macOS 27 での Microsoft Purview エンドポイント DLP の変更の概要 (プレビュー)

Microsoft Purview エンドポイントのデータ損失防止 (エンドポイント DLP) は、macOS のアクセス許可を使用して、ユーザー アクティビティに関連する Web サイト、アプリケーション、ファイル、アクティブ コンテンツを識別します。 この情報は、Endpoint DLP がポリシーを評価し、Web サイトやクラウド サービスへの機密データのアップロードや、機密コンテンツをブラウザーにコピーするなどのアクティビティに対する保護アクションを適用するのに役立ちます。

macOS 27 (ゴールデン ゲート) より前は、エンドポイント DLP はブラウザーと Web サイトの可視性についてアク セシビリティ のアクセス許可に依存していました。 macOS 27 では、 デバイス制御とデータ アクセス によってこの機能が管理されます。 ユーザーは、モバイル デバイス管理 (MDM) を使用して展開された後にこのアクセス許可を無効にすることができます。これにより、ブラウザーと Web サイトのコンテキストを取得するエンドポイント DLP の機能に影響を与える可能性があります。 データ保護の対象範囲を維持するために、管理者は保護モードを構成し、権限ステータスを監視し、必要に応じて必要な権限を復元するようにユーザーに案内できます。

この記事では、macOS 27 で導入された変更、エンドポイント DLP への影響、および管理者がorganizationを準備する方法について説明します。 管理者は、保護モードを構成し、影響を受けるデバイスを監視し、展開の準備状態を検証できます。

重要

この macOS 27 ガイダンスでは、エンドポイント DLP クライアント バージョン 101.26072 以降を使用します。

前提条件

• エンドポイント DLP クライアントのバージョン 101.26072 以降。
• macOS デバイスの Microsoft Purview へのオンボードに関する知識。

macOS 27 でのアクセス許可の変更

macOS 27 では、エンドポイント DLP はデバイス 制御とデータ アクセス のアクセス許可を使用して、ブラウザーの可視性、アクティビティの監視、ポリシーの適用をサポートします。 このアクセス許可により、エンドポイント DLP は、ユーザー アクティビティに関連付けられているアクティブなブラウザー、Web サイト、アプリケーション、ファイルを識別できます。 このコンテキストは、機密ファイルのアップロードや機密コンテンツのブラウザーへの貼り付けなどのアクティビティのポリシーをサポートします。

macOS 27 では、アクセス許可は [設定>プライバシー] & [セキュリティ] > [デバイス制御]と [データ アクセス] にあります。 以前の macOS バージョンでは、アクセス許可は [設定>プライバシー] & [セキュリティ>アクセシビリティ] にあります。

一部の macOS インターフェイス、管理プロファイル、診断ログでは、Microsoft エンドポイント DLP が com.microsoft.dlp.daemon.app または com.microsoft.dlp.daemonとして表示される場合があります。 これらの識別子は、エンドポイント DLP アプリケーションを参照します。

アクセス許可がオフになっている場合の動作

ユーザーが デバイス制御とデータ アクセスで Microsoft Purview エンドポイント DLP アクセス許可をオフにしたことをエンドポイント DLP が検出すると、エンドポイント DLP は Safari、Chrome、Firefox の URL とブラウザー コンテキストを取得できなくなります。 エンドポイントの DLP は次のように応答します。

1. ユーザーにアクセス許可の復元を求める通知を表示します (次のスクリーンショットを参照)。

2. ブラウザーの URL コンテキストが使用できない場合に管理者が構成した保護設定を適用する。

管理者は、次に対して個別の保護モードを構成できます。

• Web サイトやクラウド サービスへの機密ファイルのアップロード
• 機密データをブラウザーにコピーする

保護モード

エンドポイント DLP は、アクセス許可が利用できない場合に、クラウド エグレスおよびブラウザーへの貼り付けアクティビティに対して 、適用、 監査、 およびオフ モードを提供します。 どちらの設定も既定値は [強制] です。

Web サイトやクラウド サービスへの機密ファイルのアップロード

設定名: クラウド エグレスの制限付き保護モード

この設定は、ブラウザーと Web サイトのコンテキストが使用できない場合に、エンドポイント DLP が機密ファイルのアップロードを処理する方法を制御します。

• 適用: アップロード保護を適用します。 エンドポイント DLP は、サポートされている Edge 以外のブラウザー (Safari、Chrome、Firefox など) を制限付きの宛先として扱い、最も制限の厳しい適用可能なポリシー アクションを強制します。
• 監査: アップロード制限を適用せずに条件を記録して監視します。
• オフ: アクセス許可関連のアップロード保護を適用しません。

機密データをブラウザーにコピーする

設定名: 貼り付けを参照の制限された保護モード

この設定は、ブラウザーと Web サイトのコンテキストが使用できない場合に、Endpoint DLP がブラウザーへのコピー アンド ペースト アクティビティを処理する方法を制御します。

• 強制: ブロックや警告などのポリシー アクションを適用します。
• 監査: 制限を適用せずにイベントを記録します。
• オフ: アクセス許可関連のブラウザーのコピー アンド ペースト保護は適用されません。

アクセス許可の通知

設定名: アクセス許可通知 (notification)

エンドポイント DLP は、アクセス許可がオフになっているときにユーザーに通知できます。 この通知では、アクセス許可が必要な理由が説明され、アクセスを復元するようにユーザーに求められます。 管理者は、通知メッセージをカスタマイズできます。

プロファイル設定は、次の構成キーにマップされます。

顧客のシナリオ	設定名	構成キー
Web サイトやクラウド サービスへの機密ファイルのアップロード	クラウド エグレスの制限付き保護モード	unallowedBrowserMode
機密データをブラウザーにコピーする	ブラウザーに貼り付けるための制限付き保護モード	pasteToBrowserMode
アクセス許可の通知	アクセス許可の通知	notification

次のソース フラグメントは、両方の保護モードを強制に設定します。

 <key>accessibility</key>
                    <dict>
                        <key>enforcement</key>
                        <dict>
                            <key>unallowedBrowserMode</key>
                            <string>enforce</string>
                            <key>pasteToBrowserMode</key>
                            <string>enforce</string>
                        </dict>
                        <key>notification</key>
                        <dict>
                            <key>Microsoft Endpoint DLP will report this device as non-compliant. Additional restrictions will be in effect until Accessibility has been re-enabled for Microsoft Endpoint DLP</key>
                            <string/>
                        </dict>
                    </dict>

MDM 構成オプション

Microsoft では、Microsoft Intune と Jamf Pro の構成サンプルを提供しています。 これらのオプションは、保護モードと、ユーザーにアクセス許可を有効にするように求めるメッセージを構成します。

• Microsoft Intune: 展開の開始点としてサンプル com.microsoft.wdav.mobileconfig構成プロファイルを使用します。
• Jamf Pro with schema.json: 既存の Microsoft Defender for Endpoint 環境設定構成プロファイルを更新して、最新のschema.jsonを使用します。 構成は、[ データ損失防止>アクセシビリティ] の下にあります。
• プロパティ リストを含む Jamf Pro: サンプル com.microsoft.wdav.plistを使用します。

監査モード

監査モードでは、管理者は、適用を有効にする前に、使用できないアクセス許可の影響を評価できます。 エンドポイント DLP は、アクセス許可がオフになっているかどうかを引き続き検出し、アクセスを復元するようにユーザーに通知できますが、クラウド エグレスまたはブラウザーへの貼り付けアクティビティに対して追加の制限付き保護動作は適用しません。

監査モードを使用すると、管理者が影響を受けるデバイスを特定している間、ユーザーの作業を軽減できます。 この評価中、ブラウザー コンテキストが使用できない場合に通常適用される制御は適用されません。 この状態により、アクセス許可が復元されるか、強制が有効になるまで、一時的な保護ギャップが残る可能性があります。

次のソース フラグメントは、両方の保護モードを Audit に設定します。

<key>accessibility</key>
                    <dict>
                        <key>enforcement</key>
                        <dict>
                            <key>unallowedBrowserMode</key>
                            <string>audit</string>
                            <key>pasteToBrowserMode</key>
                            <string>audit</string>
                        </dict>
                        <key>notification</key>
                        <dict>
                            <key>Microsoft Endpoint DLP will report this device as non-compliant. Additional restrictions will be in effect until Accessibility has been re-enabled for Microsoft Endpoint DLP</key>
                            <string/>
                        </dict>
                    </dict>

アクセス許可の監視

Microsoft Purview でエンドポイント DLP アクセス許可の状態を監視します。 デバイスの詳細ウィンドウには、オンボードされた macOS デバイスの アクセシビリティ 構成の状態が表示されます。 状態が [インストール済み ] の場合は必要なアクセス許可が構成されていることを示し、[ 未更新] はアクセス許可がエンドポイント DLP で利用できず、管理者の注意が必要であることを示します。 次のスクリーンショットの例を参照してください。

管理者の準備

macOS 27 用のエンドポイント DLP の準備には、次のアクティビティが含まれます:

1. エンドポイント DLP に関する更新された macOS 展開ガイダンスを確認します。
2. 管理対象 macOS デバイスに必要なエンドポイント DLP アクセス許可構成を展開または検証します。
3. エンドポイント DLP クライアント バージョン 101.26072 以降にアップグレードします。
4. [ デバイス オンボード ] ページで、アクセス許可をオフとして報告するデバイスを監視します。
5. ユーザー通知を構成し、オフになっている場合はアクセス許可を復元するようにユーザーに指導します。

関連コンテンツ

• Microsoft 365 への macOS デバイスのオンボードに関する概要
• エンドポイント データ損失防止を開始する
• エンドポイント データ損失防止について