Microsoft Information Protection (MIP) SDK のセットアップと構成

クイックスタートとチュートリアルの記事では、MIP SDK ライブラリと API を使用するアプリケーションの構築に重点を置いています。 この記事では、SDK を使用する前に、Microsoft 365 サブスクリプションとクライアント ワークステーションを設定して構成する方法について説明します。

前提条件

作業を開始する前に、次のトピックを確認してください。

重要

ユーザーのプライバシーを尊重するために、自動ログ記録を有効にする前にユーザーの同意を得る必要があります。 ログ記録の通知に関して Microsoft で使用されている標準的なメッセージの例を次に示します。

エラーログとパフォーマンスログを有効にすると、エラーとパフォーマンスデータをMicrosoftに送信することに同意します。 Microsoftは、インターネット ("Data") を介してエラーデータとパフォーマンス データを収集します。 Microsoftは、このデータを使用して、Microsoft製品およびサービスの品質、セキュリティ、整合性を提供および改善します。 たとえば、Microsoftは、使用する機能、機能の応答速度、デバイスのパフォーマンス、ユーザー インターフェイスの操作、製品で発生した問題など、パフォーマンスと信頼性を分析します。 データには、現在実行しているソフトウェアなどのソフトウェアの構成と IP アドレスに関する情報も含まれます。

Office 365 サブスクリプションにサインアップする

多くの SDK サンプルでは、Office 365 サブスクリプションへのアクセスが必要となります。 次のいずれかの種類のサブスクリプションにサインアップします。

名前 サインアップ
Office 365 Enterprise E3 試用版 (30 日の無料試用版) https://go.microsoft.com/fwlink/p/?LinkID=403802
Office 365 Enterprise E3 または E5 https://www.microsoft.com/microsoft-365/enterprise/office-365-e3
Enterprise Mobility + Security E3 または E5 https://www.microsoft.com/security
Azure Information Protection Premium P1 または P2 セキュリティ & コンプライアンスのための Microsoft 365 ライセンス ガイダンス
Microsoft 365 E3、E5、F1 https://www.microsoft.com/microsoft-365/enterprise/microsoft365-plans-and-pricing

注

Azure Information Protection Premium P1 または P2 は、スタンドアロン オファーとして含まれません。 Microsoft 365 E3または E5、または Enterprise Mobility and Security E3 または E5 の一部として購入できます。

機密ラベルの構成

現在従来のラベル構成を使用している場合は、ラベルを Microsoft Purview に移行する必要があります。 プロセスの詳細については、「 秘密度ラベルとそのポリシーの作成と構成」を参照してください。

クライアント ワークステーションを構成する

次に、次の手順を実行して、クライアント コンピューターを正しく設定して構成します。

  1. Windows 10 ワークステーションを使用している場合:

    Windows Updateを使用して、Fall Creators Update (バージョン 1709) 以降Windows 10コンピューターを更新します。 現在のバージョンを確認するには、次の手順を実行します。

    • 左下にあるWindows アイコンを選択します。
    • 「PC について」と入力し、Enter キーを押します。
    • 下へスクロールして [Windows の仕様] に移動し、[バージョン] を確認します。

  2. Windows 11 または Windows 10 ワークステーションを使用している場合:

    ワークステーションで 開発者モード を有効にします。

    • 左下にあるWindows アイコンを選択します。
    • 「 開発者向け機能を使用」と入力し、[ 開発者向け機能の使用 ] 項目が表示されたら Enter キーを押します。
    • [設定] ダイアログの [開発者向け] タブの [開発者向け機能の使用] で、[開発者モード] オプションを選択します。
    • 設定ダイアログを閉じます。

  3. Visual Studio 2022 をインストールし、次のワークロードとオプションコンポーネントをインストールします。

    • [ユニバーサル Windows プラットフォーム開発]: Windows ワークロードに加えて、次のオプション コンポーネント:

      • C++ ユニバーサル Windows プラットフォーム ツール
      • Windows 10 SDK 10.0.16299.0 SDK 以降 (既定で含まれていない場合)

    • [C++ によるデスクトップ開発]: Windows ワークロードに加えて、次のオプション コンポーネント:

      • Windows 10 SDK 10.0.16299.0 SDK 以降 (既定で含まれていない場合)

      Visual Studioセットアップ。

  4. MSAL.PS PowerShell モジュールをインストールします。

    • インストールには管理者権限が必要であるため、次のいずれかのオプションを使用します。

      • 管理者権限を持つアカウントでコンピューターにサインインします。
      • 管理者特権 (管理者として実行) を使用して、Windows PowerShell セッションを実行します。

    • Install-Module -Name MSAL.PS コマンドレットを実行します。

      PS C:\WINDOWS\system32> Install-Module -Name MSAL.PS

Untrusted repository
You are installing the modules from an untrusted repository. If you trust this repository, change its
InstallationPolicy value by running the Set-PSRepository cmdlet. Are you sure you want to install the modules from
'PSGallery'?
[Y] Yes  [A] Yes to All  [N] No  [L] No to All  [S] Suspend  [?] Help (default is "N"): A

PS C:\WINDOWS\system32>

  5. ファイルのダウンロード:

    MIP SDK は次のプラットフォームでサポートされており、サポートされているプラットフォームと言語ごとに個別にダウンロードされます。

    オペレーティング システム バージョン ダウンロード メモ
    ウブントゥ 22.04 C++ tar.gz
    Java (プレビュー) tar.gz
    .NET コア
    ウブントゥ 24.04 C++ tar.gz
    Java (プレビュー) tar.gz
    .NET コア
    RedHatエンタープライズLinux 8 と 9 C++ tar.gz
    Debian 10 と 11 C++ tar.gz
    macOS サポートされているすべてのバージョン C++ .zip Xcode の開発には 13 以降が必要です。
    ウィンドウズ サポートされているすべてのバージョン (32/64 ビット) C++
    C++/.NET NuGet
    Java (プレビュー) .zip
    Android 9.0 以降 C++ .zip プロテクションおよびポリシーSDKのみ。
    iOS サポートされているすべてのバージョン C++ .zip プロテクションおよびポリシーSDKのみ。

    Tar.gz/.zip ダウンロード

    Tar.gzと .zip のダウンロードには、API ごとに 1 つずつ圧縮されたファイルが含まれています。 圧縮ファイルでは、次の名前付け規則が使用されます。ここで、 <API> = file、 protection、または upe、 <OS> = プラットフォーム: mip_sdk_<API>_<OS>_1.0.0.0.zip (or .tar.gz)。 たとえば、Debian 上の Protection SDK バイナリとヘッダーのファイルは mip_sdk_protection_debian9_1.0.0.0.tar.gz。 含まれる各.tar.gz/.zip ファイルは、次の 3 つのディレクトリに分割されます。

    • Bins: 各プラットフォーム アーキテクチャのコンパイル済みバイナリ (該当する場合)。
    • Include: ヘッダー ファイル (C++)。
    • Samples: サンプル アプリケーションのソース コード。

    NuGet パッケージ

    Visual Studio開発を行っている場合は、NuGet パッケージ マネージャー コンソールを使用して SDK をインストールすることもできます。

    Install-Package Microsoft.InformationProtection.File
Install-Package Microsoft.InformationProtection.Policy
Install-Package Microsoft.InformationProtection.Protection

  6. NuGet パッケージを使用していない場合は、PATH 環境変数に SDK バイナリのパスを追加します。 PATH 変数を使用すると、クライアント アプリケーションは実行時に依存バイナリ (DLL) を検索できます。 このステップはオプションです。

    Windows 11 または Windows 10 ワークステーションを使用している場合:

    • 左下にあるWindows アイコンを選択します。

    • 「パス」と入力し、「システム環境変数の編集」項目が表示されたら Enter キーを押します。

    • [ システムのプロパティ ] ダイアログで、[環境変数] を選択 します。

    • [環境変数] ダイアログで、[ユーザー変数] の下にある [パス変数] 行<>を選択し、[編集] を選択します。

    • [ 環境変数の編集 ] ダイアログで、[ 新規作成] を選択すると、編集可能な行が作成されます。 file\bins\debug\amd64、protection\bins\debug\amd64、およびupe\bins\debug\amd64サブディレクトリへの完全パスごとに新しい行を追加します。 SDK のディレクトリは、<API>\bins\<target>\<platform> 形式で格納されます。

      • <API> = file、protection、upe
      • <target> = debug、release
      • <platform> = amd64 (x64)、x86 など

    • Path 変数の更新が完了したら、[OK] を選択します。 [環境変数] ダイアログに戻ったら、[OK] を選択します。

  7. GitHubから SDK サンプルをダウンロードします。 このステップはオプションです。

Microsoft Entra ID にクライアント アプリケーションを登録する

Microsoft 365 サブスクリプションのプロビジョニング プロセスの一環として、Microsoftは関連付けられたMicrosoft Entraテナントを作成します。 Microsoft Entra テナントでは、Microsoft 365 のユーザー アカウントとアプリケーション アカウントに使用される ID およびアクセス管理が提供されます。 セキュリティで保護された API (MIP API など) へのアクセスを必要とするアプリケーションには、アプリケーション アカウントが必要です。

実行時の認証と承認の場合、 セキュリティ プリンシパル はアカウントを表し、アカウントの ID 情報から派生します。 アプリケーション アカウントを表すセキュリティ プリンシパルは、 サービス プリンシパルと呼ばれます。

クイック スタートと MIP SDK サンプルで使用するアプリケーション アカウントをMicrosoft Entra IDに登録するには:

重要

アカウント作成用の Microsoft Entra テナント管理にアクセスするには、サブスクリプションの所有者ロールのメンバーであるユーザー アカウントで Azure ポータルにサインインします。 テナントの構成によっては、 アプリケーションを登録するためにグローバル管理者ディレクトリ ロールのメンバーである必要がある場合もあります。 制限付きアカウントでテストします。 必要な SCC エンドポイントにアクセスするために必要な権限のみをアカウントに付与します。 ログ システムは、コマンド ラインを介して渡されたクリアテキスト パスワードを収集する場合があります。

  1. 「 新しいアプリケーションの登録 」セクションの手順に従います。 テスト目的の場合は、このガイドの手順を実行するときに、所与のプロパティに次の値を使用してください。

    • サポートされているアカウントの種類 - この組織のディレクトリ内のアカウントのみを選択します。
    • リダイレクト URI - リダイレクト URI の種類を パブリック クライアント (モバイルおよびデスクトップ) に設定します。 アプリケーションで Microsoft Authentication Library (MSAL) を使用する場合は、http://localhostを使用します。 それ以外の場合は、<app-name>://authorize という形式を使用します。

  2. 完了したら、新しいアプリケーション登録の [登録済みアプリ ] ページに戻ります。 クイック スタートで必要に応じて、GUID を [アプリケーション (クライアント) ID] フィールドにコピーして保存します。

  3. API のアクセス許可を選択して、クライアントがアクセスする必要がある API とアクセス許可を追加します。 [ アクセス許可の追加] を選択して、[ API のアクセス許可の要求 ] ウィンドウを開きます。

  4. 実行時にアプリケーションに必要な MIP API とアクセス許可を追加します。

    • [API の選択] ページで、Rights Management サービスAzure選択します。
    • Azure Rights Management Services API ページで、[委任されたアクセス許可] を選択します。
    • [ アクセス許可の選択 ] セクションで、 user_impersonation アクセス許可を選択します。 この権限により、アプリケーションはユーザーに代わって保護されたコンテンツを作成してアクセスできます。
    • [ アクセス許可の追加] を選択して保存します。

  5. 手順 4 を繰り返しますが、今度は [API の選択 ] ページに移動し、API を検索します。

    • [ API の選択 ] ページで、 組織が使用する API を選択します。 次に、検索ボックスに「Microsoft Information Protection Sync Service」と入力し、それを選択します。
    • [同期サービス API のMicrosoft Information Protection] ページで、[委任されたアクセス許可] を選択します。
    • UnifiedPolicy ノードを展開し、UnifiedPolicy.User.Read を選択します。
    • [ アクセス許可の追加] を選択して保存します。

  6. [API のアクセス許可] ページに戻ったら、[管理者の同意を付与する (テナント名)]、[はい] の順に選択します。 この手順では、この登録を使用して、指定されたアクセス許可で API にアクセスするアプリケーションに事前に同意します。 グローバル管理者としてサインインした場合、アプリケーションを実行するテナント内のすべてのユーザーに対する同意が記録されます。 それ以外の場合は、ユーザー アカウントにのみ適用されます。

完了すると、アプリケーションの登録と API のアクセス許可は、次の例のようになります。

Microsoft Entra アプリの登録。 Microsoft Entra アプリの API のアクセス許可。

クライアント アプリケーションに必要な API とアクセス許可の追加の詳細については、「 Web API にアクセスするためのクライアント アプリケーションの構成」を参照してください。

Information Protection Integration Agreement (IPIA) を申請する

MIP で開発されたアプリケーションを一般にリリースする前に、Microsoftとの正式な契約を申請して完了する必要があります。

注

内部使用のみを目的としたアプリケーションには、この契約は必要ありません。

  1. 次の情報を記載した電子メールを IPIA@microsoft.com に送信して IPIA を取得します。

    件名:会社名 の IPIA の申請

    電子メールの本文には、次の内容を含めます。

    • アプリケーションと製品の名前
    • 申請者の氏名
    • 申請者の電子メール アドレス

  2. MICROSOFTが IPIA 要求を受け取った後、MicrosoftはフォームをWordドキュメントとして送信します。 IPIA の利用規約を確認し、フォームに次の情報を記載して IPIA@microsoft.com に返信します。

    • 会社の法的名称
    • 法人設立地の州/省（米国/カナダ）または国/地域
    • 会社の URL
    • 連絡先の電子メール アドレス
    • 会社のその他の住所 (省略可能)
    • 会社のアプリケーションの名前
    • アプリケーションの簡単な説明
    • Azure のテナント ID
    • アプリケーションのアプリ ID
    • 重要な状況に対応するための会社の連絡先、電子メール、電話

  3. Microsoftフォームを受け取った後、Microsoftはデジタル署名するための最終的な IPIA リンクを送信します。 署名後、適切なMicrosoft担当者が契約に署名します。

すでにIPIAに署名がありますか？

既に署名済みの IPIA があり、リリースするアプリケーションの新しい アプリ ID を 追加する場合は、 IPIA@microsoft.com に電子メールを送信し、次の情報を提供します。

  • 会社のアプリケーションの名前
  • アプリケーションの簡単な説明
  • Azure のテナント ID (以前と同じ場合でも)
  • アプリケーションのアプリ ID
  • 重要な状況に対応するための会社の連絡先、電子メール、電話

メールを送信した後、受信確認を受け取るまで最大 72 時間待ちます。

アプリに必要な依存関係があることを確認する

Windowsに MIP SDK を使用してビルドされたアプリケーションには、Visual C++ ランタイム コンポーネントがまだインストールされていない場合に必要です。

これらの依存関係は、アプリケーションをリリースとしてビルドした場合にのみ機能します。 アプリケーションをデバッグとしてビルドする場合は、Visual C++ ランタイム デバッグ DLL をアプリケーションに含めるか、コンピューターにインストールします。

MIP SDK on Linux でビルドされたアプリケーションには、次の依存関係のサポートされているバージョンが必要です。

バイナリには、各 OS に必要な依存関係をインストールするコマンドを含む how-to-build-and-run.txt ファイルを含むサンプル フォルダーが含まれています。

次のステップ

  • 最終更新: