Azure Information Protection P2 の機能

この投稿は Office 365 アドベントカレンダーに参加しています。

以前の投稿でもお知らせしたようにEMSにはE5という上位プランができました。
その中に Azure Information Protection (以下、AIP)Plan 2 が含まれます。

(※ちなみに、AIP は従来まで Azure Right Management(RMS)という名前で呼ばれていたものの後継にあたります。旧という表現をしておりますが、RMS が無くなったわけではありません。AIP は RMS の暗号化技術を使ってさらなる保護をかけています。)

Office 365 E3 以上のプランにも RMS が付随していますが、最近は Office 365 E3 をご利用の企業でも、オンプレミスでの利用や Office ドキュメント以外の保護を目的に AIP の導入をご検討いただくことが増えてきています。
なので、ぜひ Office 365 ユーザーの皆様にもこの機能に興味を持っていただきたいと思い Office 365 アドベントカレンダーにこの投稿を参加させています。

前置きが長くなりました。
では、AIP Plan 2 の新機能として登場した「ラベリングと分類」についてご紹介します。この機能を利用すると、社内ユーザーに視覚的にそのドキュメントの機密性を意識させることができ、情報漏洩などのセキュリティ事故を防ぐことができます。もちろん、従来の Azure RMS の機能でもあるそのドキュメントを追跡、アクセスの禁止などの設定も可能です。

まず、利用するための準備ですが、ご契約いただく前に試してみたいと思われますよね。この AIP(P2)も、もちろんお試しいただくことが可能です。

Office 365 の管理画面(もちろん試用版でもOK)メニューで、「サービスを購入」を選択します。
「Azure Infomation Production P2」を選択し、「無料試用版」ボタンをクリックしてください。


あとはユーザーにライセンスを割り当てれば30日間は製品版と同様機能を利用可能です。

あるいは、以下のページから Enterprise Mobility +Security E5 の無料試用版をお申込みください。

AIP P2 の申し込みが完了したら、次にツールの準備をしましょう。

まずは、RMS のころからおなじみの RMS 共有アプリケーションを以下のサイトからダウンロードしてインストールします。

つぎに、AIP P2 のラベリング機能を利用ために、以下の Azure Information Protection クライアントのサイトをブラウザから開きます。

AzInfoProtection.exe を選択し、ダウンロードを実行します。

ダウンロードが完了したら、あとはウィザードに従いインストールを実行します。

これで準備は完了です。

これだけでも標準で用意されているラベルは利用できますが、内容をカスタマイズするための編集画面をみてみましょう。

Azure ポータルサイトへサインインします。

Azure ポータルから、Market Place – セキュリティ+ID – Azure Information Protection を選択します。


表示された画面で「作成」をクリックします。(ライセンスが付与されていないとここでエラーとなりますので、必ず先に試用版  Or  製品版を取得してください。)

ポリシー編集画面が表示されます。

ここでラベルのカスタマイズをしたり、「すべてのドキュメントとメールにラベルを付ける (自動適用またはユーザーによる適用)」、「分類ラベルを低くする、ラベルを削除する、保護を削除する場合、ユーザーは理由を提供する必要があります」などさまざまなオプションの ON / OFF を切り替えることができます。既定値はどちらも「オフ」になっています。今回は、「視覚的なマーキングの設定(ヘッダーやフッターなど)」を ON に設定します。

設定が完了したら「公開」をクリックし展開します。

それでは、デスクトップで Word 文書を作成してみましょう。
作成した文書を開いてみると、ツールバーに「ラベル」が表示されているのが確認できます。

選択したラベル : Secret がフッターにラベルが表示されていることが確認できます。

残念ながら現段階では、まだすべての機能が利用できる状態ではありません。ラベルがつけられたドキュメントをどのように連携させるかという部分のほとんどが機能制限中です。Exchange Online や Sharepoint Online と統合ができないのが一番つらいところなのですが・・・。最近頻繁にアップデートがかかっているので時間の問題と思われます。(RMS ポリシーテンプレートへの反映が現在プレビュー)

ラベルのつけられたドキュメントの活用方法ですが、例えば Exchange Online のトランスポートルールと連携し、つけられたラベルによってルールを振り分けたり、Cloud App Security と連携した監視の強化も行えます。

他サービスと連携した AIP の活用についてはアップデートの状況をみつつ改めて投稿します。

 

 

 

Microsoft Ignite Live Viewing(基調講演日本語解説イベント)

お知らせです。

2016.09.26 22:00 (日本時間)より、アトランタで開催されるMicrosoft Igniteのキーノート。

こちらの日本語解説イベントがライブ中継されます。このイベントに参加させていただくことになりました。

Windows Server 2016 / System Center 2016 / Azure / Office 365 ・・・・などなど

Microsoft 技術の魅力的な情報が盛りだくさん発表される見込みです。

秋の夜長の1時間半、ぜひご自宅でくつろぎながらお楽しみください。

Microsoft Ignite Live Viewing

 

Office 365 のモバイルデバイス管理(MDM)設定

今回は、Office 365 MDMの設定手順をご紹介します。設定可能な項目や注意事項などは前回の投稿をご参照ください。

まずはOffice 365 管理画面から [Security&Compliance] – [セキュリティポリシー] – [デバイス管理] 画面へ遷移します。

start

[Mobile Device management for Office 365 のセットアップ] 画面で、「始めましょう」をクリックします。アクティブ化が完了すると、設定画面が表示されます。

manage2

右上の[設定の管理] をクリックすると、[モバイルデバイス管理の設定] ダイアログが表示されます。

config

iOS デバイスの管理を行う場合は、iOS デバイス用 APN 証明書の構成 でセットアップをクリックします。ここで証明書の設定を行います。

まずは、証明書要求ファイルのダウンロードです。

cerdownload

次にAppleのポータルサイトへ移動し、証明書の作成・ダウンロードしたcerファイルのアップロードと続きます。最後に作成された証明書をダウンロードします。その後、Office 365 画面へ戻り、ダウンロードした証明書(pemファイル)を登録(アップロード)します。

この手順は以前投稿した Microsoft Intuneのモバイルデバイスの登録準備と同様の流れですね。

つぎに、デバイス セキュリティ ポリシー の管理 を行います。

[セキュリティ] – [セキュリティポリシー] – [デバイスのセキュリティポリシー] から設定を行います。

1

設定したポリシーは、Office 365 セキュリティグループに対して割り当てます。デバイス管理対象ユーザーは事前にセキュリティグループを作成し、メンバーに登録しておきます。

tenkai.GIF

最後にモバイルデバイスでOutlookアプリをインストールし、セキュリティグループに登録したユーザーのアカウントを設定しようとすると、Microsoft Intune ポータルアプリをインストールするように促されますので、ウィザードに従ってインストールを完了させます。(Androidデバイスの場合も同様です。)

20160825_131940000_iOS

[会社へのアクセスセットアップ] 画面が表示されるので、「開始」をクリックし、あとはウィザードに従って [次へ] をクリックしていきます。

20160825_134206000_iOS

Office 365 デバイス管理画面に登録されていることが確認できます。ここから該当デバイスのフルワイプ(工場出荷時状態)や選択式ワイプ(会社データのみ削除。個人データやアプリは保持)の実行が可能です。

List

Office 365 商用のサブスクリプションであれば別途費用がかからずに利用できます。試用版でも利用可能なので、 会社配布のモバイルデバイスを利用される場合はぜひ試してみてください。

 

 

 

 

 

Office 365 による モバイルデバイス管理(MDM)

前回まで Microsoft Intune による管理手順についてご紹介しておりましたが、Office 365 にもモボモバイルデバイス管理(MDM)の機能が搭載されています。

Office 365 の MDM は、Microsoft Intuneの機能を一部 (iOS / Android / Windows Phone) を対象に切り出してきたものです。

Microsoft Intune の場合は、MDMのみでなく、アプリケーション管理(MAM)やコンテンツ管理(MCM)の機能も網羅できます。より管理の幅を広げることができますが、利用するには Microsoft Intune 用のサブスクリプションを購入する必要があります。

Office 365 の MDM の場合は、Office 365 (企業向けエディション)内の機能となりますので、別途MDM を行うためのサブスクリプション購入は不要です。

このあたりの比較については、Microsoft エバンジェリストの安納さんが以前、情報を Blog にわかりやすく記載してくださっています。現在 (2016年8月末)のOffice 365 の MDM として設定できる項目は以下のとおりです。2015年当時と内容に変更は無いようです。

Office 365 MDM 設定項目

[アクセス要件]
・パスワード
単純なパスワードを禁止
英数字のパスワードを要求:
パスワードには次の文字数以上にする必要があります:  文字セット
パスワードの最小文字数:(デフォルトは4文字)
パスワードの有効期限:    日数
パスワードの履歴を保存して再利用を防止:    最大保存数  以前のパスワード
・サインイン失敗が指定した回数を超えたらデバイスをワイプする
指定した期間は非アクティブなデバイスをロックします

・デバイス上のデータの暗号化を要求
・脱獄またはルート化されたデバイスは接続できません
・メール プロファイルの管理が必要です (iOS で選択的にワイプする場合に必要)
・デバイスが上記の要件を満たさない場合…
アクセスを許可し、違反についてレポートします
アクセスをブロックし、違反についてレポートします

[構成] 
・暗号化されたバックアップを要求
・クラウド バックアップの禁止
・ドキュメントの同期の禁止
・写真の同期の禁止
・画面キャプチャの禁止
・デバイスでのビデオ会議をブロック
・デバイスからの診断データ送信の禁止
・アプリケーション ストアへのアクセスをブロック
・アプリケーション ストアにアクセスするときにパスワードが必要
・リムーバブル記憶域との接続の禁止
・Bluetooth 接続の禁止

注意①:Office 365 MDM とIntune を同時に利用はできません。Office 365 MDM からMicrosoft Intune へ管理を切り替える場合には現状は Microsoft へサービスリクエストなどでお問い合わせいただき設定変更を依頼する必要があります。

注意②:Office 365 MDMで設定可能な項目は利用するモバイルデバイスにより若干異なります。詳細は Microsoft Technet の一覧表をご確認ください。

Office 365 MDMの設定画面は最近アップデートがかかっていますので、設定方法など次回の投稿でご紹介します。

 

 

Windows Server 2016 TP4 のActive Directory グループポリシー③

今回は、グループポリシーを利用したOffice アプリケーションの管理についてご紹介します。
まず、Office アプリケーションをグループポリシーで管理するには、管理用テンプレートが必要です。

Microsoft ダウンロードセンターからダウンロードできます。
Office 2016 Administrative Template files (ADMX/ADML) and Office Customization Tool
Microsoft Download Center
ダウンロードセンターで[ダウンロード] ボタンをクリックし、ダウンロードするファイル(64bit)を選択します。

ダウンロードされたファイルを展開し、[admx] フォルダを確認します。
Office 2016 に関する[admx ファイル]とja-jpフォルダ内の[adml ファイル]をコピーし、
ドメインコントローラーのテンプレート格納場所へ貼り付けます。
セントラルストアを形成していない場合は、既定では C:\Windows\PolicyDefinitionsですね。

Office 2016 テンプレートでは、19の項目が追加されています。
Office 2016 Template
グループポリシー管理エディタで注目ポイントを確認してみましょう。

●コンピューターの構成
 コンピューターの構成 – ポリシー – 管理用テンプレート – Microsoft Office 2016(マシン)- 更新
更新メニュー
 確認すると、Office 2016をクイック実行でインストールした場合の更新プログラム取得が制御できます。
 クイック実行でインストールした場合、既定だと更新プログラムは WAN 回線で自動配信となります。
 
 例えば、LAN 回線で社内から配信したい場合、従来までは Office Deployment Tool を使用して、XML形式で記述する必要がありました。
 GUIのグループポリシーで設定できるので、だいぶ楽になりそうです。
Update Path

●ユーザーの構成
 ユーザーの構成 – ポリシー – 管理用テンプレート – Microsoft Office 2016 – DLP
DLP
Office 2016では、「Exchange」「SharePoint」「Outlook」などで採用されているデータ損失防止(DLP)が実装されています。
グループポリシーで、アプリケーション起動時にDLPを適用させることができます。

ぜひご活用ください。