Information Protection スキャナーを構成してインストールする

この記事では、Microsoft Purview Information Protection スキャナー (以前は Azure Information Protection 統合ラベル付けスキャナーと呼ばれていた) またはオンプレミススキャナーを構成してインストールする方法について説明します。

ヒント

ほとんどのお客様は管理ポータルでこれらの手順を実行しますが、PowerShell でのみ作業する必要がある場合があります。

たとえば、Azure China 21Vianet などの管理ポータルにアクセスできない環境で作業している場合は、「PowerShell を使用してスキャナーを構成する」の手順に従ってください。

概要

開始する前に、システムが必要な前提条件に準拠していることを確認します。

次に、次の手順に従ってスキャナーを構成し、インストールします。

スキャナー設定を構成する
スキャナーをインストールする
スキャナーの Microsoft Entra トークンを取得する
分類と保護を適用するようにスキャナーを構成する

次に、システムの必要に応じて、次の構成手順を実行します。

プロシージャ	説明
保護するファイルの種類を変更する	既定とは異なるファイルの種類をスキャン、分類、または保護することができます。詳細については、「スキャンプロセス」を参照してください。
スキャナーのアップグレード	スキャナーをアップグレードして、最新の機能と改善された機能を使用します。
データリポジトリ設定の一括編集	インポートとエクスポートのオプションを使用して、複数のデータリポジトリを一括で変更します。
別の構成でスキャナーを使用する	何の条件でもラベルを構成せずにスキャナーを使用する
パフォーマンスを最適化する	スキャナーのパフォーマンスを最適化するためのガイダンス

Microsoft Purview ポータルのスキャナーページにアクセスできない場合は、PowerShell でのみスキャナー設定を構成します。詳細については、「 PowerShell を使用してスキャナーを構成する」および「サポートされている PowerShell コマンドレット」を参照してください。

スキャナー設定を構成する

スキャナーをインストールするか、古い一般提供バージョンからアップグレードする前に、スキャナーの設定を構成または確認します。この構成では、 Microsoft Purview ポータルのいずれかを使用できます。

Microsoft Purview ポータルでスキャナーを構成するには:

次のいずれかのロールを使用してサインインします。

コンプライアンス管理者
- コンプライアンスデータ管理者
- セキュリティ管理者
- 組織の管理

Microsoft Purview ポータルにサインインします>設定カード >Information Protection>Information Protection スキャナー。
スキャナークラスターを作成します。このクラスターは、スキャナーを定義し、インストール、アップグレード、その他のプロセス中など、スキャナーインスタンスを識別するために使用されます。
コンテンツスキャンジョブを作成して、スキャンするリポジトリを定義します。

スキャナークラスターを作成する

Microsoft Purview ポータルでスキャナークラスターを作成するには:

[Information Protection スキャナー] ページのタブから、[クラスター] を選択します。
[クラスター] タブで、[追加] を選択します。
[ 新しいクラスター ] ウィンドウで、スキャナーのわかりやすい名前とオプションの説明を入力します。

クラスター名は、スキャナーの構成とリポジトリを識別するために使用されます。たとえば、「 Europe 」と入力して、スキャンするデータ・リポジトリーの地理的な場所を特定することができます。

この名前は、後でスキャナーをインストールまたはアップグレードする場所を指定するために使用します。
[保存] を選択し、変更内容を保存します。

コンテンツスキャンジョブを作成する

コンテンツを深く掘り下げて、特定のリポジトリをスキャンして機密性の高いコンテンツを探します。

Microsoft Purview ポータルでコンテンツスキャンジョブを作成するには:

[Information Protection スキャナー] ページのタブから、[コンテンツスキャンジョブ] を選択します。
[コンテンツスキャンジョブ] ウィンドウで、[追加] [] アイコンを選択します。

この初期構成では、次の設定を構成し、[ 保存] を選択します。

Setting	説明
コンテンツスキャンジョブの設定	- スケジュール: 既定の [手動] のままにする - 検出される情報の種類: ポリシーのみに変更
DLP ポリシー	データ損失防止ポリシーを使用している場合は、[ DLP ルールを有効にする] を [ オン] に設定します。詳細については、「 DLP ポリシーの使用」を参照してください。
秘密度ポリシー	- 秘密度ラベル付けポリシーを適用する: [オフ] を選択する - コンテンツに基づいてファイルにラベル付け: 既定の [オン] のままにする - 既定のラベル: ポリシーの既定値をそのままにする - ファイルのラベル変更: 既定の [オフ] のままにする
ファイル設定の構成	- "更新日"、"最終更新日"、および "更新者" を保持: 既定の [オン] のままにします - スキャンするファイルの種類: 既定のファイルの種類をそのまま [ 除外] - 既定の所有者: スキャナーアカウントの既定のままにする - リポジトリ所有者の設定: DLP ポリシーを使用する場合にのみこのオプションを使用します。

保存したコンテンツスキャンジョブを開き、[ リポジトリ ] タブを選択して、スキャンするデータストアを指定します。

SharePoint オンプレミスのドキュメントライブラリとフォルダーの UNC パスと SharePoint Server URL を指定します。

注:

SharePoint では、延長サポートのパブリック更新プログラム (PU) を含む SharePoint Server サブスクリプションエディション (SPSE) がサポートされています。詳細については、「SharePoint Server のサポートポリシー : SharePoint Server SE の更新された製品サービスポリシー」を参照してください。

[ リポジトリ] タブで、最初のデータストアを追加するには:

[ リポジトリ] ウィンドウで、[ 追加] を選択します。
[ リポジトリ] ペインで、データリポジトリのパスを指定し、[ 保存] を選択します。
- ネットワーク共有の場合は、 \\Server\Folder を使用します。
- SharePoint ライブラリの場合は、 http://sharepoint.contoso.com/Shared%20Documents/Folder を使用します。
- ローカルパスの場合: C:\Folder
- UNC パスの場合: \\Server\Folder

注:

ワイルドカードはサポートされておらず、WebDav の場所はサポートされていません。 OneDrive の場所をリポジトリとしてスキャンすることはサポートされていません。

共有ドキュメントに SharePoint パスを追加する場合:

すべてのドキュメントと共有ドキュメントからすべてのフォルダーをスキャンする場合は、パスに 共有ドキュメント を指定します。例: http://sp013/SharedDocuments
[共有ドキュメント] の下のサブフォルダーからすべてのドキュメントとすべてのフォルダーをスキャンする場合は、パスに [ドキュメント] を指定します。例: http://sp013/Documents/SalesReports
または、SharePoint の FQDN のみを指定します。たとえば、特定の URL の下にあるすべての SharePoint サイトとサブサイトを検出してスキャンし、この URL の下にあるサブタイトルhttp://sp013を指定します。これを有効にするには、スキャナー サイトコレクター監査権限 を付与します。

このウィンドウの残りの設定については、この初期構成では変更せず、 コンテンツスキャンジョブの既定値として維持します。デフォルト設定では、データ・リポジトリーはコンテンツ・スキャン・ジョブから設定を継承します。

SharePoint パスを追加する場合は、次の構文を使用します。

Path	構文
ルートパス	`http://<SharePoint server name>` スキャナーユーザーに許可されているサイトコレクションを含む、すべてのサイトをスキャンします。ルートコンテンツを自動的に検出するには追加のアクセス許可が必要です
特定の SharePoint サブサイトまたはコレクション	以下のいずれか: - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>` サイトコレクションのコンテンツを自動的に検出するには追加のアクセス許可が必要です
特定の SharePoint ライブラリ	以下のいずれか: - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
特定の SharePoint フォルダー	`http://<SharePoint server name>/.../<folder name>`

前の手順を繰り返して、必要な数のリポジトリを追加します。

これで、作成したコンテンツスキャナージョブと共にスキャナーをインストールする準備ができました。スキャナーのインストールに進みます。

スキャナーをインストールする

スキャナーを構成したら、次の手順を実行してスキャナーをインストールします。この手順は、完全に PowerShell で実行されます。

スキャナーを実行する Windows Server コンピューターにサインインします。ローカル管理者権限を持ち、SQL Server マスターデータベースへの書き込み権限を持つアカウントを使用します。

重要

スキャナーをインストールする前に、コンピューターに Information Protection クライアントがインストールされている必要があります。

詳細については、「 Information Protection スキャナーをインストールおよび展開するための前提条件」を参照してください。
[管理者として実行] オプションを使用して Windows PowerShell セッションを開きます。
Install-Scanner コマンドレットを実行し、Information Protection スキャナー用のデータベースを作成する SQL Server インスタンスと、前のセクションで指定したスキャナークラスター名を指定します。
```
Install-Scanner -SqlServerInstance <name> -Cluster <cluster name>
```
たとえば、ヨーロッパのスキャナークラスター名を使用すると、次のようになります。
- 既定のインスタンスの場合: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe
- 名前付きインスタンスの場合: Install-Scanner -SqlServerInstance SQLSERVER1\SCANNER -Cluster Europe
- SQL Server Express の場合:Install-Scanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Cluster Europe
メッセージが表示されたら、スキャナーサービスアカウントの Active Directory 資格情報を入力します。

次の構文を使用します。 domain\username。例: contoso\scanneraccount

重要

このプロンプトで、オンプレミスの Windows ID を DOMAIN\username 形式で入力します ( scanneraccount@contoso.com などの UPN ではありません)。インストーラでは、SID を解決し、 サービスとしてログオンし、Windows サービスの実行アカウントを構成し、SQL アクセス許可を付与するには、この形式が必要です。UPN を使用すると、後で ID 解決やサービスの起動の問題が発生する可能性があります。

注:

インストール時にクラスターレベルのスキャナー機能 ( カスタムレポートなど) を有効にするには、 -FeatureSettings パラメーター (プレビュー) を追加します。例: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true}。詳細については、「スキャナー機能制御 (プレビュー)」を参照してください。
管理ツール>サービスを使用して、サービスがインストールされていることを確認します。

インストールされているサービスの名前は Microsoft Purview Information Protection Scanner と呼ばれ、作成したスキャナーサービスアカウントを使用して実行するように構成されています。

スキャナーをインストールしたので、スキャナーを無人で実行できるように、スキャナーサービスアカウントが認証するための Microsoft Entra トークンを取得する必要があります。

スキャナーの Microsoft Entra トークンを取得する

Microsoft Entra トークンを使用すると、スキャナーは Microsoft Purview Information Protection スキャナーサービスに対して認証でき、スキャナーを無人で実行できます。

詳細については、「 Information Protection ラベル付けコマンドレットを無人で実行する」を参照してください。

注:

証明書ベースの認証のサポートはパブリックプレビュー段階です。詳細については、「証明書ベースの認証」を参照してください

Microsoft Entra トークンを取得するには:

Azure ポータルに移動し、Microsoft Entra ID ブレードに進みます。
Microsoft Entra ID サイドペインで、[アプリの登録] をクリックします。
上部にある [ +新規登録] をクリックします。
[名前] セクションに「 InformationProtectionScanner」と入力します。
[サポートされているアカウントの種類] は既定のままにします。
リダイレクト URI で、種類を [Web] のままにしますが、エントリ部分には http://localhost を入力し、[ 登録] をクリックします。
このアプリケーションの概要ページで、選択したテキストエディターに、 アプリケーション (クライアント) ID と ディレクトリ (テナント) ID をメモします。この情報は、後で Set-AIPAuthentication コマンドを設定するときに必要になります。
サイドペインで、[ 証明書とシークレット] に移動します。
[ + 新しいクライアントシークレット] をクリックします。
表示されるダイアログボックスで、シークレットの説明を入力し、[ 1 年以内に 有効期限切れ] に設定してから、シークレットを追加します。
クライアントシークレットセクションの下に、 シークレット値を持つエントリがあることがわかります。この値をコピーして、クライアント ID とテナント ID を保存したファイルに保存します。シークレット値を確認できるのはこのときだけです。この時点でコピーしないと回復できません。
横のペインで、[ API アクセス許可] に移動します。
[ アクセス許可の追加] を選択してください。
画面が表示されたら、[Azure Rights Management Service] を選択します。次に、[ アプリケーションのアクセス許可] を選択します。
[コンテンツ] のドロップダウンをクリックし、Content.DelegatedReader と Content.DelegatedWriter にチェックマークを付けます。次に、画面の下部にある [ アクセス許可の追加] をクリックします。
[ API のアクセス許可] セクションに戻り、別のアクセス許可を追加します。
今回は、[API の選択] セクションで、[APIs my organization uses] をクリックします。検索バーに「Microsoft Information Protection 同期サービス」と入力して選択します。
[アプリケーションのアクセス許可] を選択し、[統合ポリシー] ドロップダウンで UnifiedPolicy.Tenant.Read アクセス許可をオンにします。次に、画面の下部にある [ アクセス許可の追加] をクリックします。
[API のアクセス許可] 画面に戻り、[管理の同意の付与] をクリックし、操作が正常に完了していることを確認します (緑色のチェックマークで示されます)。

Windows Server コンピューターから、スキャナーサービスアカウントにインストールのローカルログオン権限が付与されている場合は、このアカウントでサインインして PowerShell セッションを開始します。

前の手順からコピーした値を使用して、 Set-Authentication を実行します。

Set-Authentication -AppId <ID of the registered app> -AppSecret <client secret sting> -TenantId <your tenant ID> -DelegatedUser <Microsoft Entra account>

例:

$pscreds = Get-Credential CONTOSO\scanner
Set-Authentication -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -AppSecret "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2" -DelegatedUser scanner@contoso.com -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -OnBehalfOf $pscreds
Acquired application access token on behalf of CONTOSO\scanner.

ヒント

スキャナーサービスアカウントに、インストールのローカルログオン権限が付与されていない場合は、「情報保護ラベル付けコマンドレットを無人で実行する」で説明されているように、OnBehalfOf パラメーターを Set-Authentication と共に使用します。

これで、スキャナーに Microsoft Entra ID に対して認証するためのトークンが追加されました。このトークンは、Microsoft Entra ID での Web アプリ/API クライアントシークレットの構成に従って、1 年、2 年間、または決して有効ではありません。トークンの有効期限が切れたら、この手順を繰り返す必要があります。

Microsoft Purview ポータルを使用してスキャナーを構成するか、PowerShell のみを使用するかに応じて、次のいずれかの手順を引き続き使用します。

管理ポータルのみ
PowerShell のみ

これで、最初のスキャンを検出モードで実行する準備ができました。詳細については、検出サイクルを実行し、スキャナーのレポートを表示するを参照してください。

最初の検出スキャンを実行したら、「分類と保護を適用するようにスキャナーを構成する」に進みます。

詳細については、「 Information Protection ラベル付けコマンドレットを無人で実行する」を参照してください。

分類と保護を適用するようにスキャナーを構成する

既定の設定では、スキャナーが 1 回実行されるように構成され、レポート専用モードで実行されます。これらの設定を変更するには、コンテンツスキャンジョブを編集します。

ヒント

PowerShell のみを使用している場合は、「分類と保護を適用するようにスキャナーを構成する - PowerShell のみ」を参照してください。

Microsoft Purview ポータルで分類と保護を適用するようにスキャナーを構成するには:

Microsoft Purview ポータルの [ コンテンツスキャンジョブ] タブで、特定のコンテンツスキャンジョブを選択して編集します。
コンテンツスキャンジョブを選択し、以下を変更して、[ 保存] を選択します。
- [コンテンツスキャンジョブ] セクションで、スケジュールを [常に] に変更します。
- [秘密度ラベル付けポリシーの適用] セクションで、ラジオボタンを [オン] に変更します。
コンテンツスキャンジョブのノードがオンラインであることを確認し、[ 今すぐスキャン] を選択してコンテンツスキャンジョブを再開します。 [ 今すぐスキャン ] ボタンは、選択したコンテンツスキャンジョブのノードがオンラインの場合にのみ表示されます。

これで、スキャナーは継続的に実行するようにスケジュールされます。スキャナーは、構成されたすべてのファイルを処理すると、新しいファイルと変更されたファイルが検出されるように新しいサイクルを自動的に開始します。

DLP ポリシーを使用する

データ損失防止ポリシーを使用すると、DLP ルールをファイル共有と SharePoint Server に保存されているファイルと照合することで、スキャナーが潜在的なデータ漏洩を検出できます。

コンテンツスキャンジョブで DLP ルール を有効にして、DLP ポリシーに一致するファイルの露出を減らします。 DLP ルールを有効にすると、スキャナーによってデータ所有者のみへのファイルアクセスが削減されたり、 すべてのユーザー、 認証済みユーザー、 ドメインユーザーなどのネットワーク全体のグループへの露出が減ったりすることがあります。
Microsoft Purview ポータルで、DLP ポリシーをテストしているだけなのか、それともルールを適用し、それらのルールに従ってファイルのアクセス許可を変更するのかを決定します。詳細については、「データ損失防止ポリシーの作成と展開」を参照してください

DLP ポリシーは、Microsoft Purview ポータルで構成されます。 DLP ライセンスの詳細については、「データ損失防止オンプレミススキャナーの使用を開始する」を参照してください。

ヒント

DLP ポリシーをテストするだけの場合でも、ファイルをスキャンすると、ファイルのアクセス許可レポートも作成されます。これらのレポートにクエリを実行して、特定のファイルが漏洩しているかどうかを調査したり、特定のユーザーがスキャンしたファイルに漏えいしているかを調べたりします。

PowerShell のみを使用するには、「スキャナーで DLP ポリシーを使用する - PowerShell のみ」を参照してください。

Microsoft Purview ポータルのスキャナーで DLP ポリシーを使用するには:

Microsoft Purview ポータルで、[ コンテンツスキャンジョブ] タブに移動し、特定のコンテンツスキャンジョブを選択します。詳細については、「コンテンツスキャンジョブの作成」を参照してください。
[ Enable DLP policy rules] で、ラジオボタンを [On] に設定します。

重要

DLP ポリシーを Microsoft 365 で実際に構成していない限り 、[DLP ルールを有効にする] を [オン ] に設定しないでください。

DLP ポリシーを使用せずにこの機能をオンにすると、スキャナーでエラーが生成されます。
(オプション)リポジトリ 所有者の設定 をオンに 設定し、特定のユーザーをリポジトリ所有者として定義します。

このオプションにより、スキャナーは、このリポジトリで見つかった DLP ポリシーに一致するファイルが、定義されたリポジトリ所有者に公開されるのを減らすことができます。

DLP ポリシーを作成し、プライベートアクションを設定

非 公開アクション で DLP ポリシーを使用していて、スキャナーを使用してファイルに自動的にラベル付けする計画がある場合は、統合ラベル付けクライアントの UseCopyAndPreserveNTFSOwner 詳細設定も定義することをお勧めします。

この設定により、元の所有者がファイルへのアクセスを保持できるようになります。

詳細については、「コンテンツスキャンジョブを作成する」および「Microsoft 365 データに秘密度ラベルを自動的に適用する」を参照してください。

保護するファイルの種類を変更する

既定では、スキャナーは Office ファイルの種類と PDF ファイルのみを保護します。

PowerShell コマンドを使用して、必要に応じてこの動作を変更します。たとえば、クライアントの場合と同じようにすべてのファイルの種類を保護するようにスキャナーを構成したり、追加の特定のファイルの種類を保護したりします。

スキャナーのラベルをダウンロードするユーザーアカウントに適用されるラベルポリシーの場合は、 PFileSupportedExtensions という名前の PowerShell 詳細設定を指定します。

インターネットにアクセスできるスキャナーの場合、このユーザーアカウントは、Set-Authentication コマンドで DelegatedUser パラメーターに指定するアカウントです。

例 1: ラベルポリシーの名前が "Scanner" である、すべてのファイルの種類を保護するためのスキャナーの PowerShell コマンド:

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

例 2: Office ファイルと PDF ファイルに加えて、.xml ファイルと .tiff ファイルを保護するためのスキャナーの PowerShell コマンド。ラベルポリシーの名前は "スキャナー" です。

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".xml", ".tiff")}

詳細については、「保護するファイルの種類を変更する」を参照してください。

スキャナーをアップグレードする

以前にスキャナーをインストールしていてアップグレードする場合は、「Microsoft Purview Information Protection スキャナーのアップグレード」で説明されている手順に従います。

次に、通常どおりスキャナーを構成して使用し、スキャナーをインストールする手順をスキップします。

データリポジトリ設定を一括で編集する

[ エクスポート] ボタンと [インポート] ボタンを使用して、複数のリポジトリ間でスキャナーに変更を加えます。

これにより、Microsoft Purview ポータルで同じ変更を手動で複数回行う必要がなくなります。

たとえば、複数の SharePoint データリポジトリに新しいファイルの種類がある場合は、それらのリポジトリの設定を一括で更新できます。

Microsoft Purview ポータルのリポジトリ間で一括変更を行うには:

Microsoft Purview ポータルで、特定のコンテンツスキャンジョブを選択し、ウィンドウ内の [ リポジトリ ] タブに移動します。 [ エクスポート] オプションを選択します。
エクスポートされたファイルを手動で編集して変更を加えます。
同じページの [インポート] オプションを使用して、リポジトリ全体に更新をインポートして戻します。

別の構成でスキャナーを使用する

通常、スキャナーは、必要に応じてコンテンツを分類して保護するために、ラベルに指定された条件を探します。

次のシナリオでは、スキャナーは条件を構成せずにコンテンツをスキャンし、ラベルを管理することもできます。

データリポジトリ内のすべてのファイルに既定のラベルを適用する
データリポジトリ内のすべてのファイルから既存のラベルを削除する
すべてのカスタム条件と既知の機密情報の種類を特定する

データリポジトリ内のすべてのファイルに既定のラベルを適用する

この構成では、リポジトリ内のすべてのラベルのないファイルには、リポジトリまたはコンテンツ・スキャン・ジョブに指定されたデフォルトのラベルが付けられます。 Filesは検査なしでラベル付けされます。

以下の設定を構成します。

Setting	説明
コンテンツに基づいてファイルにラベル付けする	オフに設定する
既定のラベル	[ カスタム] に設定し、使用するラベルを選択します
既定のラベルを強制する	[ ファイルのラベルの再ラベル付け] と [ 既定のラベルを強制する] をオンにすることで、既にラベルが付けられている場合でも、すべてのファイルに既定のラベルが適用されます

データリポジトリ内のすべてのファイルから既存のラベルを削除する

この構成では、ラベルで保護が適用されている場合、既存のすべてのラベルが削除されます (保護を含む)。ラベルに関係なく適用される保護は保持されます。

以下の設定を構成します。

Setting	説明
コンテンツに基づいてファイルにラベル付けする	オフに設定する
既定のラベル	[なし] に設定する
ファイルのラベルを変更する	[オン] に設定し、[既定のラベルの適用] を [オン] に設定する

すべてのカスタム条件と既知の機密情報の種類を特定する

この構成により、スキャナーのスキャン速度を犠牲にして、自分が持っていたことに気づかなかった機密情報を見つけることができます。

検出する情報の種類を [すべて] に設定します。

ラベル付けの条件と情報の種類を識別するために、スキャナーは、指定されたカスタム機密情報の種類と、Labeling Management Center で定義されている選択可能な組み込みの機密情報の種類の一覧を使用します。

重要

同じ親の下のサブラベルは親ラベルの優先順位を共有します。同じ親ラベルの下のサブラベル間の切り替えは、ダウングレードとは見なされません。したがって、[ ラベルのダウングレードを許可] = [オフ] に設定 しても、[ ファイルの再ラベル 付け] が有効になっているときに、ファイルが優先度の低いサブラベルで再ラベル付けされることはブロックされません。

スキャナーのパフォーマンスを最適化する

注:

スキャナーのパフォーマンスではなくスキャナーコンピューターの応答性を向上させる場合は、クライアントの詳細設定を使用して、スキャナーで使用されるスレッドの数を制限します。

スキャナーのパフォーマンスを最適化するには、次のオプションとガイダンスを使用します。

オプション	説明
スキャナーコンピューターとスキャンしたデータストアとの間に、高速で信頼性の高いネットワーク接続があること	たとえば、スキャナーコンピューターを、スキャンしたデータストアと同じ LAN に配置するか、できれば同じネットワークセグメントに配置します。ネットワーク接続の品質はスキャナーのパフォーマンスに影響します。なぜなら、ファイルを検査するために、スキャナーはファイルの内容をスキャナー Microsoft Purview Information Protection スキャナーサービスを実行しているコンピューターに転送するためです。データの移動に必要なネットワークホップを削減または排除することで、ネットワークの負荷も軽減されます。
スキャナーコンピューターに使用可能なプロセッサリソースがあることを確認する	ファイルの内容の検査とファイルの暗号化と復号化は、プロセッサを集中的に使用する操作です。指定したデータストアの標準的なスキャンサイクルを監視して、プロセッサリソースの不足がスキャナーのパフォーマンスに悪影響を与えているかどうかを確認します。
スキャナーの複数のインスタンスをインストールする	スキャナーにカスタムクラスター名を指定すると、スキャナーは同じ SQL Server インスタンス上で複数の構成データベースをサポートします。ヒント: 複数のスキャナーが同じクラスターを共有することもできるため、スキャン時間が短縮されます。同じデータベースインスタンスを持つ複数のマシンにスキャナーをインストールし、スキャナーを並列に実行する場合は、同じクラスター名を使用してすべてのスキャナーをインストールする必要があります。
代替構成の使用状況を確認する	スキャナーはファイルの内容を検査しないため、代替構成を使用してすべてのファイルに既定のラベルを適用すると、スキャナーをより迅速に実行します。代替構成を使用してすべてのカスタム条件と既知の機密情報の種類を識別すると、スキャナーの実行速度が遅くなります。

パフォーマンスに影響するその他の要因

スキャナーのパフォーマンスに影響を与えるその他の要因は次のとおりです。

要因	説明
ロード/応答時間	スキャンするファイルを含むデータストアの現在の読み込み時間と応答時間も、スキャナーのパフォーマンスに影響します。
スキャナーモード (検出/適用)	通常、検出モードのスキャン速度は強制モードよりも高くなります。検出では 1 回のファイル読み取り操作が必要ですが、強制モードでは読み取りおよび書き込み操作が必要です。
ポリシーの変更	ラベルポリシーの自動ラベル付けに変更を加えた場合、スキャナーのパフォーマンスが影響を受ける可能性があります。スキャナーがすべてのファイルを検査する必要がある最初のスキャンサイクルは、既定で新規ファイルと変更されたファイルのみを検査する後続のスキャンサイクルよりも時間がかかります。条件または自動ラベル付けの設定を変更すると、すべてのファイルが再スキャンされます。詳細については、「ファイルの再スキャン」を参照してください。
正規表現構造	スキャナーのパフォーマンスは、カスタム条件の正規表現がどのように構築されているかに影響されます。大量のメモリ消費とタイムアウト (ファイルあたり 15 分) のリスクを回避するには、正規表現を確認してパターンマッチングを効率化します。例: - 貪欲な量指定子を避ける - 代わりに `(?:expression)` などの非キャプチャグループを使用します `(expression)`
ログレベル	ログレベルのオプションには、スキャナーレポートの [デバッグ]、[ 情報]、[ エラー ]、および [オフ ] があります。 - オフにすると最高のパフォーマンスが得られます - デバッグはスキャナーの速度を大幅に低下させるため、トラブルシューティングにのみ使用する必要があります。詳細については、Set-ScannerConfiguration コマンドレットの ReportLevel パラメーターを参照してください。
Files being scanned	- Excel ファイルを除き、Office ファイルは PDF ファイルよりも高速にスキャンされます。 - 保護されていないファイルは、保護されたファイルよりもスキャンが速くなります。 - 大きなファイルは、明らかに小さなファイルよりもスキャンに時間がかかります。

PowerShell を使用してスキャナーを構成する

このセクションでは、Microsoft Purview ポータルのスキャナーページにアクセスできず、PowerShell のみを使用する必要がある場合にスキャナーを構成してインストールするために必要な手順について説明します。

重要

Microsoft Purview ポータルのスキャナーページにアクセスできるかどうかに関係なく、一部の手順では PowerShell が必要であり、これらは同一です。これらの手順については、示されているとおり、この記事の前の手順を参照してください。
Azure China 21Vianet のスキャナーを使用している場合は、ここで説明する手順のほかに、追加の手順が必要です。詳細については、「21Vianet が運営する Microsoft Purview Information Protection for Office 365」を参照してください。

詳細については、「サポートされている PowerShell コマンドレット」を参照してください。

スキャナーを構成してインストールするには:

PowerShell を閉じて起動します。以前に情報保護クライアントとスキャナーをインストールした場合は、Microsoft Purview Information Protection スキャナー サービスが停止していることを確認します。
[管理者として実行] オプションを使用して Windows PowerShell セッションを開きます。
Install-Scanner コマンドを実行して、クラスターパラメーターでクラスター名を定義する SQL Server インスタンスにスキャナーをインストールします。

この手順は、Microsoft Purview ポータルでスキャナーページにアクセスできるかどうかにかかわらず同じです。詳細については、この記事の前の手順を参照してください: スキャナーをインストールする
スキャナーで使用する Azure トークンを取得してから、再認証します。

この手順は、Microsoft Purview ポータルでスキャナーページにアクセスできるかどうかにかかわらず同じです。詳細については、この記事の前の手順を参照してください: スキャナーの Microsoft Entra トークンを取得する。
Set-ScannerConfiguration コマンドレットを実行して、オフラインモードで機能するようにスキャナーを設定します。実行:
```
Set-ScannerConfiguration -OnlineConfiguration Off
```
Set-ScannerContentScan コマンドレットを実行して、既定のコンテンツスキャンジョブを作成します。

Set-ScannerContentScan コマンドレットで必須のパラメーターは Enforce だけです。ただし、現時点では、コンテンツスキャンジョブの他の設定を定義することもできます。例:
```
Set-ScannerContentScan -Schedule Manual -DiscoverInformationTypes PolicyOnly -Enforce Off -DefaultLabelType PolicyDefault -RelabelFiles Off -PreserveFileDetails On -IncludeFileTypes '' -ExcludeFileTypes '.msg,.tmp' -DefaultOwner <account running the scanner>
```
上記の構文は、構成を続行するときに次の設定を構成します。
- スキャナー実行のスケジュールを手動に維持します
- 秘密度ラベルポリシーに基づいて検出される情報の種類を設定します
- 秘密度ラベルポリシーは適用されません
- 秘密度ラベルポリシーに対して定義されている既定のラベルを使用して、コンテンツに基づいてファイルに自動的にラベル付けします
- ファイルのラベル付けを再許可しない
- スキャンおよび自動ラベル付け中に、 更新日、 最終更新日、値 による変更 を含むファイルの詳細を保持します
- 実行中に .msg ファイルと .tmp ファイルを除外するようにスキャナーを設定します
- スキャナーの実行時に使用するアカウントに既定の所有者を設定します

Add-ScannerRepository コマンドレットを使用して、コンテンツスキャンジョブでスキャンするリポジトリを定義します。たとえば、以下を実行します。

Add-ScannerRepository -OverrideContentScanJob Off -Path 'c:\repoToScan'

追加するリポジトリの種類に応じて、次のいずれかの構文を使用します。

ネットワーク共有の場合は、 \\Server\Folder を使用します。
SharePoint ライブラリの場合は、 http://sharepoint.contoso.com/Shared%20Documents/Folder を使用します。
ローカルパスの場合: C:\Folder
UNC パスの場合: \\Server\Folder

注:

ワイルドカードはサポートされておらず、WebDav の場所はサポートされていません。

後でリポジトリを変更するには、代わりに Set-ScannerRepository コマンドレットを使用します。

共有ドキュメントに SharePoint パスを追加する場合:

すべてのドキュメントと共有ドキュメントからすべてのフォルダーをスキャンする場合は、パスに 共有ドキュメント を指定します。例: http://sp2013/SharedDocuments
[共有ドキュメント] の下のサブフォルダーからすべてのドキュメントとすべてのフォルダーをスキャンする場合は、パスに [ドキュメント] を指定します。例: http://sp2013/Documents/SalesReports
または、SharePoint の FQDN のみを指定します。たとえば、特定の URL の下にあるすべての SharePoint サイトとサブサイトを検出してスキャンし、この URL の下にあるサブタイトルhttp://sp2013を指定します。これを有効にするには、スキャナー サイトコレクター監査権限 を付与します。

SharePoint パスを追加する場合は、次の構文を使用します。

Path	構文
ルートパス	`http://<SharePoint server name>` スキャナーユーザーに許可されているサイトコレクションを含む、すべてのサイトをスキャンします。
特定の SharePoint サブサイトまたはコレクション	以下のいずれか: - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>`
特定の SharePoint ライブラリ	以下のいずれか: - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
特定の SharePoint フォルダー	`http://<SharePoint server name>/.../<folder name>`

必要に応じて、次の手順に進みます。

中国の顧客向けの構成
検出サイクルを実行して、スキャナーのレポートを表示する
PowerShell を使用して、分類と保護を適用するようにスキャナーを構成する
PowerShell を使用してスキャナーで DLP ポリシーを構成する

PowerShell を使用して、分類と保護を適用するようにスキャナーを構成する

Set-ScannerContentScan コマンドレットを実行してコンテンツスキャンジョブを更新し、スケジュールを常に設定し、秘密度ポリシーを適用します。
```
Set-ScannerContentScan -Schedule Always -Enforce On
```
ヒント

このウィンドウの他の設定 (ファイル属性を変更するかどうか、スキャナーでファイルのラベルを変更できるかどうかなど) を変更することもできます。使用可能な設定の詳細については、 Set-ScannerContentScan の完全なドキュメントを参照してください。
Start-Scan コマンドレットを実行して、コンテンツスキャンジョブを実行します。
```
Start-Scan
```

PowerShell を使用してスキャナーで DLP ポリシーを構成する

-EnableDLP パラメーターをオンに設定し、特定のリポジトリ所有者を定義して、Set-ScannerContentScan コマンドレットを再実行します。

例:

Set-ScannerContentScan -EnableDLP On -RepositoryOwner 'domain\user'

証明書ベースの認証 (パブリックプレビュー)

Information Protection スキャナーでの証明書ベースの認証の使用

このセクションでは、クライアントシークレットではなく証明書を使用して認証するように Microsoft Purview Information Protection スキャナーを構成する方法について説明します。

前提条件

証明書ベースの認証を構成する前に、次のことを確認してください。

インストールされている Microsoft Purview Information Protection スキャナー
スキャナーを実行している Windows Server への管理者アクセス
スキャナーで使用される Microsoft Entra アプリ登録へのアクセス
Windows PowerShell 5.1

手順 1: 証明書を取得または作成する

証明書を取得するには、次の 2 つのオプションがあります。

CA 発行の証明書: organization の認証局から証明書を要求します。
自己署名証明書: 自己署名証明書を作成します。

オプション A: CA 発行の証明書を使用する (運用)

CA 発行の証明書を使用すると、以下が提供されます。

既存の PKI インフラストラクチャによる自動信頼
証明書ライフサイクルの一元管理
組織のセキュリティポリシーへの準拠
証明書チェーンの検証をスキップする必要はありません

証明書の要件

CA から証明書を要求する場合は、次の要件を満たしていることを確認してください。

要件	値
キーアルゴリズム	RSA
キーの長さ	最小 2048 ビット (4096 ビット推奨)
キー使用法	デジタル署名
秘密キー	エクスポート可能 (バックアップ用) またはマシン用にマーク付け
有効性	organization のポリシーに従う (通常は 1 〜 2 年)

これらのパラメーターを持つ証明書を要求する具体的な手順については、CA のドキュメントを確認してください。

エンタープライズ CA からキーを取得したら、スキャナーを実行している各 Windows Server のローカルコンピューターストアに証明書をインストールします。必ずローカルコンピューターの 個人用 ストアに証明書をインストールしてください。

Microsoft Entra の公開キーのエクスポート

証明書が発行され、インストールされたら、公開キーをエクスポートします。

# Find the certificate (adjust the subject filter as needed)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*PurviewScanner*" }
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

オプション B: 自己署名証明書を使用する

自己署名証明書は 1 台のサーバーで作成し、スキャナークラスター全体のサーバーにインポートできます。

# Create certificate in Local Machine store with RSA provider
$cert = New-SelfSignedCertificate `
    -Subject "CN=PurviewScanner" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -KeyAlgorithm RSA `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2) `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

# Display the certificate details
Write-Host "Certificate created successfully"
Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Subject: $($cert.Subject)"

重要

-Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" パラメーターは必須です。 CNG (Cryptography Next Generation) プロバイダーを使用すると、スキャナーが認証を試みるときに "キーセットが存在しません" というエラーが発生します。

公開キーをエクスポートする

証明書の公開キーをエクスポートして Microsoft Entra にアップロードします。

# Export public key certificate (.cer file)
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

手順 2: スキャナーサービスアカウントに秘密キーのアクセス許可を付与する

スキャナーサービスアカウントには、証明書の秘密キーを読み取るアクセス許可が必要です。このアクセス許可がないと、認証は失敗し、「キーセットが存在しません」エラーになります。

証明書マネージャー UI の使用

ローカルコンピューター証明書ストアを開きます。
- Win + R キーを押し、「certlm.msc」と入力して Enter キーを押します
[証明書] - [ローカルコンピューター] に移動する
作成した証明書 ("PurviewScanner" など) を右クリックし、[すべてのタスク]>[秘密キーの管理] を選択します
[ 追加] をクリックし、スキャナーサービスアカウント名 (例: CONTOSO\ScannerService) を入力します
アカウントを選択し、[ 読み取り アクセス許可] がオンになっていることを確認します
[ OK ] をクリックして保存します

PowerShell の使用

または、PowerShell を使用してアクセス許可を付与します。サービスアカウント名を実際のスキャナーサービスアカウントに置き換えてください。

# Get the certificate
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=PurviewScanner" }

# Get the private key file path
$privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPath = $privateKey.Key.UniqueName
$fullKeyPath = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$keyPath"

# Get current ACL
$acl = Get-Acl $fullKeyPath

# Add read permission for the scanner service account
$serviceAccount = "CONTOSO\ScannerService"  # Replace with your scanner service account
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceAccount, "Read", "Allow")
$acl.AddAccessRule($accessRule)

# Apply the updated ACL
Set-Acl $fullKeyPath $acl

手順 3: 証明書を Microsoft Entra にアップロードする

証明書の公開キーを、スキャナーで使用されるアプリ登録に登録します。

Microsoft Entra アプリの登録に証明書をアップロードする詳細な手順については、「Microsoft Entra に証明書を登録する」を参照してください。

アップロード後、ポータルに表示される証明書の拇印をメモします。それは、手順 1 の拇印と一致する必要があります。

手順 4: 証明書認証を使用するようにスキャナーを構成する

-AppSecret パラメーターの代わりに証明書パラメーターと共に Set-Authentication コマンドレットを使用します。

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate thumbprint
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateThumbprint "your-certificate-thumbprint" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

証明書チェーンは、信頼された CA によって発行された証明書に対して自動的に検証されます。検証が失敗した場合は、次のことを確認してください。

CA のルート証明書が信頼されたルート証明機関ストアにある
中間 CA 証明書が中間証明機関ストアにある

注:

自己署名証明書を使用している場合は、 -SkipCertificateChainValidation パラメーターを追加してチェーン検証をバイパスします。これは自己署名証明書では失敗します。

証明書のサブジェクト名を使用して認証する

または、証明書をサブジェクト名で指定することもできます。

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate subject name
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateSubjectName "PurviewScanner" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

注:

パラメーターリファレンス

パラメーター	説明
`-CertificateThumbprint`	認証に使用する証明書の SHA-1 拇印。 `-CertificateSubjectName` では使用できません。
`-CertificateSubjectName`	認証に使用する証明書のサブジェクト名 (CN)。 `-CertificateThumbprint` では使用できません。
`-CertificateStoreLocation`	証明書ストアの場所。スキャナーサービスには `LocalMachine` を使用します。有効な値: `CurrentUser`、 `LocalMachine`。既定値: `CurrentUser`。
`-CertificateStoreName`	証明書ストア名。既定値: `My` (個人用ストア)。
`-SkipCertificateChainValidation`	証明書チェーンの検証をスキップします。自己署名証明書に必要です。

トラブルシューティング

"キーセットが存在しません" エラー

通常、このエラーは次のいずれかの問題を示しています。

秘密キーのアクセス許可: スキャナーサービスアカウントには、証明書の秘密キーに対する読み取りのアクセス許可がありません。アクセス許可を付与するには、手順 2 を参照してください。
CNG プロバイダー: 証明書は、RSA プロバイダーではなく CNG プロバイダーを使用して作成されました。 -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" パラメーターを使用して証明書を再作成します。

"証明書が見つかりません" エラー

次のことを確認します。

拇印またはサブジェクト名が正しい
証明書が指定されたストアにある (既定では LocalMachine\My )
証明書の有効期限が切れていない

"証明書チェーンを構築できませんでした" エラー

自己署名証明書の場合は、 -SkipCertificateChainValidation パラメータを使用します。 CA 発行の証明書の場合は、完全な証明書チェーン (中間 CA を含む) がサーバーにインストールされていることを確認します。

401 - 権限がありません、または "invalid_client" エラー

次のことを確認します。

証明書の公開キーは、正しい Microsoft Entra アプリの登録にアップロードされます
アプリの登録 ID が -AppId パラメーターと一致する
証明書の有効期限が切れていない
テナント ID が正しい

シークレット認証から証明書認証への移行

既存のスキャナーをシークレットベース認証から証明書ベースの認証に移行するには:

上記で説明したように証明書を作成して構成する
証明書パラメーターを使用して Set-Authentication を実行する
新しい認証構成は、以前のシークレットベースの構成を上書きします
スキャナーサービスを再起動します

# Restart the scanner service after changing authentication
Restart-Service -Name "Microsoft Purview Information Protection Scanner"

サポートされている PowerShell コマンドレット

このセクションでは、Information Protection スキャナーでサポートされる PowerShell コマンドレットと、PowerShell のみを使用してスキャナーを構成およびインストールする手順を示します。

スキャナーでサポートされているコマンドレットは次のとおりです。

次の手順

スキャナーをインストールして構成したら、ファイルのスキャンを開始します。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-10-09