Exchange ハイブリッド展開での IRM

概要: Exchange ハイブリッド環境での IRM の機能、および Exchange Online とオンプレミスの Exchange サーバー間で IRM を構成する方法。

Information Rights Management (IRM) は、電子メール メッセージと添付ファイルをオンラインおよびオフラインで永続的に保護し、機密性の高い情報の漏洩防止を支援します。 Microsoft 365 または Office 365 for enterprises の Exchange on-premises organization と Exchange Online の両方が IRM をサポートします。 ただし、この 2 つの実装には相違があり、そのorganizationのユーザーが IRM を使用するには、Exchange Online organizationで IRM を構成する必要があります。

IRM では、Windows Server 2008 以降のコンポーネントである Active Directory Rights Management Services (AD RMS) を使用します。 AD RMS を使用すると、ユーザーは電子メール メッセージや添付ファイルなどの権限で保護されたコンテンツを作成し、そのコンテンツの使用方法と配布先を制御できます。 ユーザーはコンテンツの使用方法を決定するテンプレートを指定できます。 たとえば、ユーザーは電子メール メッセージを他の受信者に転送できないように指定したり、メッセージ内の情報をコピーできないように指定したりできます。

Exchange 2010 での IRM の詳細については、「 Information Rights Management について」を参照してください。

Exchange Server での IRM の詳細については、「Information Rights Management」を参照してください。

AD RMS の詳細については 、「Active Directory Rights Management サービスの概要」を参照してください。

Exchange On-premises と Exchange Online での IRM の相違点

オンプレミスの Exchange organizationで使用できる IRM 機能は、Exchange Online organizationで使用できる機能とは異なる場合があります。 次の表は、IRM 機能の概要と各組織で利用できる機能を示しています。 (これらの機能の詳細については、「 Information Rights Management」を参照してください)

利用できる IRM 機能

ハイブリッド展開での IRM

Exchange は、Exchange サーバーがインストールされている Active Directory フォレスト内の AD RMS サーバーを使用します。 オンプレミスの Exchange サーバーの場合は、オンプレミスの AD RMS サーバーが使用されます。 ご使用のExchange Online organizationでは、Microsoft 365 および Office 365 データセンター内で維持される AD RMS サーバーが使用されます。 各 Exchange organization が使用する AD RMS 構成は、他の AD RMS 展開とは独立しています。

AD RMS 構成、つまり IRM 構成は、オンプレミスの Exchange organizationとExchange Online organizationの間で自動的に複製されません。 定義した AD RMS テンプレートは、Exchange Online organizationに自動的にコピーされません。 同じ AD RMS テンプレートをExchange Online organizationで使用できるようにするには、オンプレミス organizationからテンプレートを手動でエクスポートし、Microsoft 365 または Office 365 organization に適用する必要があります。 このトピックで後述 するハイブリッド展開での IRM の構成 を参照してください。

ユーザー エクスペリエンス

ユーザーに適用される IRM 構成は、ユーザーが使用するクライアントと、ユーザーのメールボックスの場所によって決まります。 次の表は、ユーザーが使用する AD RMS サーバーを示しています。

アクティブな AD RMS サーバー

オンプレミス組織と Exchange Online 組織で構成する AD RMS 構成によっては、Outlook 2007 と Outlook on the web を使用するユーザーに異なる AD RMS テンプレートが表示される可能性があります。 このため、オンプレミス組織と Exchange Online 組織の両方に同じテンプレートを適用することを強くお勧めします。

メールボックスがオンプレミスにあるか Exchange Online organization にあるかに関係なく、Outlook クライアント ユーザーの IRM エクスペリエンスに違いはありません。

メールボックスが Exchange オンプレミス サーバー上にある Outlook on the web ユーザーは、Internet エクスプローラー用権限管理アドインをインストールした後、権限で保護されたメッセージのみを開くことができます。 これらのメッセージに返信することや、権利で保護されたメッセージを新規に作成することはできません。

メールボックスが Exchange Online にある Outlook on the web ユーザーは、追加のソフトウェアなしで権限で保護されたメッセージを開き、権限が保護された新しいメッセージに返信および作成できます。

サーバーの機能

オンプレミスの Exchange サーバーは、AD RMS ライセンス前エージェントを使用して権限で保護されたメッセージを復号化し、ユーザーがメッセージを開くときに資格情報を入力する必要はありません。 オンプレミスの Exchange サーバーはオンプレミスの AD RMS サーバーに接続して、使用ポリシーと権限をチェックし、メッセージを復号化するための承認を要求します。

このExchange Online organizationには、Exchange Online AD RMS を利用するいくつかの追加の IRM 関連機能が用意されています。 ジャーナル レポートの暗号化解除などのこれらの機能により、権利が保護されたメッセージの内容が Exchange サービスで追加の処理に利用できるようになります。 たとえば、ジャーナル メッセージの暗号化解除された内容は、権限で保護された元のメッセージと共に保存され、検出を容易にすることができます。 さらに、Outlook 保護ルールまたはトランスポート ルールを使用して IRM テンプレートをメッセージに自動的に適用し、メッセージが情報保護に関する organization のポリシーに準拠するようにすることができます。

ハイブリッド展開での IRM の構成

Exchange の IRM は、Exchange サーバーが存在する Active Directory フォレストに展開されている AD RMS に依存します。 AD RMS 構成は、オンプレミス組織と Exchange Online 組織の間で自動的に同期されません。 AD RMS 構成 (信頼できる発行ドメイン (TPD) と呼ばれる) をオンプレミスの AD RMS サーバーから手動でエクスポートし、その構成を Exchange Online organization にインポートする必要があります。 TPD には、Exchange Online organization が IRM を使用するために必要なテンプレートを含む AD RMS 構成が含まれています。

詳細については 、「AD RMS の信頼された発行ドメインに関する考慮事項」を参照してください。

オンプレミスの AD RMS 構成をExchange Online organizationに適用するだけでなく、オンプレミス ネットワークの外部の Outlook クライアントや ActiveSync クライアントから AD RMS サーバーに接続できるようにする必要があります。 これらのクライアントから、社内ネットワークの外側にある権利で保護されたメッセージにアクセスさせたい場合は、この設定を行う必要があります。

オンプレミス ネットワークを構成し、TPD データをエクスポートしたら、TPD データをインポートして IRM を有効にしてExchange Online organizationを構成する必要があります。

Exchange ハイブリッド展開での IRM の構成方法

オンプレミスの Exchange organization で IRM を使用し、Exchange Online ユーザーも IRM を使用する場合は、次の操作を行う必要があります。

1. オンプレミスの Active Directory Rights Management サービス (AD RMS) サーバーを構成します。

2. Exchange Online organizationで IRM を有効にします。

3. インポートした AD RMS テンプレートをExchange Online organization内のユーザーに配布します。

社内 AD RMS サーバーの構成方法

ハイブリッド展開で IRM を構成するには、Windows PowerShell を使用してオンプレミスの AD RMS サーバーにアクセスする必要があります。 詳細情報: Windows PowerShell を使用した AD RMS の管理

社内 AD RMS サーバーから信頼された発行ドメイン (TPD) のデータをエクスポートして、外部クライアント向けに AD RMS サーバーへのアクセスを構成します。

1. 社内組織から TPD データをエクスポートします。 詳細情報: 信頼された発行ドメインのエクスポート

2. 外部クライアントからの AD RMS サーバーへのアクセスを構成します。 詳細情報: エクストラネット クラスター URL の追加

Exchange Online 組織で IRM を有効にする方法

オンプレミスの AD RMS サーバーから TPD データをエクスポートしたら、Exchange Online 組織にデータをインポートして、IRM を有効にする必要があります。

1. Exchange Online organizationで、TPD データをインポートします。

   Import-RMSTrustedPublishingDomain -FileData ([System.IO.File]::ReadAllBytes('<Path to exported TPD file>'))
   

2. Exchange Online organizationで IRM を有効にします。

   Set-IRMConfiguration -InternalLicensingEnabled $True
   

Exchange Online 組織で AD RMS テンプレートを配布する方法

Exchange Online 組織で IRM を有効にしたら、インポート済みの AD RMS テンプレートを配布する必要があります。 AD RMS テンプレートを使用する Exchange Online ユーザーおよび機能は次のとおりです。

• Outlook on the web ユーザー

• Exchange ActiveSync ユーザー

• トランスポート ルール

• ジャーナル レポート復号化

• Outlook の保護ルール

1. Exchange Online organizationで、AD RMS テンプレートの一覧を取得します。

   Get-RMSTemplate -Type All
   

2. AD RMS テンプレートをExchange Online organization内のユーザーと機能に配布します。

   Set-RMSTemplate <template name> -Type Distributed
   

   注:

   "転送不可" のAD RMS テンプレートは変更できません。

3. 配布する各 AD RMS テンプレートに対して、手順 2 を繰り返します。

設定が適用されたことを確認する方法

Outlook on the web ユーザーは、新しいメッセージに AD RMS テンプレートを適用できる必要があります。 Outlook on the web および Exchange ActiveSync ユーザーは、AD RMS テンプレートが適用されているメッセージを読み取ることができる必要があります。 さらに、Get-RMSTemplate コマンドレットを実行すると、社内組織からインポートされたすべての AD RMS テンプレートが一覧表示されます。

Exchange Online organizationで次のコマンドを実行します。

Get-RMSTemplate

詳細情報: Outlook Web App での Information Rights Management