Information Protection スキャナーの使用を開始する

注:

Information Protection スキャナーの新しいバージョンがあります。詳細については、「Microsoft Purview Information Protection スキャナーのアップグレード」を参照してください。

Microsoft Purview Information Protection からスキャナーをインストールする前に、システムが Azure Rights Management サービスの要件に準拠していることを確認してください。

さらに、スキャナーに固有の次の要件があります。

Windows Server の要件
サービスアカウントの要件
SQL Server の要件
情報保護クライアントの要件
ラベル構成の要件
SharePoint の要件
Microsoft Office の要件
ファイルパスの要件

スキャナーのポリシーで禁止されているために、スキャナーにリストされているすべての要件を満たすことができない場合は、organization のポリシーで禁止されている場合は、「代替構成」セクションを参照してください。

運用環境でスキャナーを展開する場合、または複数のスキャナーのパフォーマンスをテストする場合は、「SQL Server のストレージ要件と容量計画」を参照してください。

スキャナーのインストールと展開を開始する準備ができたら、「 Information Protection スキャナーの構成とインストール」に進みます。

Windows Server の要件

スキャナーを実行するには、次のシステム仕様を持つ Windows Server コンピューターが必要です。

仕様	詳細
プロセッサ	4 コアプロセッサ
RAM	8 GB
ディスク領域	一時ファイル用に 10 GB の空き領域 (平均)。スキャナーには、スキャンするファイルごとに一時ファイル (コアあたり 4 ファイル) を作成するのに十分なディスク領域が必要です。推奨されるディスク領域 10 GB では、4 つのコアプロセッサが、ファイルサイズが 625 MB の 16 個のファイルをスキャンできます。
オペレーティングシステム	Microsoft ライフサイクルポリシーの下でサポートされている 64 ビット版の Windows Server (延長サポートのバージョンを含む)。特定のバージョンがサポートされているかどうかを確認するには、「Windows Server のリリース情報」を参照してください。注: 非実稼働環境でのテストまたは評価目的で、情報保護クライアントでサポートされている Windows オペレーティングシステムを使用することもできます。 Server Core と Nano Server はサポートされていません。
- ネットワーク接続	スキャナーコンピューターは、スキャンするデータストアへの高速で信頼性の高いネットワーク接続を備えた物理コンピューターまたは仮想コンピューターにすることができます。 organization のポリシーが原因でインターネット接続ができない場合は、「代替構成によるスキャナーの展開」を参照してください。それ以外の場合は、このコンピューターのインターネット接続が HTTPS (ポート 443) 経由で次の URL を許可していることを確認してください。 - .aadrm.com - .azurerms.com - .informationprotection.azure.com - informationprotection.hosting.portal.azure.net - .aria.microsoft.com - .protection.outlook.com - .events.data.microsoft.com - config.edge.skype.com
NFS 共有	NFS 共有でのスキャンをサポートするには、NFS のサービスをスキャナーマシンにデプロイする必要があります。マシンで、[Windows の機能] (Windows の機能をオンまたはオフにする) 設定ダイアログに移動し、次の項目を選択します。NFS>管理ツールのサービスと NFS のクライアント。
Microsoft Office iFilter	スキャナーを Windows Server マシンにインストールした場合、.zip ファイルをスキャンして機密情報の種類を調べるために、Microsoft Office iFilter もインストールする必要があります。詳細については、 Microsoft ダウンロードサイトを参照してください。

サービスアカウントの要件

Windows Server コンピューターでスキャナーサービスを実行し、Microsoft Entra ID で認証してスキャナーのポリシーをダウンロードするには、サービスアカウントが必要です。

サービスアカウントは Active Directory アカウントであり、Microsoft Entra ID と同期されている必要があります。

organization のポリシーが原因でこのアカウントを同期できない場合は、「代替構成によるスキャナーの展開」を参照してください。

このサービスアカウントには、次の要件があります。

要件	詳細
ローカルユーザー権利の割り当てにログオンする	スキャナーのインストールと構成に必要ですが、スキャンの実行には必要ありません。スキャナーがファイルを検出、分類、保護できることを確認したら、サービスアカウントからこの権利を削除できます。 organization のポリシーのために、この権限を短期間でも付与できない場合は、「代替構成によるスキャナーの展開」を参照してください。
サービスユーザー権利の割り当てとしてログオンします。	この権限は、スキャナーのインストール中にサービスアカウントに自動的に付与され、スキャナーのインストール、構成、および操作に必要です。
データリポジトリへのアクセス許可	- ファイル共有またはローカルファイル: ファイルをスキャンするための読み取り、書き込み、および変更のアクセス許可を付与し、構成されているように分類と保護を適用します。 - SharePoint: ファイルをスキャンするためのフルコントロールアクセス許可を付与してから、Azure Information Protection ポリシーの条件を満たすファイルに分類と保護を適用する必要があります。 - 検出モード: スキャナーを検出モードでのみ実行するには、読み取りアクセス許可で十分です。
保護を再保護または削除するラベルの場合	スキャナーが常に暗号化されたファイルにアクセスできるようにするには、このアカウントを Azure Rights Management サービスのスーパーユーザーにし、スーパーユーザー機能が有効になっていることを確認します。さらに、段階的展開のオンボード制御を実装している場合は、構成したオンボード制御にサービスアカウントが含まれていることを確認します。
特定の URL レベルのスキャン	特定の URL の下にあるサイトとサブサイトをスキャンして検出するには、ファームレベルでスキャナーアカウントに対してサイトコレクター監査権限を付与します。
情報保護ライセンス	ファイルの分類、ラベル付け、または保護機能をスキャナーサービスアカウントに提供するために必要です。詳細については、セキュリティ & コンプライアンスに関する Microsoft 365 ガイダンスを参照してください。

SQL Server の要件

スキャナー構成データを格納するには、次の要件を満たす SQL Server を使用します。

ローカルまたはリモートのインスタンス。

小規模な展開で作業している場合を除き、SQL Server とスキャナーサービスを別のマシンでホストすることをお勧めします。さらに、スキャナーデータベースのみを提供する専用の SQL インスタンスを使用し、他のアプリケーションと共有しないことをお勧めします。

共有サーバーで作業している場合は、スキャナーデータベースが動作するために、推奨される数のコアが空いていることを確認してください。

SQL Server 2016 は、次のエディションの最小バージョンです。
- SQL Server Enterprise
- SQL Server Standard
- SQL Server Express (テスト環境でのみ推奨)
スキャナーをインストールする Sysadmin ロールを持つアカウント。

Sysadmin の役割を使用すると、インストールプロセスでスキャナー構成データベースを自動的に作成し、スキャナーを実行するサービスアカウントに必要な db_owner の役割を付与できます。

Sysadminの役割を付与できない場合、またはorganizationのポリシーでデータベースを手動で作成および構成する必要がある場合は、代替構成によるスキャナーの展開を参照してください。
容量。 容量ガイダンスについては、「SQL Server のストレージ要件と容量計画」を参照してください。
大文字と小文字を区別しない照合順序。

注:

スキャナーにカスタムクラスター名を指定する場合、またはスキャナーのプレビューバージョンを使用する場合は、同じ SQL Server 上の複数の構成データベースがサポートされます。

SQL Server のストレージ要件と容量計画

スキャナーの構成データベースに必要なディスク領域の容量と SQL Server を実行しているコンピューターの仕様は、環境によって異なる場合があるため、独自のテストを行うことをお勧めします。次のガイダンスを出発点として使用してください。

詳細については、「スキャナーのパフォーマンスの最適化」を参照してください。

スキャナー構成データベースのディスクサイズは、デプロイごとに異なります。次の式をガイダンスとして使用します。

100 KB + <file count> *(1000 + 4* <average file name length>)

たとえば、ファイル名の平均長が 250 バイトの 100 万個のファイルをスキャンするには、2 GB のディスク領域を割り当てます。

複数のスキャナーの場合:

最大 10 台のスキャナー、以下を使用します。
- 4 コアプロセッサ
- 8 GB RAM を推奨
10 台を超えるスキャナー (最大 40 台)、次を使用します。
- 8 つのコアプロセス
- 16 GB RAM が推奨されます

情報保護クライアントの要件

運用ネットワークの場合、Microsoft Purview Information Protection クライアントの現在の一般可用性バージョンが Windows Server コンピューターにインストールされている必要があります。

詳細については、 Information Protection クライアントのインストールまたはアップグレードを参照してください。

重要

スキャナー用のクライアント全体をインストールする必要があります。 PowerShell モジュールだけを含むクライアントをインストールしないでください。

ラベル構成の要件

分類を適用し、必要に応じて暗号化を適用するには、スキャナーアカウントの Microsoft Purview ポータルで少なくとも 1 つの秘密度ラベルを構成する必要があります。

スキャナーアカウントは、スキャナーを構成するときに実行する Set-Authentication コマンドレットの DelegatedUser パラメーターで指定するアカウントです。

ラベルに自動ラベル付け条件がない場合は、以下の代替構成の手順を参照してください。

詳細については、以下を参照してください。

SharePoint の要件

SharePoint ドキュメントライブラリとフォルダーをスキャンするには、SharePoint サーバーが次の要件に準拠していることを確認してください。

要件	説明
サポートされるバージョン	延長サポートの SharePoint Server サブスクリプションエディション (SPSE)。詳細については、「SharePoint Server のサポートポリシー : SharePoint Server SE の更新された製品サービスポリシー」を参照してください。
バージョン管理	バージョン管理を使用すると、スキャナーは最後に発行されたバージョンを検査し、ラベルを付けます。スキャナーがファイルにラベルを付け、コンテンツの承認が必要な場合、ユーザーが使用できるようにするには、そのラベル付けされたファイルを承認する必要があります。
大規模な SharePoint ファーム	大規模な SharePoint ファームの場合は、スキャナーがすべてのファイルにアクセスするためにリストビューのしきい値 (既定では 5,000) を増やす必要があるかどうかをチェックします。詳細については、「 SharePoint で大規模なリストとライブラリを管理する」を参照してください。
長いファイルパス	SharePoint のファイルパスが長い場合は、SharePoint サーバーの httpRuntime.maxUrlLength 値が既定の 260 文字より大きいことを確認してください。詳細については、次のセクション「 SharePoint でスキャナータイムアウトを回避する」を参照してください。

SharePoint でスキャナータイムアウトを回避する

SharePoint バージョン 2013 以降で長いファイルパスを使用している場合は、SharePoint サーバーの httpRuntime.maxUrlLength 値が既定の 260 文字より大きいことを確認してください。

この値は、ASP.NET構成の HttpRuntimeSection クラスで定義されています。

HttpRuntimeSection クラスを更新するには、次の手順を実行します。

web.config 構成をバックアップします。

必要に応じて maxUrlLength 値を更新します。例:

<httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

SharePoint Web サーバーを再起動し、正しく読み込まれることを確認します。

たとえば、Windows インターネットインフォメーションサーバー (IIS) マネージャーでサイトを選択し、[ Web サイトの管理] で [ 再起動] を選択します。

Microsoft Office の要件

Office ドキュメントをスキャンするには、ドキュメントが次のいずれかの形式である必要があります。

Microsoft Office 97-2003
Office Word、Excel、および PowerPoint 用の Open XML 形式

詳細については、「サポートされているファイルの種類」を参照してください。

ファイルパスの要件

既定では、ファイルをスキャンするには、パスに最大 260 文字を設定する必要があります。

パスが 260 文字を超えるファイルをスキャンするには、次のいずれかの Windows バージョンのコンピューターにスキャナーをインストールし、必要に応じてコンピューターを構成します。

Windows バージョン	説明
Windows 2016 以降	長いパスをサポートするようにコンピューターを構成する
Windows 10 または Windows Server 2016	次のグループポリシー設定を定義します: ローカルコンピューターポリシー>コンピューターの構成>管理用テンプレート>すべての設定>Win32 長いパスを有効にします。これらのバージョンでの長いファイルパスのサポートの詳細については、Windows 10 開発者ドキュメントの「パスの最大長の制限」セクションを参照してください。
Windows 10 バージョン 1607 以降	更新された MAX_PATH 機能をオプトインします。詳細については、「Windows 10 バージョン 1607 以降で長いパスを有効にする」を参照してください。

代替構成によるスキャナーの展開

上記の前提条件は、スキャナー展開の既定の要件であり、最も単純なスキャナー構成をサポートしているため推奨されます。

スキャナの機能をチェックできるように、デフォルトの要件は初期テストに適している必要があります。

ただし、本番環境では、organization のポリシーがデフォルトの要件と異なる場合があります。スキャナーは、追加の構成で次の変更に対応できます。

特定の URL の下にあるすべてのサイトとサブサイトを検出してスキャンする
制約事項: スキャナーサーバーはインターネットに接続できません
制限事項: スキャナーサービスアカウントは Microsoft Entra ID と同期できませんが、サーバーはインターネットに接続されています
制約事項: スキャナーのサービスアカウントに、 ローカルでログオンする 権限を付与することはできません
制限事項: システム管理者を付与できないか、データベースを手動で作成して構成する必要があります
制限事項: ラベルに自動ラベル付け条件がありません

特定の URL の下にあるすべての SharePoint サイトとサブサイトを検出してスキャンする

スキャナーは、次の構成を使用して、特定の URL の下にあるすべての SharePoint サイトとサブサイトを検出してスキャンできます。

SharePoint サーバーの全体管理を開始します。
SharePoint サーバーの全体管理 Web サイトの [アプリケーション管理] セクションで、[Web アプリケーションの管理] をクリックします。
アクセス許可ポリシーレベルを管理する Web アプリケーションをクリックして強調表示します。
関連するファームを選択し、[ アクセス許可ポリシーレベルの管理] を選択します。
[サイトコレクションのアクセス許可] オプションで [サイトコレクション監査者] を選択し、[アクセス許可] リストで [アプリケーションページの表示] を許可し、最後に新しいポリシーレベルにスキャナーサイトコレクションの監査者および閲覧者という名前を付けます。
スキャナーユーザーを新しいポリシーに追加し、[アクセス許可] リストで [サイトコレクション ] を付与します。
スキャンする必要があるサイトまたはサブサイトをホストする SharePoint の URL を追加します。詳細については、「スキャナー設定の構成」を参照してください。

SharePoint ポリシーレベルを管理する方法の詳細については、「 Web アプリケーションのアクセス許可ポリシーを管理する」を参照してください。

制約事項: スキャナーサーバーはインターネットに接続できません

Information Protection クライアントはインターネット接続なしで暗号化を適用できませんが、スキャナーはインポートされたポリシーに基づいてラベルを適用できます。

切断されたコンピューターをサポートするには、次のいずれかの方法を使用します。

Microsoft Purview ポータルを使用する (可能な場合は推奨)
PowerShell を使う

切断されたコンピューターで Microsoft Purview ポータルを使用する

Microsoft Purview ポータルに接続できないコンピューターをサポートするには、次の手順を実行します。

ポリシーでラベルを構成し、手順を使用して切断されたコンピューターをサポートし、オフラインの分類とラベル付けを有効にします。
次のように、コンテンツジョブのオフライン管理を有効にします。

コンテンツスキャンジョブのオフライン管理を有効にする:
1. Set-ScannerConfiguration コマンドレットを使用して、オフライン モードで機能するようにスキャナーを設定します。
2. スキャナークラスターを作成して、Microsoft Purview ポータルでスキャナーを構成します。詳細については、「スキャナー設定の構成」を参照してください。
3. [エクスポート] オプションを使用して、[情報保護 - コンテンツスキャンジョブ] ウィンドウからコンテンツジョブをエクスポートします。
4. Import-ScannerConfiguration コマンドレットを使用してポリシーをインポートします。
オフラインコンテンツスキャンジョブの結果は、%localappdata%\Microsoft\MSIP\Scanner\Reports にあります。

切断されたコンピューターで PowerShell を使用する

PowerShell のみを使用して切断されたコンピューターをサポートするには、次の手順を実行します。

重要

Azure China 21Vianet スキャナーサーバーの管理者は、コンテンツスキャンジョブを管理するために、この手順を使用する必要があります。

PowerShell のみを使用してコンテンツスキャンジョブを管理する:

Set-ScannerConfiguration コマンドレットを使用して、オフライン モードで機能するようにスキャナーを設定します。
Set-ScannerContentScan コマンドレットを使用して新しいコンテンツスキャンジョブを作成します。必ず必須の -Enforce On パラメーターを使用します。
Add-ScannerRepository コマンドレットを使用して、追加するリポジトリへのパスで、リポジトリを追加します。

ヒント

リポジトリがコンテンツスキャンジョブから設定を継承しないようにするには、 OverrideContentScanJob On パラメーターと追加の設定の値を追加します。

既存のリポジトリの詳細を編集するには、 Set-ScannerRepository コマンドを使用します。
Get-ScannerContentScan コマンドレットと Get-ScannerRepository コマンドレットを使用して、コンテンツスキャンジョブの現在の設定に関する情報を返します。
Set-ScannerRepository コマンドを使用して、既存のリポジトリの詳細を更新します。
Start-Scan コマンドレットを使用して、必要に応じてコンテンツスキャンジョブを直ちに実行します。

オフラインコンテンツスキャンジョブの結果は、%localappdata%\Microsoft\MSIP\Scanner\Reports にあります。
リポジトリまたはコンテンツスキャンジョブ全体を削除する必要がある場合は、次のコマンドレットを使用します。
- Remove-ScannerContentScan
- Remove-ScannerRepository

制限事項: システム管理者を付与できないか、データベースを手動で作成して構成する必要があります

データベースを手動で作成し、必要に応じて db_owner ロールを付与するには、次の手順を使用します。

スキャナーデータベースの手順

スキャナーをインストールするための Sysadmin の役割を一時的に付与できる場合は、スキャナーのインストールが完了したときにこの役割を削除できます。

organization の要件に応じて、次のいずれかを実行します。

制限	説明
一時的に Sysadmin の役割を持つことができます	一時的に Sysadmin ロールを持っている場合は、データベースが自動的に作成され、スキャナーのサービスアカウントに必要なアクセス許可が自動的に付与されます。ただし、スキャナーを構成するユーザーアカウントには、スキャナー構成データベースの db_owner ロールが必要です。スキャナーのインストールが完了するまで sysadmin ロールしかない場合は、ユーザーアカウントに db_owner ロールを手動で付与します。
システム管理者の役割がまったくない	一時的でも Sysadmin の役割を付与できない場合は、スキャナーをインストールする前に、Sysadmin 権限を持つユーザーにデータベースを手動で作成するように依頼する必要があります。この構成では、 db_owner ロールを次のアカウントに割り当てる必要があります。 - スキャナーのサービスアカウント - スキャナーのインストールのユーザーアカウント - スキャナー構成用のユーザーアカウント通常、スキャナーのインストールと構成には、同じユーザーアカウントを使用します。異なるアカウントを使用している場合は、両方ともスキャナー構成データベースの db_owner ロールが必要です。必要に応じて、このユーザーと権限を作成します。独自のクラスター名を指定すると、構成データベースの名前は AIPScannerUL_<cluster_name> になります。

制限

説明

一時的に Sysadmin の役割を持つことができます

一時的に Sysadmin ロールを持っている場合は、データベースが自動的に作成され、スキャナーのサービスアカウントに必要なアクセス許可が自動的に付与されます。

ただし、スキャナーを構成するユーザーアカウントには、スキャナー構成データベースの db_owner ロールが必要です。スキャナーのインストールが完了するまで sysadmin ロールしかない場合は、ユーザーアカウントに db_owner ロールを手動で付与します。

システム管理者の役割がまったくない

一時的でも Sysadmin の役割を付与できない場合は、スキャナーをインストールする前に、Sysadmin 権限を持つユーザーにデータベースを手動で作成するように依頼する必要があります。

この構成では、 db_owner ロールを次のアカウントに割り当てる必要があります。
- スキャナーのサービスアカウント
- スキャナーのインストールのユーザーアカウント
- スキャナー構成用のユーザーアカウント

通常、スキャナーのインストールと構成には、同じユーザーアカウントを使用します。異なるアカウントを使用している場合は、両方ともスキャナー構成データベースの db_owner ロールが必要です。必要に応じて、このユーザーと権限を作成します。独自のクラスター名を指定すると、構成データベースの名前は AIPScannerUL_<cluster_name> になります。

追加：

スキャナーを実行するサーバーのローカル管理者である必要があります
スキャナーを実行するサービスアカウントに、次のレジストリキーに対するフルコントロールのアクセス許可を付与する必要があります。
- HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

これらのアクセス許可を構成した後、スキャナーのインストール時にエラーが表示された場合は、エラーを無視でき、スキャナーサービスを手動で開始できます。

スキャナーのデータベースとユーザーを手動で作成し、db_owner権限を付与する

スキャナーデータベースを手動で作成したり、ユーザーを作成してデータベースに対する db_owner 権限を付与したりする必要がある場合は、システム管理者に次の手順を実行するように依頼してください。

スキャナー用のデータベースを作成する:

**CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

インストールコマンドを実行し、スキャナー管理コマンドの実行に使用されるアクセス許可をユーザーに付与します。次のスクリプトを使用します。

if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

スキャナーサービスアカウントに権限を付与します。次のスクリプトを使用します。

if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

制約事項: スキャナーのサービスアカウントに、ローカルでログオンする権限を付与することはできません

organization のポリシーで、サービスアカウントのローカルログオン権限が禁止されている場合は、Set-Authentication で OnBehalfOf パラメーターを使用します。

詳細については、「 Information Protection ラベル付けコマンドレットを無人で実行する」を参照してください。

制限事項: スキャナーサービスアカウントは Microsoft Entra ID と同期できませんが、サーバーはインターネットに接続されています

1 つのアカウントを持つことでスキャナーサービスを実行し、別のアカウントを使用して Microsoft Entra ID に対して認証することができます。

スキャナーサービスアカウントの場合は、ローカルの Windows アカウントまたは Active Directory アカウントを使用します。
Microsoft Entra アカウントの場合は、Set-Authentication コマンドレットの DelegatedUser パラメーターで Microsoft Entra ユーザーを指定します。

スキャナーアカウント以外のユーザーでスキャンを実行する場合は、 OnBehalfOf パラメーターにもスキャナーアカウントを指定してください。

詳細については、「 Information Protection ラベル付けコマンドレットを無人で実行する」を参照してください。

制限事項: ラベルに自動ラベル付け条件がありません

ラベルに自動ラベル付け条件がない場合は、スキャナーを構成するときに次のいずれかのオプションを使用する予定です。

オプション	説明
すべての情報タイプを見つける	コンテンツスキャンジョブで、[検出される情報の種類] オプションを [すべて] に設定します。このオプションは、すべての機密情報の種類についてコンテンツをスキャンするようにコンテンツスキャンジョブを設定します。
推奨ラベルを使用する	コンテンツスキャンジョブで、[推奨ラベル付けを自動的に処理する] オプションを [オン] に設定します。この設定では、推奨されるすべてのラベルをコンテンツに自動的に適用するようにスキャナーを構成します。
既定のラベルを定義する	ポリシー、コンテンツスキャンジョブ、またはリポジトリに既定のラベルを定義します。この場合、スキャナーは見つかったすべてのファイルに既定のラベルを適用します。

次の手順

システムがスキャナーの前提条件に準拠していることを確認したら、 Information Protection スキャナーの構成とインストールに進みます。

スキャナーの概要については、「 Information Protection スキャナーの詳細」を参照してください。

フィードバック

このページはお役に立ちましたか?

最終更新: 2026-10-28