Azure Information Protection

解決する課題

• 機密文書やメールがどこにあるか分からず、誰でも開ける状態になっている
• ファイルがメール添付や USB で社外に持ち出されると、もう制御できない
• 「これは社外秘か公開可か」を人の判断任せにしていて、ラベリングが徹底されない
• 退職者や誤送信先に渡ってしまった文書のアクセスを後から取り消したい
• 規制データ（個人情報・契約書など）の取り扱いを統一ポリシーで強制したい

主要概念と用語

Azure Information Protection（AIP）は「分類」「ラベル付け」「保護」の3段階で機密情報を守ります。

• 機密度ラベル（Sensitivity Label）: 「公開」「社外秘」「極秘」のように情報の機密度を表すタグ。文書やメールのメタデータに埋め込まれ、ラベルに応じた挙動（暗号化・透かし・ヘッダー）を適用する
• 分類（Classification）: 文書を機密度ごとに仕分けすること。利用者が手動で選ぶ方法と、内容を判定して自動・推奨ラベル付けする方法がある
• 保護（Protection）: ラベルに紐づく暗号化とアクセス権の付与。暗号化されたファイルは、許可されたユーザーが許可された操作（閲覧のみ・編集可など）だけを行える
• Azure Rights Management（Azure RMS）: AIP の保護を支える暗号化エンジン。文書ごとに暗号鍵と利用権限ポリシーを埋め込み、ファイルが移動しても権限を追従させる
• 統合ラベル付け（Unified Labeling）: ラベルの定義・配布を Microsoft Purview コンプライアンスポータルに一元化した方式。現行はこちらが標準
• テナントキー: テナント固有のルート鍵。Microsoft 管理（既定）と、**Key Vault で自分が管理する方式（BYOK / HYOK）**を選べる
• 使用権限（Usage Rights）: 閲覧・編集・印刷・コピー・転送などの細かい許可。ラベルや保護テンプレートに定義する

仕様・制限・クォータ

• 保護は文書・メール単位で埋め込まれるため、ファイルがダウンロード・添付・コピーされても暗号化と権限が一緒に移動する
• 対応形式は Office 文書・PDF・画像・テキストなどが中心で、一般ファイルは保護用のコンテナ形式に包んで扱う
• ラベル付けの方法は、利用者の手動選択、ポリシーによる推奨表示、内容判定による自動適用の3通りがある
• ラベルは Microsoft Purview で集中管理し、対象ユーザー・グループへ発行ポリシーとして配布する
• オフラインでも開封できる猶予があり、一定期間は再接続なしで保護文書を利用できる（期間はポリシー依存）
• アクセスの認証は Microsoft Entra IDを使い、社外ユーザーには招待やゲスト連携で権限を渡す
• 旧来の AIP クライアント（独立アプリ）から、Office アプリ・Purview への組み込みへ移行が進んでおり、ラベリング機能は OS・アプリにネイティブ統合されている

内部の仕組み

AIP の保護は **Azure Rights Management（Azure RMS）が中核です。文書を保護すると、その文書専用の対称鍵（コンテンツキー）で本文を暗号化し、誰がどの操作を許されるかを記した発行ライセンス（使用権限ポリシー）**を文書に埋め込みます。コンテンツキー自体はテナントキーで保護され、復号のたびに Entra ID 認証を経て権限がチェックされます。

• 暗号化はクライアント側で行われ、平文の本文がサービスに渡らない設計
• テナントキーは Microsoft 管理が既定だが、Key Vault に置いて自組織で管理する BYOK、オンプレ HSM に鍵を留める HYOK も選べる
• アクセスのたびに Entra ID で認証・認可されるため、権限を後から失効させれば既存ファイルも開けなくなる
• **利用ログ（誰がいつ開いた・拒否された）**が記録され、追跡・監査に使える
• ラベルと暗号化のポリシーは Purview から配布され、Office アプリや OS に組み込まれたラベリング機能が適用する

設計パターン / ベストプラクティス

• ラベルの分類体系をシンプルに設計（例: 公開／社内限定／社外秘／極秘の4段階程度）し、利用者が迷わないようにする
• 既定ラベルと必須ラベルを設定し、無ラベルの文書が生まれないようにする
• 自動・推奨ラベル付けで人手の付け忘れを補い、機密データの取りこぼしを減らす
• 高機密ラベルにのみ暗号化を適用し、編集・印刷・転送などの使用権限を用途別に絞る
• 段階的に展開（まず分類のみ、次に推奨ラベル、最後に自動暗号化）してユーザー教育とセットで進める
• Microsoft Purview DLP と併用し、ラベルを条件にした流出防止ポリシーを効かせる

運用・監視

• **ラベルの利用状況（どのラベルがどれだけ付与されたか）**を Purview のアクティビティで把握する
• 保護文書のアクセスログ（許可・拒否・取り消し）を監査し、不審なアクセスを検知する
• 誤分類の修正フローを用意し、ラベルの引き下げ（ダウングレード）には承認や理由記録を求める
• 退職者・委託終了時はアクセス権を失効させ、配布済みファイルも開けなくする
• オフライン猶予期間を業務実態に合わせて調整し、長期離線端末での利用と失効反映のバランスを取る
• ラベル定義の変更は段階配布し、影響範囲を限定してから全体へ広げる

コスト

AIP / Purview Information Protection の機能は、主に Microsoft 365 / Enterprise Mobility + Security（EMS）のライセンスに含まれる形で提供されます。基本的なラベリングと、自動分類や BYOK などの高度機能でライセンス階層が分かれるのが一般的です。

セキュリティ

• 暗号化と権限が文書に追従するため、社外流出後もアクセスを制御・失効できる
• **テナントキーを自管理（BYOK / HYOK）**すれば、鍵の所有権を組織が握れる
• アクセスのたびに Entra ID 認証を要求し、条件付きアクセスと組み合わせて到達条件を絞る
• 最小権限の使用権限（閲覧のみ・転送禁止など）をラベル単位で定義する
• アクセスログで追跡し、誰がいつ開いた・拒否されたかを監査証跡として残す
• DLP と多層で組み合わせ、ラベルを条件に送信・共有を制御する

関連サービス・比較

AIP は分類とラベル付けが主眼で、保管中データの自動発見は Microsoft Purview の関連機能が担います。AWS では機密データ検出の Macie が近い位置づけです。

ハンズオン / CLI例

AIP / RMS の運用は主に PowerShell（AIPService モジュール）と Purview ポータルで行いますが、テナントキーに使う Key Vault や鍵は Azure CLI で準備できます。

# BYOK 用の Key Vault を作成（Purge Protection 有効化を推奨）
az group create --name aip-rg --location japaneast

az keyvault create \
  --name aip-byok-kv \
  --resource-group aip-rg \
  --location japaneast \
  --sku premium \
  --enable-purge-protection true

# テナントキーに使う RSA 鍵を HSM 保護で作成
az keyvault key create \
  --vault-name aip-byok-kv \
  --name aip-tenant-key \
  --protection hsm \
  --kty RSA-HSM \
  --size 2048

# 作成した鍵の識別子（キー URI）を確認し、AIPService 側の登録に使う
az keyvault key show \
  --vault-name aip-byok-kv \
  --name aip-tenant-key \
  --query key.kid -o tsv