Microsoft Purview Information Protection の Azure Rights Management サービスのスーパー ユーザー機能により、承認されたユーザーとサービスは、Azure Rights Management がorganization用に暗号化するデータを常に読み取り、検査できます。 必要に応じて、暗号化保護を削除または変更できます。
スーパー ユーザーは、常に、organization's tenant によって暗号化されたドキュメントと電子メールに対する Rights Management フル コントロールの使用権限を持っています。 この能力は「データに対する推論」と呼ばれることもあり、organizationのデータ管理を維持する上で重要な要素です。 たとえば、次のいずれかのシナリオでこの機能を使用します。
従業員が organization を辞め、その従業員が暗号化したファイルを読み取る必要があります。
IT 管理者は、ファイルに対して構成された現在の暗号化設定を削除し、新しい暗号化設定を適用する必要があります。
Exchange Server は、検索操作のためにメールボックスのインデックスを作成する必要があります。
既に暗号化されているファイルを検査する必要があるデータ損失防止 (DLP) ソリューション、コンテンツ暗号化ゲートウェイ (CEG)、マルウェア対策製品向けの既存の IT サービスがあります。
監査、法的、またはその他のコンプライアンス上の理由で、ファイルを一括復号化する必要があります。
スーパー ユーザー機能の構成
既定では、スーパー ユーザー機能は有効になっておらず、このロールにはユーザーが割り当てられていません。 Exchange 用の Rights Management コネクタを構成すると自動的に有効になり、Exchange Online、Microsoft SharePoint Server、または Microsoft 365 の SharePoint を実行する標準サービスには必要ありません。
スーパー ユーザー機能を手動で有効にする必要がある場合は、PowerShell コマンドレット Enable-AipServiceSuperUserFeature を使用し、 Add-AipServiceSuperUser コマンドレットまたは Set-AipServiceSuperUserGroup コマンドレットを使用して必要に応じてユーザー (またはサービス アカウント) を割り当て、必要に応じてユーザー (または他のグループ) をこのグループに追加します。
スーパー ユーザーにグループを使用する方が管理が簡単ですが、パフォーマンス上の理由から、Azure Rights Management サービスはグループ メンバーシップをキャッシュします。 したがって、コンテンツをすぐに復号化するためにスーパー ユーザーに新しいユーザーを割り当てる必要がある場合は、Set-AipServiceSuperUserGroup を使用して構成した既存のグループにユーザーを追加するのではなく、Add-AipServiceSuperUser を使用してそのユーザーを追加します。
注:
Add-AipServiceSuperUser コマンドレットを使用してユーザーを追加する場合は、プライマリ メール アドレスまたはユーザー プリンシパル名もグループに追加する必要があります。 Email エイリアスは評価されません。
Azure Rights Management サービスの PowerShell モジュールをまだインストールしていない場合は、「Azure Right Management サービスの AIPService PowerShell モジュールをインストールする」を参照してください。
スーパー ユーザー機能を有効にする場合、またはユーザーをスーパー ユーザーとして追加する場合は関係ありません。 たとえば、木曜日に機能を有効にし、金曜日にユーザーを追加すると、そのユーザーは週の初めに保護されたコンテンツをすぐに開くことができます。
スーパー ユーザー機能のセキュリティのベスト プラクティス
スーパー ユーザー機能を使用する場合は、次のセキュリティ上のベスト プラクティスに従ってください。
テナントのグローバル管理者が割り当てられている管理者、または Add-AipServiceRoleBasedAdministrator コマンドレットを使用して GlobalAdministrator ロールが割り当てられている管理者を制限し、監視します。 これらのユーザーは、スーパー ユーザー機能を有効にし、ユーザー (および自分自身) をスーパー ユーザーとして割り当て、organization が暗号化するすべてのファイルを復号化する可能性があります。
スーパー ユーザーとして個別に割り当てられているユーザーとサービス アカウントを確認するには、 Get-AipServiceSuperUser コマンドレットを使用します。
スーパー ユーザー グループが構成されているかどうかを確認するには、Get-AipServiceSuperUserGroup コマンドレットと標準のユーザー管理ツールを使用して、どのユーザーがこのグループのメンバーであるかをチェックします。
すべての管理操作と同様に、スーパー機能の有効化または無効化、スーパー ユーザーの追加または削除はログに記録され、 Get-AipServiceAdminLog コマンドを使用して監査できます。 例えば、「 スーパーユーザー機能の監査例」を参照してください。
スーパー ユーザーがファイルの暗号化を解除すると、ファイルの暗号化解除がログに記録され、 使用状況ログで監査できます。
注:
ログには、ファイルを復号化したユーザーなど、暗号化解除に関する詳細が含まれますが、ユーザーがいつスーパー ユーザーであったかの詳細は示されません。
ログを Get-AipServiceSuperUser および Get-AipServiceSuperUserGroup と共に使用して、最初にログで特定できるスーパー ユーザーの一覧を収集します。
日常的なサービスでスーパー ユーザー機能が必要ない場合は、必要なときにのみ機能を有効にし、 Disable-AipServiceSuperUserFeature コマンドレットを使用して再度無効にします。
スーパー ユーザー機能の監査の例
次のログの抽出は、 Get-AipServiceAdminLog コマンドレットを使用したエントリの例を示しています。
この例では、Contoso Ltd の管理者は、スーパー ユーザー機能が無効になっていることを確認し、Richard Simone をスーパー ユーザーとして追加し、Richard が Azure Rights Management サービス用に構成された唯一のスーパー ユーザーであることを確認してから、スーパー ユーザー機能を有効にして、現在退職している従業員によって保護されていた一部のファイルを Richard が復号化できるようにしています。
2015-08-01T18:58:20 admin@contoso.com GetSuperUserFeatureState Passed Disabled
2015-08-01T18:59:44 admin@contoso.com AddSuperUser -id rsimone@contoso.com Passed True
2015-08-01T19:00:51 admin@contoso.com GetSuperUser Passed rsimone@contoso.com
2015-08-01T19:01:45 admin@contoso.com SetSuperUserFeatureState -state Enabled Passed True
スーパー ユーザー向けのスクリプト オプション
多くの場合、Azure Rights Management サービスのスーパー ユーザーが割り当てられたユーザーは、複数の場所にある複数のファイルから暗号化を削除する必要があります。 このタスクを手動で実行することもできますが、 Set-FileLabel コマンドレットを使用してスクリプトを作成する方が効率的 (多くの場合、信頼性が高く) です。
また、このコマンドレットを使用して、暗号化を適用しない新しいラベルを適用したり、暗号化を適用したラベルを削除したりすることもできます。
これらのコマンドレットの詳細については、PurviewInformationProtection PowerShell ドキュメントの「Microsoft Purview Information Protection クライアントで PowerShell を使用する」を参照してください。
注:
PurviewInformationProtection モジュールは、Microsoft Purview Information Protection 用の Azure Rights Management サービスを管理する AIPService PowerShell モジュールとは異なり、補足しています。
PST ファイルから暗号化を削除する
PST ファイルから暗号化を削除するには、 Microsoft Purview の電子情報開示 を使用して、メール内の暗号化されたメールと暗号化された添付ファイルを検索および抽出することをお勧めします。
スーパー ユーザー機能は Exchange Online と自動的に統合されるため、Microsoft Purview ポータルの電子情報開示で、エクスポート前に暗号化されたアイテムを検索したり、エクスポート時に暗号化された電子メールの暗号化を解除したりできます。
Microsoft Purview eDiscovery を使用できない場合は、Azure Rights Management サービスと統合して同様にデータを推論する別の電子情報開示ソリューションがある可能性があります。
または、電子情報開示ソリューションが保護されたコンテンツを自動的に読み取って復号化できない場合でも、 Set-FileLabel コマンドレットと共にこのソリューションをマルチステップ プロセスで使用できます。
問題の電子メールを Exchange Online または Exchange Server、またはユーザーが電子メールを保存したワークステーションから PST ファイルにエクスポートします。
PST ファイルを電子情報開示ツールにインポートします。 このツールは暗号化されたコンテンツを読み取ることができないため、これらのアイテムではエラーが発生することが予想されます。
ツールで開けなかったすべてのアイテムから、今回は暗号化されたアイテムのみを含む新しい PST ファイルを生成します。 この 2 番目の PST ファイルは、元の PST ファイルよりもはるかに小さい可能性があります。
この 2 番目の PST ファイルで Set-FileLabel を実行して、このはるかに小さいファイルの内容を復号化します。 出力から、現在復号化された PST ファイルを検出ツールにインポートします。
メールボックスと PST ファイル間で電子情報開示を実行するための詳細とガイダンスについては、ブログ投稿「Azure Information Protectionおよび電子情報開示プロセス」を参照してください。