次の方法で共有


AipSensitivityLabelAction

Azure Information Protectionは、組織が機密データの分類とラベル付けを行い、そのデータへのアクセス方法と共有方法を制御するためのポリシーを適用できるサービスです。

AipSensitivityLabelAction は、Office 365統合監査ログに記録されるイベントの一種です。 これは、秘密度ラベルを適用または変更しようとする試みを表します。 この監査ログに含まれるシナリオの中には、ラベルの適用、ラベルの更新、ラベルの削除、ラベル付きのファイルの開き方などがあります。 イベントは、ラベル付きデータがorganization内でどのように変更されているかを示すので便利です。

Office 365統合監査ログにアクセスする

監査ログには、次の方法を使用してアクセスできます。

監査ログ検索ツール

  1. Microsoft Purview コンプライアンス ポータルに移動し、サインインします。
  2. コンプライアンス ポータルの左側のウィンドウで、[監査] を選択 します

    注:

    左側のウィンドウに [監査] が表示されない場合は、アクセス許可の詳細については、「Microsoft Defender for Office 365のロールと役割グループ」と「Microsoft Purview コンプライアンス」を参照してください。

  3. [ 新しい検索 ] タブで、[レコードの種類] を [AipDiscover ] に設定し、他のパラメーターを構成します。 AipDiscover 監査構成
  4. [ 検索 ] をクリックして、条件を使用して検索を実行します。 結果ウィンドウで、イベントを選択して結果を表示します。 検出操作とアクセス操作の両方を表示できます。 AipDiscover 監査結果

Microsoft Purview コンプライアンス ポータルでの監査ログの表示の詳細については、「監査ログ アクティビティ」を参照してください。

PowerShell で統合監査ログを検索する

PowerShell を使用して統合監査ログにアクセスするには、まず、次の手順を実行して、Exchange Online PowerShell セッションに接続します。

リモート PowerShell セッションを確立する

これにより、Exchange Onlineとのリモート PowerShell セッションが確立されます。 接続が確立されたら、Exchange Online コマンドレットを実行して、Exchange Online環境を管理できます。

PowerShell ウィンドウを開き、Install-Module -Name ExchangeOnlineManagement コマンドを実行して、Exchange Online管理モジュールをインストールします。 このモジュールでは、Exchange Onlineの管理に使用できるコマンドレットを提供します。

  1. Connect-IPPSSession は、Exchange Online PowerShell セッションへのリモート接続を作成するために使用される PowerShell コマンドレットです。
  2. ExchangeOnlineManagement Import-Module は、Exchange Online管理モジュールを現在の PowerShell セッションにインポートするために使用される PowerShell コマンドレットです。
# Import the PSSSession and Exchange Online cmdlets
Connect-IPPSSession
Import-Module ExchangeOnlineManagement

特定のユーザーと接続する

コマンドを実行して、特定のユーザーにExchange Online資格情報の入力を求めます。

$UserCredential = Get-Credential 

指定された資格情報を使用してExchange Onlineに接続するコマンド。

 Connect-ExchangeOnline -Credential $UserCredential -ShowProgress $true 

現在のセッションで資格情報を使用して接続する

現在のセッションの資格情報を使用してExchange Onlineに接続します。

Connect-ExchangeOnline

Search-UnifiedAuditLog コマンドレット

Search-UnifiedAuditLog コマンドレットは、Office 365統合監査ログの検索に使用できる PowerShell コマンドです。 統合監査ログは、イベントの追跡に使用できるOffice 365のユーザーと管理者のアクティビティの記録です。 このコマンドレットの使用に関するベスト プラクティスについては、「 Search-UnifiedAuditLog を使用するためのベスト プラクティス」を参照してください。

PowerShell を使用して統合監査ログから AipSensitivityLabelAction イベントを抽出するには、次のコマンドを使用できます。 これにより、指定した日付範囲の統合監査ログが検索され、レコードの種類が "AipSensitivityLabelAction" のイベントが返されます。 結果は、指定したパスの CSV ファイルにエクスポートされます。

Search-UnifiedAuditLog -RecordType AipSensitivityLabelAction -StartDate (Get-Date).AddDays(-100) -EndDate (Get-Date) | Export-Csv -Path <output file>

次のコマンドを使用して、秘密度ラベルが適用されたシナリオを具体的に検索します。 PowerShell コマンドレットの結果の例も次に示します。

Search-UnifiedAuditLog -Operations SensitivityLabelApplied -RecordType AipSensitivityLabelAction -StartDate (Get-Date).AddDays(-100) -EndDate (Get-Date)

次に、秘密度ラベルを適用した PowerShell からの SensitivityLabelApplied イベントの例を示します。

RecordType   : AipSensitivityLabelAction
CreationDate : 12/13/2022 10:45:39 PM
UserIds      : ipadmin@champion365.onmicrosoft.com
Operations   : SensitivityLabelApplied
AuditData    : 
{
  "SensitiveInfoTypeData":[],
  "ProtectionEventData":{
    "ProtectionEventType":1,
    "ProtectionType":"Template",
    "TemplateId":"b00b3737-7542-4181-ab70-5dde2c266ccf",
    "IsProtected":true,
    "IsProtectedBefore":false,
    "ProtectionOwner":"ipadmin@champion365.onmicrosoft.com"
  },
  "Common":{
    "ApplicationId":"c00e9d32-3c8d-4a7d-832b-029040e7db99",
    "ApplicationName":"Microsoft Azure Information Protection Word Add-In",
    "ProcessName":"WINWORD",
    "Platform":1,
    "DeviceName":"marketing-demo1",
    "Location":"On-premises file shares",
    "ProductVersion":"2.14.90.0"
  },
  "DataState":"Use",
  "SensitivityLabelEventData":{
    "SensitivityLabelId":"4eff011f-95b3-4371-8836-39da6458f464",
    "LabelEventType":4,
    "ActionSource":1
  },
  "ObjectId":"Document2",
  "UserId":"ipadmin@champion365.onmicrosoft.com",
  "ClientIP":"20.163.159.46",
  "Id":"77b9a81f-aa2a-4e4a-bdb7-d35b03277fec",
  "RecordType":94,
  "CreationTime":"2022-12-13T22:45:39",
  "Operation":"SensitivityLabelApplied",
  "OrganizationId":"c8085975-d882-42d2-9193-d82d752a5de9",
  "UserType":0,
  "UserKey":"981d11ea-df5c-4334-b656-bb9011bc435b",
  "Workload":"Aip",
  "Version":1,
  "Scope":1
}
ResultIndex  : 1
ResultCount  : 13
Identity     : 77b9a81f-aa2a-4e4a-bdb7-d35b03277fec
IsValid      : True
ObjectState  : Unchanged

次のコマンドを使用して、秘密度ラベルが更新されたシナリオを具体的に検索します。 PowerShell コマンドレットの結果の例も次に示します。

Search-UnifiedAuditLog -Operations SensitivityLabelUpdated -RecordType AipSensitivityLabelAction -StartDate (Get-Date).AddDays(-100) -EndDate (Get-Date)

PowerShell の AipSensitivityLabelAction イベントの例を次に示します。秘密度ラベルが更新されています。

RecordType   : AipSensitivityLabelAction
CreationDate : 12/22/2022 9:01:35 PM
UserIds      : ipadmin@champion365.onmicrosoft.com
Operations   : SensitivityLabelUpdated
AuditData    : RecordType:AipSensitivityLabelAction
CreationDate:12/22/2022 9:01:35 PM
UserIds:ipadmin@champion365.onmicrosoft.com
Operations:SensitivityLabelUpdated
AuditData:
{
  "SensitiveInfoTypeData":[],
  "ProtectionEventData":{
    "ProtectionEventType":1,
    "ProtectionType":"DoNotForward",
    "IsProtected":true,
    "IsProtectedBefore":false,
    "ProtectionOwner":"ipadmin@champion365.onmicrosoft.com"
  },
  "Common":{
    "ApplicationId":"c00e9d32-3c8d-4a7d-832b-029040e7db99",
    "ApplicationName":"Microsoft Azure Information Protection Outlook Add-In",
    "ProcessName":"OUTLOOK",
    "Platform":1,
    "DeviceName":"forrester-demo1",
    "Location":"On-premises file shares",
    "ProductVersion":"2.14.90.0"
  },
  "DataState":"Use",
  "SensitivityLabelEventData":{
    "SensitivityLabelId":"6a10f3c2-a682-44ba-a911-52dcca64e78d",
    "OldSensitivityLabelId":"6282649d-9e2a-4063-8587-32eaaa9ad68e",
    "LabelEventType":1,
    "ActionSource":3
  },
  "ObjectId":"test.msg",
  "UserId":"ipadmin@champion365.onmicrosoft.com",
  "ClientIP":"20.163.159.46",
  "Id":"ca08441d-7876-4320-9c75-c0a3d99bcc4a",
  "RecordType":94,
  "CreationTime":"2022-12-22T21:01:35",
  "Operation":"SensitivityLabelUpdated",
  "OrganizationId":"c8085975-d882-42d2-9193-d82d752a5de9",
  "UserType":0,
  "UserKey":"981d11ea-df5c-4334-b656-bb9011bc435b",
  "Workload":"Aip",
  "Version":1,
  "Scope":1
}
ResultIndex:1
ResultCount:6
Identity:ca08441d-7876-4320-9c75-c0a3d99bcc4a
IsValid:True
ObjectState:Unchanged
ResultIndex  : 1
ResultCount  : 6
Identity     : ca08441d-7876-4320-9c75-c0a3d99bcc4a
IsValid      : True
ObjectState  : Unchanged

AipSensitivityLabelAction 内で特に検索できるその他の操作には、SensitivityLabelRemoved、SensitivityLabelPolicyMatched、SensitivityLabeledFileOpened があります。

注:

これは、Search-UnifiedAuditLog コマンドレットを使用する方法のほんの一例です。 コマンドを調整し、特定の要件に基づいて追加のパラメーターを指定する必要がある場合があります。 統合監査ログに PowerShell を使用する方法の詳細については、「統合監査 ログの検索」を参照してください。

Office 365 マネージメント アクティビティ API

Office 365 Management API エンドポイントに対してクエリを実行できるようにするには、適切なアクセス許可を使用してアプリケーションを構成する必要があります。 詳細なガイドについては、「Office 365管理 API の概要」を参照してください。

REST API からの AipSensitivityLabelAction イベント

REST API の AipSensitivityLabelAction イベントの例を次に示します。

TenantId : bd285ff7-1a38-4306-adaf-a367669731c3
SourceSystem : RestAPI
TimeGenerated [UTC] : 2022-12-07T18:04:40Z
EventCreationTime [UTC] : 2022-12-07T18:04:40Z
ProtectionEventData_ProtectionEventType : 1
Id : e22455c0-3f3e-4983-8067-adf7aebac2b7
Operation : SensitivityLabelApplied
OrganizationId : ac1dff03-7e0e-4ac8-a4c9-9b38d24f062c
RecordType : 94
UserType : 5
Version : 1
Workload : Aip
UserId : mipscanner@kazdemos.org
UserKey : 2231a98d-8749-4808-b461-1acaa5b628ac
Scope : 1
ClientIP : 168.245.201.7
Common_ApplicationId : c00e9d32-3c8d-4a7d-832b-029040e7db99
Common_ApplicationName : Microsoft Azure Information Protection Scanner
Common_ProcessName : MSIP.Scanner
Common_Platform : 1
Common_DeviceName : AIPConnector.AIPTest.local
Common_ProductVersion : 2.14.90.0
ObjectId : c:\Data\Data03\Concert Schedule.docx
SensitivityLabelEventData_ActionSource : 3
SensitivityLabelEventData_LabelEventType : 4
SensitivityLabelEventData_SensitivityLabelId : 14332bd2-1fed-4838-954b-646f71db45b1
SensitiveInfoTypeData : []
ProtectionEventData_ProtectionType : Template
ProtectionEventData_TemplateId : 7ef1852d-f4a9-460a-a59f-60ee8c3fe291
ProtectionEventData_IsProtected : true
ProtectionEventData_ProtectionOwner : mipscanner@kazdemos.org
Common_Location : On-premises file shares
DataState : Rest
ProtectionEventData_IsProtectedBefore : false
Type : AuditGeneral

AipSensitivityLabelAction イベントの属性

次の表に、AIP 秘密度ラベル イベントに関連する情報を示します。

イベント 説明
ActionSource 倍精度浮動小数点数 ラベルが手動で適用されたか、自動的に適用されたかを示します。
0 = None
1 = 既定値
2 = Auto
3 = Manual
4 = Recommended
ApplicationId GUID 操作を実行するアプリケーションの ID。
ApplicationName String 操作を実行しているアプリケーションのフレンドリ名。 (Outlook、OWA、Word、Excel、PowerPoint など)
ClientIP IPv4/IPv6 アクティビティがログに記録されたときに使用されたデバイスの IP アドレス。 一部のサービスでは、このプロパティに表示される値は、ユーザーに代わってサービスを呼び出す信頼できるアプリケーション (Office on the web アプリなど) の IP アドレスであり、アクティビティを実行したユーザーが使用するデバイスの IP アドレスではない場合があります。
CreationTime 日付/時刻 ユーザーがアクティビティを実行した、世界協定時刻 (UTC) での日時。
DataState 文字列 Rest = イベントがログに
記録されたときにファイルが開かなかった Use = File は、イベントがログに記録されたときに使用中でした。
DeviceName String アクティビティが発生したデバイス。
Id GUID 監査レコードの一意識別子。
IsProtected ブール型 データが暗号化で保護されているかどうかを示します。
LabelEventType 倍精度浮動小数点数 ラベルの変更方法について説明します。
0 = None
1 = LabelUpgraded
2 = LabelDowngraded
3 = LabelRemoved
4 = LabelChangedSameOrder
Location String ユーザーのデバイス (オンプレミスのファイル共有) に関するドキュメントの場所。
ObjectId String ユーザーがアクセスするファイルの完全パス (URL)。
OldSensitivityLabelId GUID 前の秘密度ラベル GUID。
操作 String 監査ログの操作の種類。 AipSensitivityLabelAction の場合、操作には、 - SensitivityLabelApplied
- SensitivityLabelUpdated
- SensitivityLabelRemoved
- SensitivityLabelPolicyMatched
- SensitivityLabeledFileOpened を含
めることができます。
OrganizationId GUID 組織の Office 365 テナントの GUID。 この値は Office 365 サービスに関係なく、組織では常に同じ値になります。
プラットフォーム 倍精度浮動小数点数 アクティビティが発生したプラットフォーム。
0 = 不明
1 = Windows
2 = MacOS
3 = iOS
4 = Android
5 = Web ブラウザー
ProcessName String 関連するプロセス名 (Outlook、MSIP.App、WinWord など)
ProductVersion String AIP クライアントのバージョン。
ProtectionOwner String UPN 形式の Rights Management 所有者。
ProtectionType String データに使用された保護の種類。 テンプレートは、保護が管理者によって事前に定義されたことを意味します。カスタムとは、ユーザーが保護を定義したということです。
RecordType 倍精度浮動小数点数 レコードによって示される操作の種類。 94 は AipSensitivityLabelAction レコードを表します。
範囲 倍精度浮動小数点数 0 は、ホストされている O365 サービスによってイベントが作成されたことを表します。 1 は、イベントがオンプレミス サーバーによって作成されたことを表します。
SensitiveInfoTypeData String データ内で検出された機密情報の種類。
SensitivityLabelId GUID 現在の秘密度ラベル GUID。 cmdlt Get-Label を使用して、GUID の完全な値を取得します。
TemplateId GUID 保護に使用されるテンプレートの ID。 ProtectionType = Template の場合、TemplateId には GUID が設定されます。 ProtectionType = Custom の場合、TemplateId は空白になります。 Get-AipServiceTemplate コマンドレットは、Azure Information Protectionから既存または選択されているすべての保護テンプレートを取得します。
UserId String レコードがログに記録されたアクションを実行したユーザーのユーザー プリンシパル名 (UPN)。
UserKey GUID UserId プロパティで識別されるユーザーの別の ID。 このプロパティには、SharePoint、OneDrive for Business、および Exchange のユーザーにより実行されたイベントの Passport 固有 ID (PUID) が格納されます。
UserType 倍精度浮動小数点数 操作を実行したユーザーの種類。
0 = 標準
1 = 予約済み
2 = 管理
3 = DcAdmin
4 = システム
5 = アプリケーション
6 = ServicePrincipal
7 = CustomPolicy
8 = SystemPolicy
バージョン 倍精度浮動小数点数 操作中のファイルのバージョン ID。
Workload 文字列 アクティビティが発生したOffice 365 サービス (Exchange、SharePoint、OneDrive など) を格納します。