SharePoint Online の保存時（data at rest）のデータに対して、感度ラベルを大規模に適用することを支援できるかどうかを、顧客から何度聞かれたか数え切れません。残念ながら、実際に選べるのは本当に 1 つの方法しかなく、しかも理想的とは言えません。現時点では、エンドユーザーが SharePoint Online サイト内のファイルに感度ラベルを直接適用できる API は存在しないため、唯一現実的な選択肢は、そのファイルをローカルにダウンロードしてラベルを適用し、その後にファイルをアップロードすることです。おそらく、egress コストやレイテンシの問題など、このアプローチが理想的でない理由はいくつもあるので、わざわざ詳しく説明する必要はないでしょう。
幸いなことに、別の選択肢も用意されています。Microsoft はプレビュー機能として、Microsoft Teams、Microsoft 365 グループ、SharePoint サイトに感度ラベルを割り当てられるようにしました。 これにより、コンテナー レベルでラベルの保護が提供され、分類と設定済みの保護設定がサイトまたはグループに適用されます。最初に押さえておきたい重要な点は、現時点では、これらのコンテナー内のコンテンツが、分類に対するラベルや、ファイルおよびメールに対する設定を継承しないことです。 しかし、MIP Principal PM Manager の Tony Themelis は Microsoft が計画している ことを示しています。つまり、サイト ラベルがサイト内のすべてのファイルに自動でラベルを付けられるようにする機能を追加する予定です。
厳選した関連コンテンツ：
このブログ記事では、UI から行う方法と PowerShell を使う方法の両方で、SharePoint Online サイトに感度ラベルを適用する手順を説明します。
感度ラベルの概要（簡潔版）
感度ラベルはかなり前から存在しており、以前の Information Rights Management から Azure Information Protection を経て、現在は Microsoft 365 Security and Compliance Center における提供形態へと進化してきました。これらのラベルの目的は、保護されたコンテンツを表示・アクセスできるのが許可された人だけになるようにすることです。ラベルによって、コンテンツへのマーク付け、保持ポリシーの設定、オフライン アクセスの無効化など、追加の保護を提供することもできます。
お客様の license level によって、ラベルを最終ユーザーが手動で適用する必要があるのか、それとも定義済みの機密情報タイプに基づいて自動的に適用できるのかが決まります。情報タイプに基づいてラベルを作成し、コンテンツを分類する方法については、当社の blog post をご覧ください。
ここから深掘りする前に、Microsoft が顧客が大量のファイルに誤ってラベルを適用してしまうのを防ぐために、アプリごと、テナントごとに 1 日あたり 100 ラベルを適用 の操作に上限を設定していることを、ここで一度押さえておくとよいでしょう。この上限は調整できますが、そのためにはサポートチケットを開く必要があります。
コンテナにセンシティビティ ラベルを適用する
Microsoft 365 でコンテナにラベルを適用するには、まず管理者が Azure AD でプレビューを有効にする 必要があります。以下の手順を使用して、PowerShell で実現できます。
AzureADPreview を有効にしてディレクトリ レベルの設定を作成する方法
- ステップ 1。AzureADPreview モジュールの以前のバージョンをアンインストールします：
Uninstall-Module AzureADPreview
- ステップ 2。 AzureADPreview モジュールをインストールします：
Install-Module AzureADPreview -AllowClobberx`
Import-Module AzureADPreview
- ステップ 3。 Azure テナントに接続し、ディレクトリ レベルで設定を作成します。このステップを完了するには、管理者の資格情報が必要です。
Connect-AzureAD
Get-AzureADDirectorySettingTemplate
$TemplateId = (Get-AzureADDirectorySettingTemplate | where { $_.DisplayName -eq "Group.Unified" }).Id
$Template = Get-AzureADDirectorySettingTemplate | where -Property Id -Value
$TemplateId -EQ
$Setting = $Template.CreateDirectorySetting()
$Setting["EnableMIPLabels"] = "True"
New-AzureADDirectorySetting -DirectorySetting $Setting
$Setting.Values
追加の構成オプションを有効化しました
これを有効にすると、Microsoft 365 Security & Compliance Center で既存の感度ラベルを作成または編集する際に、次の追加の構成オプションが表示されます：
- スコープ：コンテナー レベルで感度ラベルを適用できる新しい「Groups & Sites」オプション：
図 1：機密度ラベルのスコープ
- 保護設定：Microsoft Teams、グループ、およびサイトにのみ適用される特定の保護設定：
図 2：Teams、グループ、およびサイトの保護設定
- プライバシー設定：ラベル付きの Teams および Microsoft 365 グループのみに適用されるプライバシー設定：
図 3：プライバシーおよび外部ユーザーのアクセス設定
- 共有設定：ラベルが付いたサイトに適用される特定の外部共有設定：
図 4：外部共有とデバイス アクセスの設定
サイトにラベルを適用する
ラベルを手動で適用する
コンテナー レベルで適用できるラベルを設定したら、サイト設定を使用して、既存のサイトまたは作成中の新しいサイトのいずれにも簡単に適用できます。Sensitivity のドロップダウンには、使用可能なすべてのコンテナー レベルの感度ラベルが表示されます:
図 5：サイトにセンシティビティ ラベルを適用する
プログラムによるラベルの適用
PowerShell を使用してサイトにセンシティビティ ラベルをプログラム的に適用するには、次の手順を実行します。
- 手順 1：管理者アカウントを使用して SharePoint Online テナントに接続します:
Connect-SPOService -Url ‘https://TENANT-admin.sharepoint.com’
- ステップ 2。管理者アカウントを使用して Security and Compliance Center に接続します:
Connect-IPPSSession -UserPrincipalName USERNAME@TENANT.ONMICROSOFT.COM
- ステップ 3。Get-Label コマンドを実行して、使用可能なラベルの一覧を取得します:
PS C:Windowssystem32> Get-Label |ft Name, Guid, ContentType
Name Guid ContentType
---- ---- -----------
HIPAA 9da4a767-6a34-4345-a2bd-a60d841bdcce File, Email
Internal Only 78576ad9-1724-48b3-b915-00b8c9d23323 File, Email
GDPR - IP Constraint 9085e9a5-8d63-4498-a7a8-e63ae1d3cecd File, Email
IsSensitive f23e934d-7df0-4964-a85e-512fa1893fad File, Email
Test 2ca82bb8-364a-4878-bb2b-ee6229b5a380 File, Email
Confidential 61f58b80-cb9d-457f-a2c2-f4d870e415de File, Email, Site, UnifiedGroup
936bffcc-298b-440f-84d3-1b0f839b0a73 936bffcc-298b-440f-84d3-1b0f839b0a73 File, Email
2a341499-bcbe-47e5-ad00-de254ed4bf45 2a341499-bcbe-47e5-ad00-de254ed4bf45 File, Email
66a5a032-508e-45ee-861f-2a7887180b60 66a5a032-508e-45ee-861f-2a7887180b60 File, Email
d95145c9-3f29-4ed1-ad28-5abc75c9aa29 d95145c9-3f29-4ed1-ad28-5abc75c9aa29 File, Email
新しく作成したラベルの ContentType は “File, Email, Site, UnifiedGroup” になります。
- ステップ 4。「ラベル ガイド」を使って、サイトにラベルを適用します：
Set-SPOSite –Identity “https://TENANT.sharepoint.com/sites/SupportTeam” –SensitivityLabel ’61f58b80-cb9d-457f-a2c2-f4d870e415de’
Get-SPOSite コマンドを使用して、感度ラベルが適用されたことを必ず確認してください：
PS C:Windowssystem32> get-sposite "https://TENANT.sharepoint.com/teams/SupportTeam" | Select SensitivityLabel
SensitivityLabel
----------------
61f58b80-cb9d-457f-a2c2-f4d870e415de
ラベルがエンドユーザーにどのように表示されるか
サイトにラベルを付けると、ユーザーがサイトを閲覧するときにそのラベルがエンドユーザーに表示されます：
図 6：機密度ラベルがエンドユーザーに表示される方法
管理者がサイトと機密度ラベルを確認する方法
SharePoint 管理センターの Active sites ページを使用して、サイトの一覧と関連する機密度ラベルを表示できます：
図 7：SharePoint 管理センターでサイトと機密度ラベルを表示する
まとめ
このプレビュー機能は、Microsoft 365 上のデータ（保存時）を分類して保護しようと苦労してきた方にとって大きなメリットです。最終的な目標はファイル レベルでの保護を実現することですが、コンテナー レベルのラベルにより、組織は分類と保護設定を特定のサイトやグループに対してきめ細かく適用できます。これにより、生産性とセキュリティの両方の妨げになり得る不要な制限を回避できます。
データの機密性に基づいて SharePoint Online 上のコンテンツにラベルを付け、保護したいと考えている組織（特に、自動ラベリング機能を提供する E5 ライセンスがない組織）は、StealthAUDIT のようなプラットフォームを活用することを検討すべきです。これにより、SharePoint 内の機密性の高いコンテンツを特定し、さらにサイトやグループに対して適切な機密性ラベルを大規模に適用できます。
共有する
もっと詳しく
著者について
Farrah Gamboa
プロダクトマネジメント シニアディレクター
Netwrixにおけるプロダクトマネジメントのシニアディレクター。Farrahは、Data SecurityおよびAudit & Complianceに関連するNetwrix製品とソリューションのロードマップを構築し、実現することを担当しています。Farrahは、エンタープライズ規模のデータセキュリティソリューションに携わる経験が10年以上あり、Stealthbits TechnologiesからNetwrixに入社しました。Stealthbits Technologiesでは、テクニカルプロダクトマネージャーおよびQCマネージャーを務めていました。FarrahはRutgers Universityで産業工学の学士（BS）を取得しています。