Azure Rights Management サービスは、Microsoft Purview Information Protection で使用されるクラウドベースの暗号化テクノロジです。 使用権限と暗号化ポリシーを適用することで、デバイス間でファイルとメールを保護します。
この情報は、暗号化サービスである Azure Rights Management from Microsoft Purview Information Protection の使用状況ログを使用する方法を理解するのに役立ちます。 この暗号化サービスは、ドキュメントや電子メールなどのorganizationのアイテムに対して追加のデータ保護を提供し、すべての要求をログに記録できます。 これらの要求には次のものが含まれます。
- ユーザーがアイテムを暗号化して保護し、暗号化を解除して読み取りや暗号化の解除を行う場合。
- Azure Rights Management サービスを管理するために管理者が実行するアクションと、サービスをサポートするために Microsoft オペレーターが実行するアクション。
その後、これらの使用状況ログを使用して、次のビジネス シナリオをサポートできます。
ビジネス インサイトを分析する
Azure Rights Management によって生成されたログは、任意のリポジトリ (データベース、オンライン分析処理 (OLAP) システム、マップ削減システムなど) にインポートして、情報を分析し、レポートを生成できます。 たとえば、暗号化されたデータにアクセスしているユーザーを特定できます。 ユーザーがどの暗号化データにアクセスしているのか、どのデバイスから、どこからアクセスしているのかを判断できます。 ユーザーが暗号化されたコンテンツを正常に読み取ることができるかどうかを確認できます。 また、暗号化された重要なドキュメントを読んだユーザーを特定することもできます。
不正使用の監視
Azure Rights Management サービスの使用状況に関するログ情報はほぼリアルタイムで入手できるため、会社のサービス使用状況を継続的に監視できます。 ログの 99.9% は、サービスに対して開始されたアクションから 15 分以内に使用できます。
たとえば、標準勤務時間外に暗号化されたデータを閲覧するユーザーが急増した場合にアラートを表示する必要があり、悪意のあるユーザーが競合他社に販売するために情報を収集していることを示している可能性があります。 または、同じユーザーが短時間内に 2 つの異なる IP アドレスからデータにアクセスした場合、ユーザー アカウントが侵害されたことを示している可能性があります。
フォレンジック解析の実行
情報漏洩があった場合、誰が最近特定のドキュメントにアクセスしたのか、疑わしい人物が最近どのような情報にアクセスしたのかを尋ねられる可能性があります。 Azure Rights Management の使用状況ログを使用すると、暗号化されたコンテンツを使用するユーザーは、Azure Rights Management によって暗号化されたアイテムを開くには、これらのアイテムが電子メールで移動されたり、USB ドライブやその他のストレージ デバイスにコピーされたりした場合でも、常に Rights Management 使用ライセンスを取得する必要があるため、これらの種類の質問に答えることができます。 これは、Azure Rights Management サービスを使用してデータを保護する場合、フォレンジック分析の決定的な情報源としてこれらのログを使用できることを意味します。
Azure Rights Management サービスのその他のログ オプション:
| ログ オプション | 説明 |
|---|---|
| 管理ログ | Azure Rights Management サービスの管理タスクをログに記録します。 たとえば、サービスが非アクティブ化されている場合、スーパー ユーザー機能が有効になっている場合、およびユーザーに管理者権限がサービスに委任されている場合などです。 詳細については、PowerShell コマンドレットの Get-AipServiceAdminLog を参照してください。 |
| ドキュメントの追跡 | ユーザーが Microsoft Purview Information Protection クライアントで暗号化したドキュメントを追跡して取り消すことができます。 コンプライアンス データ管理者の役割は、ユーザーに代わってこれらのドキュメントを追跡することもできます。 詳細については、「 ドキュメント アクセスの追跡と取り消し」を参照してください。 |
この記事の残りの部分では、ログ形式の詳細や PowerShell リファレンスなど、Azure Rights Management の使用状況ログをダウンロードして解釈する方法について説明します。
Azure Rights Management の使用状況ログにアクセスして使用する方法
Azure Rights Management の使用状況ログは、すべての顧客に対して既定で有効になっています。 ログ ストレージやログ機能の追加料金はかかりません。
Azure Rights Management サービスは、テナント用に自動的に作成する Azure ストレージ アカウントに、ログを一連の BLOB として書き込みます。 各 BLOB には、W3C 拡張ログ形式の 1 つ以上のログ レコードが含まれています。 BLOB 名は、作成された順の数値です。 ログの内容とその作成の詳細については、「Azure Rights Management の使用状況ログの解釈方法」を参照してください。
Azure Rights Management の操作後に、ストレージ アカウントにログが表示されるまでにしばらく時間がかかることがあります。 ほとんどのログは 15 分以内に表示されます。 使用状況ログは、"date" フィールド名に以前の日付 (UTC 時刻) の値が含まれている場合にのみ使用できます。 現在の日付の使用状況ログは使用できません。 ログはローカル フォルダー、データベース、ビッグデータ処理システムなどのローカル ストレージにダウンロードすることをお勧めします。
使用状況ログをダウンロードするには、Microsoft Purview Information Protection の AIPService PowerShell モジュールを使用します。 インストール手順については、「Azure Right Management サービスの AIPService PowerShell モジュールをインストールする」を参照してください。
PowerShell を使用して使用状況ログをダウンロードするには
PowerShell を使用して Azure Rights Management サービスに接続し、使用状況ログをダウンロードするには、次の手順を使用します。
[管理者として実行] オプションで PowerShell を起動し、Connect-AipService コマンドレットを使用して Azure Rights Management サービスに接続します。
Connect-AipService次のコマンドを実行して、特定の日付のログをダウンロードします。
Get-AipServiceUserLog -Path <location> -fordate <date>たとえば、E: ドライブ上に Logs という名前のフォルダーを作成した後、次のようになります。
特定の日付 (2025/2/1 など) のログをダウンロードするには、次のコマンドを実行します:
Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2025日付範囲 (2025 年 2 月 1 日から 2025 年 2 月 14 日までなど) のログをダウンロードするには、次のコマンドを実行します:
Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025
例のように日のみを指定すると、時刻は現地時間の 00:00:00 と想定され、UTC に変換されます。 -fromdate または -todate パラメーターで時刻を指定すると (例: -fordate "2/1/2025 15:00:00")、その日付と時刻は UTC に変換されます。 Get-AipServiceUserLog コマンドは、その UTC 期間のログを取得します。
ダウンロードする期間は丸 1 日未満を指定することはできません。
既定では、このコマンドレットは 3 つのスレッドを使用してログをダウンロードします。 十分なネットワーク帯域幅があり、ログのダウンロードに必要な時間を短縮したい場合は、1 から 32 の値をサポートする -NumberOfThreads パラメーターを使用します。 たとえば、次のコマンドを実行すると、コマンドレットは 10 個のスレッドを生成してログをダウンロードします。 Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025 -numberofthreads 10
ヒント
Microsoft のログ パーサーを使用すると、ダウンロードしたすべてのログ ファイルを CSV 形式に集計できます。これは、さまざまな既知のログ形式を変換するツールです。 このツールを使用して、データを SYSLOG 形式に変換したり、データベースにインポートしたりすることもできます。 ツールをインストールしたら、 LogParser.exe /? を実行して、このツールを使用するためのヘルプと情報を確認します。
たとえば、次のコマンドを実行して、すべての情報を .log ファイル形式にインポートします。 logparser –i:w3c –o:csv "SELECT * INTO AllLogs.csv FROM *.log"
使用状況ログを解釈する方法
このセクションでは、使用状況ログを解析および分析できるように、Azure Rights Management のログ シーケンス、BLOB 形式、ログ レコード フィールド、一般的な要求の種類について説明します。
ログ シーケンス
Azure Rights Management サービスは、ログを一連の BLOB として書き込みます。
ログ内の各エントリには UTC タイムスタンプがあります。 このサービスは複数のデータ センターにまたがる複数のサーバーで実行されるため、タイムスタンプで並べ替えていても、ログの順序がずれているように見えることがあります。 ただし、差は小さく、通常は 1 分以内です。 ほとんどの場合、これはログ分析の問題にはなりません。
BLOB の形式
各 BLOB は W3C 拡張ログ形式です。 次の 2 行で始まります。
#Software: RMS
#Version: 1.1
1 行目は、これらが Azure Rights Management の使用状況ログであることを示しています。 2 行目は、BLOB の残りの部分がバージョン 1.1 仕様に従っていることを示します。 これらのログを解析するアプリケーションでは、BLOB の残りの部分の解析を続行する前に、これら 2 行を確認することをお勧めします。
3 行目は、タブで区切られたフィールド名の一覧を列挙します。
#Fields: date time row-id request-type user-id result correlation-id content-id owner-email issuer template-id file-name date-published c-info c-ip admin-action acting-as-user
以降の各行はログ レコードです。 フィールドの値は前の行と同じ順序で、タブで区切られます。 次の表を使用して、フィールドを解釈します。
| フィールド名 | W3C データ型 | 説明 | 値の例 |
|---|---|---|---|
| date | Date | 要求が処理された UTC 日付。 ソースは、要求を処理したサーバーのローカル クロックです。 |
2013-06-25 |
| time | Time | 要求が処理されたときの 24 時間形式の UTC 時刻。 ソースは、要求を処理したサーバーのローカル クロックです。 |
21:59:28 |
| row-id | テキスト | このログ レコードの一意の GUID。 値が存在しない場合は、correlation-id 値を使用してエントリを識別します。 この値は、ログを集計する場合や、ログを別の形式にコピーする場合に便利です。 |
aaaa0000-bb11-2222-33cc-444444dddddd |
| request-type | 名前 | 要求された RMS API の名前。 | AcquireLicense |
| user-id | 文字列 | 要求を行ったユーザー。 値は単一引用符で囲まれています。 自分が管理している (BYOK) Azure Rights Management テナント キーからの呼び出しには " の値があります。これは、要求の種類が匿名の場合にも適用されます。 |
‘joe@contoso.com’ |
| result | 文字列 | 要求が正常に処理された場合は 'Success'。 要求が失敗した場合の単一引用符で囲まれたエラーの種類。 |
'Success' |
| correlation-id | テキスト | 特定の要求の対応するクライアント ログとサーバー ログの間で共通の GUID。 この値は、クライアントの問題のトラブルシューティングに役立ちます。 |
bbbb1111-cc22-3333-44dd-555555eeeeee |
| content-id | テキスト | 暗号化されたコンテンツ (ドキュメントなど) を識別する中かっこで囲まれた GUID。 このフィールドは、request-type が AcquireLicense の場合にのみ値を持ち、他のすべての要求の種類では空白です。 |
{bb4af47b-cfed-4719-831d-71b98191a4f2} |
| owner-email | 文字列 | ドキュメントの所有者の Email アドレス。 要求の種類が RevokeAccess の場合、このフィールドは空白です。 |
alice@contoso.com |
| 発行者 | 文字列 | ドキュメント発行者の Email アドレス。 要求の種類が RevokeAccess の場合、このフィールドは空白です。 |
alice@contoso.com (または) FederatedEmail.4c1f4d-93bf-00a95fa1e042@contoso.onmicrosoft.com' |
| template-id | 文字列 | ドキュメントの暗号化に使用される権利管理テンプレートの ID。 要求の種類が RevokeAccess の場合、このフィールドは空白です。 |
{6d9371a6-4e2d-4e97-9a38-202233fed26e} |
| file-name | 文字列 | Microsoft Purview Information Protection クライアントを使用して追跡される暗号化されたドキュメントのファイル名。 現時点では、一部のファイル (Office ドキュメントなど) は、実際のファイル名ではなく GUID として表示されます。 要求の種類が RevokeAccess の場合、このフィールドは空白です。 |
TopSecretDocument.docx |
| 発行日 | Date | ドキュメントが暗号化された日付。 要求の種類が RevokeAccess の場合、このフィールドは空白です。 |
2015-10-15T21:37:00 |
| c-info | 文字列 | 要求を行っているクライアント プラットフォームに関する情報。 具体的な文字列は、アプリケーション (オペレーティング システムやブラウザーなど) によって異なります。 |
'MSIPC;version=1.0.623.47;AppName=WINWORD.EXE;AppVersion=15.0.4753.1000;AppArch=x86;OSName=Windows;OSVersion=6.1.7601;OSArch=amd64' |
| C-IP | アドレス | 要求を行うクライアントの IP アドレス。 | 64.51.202.144 |
| 管理者アクション | ブール | 管理者が管理者モードでドキュメント追跡サイトにアクセスしたかどうか。 | True |
| ユーザーとしての動作 | 文字列 | 管理者がドキュメント追跡サイトにアクセスしているユーザーの電子メール アドレス。 | 'joe@contoso.com' |
user-id フィールドの例外
通常、user-id フィールドは要求を行ったユーザーを示しますが、値が実際のユーザーにマッピングされない例外が 2 つあります。
値 'microsoftrmsonline@<YourTenantID>.rms.<region>.aadrm.com'.
これは、Exchange や SharePoint などの Microsoft 365 サービスが要求を行っていることを示しています。 文字列 <YourTenantID> はテナントの GUID で、 <region> はテナントが登録されているリージョンです。 たとえば、na は北米、eu はヨーロッパ、ap はアジアを表します。
Rights Management コネクタを使用している場合。
このコネクタからの要求は、Rights Management コネクタのインストール時に自動的に生成されるサービス プリンシパル名 Aadrm_S-1-7-0 でログに記録されます。
一般的な要求の種類
Azure Rights Management サービスには多くの要求の種類がありますが、次の表は、最も一般的に使用される要求の種類の一部を示しています。
| 要求の種類 | 説明 |
|---|---|
| AcquireLicense | Windows ベースのコンピューターのクライアントが、暗号化されたコンテンツの使用ライセンスを要求しています。 |
| AcquirePreLicense | ユーザーに代わってクライアントが暗号化されたコンテンツの使用ライセンスを要求しています。 |
| AcquireTemplates | テンプレート ID に基づいて Rights Management テンプレートを取得するための呼び出しが行われました |
| AcquireTemplateInformation | サービスから Rights Management テンプレートの ID を取得するために呼び出しが行われました。 |
| AddTemplate | Rights Management テンプレートを追加するために、管理ポータルから呼び出しが行われます。 |
| AllDocsCsv | [ すべてのドキュメント] ページから CSV ファイルをダウンロードするために、ドキュメント追跡サイトから呼び出しが行われます。 |
| BECreateEndUserLicenseV1 | エンドユーザー ライセンスを作成するためにモバイル デバイスから通話が行われます。 |
| BEGetAllTemplatesV1 | モバイル デバイス (バックエンド) から電話をかけ、すべての権限管理テンプレートを取得します。 |
| サーティフィケーション | クライアントは、暗号化されたコンテンツの使用と作成についてユーザーを認定しています。 |
| FECreateEndUserLicenseV1 | AcquireLicense 要求に似ていますが、モバイル デバイスから要求されます。 |
| FECreatePublishingLicenseV1 | モバイル クライアントから Certify と GetClientLicensorCert を組み合わせたものと同じです。 |
| FEGetAllTemplates | Rights Management テンプレートを取得するために、モバイル デバイス (フロントエンド) から電話をかけます。 |
| FindServiceLocationsForUser | URL を照会するための呼び出しが行われ、Certify または AcquireLicense を呼び出すために使用されます。 |
| GetClientLicensorCert | クライアントが、(後でコンテンツの暗号化に使用される) 公開証明書を Windows ベースのコンピューターから要求しています。 |
| GetConfiguration | PowerShell コマンドレットを呼び出して、Azure Rights Management サービスのテナントの構成を取得します。 |
| GetConnectorAuthorizations | クラウドから構成を取得するために、Rights Management コネクタから呼び出しが行われます。 |
| GetRecipients | 1 つのドキュメントのリスト ビューに移動するために、ドキュメント追跡サイトから呼び出しが行われます。 |
| GetTenantFunctionalState | 管理ポータルで、Azure Rights Management サービスがアクティブ化されているかどうかを確認しています。 |
| KeyVaultDecryptRequest | クライアントは、Rights Management で暗号化されたコンテンツの暗号化を解除しようとしています。 Azure Key Vault のカスタマー管理テナント キー (BYOK) にのみ適用されます。 |
| KeyVaultGetKeyInfoRequest | Azure Rights Management テナント キーに Azure Key Vault で使用するように指定されたキーにアクセスできるが、まだ使用されていないことを確認するための呼び出しが実行されます。 |
| KeyVaultSignDigest | 呼び出しは、Azure Key Vault のカスタマー マネージド キー (BYOK) が署名目的で使用されている場合に行われます。 これは通常、AcquireLicence (または FECreateEndUserLicenseV1)、Certify、および GetClientLicensorCert (または FECreatePublishingLicenseV1) ごとに 1 回呼び出されます。 |
| KMSPDecrypt | クライアントは、Rights Management で暗号化されたコンテンツの暗号化を解除しようとしています。 従来のカスタマー管理テナント キー (BYOK) にのみ適用されます。 |
| KMSPSignDigest | 呼び出しは、従来のカスタマー マネージド キー (BYOK) が署名目的で使用されている場合に行われます。 これは通常、AcquireLicence (または FECreateEndUserLicenseV1)、Certify、および GetClientLicensorCert (または FECreatePublishingLicenseV1) ごとに 1 回呼び出されます。 |
| ServerCertify | サーバーの認定を行うために、Rights Management が有効なクライアント (SharePoint など) から呼び出しが行われます。 |
| SetUsageLogFeatureState | 使用状況ログを有効にするための呼び出しが行われます。 |
| SetUsageLogStorageAccount | Azure Rights Management サービス ログの場所を指定するために呼び出しが行われます。 |
| UpdateTemplate | 既存の Rights Management テンプレートを更新するために、管理ポータルから呼び出しが行われます。 |
Azure Rights Management の使用状況ログと Microsoft Purview の監査
ファイル アクセスと拒否イベントにはファイル名は含まれず、Microsoft Purview 統合監査ログでアクセスできません。
PowerShell リファレンス
Azure Rights Management サービスに接続した後、Azure Rights Management の使用状況ログにアクセスするために必要な Azure コマンドレットは Get-AipServiceUserLog のみです。
Azure Rights Management サービスに PowerShell を使用する方法の詳細については、「PowerShell を使用した Azure Rights Management サービスの管理」を参照してください。