暗号化についてのテクニカル リファレンスの詳細

  • [アーティクル]

Microsoft 365 の暗号化に使用される証明書、テクノロジ、TLS 暗号スイートについては、この記事を参照してください。 この記事では、予定されている非推奨の詳細についても説明します。

ヒント

E5 のお客様でない場合は、90 日間の Microsoft Purview ソリューション試用版を使用して、Purview の追加機能が組織のデータ セキュリティとコンプライアンスのニーズの管理にどのように役立つかを確認してください。 Microsoft Purview コンプライアンス ポータルのトライアル ハブで今すぐ開始してください。 サインアップと試用期間の詳細については、こちらをご覧ください。

Microsoft Office 365 証明書の所有権と管理

Office 365の証明書を購入または管理する必要はありません。 代わりに、Office 365は独自の証明書を使用します。

現在の暗号化標準と予定されている非推奨

クラス最高の暗号化を提供するために、Office 365では、サポートされている暗号化標準を定期的に確認します。 古い標準は古くなり、安全性が低下するため、非推奨になることがあります。 この記事では、現在サポートされている暗号スイートとその他の標準と、予定されている非推奨に関する詳細について説明します。

Microsoft 365 の FIPS コンプライアンス

Office 365でサポートされているすべての暗号スイートは、FIPS 140-2 で許容されるアルゴリズムを使用します。 Office 365は、(Schannel を介して) Windows から FIPS 検証を継承します。 Schannel の詳細については、「 TLS/SSL の暗号スイート (Schannel SSP)」を参照してください。

Microsoft 365 の AES256-CBC サポート

2023 年 8 月下旬、Microsoft Purview 情報保護は暗号ブロック チェーン モード (AES256-CBC) で 256 ビット のキー長を持つ Advanced Encryption Standard (AES) の使用を開始します。 2023 年 10 月までに、AES256-CBC は、Microsoft 365 Appsドキュメントと電子メールの暗号化の既定値になります。 organizationでこの変更をサポートするためにアクションを実行する必要がある場合があります。

影響を受けるユーザーと何を行う必要がありますか?

次の表を使用して、アクションを実行する必要があるかどうかを確認します。

クライアント アプリケーション サービス アプリケーション アクションが必要ですか? 必要な作業とは？
Microsoft 365 アプリ Exchange Online、SharePoint Online いいえ 該当なし
Office 2013、2016、2019、または 2021 Exchange Online、SharePoint Online はい (省略可能) 「AES256-CBC モードの Office 2013、2016、2019、または 2021 のセットアップ」を参照してください。
Microsoft 365 アプリ Exchange Serverまたはハイブリッド はい (必須) AES256-CBC サポートのExchange Serverの設定に関するページを参照してください。
Office 2013、2016、2019、または 2021 Exchange Serverまたはハイブリッド はい (必須) オプション 1 (必須) を完了し、「AES256-CBC モードの Office 2013、2016、2019、または 2021 をセットアップする」を参照してください。
Microsoft 365 アプリ MIP SDK はい (省略可能) 「AES256-CBC サポート用の MIP SDK を設定する」を参照してください。
任意 SharePoint Server いいえ 該当なし

AES256-CBC モード用に Office 2013、2016、2019、または 2021 を設定する

Office 2013、2016、2019、または 2021 を構成して、グループ ポリシーを使用するか、Microsoft 365 のクラウド ポリシー サービスを使用して AES256-CBC モードを使用する必要があります。 バージョン 16.0.16327 のMicrosoft 365 Apps以降、CBC モードは既定で使用されます。 の下の設定を Encryption mode for Information Rights Management (IRM) 使用します User Configuration/Administrative Templates/Microsoft Office 2016/Security Settings。

たとえば、CBC モードを強制するには、次のようにグループ ポリシー設定を選択します。

Information Rights Management (IRM) の暗号化モード: [1, 暗号ブロック チェーン (CBC)]

AES256-CBC サポートのExchange Serverを設定する

Exchange Serverでは、AES256-CBC を使用するコンテンツの暗号化解除はサポートされていません。 この問題を回避するには、2 つのオプションがあります。

オプション 1

デプロイされた Azure Rights Management Connector サービスでExchange Onlineを使用しているお客様は、Exchange Onlineと SharePoint Online の両方で AES256-CBC 発行の変更からオプトアウトされます。

AES256-CBC モードに移行するには、次の手順を実行します。

  1. 利用可能になったら、Exchange サーバーに修正プログラムをインストールします。 出荷日に関する最新の情報については、 Microsoft 365 製品ロードマップを参照してください。

  2. Azure Rights Management Connector Service でExchange Serverを使用している場合は、各 Exchange サーバーで GenConnectorConfig.ps1 スクリプトを実行する必要があります。 詳細については、「 Rights Management コネクタのサーバーを構成する」を参照してください。 Azure RMS コネクタをダウンロードするには、公式の Microsoft ダウンロード センターを参照してください

organizationがすべての Exchange サーバーにパッチをインストールしたら、サポート ケースを開き、AES256-CBC 公開に対してこれらのサービスを有効にするよう要求します。

オプション 2

このオプションを使用すると、すべての Exchange サーバーにパッチを適用する必要が生じるまでの時間が余分になります。 修正プログラムが利用可能になったときに オプション 1 の手順を完了できない場合は、このオプションを使用します。 代わりに、グループ ポリシーまたはクライアント設定を展開し、Microsoft 365 クライアントが AES128-ECB モードを引き続き使用するように強制します。 グループ ポリシーを使用するか、Microsoft 365 の Cloud Policy サービスを使用して、この設定をデプロイします。 [] の設定User Configuration/Administrative Templates/Microsoft Office 2016/Security Settingsで、Windows が ECB または CBC モードを使用するように Office とMicrosoft 365 AppsをEncryption mode for Information Rights Management (IRM)構成できます。 バージョン 16.0.16327 のMicrosoft 365 Apps以降、CBC モードは既定で使用されます。

たとえば、Windows クライアントの EBC モードを強制するには、グループ ポリシー設定を次のように設定します。

Information Rights Management (IRM) の暗号化モード: [2, 電子コードブック (ECB)]

Office for Mac クライアントの設定を構成するには、「Office for Macのスイート全体の基本設定を設定する」を参照してください。

できるだけ早く、 オプション 1 の手順を完了します。

AES256-CBC サポート用の MIP SDK を設定する

MIP SDK 1.13 以降に更新します。 MIP SDK 1.13 に更新する場合は、AES256-CBC を強制するように設定を構成する必要があります。 詳細については、 MIP SDK バージョン 1.13.158 の重要な更新プログラムに関するページを参照してください。 MIP SDK の以降のバージョンでは、既定で AES256-CBC で Microsoft 365 ファイルと電子メールが保護されます。

Microsoft 365 でサポートされている TLS のバージョン

TLS と TLS の前に来た SSL は、セキュリティ証明書を使用してコンピューター間の接続を暗号化することで、ネットワーク経由で通信をセキュリティで保護する暗号化プロトコルです。 Microsoft 365 では、TLS バージョン 1.2 (TLS 1.2) がサポートされています。

一部のサービスでは、TLS バージョン 1.3 (TLS 1.3) が引き続きサポートされています。

重要

TLS バージョンは非推奨であり、新しいバージョンが使用可能な場合は非推奨のバージョンを 使用しないでください 。 レガシ サービスで TLS 1.0 または 1.1 が必要ない場合は、それらを無効にする必要があります。

TLS 1.0 および 1.1 のサポートの非推奨

Office 365 2018 年 10 月 31 日に TLS 1.0 と 1.1 のサポートを停止しました。 GCC High および DoD 環境での TLS 1.0 と 1.1 の無効化が完了しました。 2020 年 10 月 15 日から、世界中および GCC 環境で TLS 1.0 と 1.1 を無効にし始め、今後数週間から数か月間にわたってロールアウトを続けます。

Office 365および Microsoft 365 サービスへの安全な接続を維持するために、すべてのクライアントとサーバーとブラウザーサーバーの組み合わせで TLS 1.2 と最新の暗号スイートが使用されます。 クライアントとサーバー間、ブラウザーとサーバー間の特定の組み合わせについては、更新が必要になる場合があります。 この変更がユーザーにどのような影響を与えるかについて詳しくは、「Office 365での TLS 1.2 の必須使用の準備」をご覧ください。

3DES のサポートの非推奨

2018 年 10 月 31 日以降、Microsoft 365 は Microsoft 365 との通信に 3DES 暗号スイートの使用をサポートしなくなりました。 具体的には、Microsoft 365 はTLS_RSA_WITH_3DES_EDE_CBC_SHA暗号スイートをサポートしなくなりました。 2019 年 2 月 28 日以降、この暗号スイートは Microsoft 365 で無効になっています。 Microsoft 365 と通信するクライアントとサーバーは、サポートされている 1 つ以上の暗号をサポートする必要があります。 サポートされている暗号の一覧については、「 Microsoft 365 でサポートされている TLS 暗号スイート」を参照してください。

Microsoft 365 での SHA-1 証明書のサポートの非推奨

2016 年 6 月以降、Microsoft 365 は送信または受信接続の SHA-1 証明書を受け入れなくなりました。 証明書チェーンで SHA-2 (Secure Hash Algorithm 2) またはより強力なハッシュ アルゴリズムを使用します。

Microsoft 365 でサポートされている TLS 暗号スイート

TLS では、 暗号スイート、暗号化アルゴリズムのコレクションを使用して、セキュリティで保護された接続を確立します。 Microsoft 365 では、次の表に示す暗号スイートがサポートされています。 次の表は、最も強力な暗号スイートが最初に一覧表示された、強度の順に暗号スイートの一覧を示しています。

Microsoft 365 は、最初に最も安全な暗号スイートを使用して接続を試みることで、接続要求に応答します。 接続が機能しない場合、Microsoft 365 はリスト内で 2 番目に安全な暗号スイートを試行します。 接続が受け入れられるまで、サービスはリストの下に続きます。 同様に、Microsoft 365 が接続を要求すると、受信サービスは TLS を使用するかどうかと、使用する暗号スイートを選択します。

暗号スイート名 キー交換アルゴリズム/強度 前方秘密 暗号/強度 認証アルゴリズム/強度
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDH/192 はい AES/256 RSA/112
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDH/128 はい AES/128 RSA/112
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDH/192 はい AES/256 RSA/112
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH/128 はい AES/128 RSA/112
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH/192 はい AES/256 RSA/112
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDH/128 はい AES/128 RSA/112
TLS_RSA_WITH_AES_256_GCM_SHA384 RSA/112 いいえ AES/256 RSA/112
TLS_RSA_WITH_AES_128_GCM_SHA256 RSA/112 いいえ AES/256 RSA/112

次の暗号スイートでは、非推奨日まで TLS 1.0 プロトコルと 1.1 プロトコルがサポートされました。 非推奨日が 2020 年 1 月 15 日であった GCC High および DoD 環境の場合。 2020 年 10 月 15 日の世界および GCC 環境の場合。

プロトコル 暗号スイート名 キー交換アルゴリズム/強度 前方秘密 暗号/強度 認証アルゴリズム/強度
TLS 1.0、1.1、1.2 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH/192 はい AES/256 RSA/112
TLS 1.0、1.1、1.2 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDH/128 はい AES/128 RSA/112
TLS 1.0、1.1、1.2 TLS_RSA_WITH_AES_256_CBC_SHA RSA/112 いいえ AES/256 RSA/112
TLS 1.0、1.1、1.2 TLS_RSA_WITH_AES_128_CBC_SHA RSA/112 いいえ AES/128 RSA/112
TLS 1.0、1.1、1.2 TLS_RSA_WITH_AES_256_CBC_SHA256 RSA/112 いいえ AES/256 RSA/112
TLS 1.0、1.1、1.2 TLS_RSA_WITH_AES_128_CBC_SHA256 RSA/112 いいえ AES/256 RSA/112

特定のOffice 365製品 (Microsoft Teams を含む) では、Azure Front Door を使用して TLS 接続を終了し、ネットワーク トラフィックを効率的にルーティングします。 これらの製品に正常に接続するには、 TLS 1.2 経由の Azure Front Door でサポートされている暗号スイート の少なくとも 1 つを有効にする必要があります。 Windows 10以上の場合は、セキュリティを強化するために、ECDHE 暗号スイートの一方または両方を有効にすることをお勧めします。 Windows 7、8、8.1 は、Azure Front Door の ECDHE 暗号スイートと互換性がありません。また、これらのオペレーティング システムとの互換性のために DHE 暗号スイートが提供されています。

Windows 10 v1903 の TLS 暗号スイート

Office 365 での暗号化

Office 365 Enterprise で暗号化を設定する

Windows セキュリティ状態更新プログラムでの TLS 1.0 の Schannel 実装: 2015 年 11 月 24 日

TLS/SSL 暗号化の機能強化 (Windows IT センター)

Office 365 および Office 365 GCC での TLS 1.2 の準備

Azure Front Door でサポートされている現在の暗号スイートは何ですか?