秘密度ラベルとそのポリシーを作成して構成する

セキュリティとコンプライアンスのための Microsoft 365 ライセンス ガイダンス。

すべての Microsoft Purview Information Protection ソリューションは、秘密度ラベルを使って実装されます。 これらのラベルを作成して発行するには、Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルを使用します。

まず、アプリやその他のサービスで使用する秘密度ラベルを作成し、構成します。 たとえば、ユーザーに表示して Office アプリから適用するラベルです。

次に、構成するラベルとポリシー設定を含む 1 つ以上のラベル ポリシーを作成します。 選択したユーザーにラベル ポリシーを発行する場合:

• ラベルは、秘密度ラベルをサポートするアプリでこれらのユーザーに表示されます
• ポリシー設定は、これらのユーザーに適用されます

開始する前に

秘密度ラベルを作成および管理するためのアクセス許可があることを確認するには、「秘密度ラベル を作成および管理するために必要なアクセス許可」を参照してください。

秘密度ラベルを作成して構成する

この構成では、Microsoft Purview ポータルを使用するか、古いMicrosoft Purview コンプライアンス ポータルを引き続き使用できる場合があります。

1. 使用しているポータルに応じて、次のいずれかの場所に移動します。

   • Microsoft Purview ポータルにサインインします>ソリューション>Information Protection>Sensitivity ラベル

   • Microsoft Purview コンプライアンス ポータル>Solutions>Information protection>Labelsにサインインします

2. [ 秘密度ラベル ] ページで、[ + ラベルの作成 ] を選択して、新しい秘密度ラベルの構成を開始します。 たとえば、Microsoft Purview ポータルから次のようになります。

   

   注:

   既定では、テナントにはラベルはありません。作成する必要があります。 新しいラベルを作成するためのガイダンスが必要な場合は、「 秘密度ラベルの概要」を参照してください。

3. [ このラベルのスコープを定義する ] ページで、選択したオプションによって、構成できる設定のラベルのスコープと、発行時に表示される場所が決まります。

   

   • [ファイル] & 他のデータ資産と電子メールも選択されていない限り、[会議] を選択することはできません。 この依存関係と会議を 含むようにラベルを拡張する方法の詳細については、「 秘密度ラベルを使用して予定表アイテム、Teams 会議、チャットを保護する」を参照してください。

     スコープ オプションが選択されていない場合は、スコープの設定を確認する最初のページが表示されますが、それらを構成することはできません。また、ユーザーがこれらのアプリでラベルを選択することはできません。

4. ラベルの設定には、構成の指示に従います。

   ラベル設定の詳細については、「概要」の「秘密度ラベルでできること」を参照してください。また、個々の設定については、UI のヘルプを参照してください。

5. さらにラベルを作成するには、これらの手順を繰り返します。 ただし、サブラベルを作成する場合は、最初に親ラベルを選択し、[アクション] で [...] を選択し、[サブラベルの作成] を選択します。

6. 必要なすべてのラベルを作成したら、ラベルの順序を確認し、必要に応じて上下に移動します。 ラベルの順序を変更するには、[アクション]で [...] を選択し、[上へ移動] や [下へ移動] などの並べ替えオプションのいずれかを選択します。 詳細については、概要の「ラベルの優先度 (順序の問題)」を参照してください。

既存のラベルを編集するには、ラベルを選択し、[ ラベルの編集 ] アイコンを選択します。

この操作により、 秘密度ラベルの編集 構成が開始されます。これにより、手順 4 のすべてのラベル設定を変更できます。

ユーザーへの影響がどの程度かわからない場合は、ラベルを削除しないでください。 詳細については、「ラベルの解除と削除」 のセクションを参照してください。

ラベルを発行するまで、アプリまたはサービスでラベルを選択することはできません。 ラベルを発行するには、ラベルをラベル ポリシーに追加する必要があります。

セキュリティ/コンプライアンス センター PowerShell を含むその他のラベル設定

セキュリティ/コンプライアンス センター PowerShell の Set-Label コマンドレットを使ってその他のラベル設定を使用できます。

例として以下のようなものがあります。

• ユーザーがローカル言語でラベル名とヒントを表示できるように、多国籍の展開では LocaleSettings パラメーターを使用します。 次のセクションには、フランス語、イタリア語、ドイツ語のラベル名とヒントのテキストを指定する設定例があります。

• 組み込みのラベル付けでサポートされる詳細設定は、PowerShell ドキュメントに含まれています。 これらの PowerShell の詳細設定の指定に関する詳細については、「詳細設定を指定するための PowerShell のヒント」セクションを参照してください。 Microsoft Purview Information Protection クライアントでサポートされるその他の詳細設定については、これらの設定に関する別のドキュメントを参照してください。

異なる言語向けに機密ラベルを構成する構成例

次の例では、ヒント用のプレースホルダー テキストが含まれる "Public" という名前のラベルの PowerShell 構成を示します。 この例では、ラベル名とヒントのテキストがフランス語、イタリア語、ドイツ語用に構成されています。

この構成の結果、これらの表示言語を使用する Office アプリを所有するユーザーには、ラベル名とツールヒントが同じ言語で表示されるようになります。 同様に、エクスプローラーのファイルにラベルを付けるためにMicrosoft Purview Information Protection クライアントがインストールされている場合、これらの言語バージョンの Windows を持つユーザーは、ラベル付けに右クリックアクションを使用するときに、ローカル言語でラベル名とヒントが表示されます。

サポートする必要がある言語については、Office の言語識別子 (言語タグとも呼ばれます) を使用して、ラベル名とツールヒントの独自の翻訳を指定します。

PowerShell でコマンドを実行する前に、最初にセキュリティ/コンプライアンス センター PowerShell に接続する必要があります。

$Languages = @("fr-fr","it-it","de-de")
$DisplayNames=@("Publique","Publico","Oeffentlich")
$Tooltips = @("Texte Français","Testo italiano","Deutscher text")
$label = "Public"
$DisplayNameLocaleSettings = [PSCustomObject]@{LocaleKey='DisplayName';
Settings=@(
@{key=$Languages[0];Value=$DisplayNames[0];}
@{key=$Languages[1];Value=$DisplayNames[1];}
@{key=$Languages[2];Value=$DisplayNames[2];})}
$TooltipLocaleSettings = [PSCustomObject]@{LocaleKey='Tooltip';
Settings=@(
@{key=$Languages[0];Value=$Tooltips[0];}
@{key=$Languages[1];Value=$Tooltips[1];}
@{key=$Languages[2];Value=$Tooltips[2];})}
Set-Label -Identity $Label -LocaleSettings (ConvertTo-Json $DisplayNameLocaleSettings -Depth 3 -Compress),(ConvertTo-Json $TooltipLocaleSettings -Depth 3 -Compress)

詳細設定を指定するための PowerShell のヒント

秘密度ラベルは名前で指定できますが、ラベル名または表示名を指定する際の混乱を避けるために、ラベル GUID を使用することをお勧めします。 ラベル名はテナントに一意であるため、正しいラベルを構成していることを確認できます。 表示名は一意ではなく、間違ったラベルを構成している可能性があります。 GUID を見つけてラベルのスコープを確認するには、以下の操作を行います。

Get-Label | Format-Table -Property DisplayName, Name, Guid, ContentType

詳細設定を秘密度ラベルから削除するには、同じ AdvancedSettings パラメーター構文を使用しますが、null 文字列値を指定します。 例:

Set-Label -Identity 8faca7b8-8d20-48a3-8ea2-0f96310a848e -AdvancedSettings @{DefaultSharingScope=""}

詳細設定などのラベルの構成を確認するには、独自のラベル GUID で次の構文を使用します。

(Get-Label -Identity 8faca7b8-8d20-48a3-8ea2-0f96310a848e).settings

ラベル ポリシーを作成して秘密度ラベルを発行する

ラベル ポリシーの一部として、秘密度ラベルとラベル ポリシー設定を持つユーザーとグループを選択します。 管理メンテナンスを低くするには、個々のユーザーではなくグループが推奨されます。 ただし、指定したグループからユーザーが削除されると、そのユーザーのラベル ポリシーが自動的に削除されます。

サポートされているグループ: Microsoft Entra IDのEmail対応セキュリティ グループ、配布グループ、Microsoft 365 グループ (動的メンバーシップを持つことができます)。

この構成では、Microsoft Purview ポータルを使用するか、古いMicrosoft Purview コンプライアンス ポータルを引き続き使用できる場合があります。

1. 使用しているポータルに応じて、次のいずれかの場所に移動します。

   • Microsoft Purview ポータルにサインインします>ソリューション>Information Protection>発行ポリシー。

   • Microsoft Purview コンプライアンス ポータル>Solutions>Information protection>Label ポリシーにサインインします

2. [ ラベル ポリシー ] ページで、[ ラベルの発行 ] を選択して、[ ポリシーの作成 ] 構成を開始します。 たとえば、Microsoft Purview ポータルから次のようになります。

   

   注:

   既定では、テナントにはラベル ポリシーはありません。作成する必要があります。

3. [発行する秘密度ラベルの選択] ページで、[発行する秘密度ラベルの選択] リンクを選択します。 アプリとサービスで使用するラベルを選択し、[追加] を選択します。

   重要

   サブラベルを選択する場合は、必ず親ラベルも選択してください。

4. [管理ユニットの割り当て]: organizationがMicrosoft Entra IDで管理単位を使用している場合は、管理単位を選択することで、ラベル ポリシーを特定のユーザーに自動的に制限できます。 アカウントに 管理単位が割り当てられている場合は、1 つ以上の管理単位を選択する必要があります。

   管理単位を使用してポリシーを制限しない場合、またはorganizationが管理単位を構成していない場合は、既定の [完全ディレクトリ] のままにします。

5. プロンプトに従って構成を完了します。

   表示されるポリシー設定は、選択したラベルのスコープと一致します。 たとえば、[ファイル] & 他のデータ資産スコープのみを持つラベルを選択した場合、[ポリシー設定] [グループとサイトに既定でこのラベルを適用する] と [ユーザーにグループとサイトへのラベルの適用を要求する] が表示されません。

   これらの設定の詳細については、概要情報の「ラベル ポリシーでできること」を参照してください。また、個々の設定については、UI のヘルプを参照してください。

   Microsoft Purview データ マップ アセット (プレビュー) に構成されているラベルの場合: これらのラベルには関連付けられたポリシー設定はありません。

6. 異なるユーザーやスコープに対して、異なるポリシー設定が必要な場合は、次の手順を繰り返します。 たとえば、ユーザーのグループにラベルを追加したり、ユーザーのサブセットに別の既定のラベルを作成したりできます。 または、異なるスコープを持つようにラベルを構成した場合です。

7. 複数のラベル ポリシーを作成すると、ユーザーの競合が発生することがあります。ポリシーの順序を確認し、必要に応じてこれらを上下に移動します。 ラベル ポリシーの順序を変更するには、[アクション] で [...] を選択し、並べ替えオプションのいずれかを選択します。 詳細については、概要の「ラベル ポリシーの優先度 (順序の問題)」を参照してください。

[ポリシーの作成] 構成を完了すると、ラベル ポリシーが自動的に発行されます。 発行したポリシーは、簡単に編集して変更することができます。 特定の発行や再発行のアクションの選択は不要です。

既存のラベル ポリシーを編集するには、そのラベル ポリシーを選択し、ポップアップ ウィンドウから [ ポリシーの編集 ] ボタンを選択します。

このアクションにより、 ポリシーの作成 構成が開始されます。これにより、含まれているラベルとラベル設定を編集できます。 構成を完了すると、選択したユーザーとサービスに変更が自動的にレプリケートされます。

セキュリティ/コンプライアンス センター PowerShell を含むその他のラベル ポリシー設定

セキュリティ/コンプライアンス PowerShell の Set-LabelPolicy コマンドレットを使用すると、追加のラベルポリシー設定を利用できます。

コマンドレットのドキュメントには、組み込みのラベル付けによってサポートされる詳細設定が含まれています。 Microsoft Purview Information Protection クライアントでサポートされるその他の詳細設定については、これらの設定に関する別のドキュメントを参照してください。

保護ポリシーを作成して構成する

保護ポリシーは現在プレビュー段階にあり、Microsoft 365 の外部に保存されているアイテムに適用されます。 たとえば、Microsoft Fabric、Microsoft Azure、アマゾン ウェブ サービス (AWS) などです。

詳細については、「 保護ポリシーの作成と公開」を参照してください。

新しいラベルと変更が反映されるタイミング

ラベルとラベル ポリシー設定の場合は、変更がサービスに反映されるまで 24 時間かかります。 それぞれ独自のタイミング サイクルを持つ多くの外部依存関係があるため、最近の変更に対するラベルとラベル ポリシーのトラブルシューティングを実施する前に 24 時間待機することをおすすめします。

ただし、ラベルとラベル ポリシーの変更が反映されるまで 24 時間かからない場合もあれば、24 時間以上かかる場合もあります。 たとえば、Word、Excel、および PowerPoint on the web の新規および削除された秘密度ラベルの場合、1 時間以内に更新内容が複製される場合があります。 ただし、新しいグループとグループ メンバーシップの変更、またはネットワーク レプリケーションの待機時間と帯域幅の制限の設定に依存する構成の場合、これらの変更が反映されるまで 24 ～ 48 時間かかる場合があります。

機密ラベルとそのポリシーに PowerShell を使用する

セキュリティ / コンプライアンス PowerShell を使用して、ラベル管理センターに表示されるすべての設定を作成し、構成できるようになりました。 つまり、ラベル管理センターでは使用できない設定に PowerShell を使用することに加えて、機密ラベルと機密ラベルポリシーの作成とメンテナンスを完全にスクリプト化できるようになりました。

サポートされるパラメーターと値については、次のドキュメントを参照してください。

• New-Label
• New-LabelPolicy
• Set-Label
• Set-LabelPolicy

機密ラベルまたは機密ラベルポリシーの削除をスクリプト化する必要がある場合は、 Remove-Label および Remove-LabelPolicy を使用することもできます。 ただし、機密ラベルを削除する前に、次のセクションを必ずお読みください。

ラベルの解除と削除

運用環境では、ラベル ポリシーから秘密度ラベルを削除したり、秘密度ラベルを削除したりする必要はほとんどありません。 テストの初期段階では、そのいずれかまたは両方の操作を行う必要が発生する可能性が高いかもしれません。 それらの操作を行った場合、何が起こるかをよく理解しておいてください。

ラベル ポリシーからのラベルの解除は、ラベルの削除に比べてリスクが少なく、いつでも必要に応じて再追加できます。 まだラベル ポリシーに含まれているラベルは消去できません。

ラベル ポリシーからラベルを解除して、当初に指定したユーザーにラベルが発行されないようになると、そのラベルはラベル ポリシーの次回更新時に Office アプリの選択対象としてユーザーに表示されなくなります。 そのラベルが既に適用されていると、そのラベルはコンテンツまたはコンテナーから解除されません。 たとえば、Word、Excel、PowerPoint のデスクトップ アプリで組み込みラベルを使用しているユーザーには、適用されたラベル名はステータス バーに引き続き表示されます。 適用されたコンテナー ラベルにより、Teams または SharePoint サイトは引き続き保護されます。

これに対して、ラベルを削除した場合は次のようになります:

• ラベルが暗号化を適用している場合、以前に保護したコンテンツを引き続き開けるようにするため、基になる保護テンプレートはアーカイブされます。 このアーカイブされた保護テンプレートがあるため、同じ名前の新しいラベルを作成することはできません。 PowerShell を使って保護テンプレートを削除することはできますが、アーカイブしたテンプレートを使用して暗号化されたコンテンツを開く必要がないことが確実な場合を除いて、この操作は実行しないでください。

• SharePoint または OneDrive に保存されていて、Office ファイルの秘密度ラベルを有効化したドキュメントの場合: Office for the web でドキュメントを開くと、アプリに適用されたラベルは確認できなくなり、そのラベル名は SharePoint の [秘密度] 列に表示されなくなります。 削除したラベルが暗号化を適用していて、サービスが暗号化されたコンテンツを処理できる場合、暗号化は解除されます。 こうしたサービスからのエグレス アクションは、同じ結果になります。 たとえば、Office デスクトップ アプリまたはモバイル アプリを使用して、ダウンロード、コピー、移動、オープンする場合です。 ラベル情報はファイルのメタデータに残っていますが、アプリはラベル ID を表示名にマップできなくなっているため、ユーザーはファイルにラベルが付いていないと見なすようになります。

• SharePoint および OneDrive の外部に保存されているドキュメントや、Office ファイルおよびメールの秘密度ラベルを有効にしていない場合: コンテンツを開いたときにメタデータ内にラベル情報が残されていますが、ラベル ID から名前へのマッピングがないため、ユーザーには適用されたラベル名が表示されません (デスクトップ アプリのステータス バーなどに表示されなくなります)。 削除したラベルが暗号化を適用していた場合、暗号化は維持され、ユーザーは現時点でアーカイブされている保護テンプレートの名前と説明を引き続き確認できます。

• SharePoint や Teams のサイトなどのコンテナーの場合: ラベルは解除され、そのラベルで構成された設定は適用されなくなります。 通常、このアクションは SharePoint サイトでは 48 時間から 72 時間かかります。Teams と Microsoft 365 グループでは時間を短縮できます。

• ラベルを削除した後に GUID から名前へのマッピングを使用できない場合、削除されたラベルは、 コンテンツ エクスプローラー や アクティビティ エクスプローラーなどのアプリケーションのラベル名ではなく GUID として表示される可能性があることに注意してください。

すべてのラベルの変更と同様に、ラベル ポリシーからの秘密度ラベルの解除や機密ラベルの削除は、すべてのユーザーとサービスにレプリケートされるまでに時間がかかります。

次の手順

特定のシナリオで秘密度ラベルを構成して使用するには、次の記事が役立つ場合があります。

• 機密ラベルでの暗号化を使用してコンテンツへのアクセスを制限する

• Microsoft 365 データに秘密度ラベルを自動的に適用する

• チーム、グループ、およびサイトで機密度ラベルを使用する

• SharePoint および OneDrive でファイルの秘密度ラベルを有効にする

ラベルの使用方法を監視するには、「 Microsoft データ分類ダッシュボードを使用する方法」を参照してください。