秘密度ラベルとそのポリシーを作成して構成する

Microsoft Purview サービスの説明

すべての Microsoft Purview Information Protection ソリューションは、秘密度ラベルを使って実装されます。 これらのラベルを作成して発行するには、 Microsoft Purview ポータルを使用します。

まず、アプリやその他のサービスで使用する秘密度ラベルを作成し、構成します。 たとえば、ユーザーに表示して Office アプリから適用するラベルです。

次に、構成するラベルとポリシー設定を含む 1 つ以上のラベル ポリシーを作成します。 選択したユーザーにラベル ポリシーを発行する場合:

• ラベルは、秘密度ラベルをサポートするアプリでこれらのユーザーに表示されます
• ポリシー設定は、次のユーザーに適用されます

はじめに

秘密度ラベルを作成および管理するアクセス許可があることを確認するには、「 秘密度ラベルの作成と管理に必要なアクセス許可」を参照してください。

秘密度ラベルを作成して構成する

秘密度ラベルがまだない場合、またはテナントが 2025 年 10 月 1 日に作成されている場合は、[ 最新のラベル スキーム ] タブを選択します。 または、 最新のラベル スキームに手動で移行しました。 どちらの場合も、テナントが最新のラベル スキームに正常に移行されたことを確認する緑色のメッセージ バーが秘密度 ラベル ページに表示されます。

既存のラベルを編集するには、ラベルを選択してから、[ ラベルの編集] アイコンを選択します。 例:

このアクションにより、 秘密度ラベルの編集 構成が開始されます。これにより、すべてのラベル設定を変更できます。

ユーザーへの影響がどの程度かわからない場合は、ラベルを削除しないでください。 詳細については、「ラベルの解除と削除」 のセクションを参照してください。

ラベルを発行するまで、アプリまたはサービスでラベルを選択することはできません。 ラベルを発行するには、ラベルをラベル ポリシーに追加する必要があります。

セキュリティ/コンプライアンス センター PowerShell を含むその他のラベル設定

セキュリティ/コンプライアンス センター PowerShell の Set-Label コマンドレットを使ってその他のラベル設定を使用できます。

例として以下のようなものがあります。

• ユーザーがローカル言語でラベル名とヒントを表示できるように、多国籍の展開では LocaleSettings パラメーターを使用します。 次のセクションには、フランス語、イタリア語、ドイツ語のラベル名とヒントのテキストを指定する設定例があります。

• 組み込みのラベル付けでサポートされる詳細設定は、PowerShell ドキュメントに含まれています。 これらの PowerShell の詳細設定の指定に関する詳細については、「詳細設定を指定するための PowerShell のヒント」セクションを参照してください。 Microsoft Purview Information Protection クライアントでサポートされている追加の詳細設定については、これらの設定の別のドキュメントを参照してください。

異なる言語向けに機密ラベルを構成する構成例

次の例では、ヒント用のプレースホルダー テキストが含まれる "Public" という名前のラベルの PowerShell 構成を示します。 この例では、ラベル名とヒントのテキストがフランス語、イタリア語、ドイツ語用に構成されています。

この構成の結果、これらの表示言語を使用する Office アプリを所有するユーザーには、ラベル名とツールヒントが同じ言語で表示されるようになります。 同様に、エクスプローラーからファイルにラベル付けするために Microsoft Purview Information Protection クライアントがインストールされている場合、これらの言語バージョンの Windows を使用しているユーザーがラベル付けに右クリック アクションを使用すると、ラベル付けにラベル名とヒントがローカル言語で表示されます。

サポートする必要がある言語については、Office の言語識別子 (言語タグとも呼ばれます) を使用して、ラベル名とツールヒントの独自の翻訳を指定します。

PowerShell でコマンドを実行する前に、最初にセキュリティ/コンプライアンス センター PowerShell に接続する必要があります。

$Languages = @("fr-fr","it-it","de-de")
$DisplayNames=@("Publique","Publico","Oeffentlich")
$Tooltips = @("Texte Français","Testo italiano","Deutscher text")
$label = "Public"
$DisplayNameLocaleSettings = [PSCustomObject]@{LocaleKey='DisplayName';
Settings=@(
@{key=$Languages[0];Value=$DisplayNames[0];}
@{key=$Languages[1];Value=$DisplayNames[1];}
@{key=$Languages[2];Value=$DisplayNames[2];})}
$TooltipLocaleSettings = [PSCustomObject]@{LocaleKey='Tooltip';
Settings=@(
@{key=$Languages[0];Value=$Tooltips[0];}
@{key=$Languages[1];Value=$Tooltips[1];}
@{key=$Languages[2];Value=$Tooltips[2];})}
Set-Label -Identity $Label -LocaleSettings (ConvertTo-Json $DisplayNameLocaleSettings -Depth 3 -Compress),(ConvertTo-Json $TooltipLocaleSettings -Depth 3 -Compress)

詳細設定を指定するための PowerShell のヒント

秘密度ラベルは名前で指定できますが、ラベル名または表示名を指定する際の混乱を避けるために、ラベル GUID を使用することをお勧めします。 ラベル名はテナントに一意であるため、正しいラベルを構成していることを確認できます。 表示名は一意ではなく、間違ったラベルを構成している可能性があります。 GUID を見つけてラベルのスコープを確認するには、以下の操作を行います。

Get-Label | Format-Table -Property DisplayName, Name, Guid, ContentType

詳細設定を秘密度ラベルから削除するには、同じ AdvancedSettings パラメーター構文を使用しますが、null 文字列値を指定します。 例:

Set-Label -Identity 8faca7b8-8d20-48a3-8ea2-0f96310a848e -AdvancedSettings @{DefaultSharingScope=""}

詳細設定などのラベルの構成を確認するには、独自のラベル GUID で次の構文を使用します。

(Get-Label -Identity 8faca7b8-8d20-48a3-8ea2-0f96310a848e).settings

ラベル ポリシーを作成して秘密度ラベルを発行する

ラベル ポリシーの一部として、秘密度ラベルとラベル ポリシー設定を持つユーザーとグループを選択します。 管理メンテナンスを軽減するために、個々のユーザーではなくグループをお勧めします。 ただし、指定したグループからユーザーが削除されると、そのユーザーのラベル ポリシーは自動的に削除されます。

サポートされているグループ: Email が有効なセキュリティ グループ、メールが有効になっていないセキュリティ グループ、配布グループ、Microsoft Entra ID の Microsoft 365 グループ (動的メンバーシップを持つことができる)。

1. Microsoft Purview ポータルにサインインします>解決方法>Information Protection>公開ポリシー。

2. [ ラベル ポリシー ] ページで、[ ラベルの発行 ] を選択して、 ポリシー構成の作成 を開始します。 たとえば、Microsoft Purview ポータルから:

   

   注:

   これらのポリシーとテナント内のすべての秘密度ラベルに関する詳細情報を取得できる [ポリシーのエクスポート] オプションの詳細については、「 Microsoft Purview のポリシー構成をエクスポートする」を参照してください。

   既定の秘密度ラベルを作成した場合は、 既定のラベル発行ポリシーもあり、このポリシーを変更したり、追加のポリシーで補完したりできます。

3. [発行する秘密度ラベルの選択] ページで、[発行する秘密度ラベルの選択] リンクを選択します。 アプリとサービスで使用するラベルを選択し、[追加] を選択します。

   重要

   従来のラベル スキームを使用している場合: サブラベルを選択するときは、その親ラベルも選択してください。

4. [管理単位の割り当て] の場合: organization が Microsoft Entra ID で管理単位を使用している場合は、管理単位を選択することで、ラベル ポリシーを特定のユーザーに自動的に制限できます。 アカウントに 管理単位が割り当てられている場合は、1 つ以上の管理単位を選択する必要があります。

   管理単位を使用してポリシーを制限したくない場合、または organization が管理単位を構成していない場合は、既定の [フル ディレクトリ] のままにします。

5. プロンプトに従って構成を完了します。

   表示されるポリシー設定は、選択したラベルのスコープと一致します。 たとえば、他のデータ資産Files &スコープだけを含むラベルを選択した場合、[ポリシー設定 [既定でこのラベルをグループとサイトに適用する] および [ユーザーにグループとサイトに適用することを要求する] は表示されません。

   これらの設定の詳細については、概要情報の「ラベル ポリシーでできること」を参照してください。また、個々の設定については、UI のヘルプを参照してください。

   Microsoft Purview データ マップ アセット (プレビュー) 用に構成されたラベルの場合: これらのラベルには、関連付けられている発行ポリシー設定はありません。

6. ユーザーまたはスコープごとに異なる公開ポリシー設定が必要な場合は、これらの手順を繰り返します。 たとえば、ユーザーのグループにラベルを追加したり、ユーザーのサブセットに別の既定のラベルを作成したりできます。 または、異なるスコープを持つようにラベルを構成した場合です。

7. 1 人のユーザーに対して競合が発生する可能性があるラベル ポリシーが複数ある場合は、ポリシーの順序を確認し、必要に応じて上下に移動します。 ラベル ポリシーの順序を変更するには、[操作] の [...] を選択し、並べ替えオプションのいずれかを選択します。 詳細については、概要の「ラベル ポリシーの優先度 (順序の問題)」を参照してください。

[ポリシーの作成] 構成を完了すると、ラベル ポリシーが自動的に発行されます。 発行したポリシーは、簡単に編集して変更することができます。 特定の発行や再発行のアクションの選択は不要です。

既存のラベル ポリシーを編集するには、ポリシーを選択し、ポップアップ ウィンドウから [ ポリシーの編集 ] ボタンを選択します。

このアクションにより、 ポリシー構成の作成 が開始されます。これにより、含めるラベルとラベル設定を編集できます。 構成を完了すると、選択したユーザーとサービスに変更が自動的にレプリケートされます。

セキュリティ/コンプライアンス センター PowerShell を含むその他のラベル ポリシー設定

セキュリティ/コンプライアンス PowerShell の Set-LabelPolicy コマンドレットを使用すると、追加のラベルポリシー設定を利用できます。

コマンドレットのドキュメントには、組み込みのラベル付けでサポートされている詳細設定が含まれています。 Microsoft Purview Information Protection クライアントでサポートされている追加の詳細設定については、これらの設定の別のドキュメントを参照してください。

保護ポリシーを作成して構成する

保護ポリシーは現在プレビュー段階であり、Microsoft 365 の外部に保存されているアイテムに適用されます。 たとえば、Microsoft Fabric、Microsoft Azure Storage、Microsoft Data Lake Storage Gen 2 などです。

詳しくは、 保護ポリシーの作成と公開を参照してください。

新しいラベルと変更が反映されるタイミング

ラベルとラベル ポリシー設定の場合は、変更がサービスに反映されるまで 24 時間かかります。 それぞれ独自のタイミング サイクルを持つ多くの外部依存関係があるため、最近の変更に対するラベルとラベル ポリシーのトラブルシューティングを実施する前に 24 時間待機することをおすすめします。

ただし、ラベルとラベル ポリシーの変更が反映されるまで 24 時間かからない場合もあれば、24 時間以上かかる場合もあります。 たとえば、Word、Excel、および PowerPoint on the web の新規および削除された秘密度ラベルの場合、1 時間以内に更新内容が複製される場合があります。 ただし、新しいグループとグループ メンバーシップの変更、またはネットワーク レプリケーションの待機時間と帯域幅の制限の設定に依存する構成の場合、これらの変更が反映されるまで 24 ～ 48 時間かかる場合があります。

機密ラベルとそのポリシーに PowerShell を使用する

セキュリティ / コンプライアンス PowerShell を使用して、ラベル管理センターに表示されるすべての設定を作成し、構成できるようになりました。 つまり、ラベル管理センターでは使用できない設定に PowerShell を使用することに加えて、機密ラベルと機密ラベルポリシーの作成とメンテナンスを完全にスクリプト化できるようになりました。

サポートされるパラメーターと値については、次のドキュメントを参照してください。

• New-Label
• New-LabelPolicy
• Set-Label
• Set-LabelPolicy

機密ラベルまたは機密ラベルポリシーの削除をスクリプト化する必要がある場合は、 Remove-Label および Remove-LabelPolicy を使用することもできます。 ただし、機密ラベルを削除する前に、次のセクションを必ずお読みください。

ラベルの解除と削除

運用環境では、ラベル ポリシーから秘密度ラベルを削除したり、秘密度ラベルを削除したりする必要が生じることはありません。 テストの初期段階では、そのいずれかまたは両方の操作を行う必要が発生する可能性が高いかもしれません。 それらの操作を行った場合、何が起こるかをよく理解しておいてください。

ラベル ポリシーからのラベルの解除は、ラベルの削除に比べてリスクが少なく、いつでも必要に応じて再追加できます。 まだラベル ポリシーに含まれているラベルは消去できません。

ラベル ポリシーからラベルを解除して、当初に指定したユーザーにラベルが発行されないようになると、そのラベルはラベル ポリシーの次回更新時に Office アプリの選択対象としてユーザーに表示されなくなります。 そのラベルが既に適用されていると、そのラベルはコンテンツまたはコンテナーから解除されません。 たとえば、Word、Excel、PowerPoint のデスクトップ アプリで組み込みラベルを使用しているユーザーには、適用されたラベル名はステータス バーに引き続き表示されます。 適用されたコンテナー ラベルにより、Teams または SharePoint サイトは引き続き保護されます。

これに対して、ラベルを削除した場合は次のようになります:

• ラベルが暗号化を適用している場合、以前に保護したコンテンツを引き続き開けるようにするため、基になる保護テンプレートはアーカイブされます。 このアーカイブされた保護テンプレートがあるため、同じ名前の新しいラベルを作成することはできません。 PowerShell を使って保護テンプレートを削除することはできますが、アーカイブしたテンプレートを使用して暗号化されたコンテンツを開く必要がないことが確実な場合を除いて、この操作は実行しないでください。

• SharePoint または OneDrive に保存されていて、Office ファイルの秘密度ラベルを有効化したドキュメントの場合: Office for the web でドキュメントを開くと、アプリに適用されたラベルは確認できなくなり、そのラベル名は SharePoint の [秘密度] 列に表示されなくなります。 削除したラベルが暗号化を適用していて、サービスが暗号化されたコンテンツを処理できる場合、暗号化は解除されます。 こうしたサービスからのエグレス アクションは、同じ結果になります。 たとえば、Office デスクトップ アプリまたはモバイル アプリを使用して、ダウンロード、コピー、移動、オープンする場合です。 ラベル情報はファイルのメタデータに残っていますが、アプリはラベル ID を表示名にマップできなくなっているため、ユーザーはファイルにラベルが付いていないと見なすようになります。

• SharePoint および OneDrive の外部に保存されているドキュメントや、Office ファイルおよびメールの秘密度ラベルを有効にしていない場合: コンテンツを開いたときにメタデータ内にラベル情報が残されていますが、ラベル ID から名前へのマッピングがないため、ユーザーには適用されたラベル名が表示されません (デスクトップ アプリのステータス バーなどに表示されなくなります)。 削除したラベルが暗号化を適用していた場合、暗号化は維持され、ユーザーは現時点でアーカイブされている保護テンプレートの名前と説明を引き続き確認できます。

• SharePoint や Teams のサイトなどのコンテナーの場合: ラベルは解除され、そのラベルで構成された設定は適用されなくなります。 通常、このアクションは SharePoint サイトでは 48 時間から 72 時間かかります。Teams と Microsoft 365 グループでは時間を短縮できます。 ラベルの削除プロセスが完了するまで、ユーザーは以前に秘密度ラベルによって保護されていたコンテンツを開けない可能性があります。

• ラベルの削除後に GUID と名前のマッピングを使用しないと、削除されたラベルが コンテンツ エクスプローラー や アクティビティ エクスプローラーなどのアプリケーションでラベル名ではなく GUID として表示される可能性があることに注意してください。

すべてのラベルの変更と同様に、ラベル ポリシーからの秘密度ラベルの解除や機密ラベルの削除は、すべてのユーザーとサービスにレプリケートされるまでに時間がかかります。

次の手順

特定のシナリオに対して秘密度ラベルを構成して使用するには、次の記事が役立つ場合があります:

• 機密ラベルでの暗号化を使用してコンテンツへのアクセスを制限する

• Microsoft 365 データに秘密度ラベルを自動的に適用する

• コンテナー (グループとサイト) で秘密度ラベルを使用する

• SharePoint および OneDrive でファイルの秘密度ラベルを有効にする

ラベルの使用状況を監視するには、Microsoft Purview ポータルからレポートを表示します: Solutions>Information Protection>Reports