distinct UserAgentId from ServiceRequest) END     BEGIN --Table ServiceRequest is cleaned up before this. DELETE FROM ErrorInformation FROM ErrorInformation AS SRC_EI WHERE NOT EXISTS (SELECT 1 FROM ServiceRequest AS SRC_SR WHERE SRC_SR.ErrorInformationId = SRC_EI.ErrorInformationId ) AND ErrorInformationId < @MaxErrorInformationId END   BEGIN --Table ServiceRequestAndCertificate is cleaned up before this. DELETE FROM Certificate FROM Certificate AS SRC_C WHERE NOT EXISTS (SELECT 1 FROM ServiceRequestAndCertificate AS SRC_SVC_CERT WHERE SRC_SVC_CERT.CertificateId = SRC_C.CertificateId) AND CertificateId < @MaxCertificateId END   BEGIN --Table Certificate is cleaned up before this. DELETE FROM XrmlObject FROM XrmlObject AS SRC_XO WHERE NOT EXISTS (SELECT 1 FROM Certificate AS SRC_C WHERE SRC_XO.XrmlObjectId = SRC_C.IssuedPrincipalObjectId) AND NOT EXISTS (SELECT 1 FROM Certificate AS SRC_C WHERE SRC_XO.XrmlObjectId = SRC_C.IssuerObjectId) AND NOT EXISTS (SELECT 1 FROM Certificate AS SRC_C WHERE SRC_XO.XrmlObjectId = SRC_C.WorkObjectId) AND NOT EXISTS (SELECT 1 FROM Certificate AS SRC_C WHERE SRC_XO.XrmlObjectId = SRC_C.FederationPrincipalObjectId) AND XrmlObjectId < @MaxXrmlObjectId END   IF OBJECT_ID('tempdb..#Temp_ArchivedSvcRequestIDs_del') IS NOT NULL DROP TABLE #Temp_ArchivedSvcRequestIDs_del   ----debug print select 'ServiceRequestAndCertificate',count(*) from ServiceRequestAndCertificate select 'ServiceRequest',count(*) from ServiceRequest select 'Certificate',count(*) from Certificate select 'XrmlObject',count(*) from XrmlObject select 'UserAgent',count(*) from UserAgent --Add ----debug print     [Truncate 用 SQL 文] -- ////////////////////////////////////////////////////////////////////////////////////////////////////////////////// -- Description: --     This script can be used to Truncate all the records in following tables: ServiceRequestAndCertificate, ServiceRequest, Certificate and XrmlObject if you want to keep the source logging DB small. --////////////////////////////////////////////////////////////////////////////////////////////////////////////////   ----debug print select 'ServiceRequestAndCertificate',count(*) from ServiceRequestAndCertificate select 'ServiceRequest',count(*) from ServiceRequest select 'Certificate',count(*) from Certificate select 'XrmlObject',count(*) from XrmlObject select 'UserAgent',count(*) from UserAgent select 'ErrorInformation',count(*) from ErrorInformation ----debug print     ALTER TABLE [dbo].[ServiceRequestAndCertificate] DROP CONSTRAINT [FK_REQUESTID_ServiceRequestAndCertificate_ServiceRequest] ALTER TABLE [dbo].[ServiceRequestAndCertificate] DROP CONSTRAINT [FK_CERTIFICATEID_ServiceRequestAndCertificate_Certificate]   ALTER TABLE [dbo].[Certificate] DROP CONSTRAINT [FK_ISSUEDPRINCIPALOBJECTID_Certificate_XrmlObject] ALTER TABLE [dbo].[Certificate] DROP CONSTRAINT [FK_ISSUEROBJECTID_Certificate_XrmlObject] ALTER TABLE [dbo].[Certificate] DROP CONSTRAINT [FK_WORKOBJECTID_Certificate_XrmlObject] ALTER TABLE [dbo].[Certificate] DROP CONSTRAINT [FK_FEDERATIONPRINCIPALOBJECTID_Certificate_XrmlObject]   ALTER TABLE [dbo].[ServiceRequest] DROP CONSTRAINT [FK_CLIENTINFOID_ServiceRequest_UserAgent] GO ALTER TABLE [dbo].[ServiceRequest] DROP CONSTRAINT [FK_ERRORINFORMATIONID_ServiceRequest_ErrorInformation] GO   ------------------------------- TRUNCATE TABLE ServiceRequestAndCertificate TRUNCATE TABLE ServiceRequest TRUNCATE TABLE Certificate TRUNCATE TABLE XrmlObject TRUNCATE TABLE UserAgent TRUNCATE TABLE ErrorInformation GO   -------------------------------- ALTER TABLE [dbo].[ServiceRequestAndCertificate] ADD CONSTRAINT [FK_REQUESTID_ServiceRequestAndCertificate_ServiceRequest] FOREIGN KEY ( [ServiceRequestId] ) REFERENCES [ServiceRequest] ( [ServiceRequestId] ) ALTER TABLE [dbo].[ServiceRequestAndCertificate] ADD CONSTRAINT [FK_CERTIFICATEID_ServiceRequestAndCertificate_Certificate] FOREIGN KEY ( [CertificateId] ) REFERENCES [Certificate] ( [CertificateId] )   ALTER TABLE [dbo].[Certificate] ADD CONSTRAINT [FK_ISSUEDPRINCIPALOBJECTID_Certificate_XrmlObject] FOREIGN KEY ( [IssuedPrincipalObjectId] ) REFERENCES [XrmlObject] ( [XrmlObjectId] ) ALTER TABLE [dbo].[Certificate] ADD CONSTRAINT [FK_ISSUEROBJECTID_Certificate_XrmlObject] FOREIGN KEY ( [IssuerObjectId] ) REFERENCES [XrmlObject] ( [XrmlObjectId] ) ALTER TABLE [dbo].[Certificate] ADD CONSTRAINT [FK_WORKOBJECTID_Certificate_XrmlObject] FOREIGN KEY ( [WorkObjectId] ) REFERENCES [XrmlObject] ( [XrmlObjectId] ) ALTER TABLE [dbo].[Certificate] ADD CONSTRAINT [FK_FEDERATIONPRINCIPALOBJECTID_Certificate_XrmlObject] FOREIGN KEY ( [FederationPrincipalObjectId] ) REFERENCES [XrmlObject] ( [XrmlObjectId] )     ALTER TABLE [dbo].[ServiceRequest] WITH CHECK ADD CONSTRAINT [FK_CLIENTINFOID_ServiceRequest_UserAgent] FOREIGN KEY([UserAgentId]) REFERENCES [dbo].[UserAgent] ([UserAgentId]) GO   ALTER TABLE [dbo].[ServiceRequest] CHECK CONSTRAINT [FK_CLIENTINFOID_ServiceRequest_UserAgent] GO   ALTER TABLE [dbo].[ServiceRequest] WITH CHECK ADD CONSTRAINT [FK_ERRORINFORMATIONID_ServiceRequest_ErrorInformation] FOREIGN KEY([ErrorInformationId]) REFERENCES [dbo].[ErrorInformation] ([ErrorInformationId]) GO   ALTER TABLE [dbo].[ServiceRequest] CHECK CONSTRAINT [FK_ERRORINFORMATIONID_ServiceRequest_ErrorInformation] GO     ----debug print select 'ServiceRequestAndCertificate',count(*) from ServiceRequestAndCertificate select 'ServiceRequest',count(*) from ServiceRequest select 'Certificate',count(*) from Certificate select 'XrmlObject',count(*) from XrmlObject select 'UserAgent',count(*) from UserAgent select 'ErrorInformation',count(*) from ErrorInformation ----debug print]]> モバイル端末で Azure Information Protection を使用する際の制限について https://docs.microsoft.com/archive/blogs/jpffi_team_blog/mobile-azure Mon, 04 Sep 2017 06:26:03 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=545 << iOS >> 上記のようにまだまだ利便性に問題がある状況を把握しておりますが、より良い製品となるようお客様のご意見を取り入れ、開発チームへのフィードバックなど尽力して参ります。 引き続き Azure Information Protection をご愛用いただければ幸いです。]]> Azure Information Protection にて XPS ファイルを開く際の注意事項 https://docs.microsoft.com/archive/blogs/jpffi_team_blog/xps_viewer Mon, 04 Sep 2017 06:23:18 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=477   ※ 二回目以降は、以下の通り、メニューから選択が可能となります。 =============================== ＊ 今後の XPS ビューアーについて =============================== XPS ビューアーそのものの AIP への対応については、現在ロードマップにはございません。 また、RMS Sharing Application の後継である、Azure Information Protection Client においても、XPS ファイルへの対応予定はございません。 理由としては、マーケットシェアとしても大きい PDF フォーマット形式への開発に切り替えている状況があります。 XPS ファイルをご利用いただいているユーザーの皆様には大変心苦しい状況となりますが、AIP のご利用を検討される場合には、PDF フォーマットへの切り替えをご検討ください。]]> FIM/MIM ADMAのExport処理で 0x80004005 エラー https://docs.microsoft.com/archive/blogs/jpffi_team_blog/fimmim-adma-export-0x80004005 Fri, 02 Jun 2017 09:57:41 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=406 [RMS]Rights Management Services Client 2.1 (MSIPC.dll) の動作変更 - 所有者 (作成者) に無期限のフル コントロールの権利を付与する設定時 https://docs.microsoft.com/archive/blogs/jpffi_team_blog/rmsclient_fullcontrol Thu, 25 May 2017 06:34:29 GMT https://blogs.technet.microsoft.com/jpffi_team_blog/?p=395 暗号化したユーザー (作成者) に無期限のフルコントロールが与えられ、使用ライセンス (EUL) がファイルに埋め込まれる。 変更後の動作: Version 1.0.2124.0 (2016年 4月) 以降 AD RMS の権利ポリシーテンプレートにて、「所有者 (作成者) に無期限のフル コントロールの権利を付与する」のチェックが外されている場合には、暗号化したユーザー (作成者) に無期限のフルコントロールが与えられない。 なお、本情報の内容 (添付文書、リンク先などを含む) は、作成日時点でのものであり、予告なく変更される場合があります。 何卒ご留意いただけますようお願い申し上げます。]]>