Office アプリで秘密度ラベルを管理する

  • [アーティクル]

セキュリティとコンプライアンスのための Microsoft 365 ライセンス ガイダンス。

Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルから秘密度ラベルを発行すると、ユーザーが作成または編集するときに、ユーザーがデータを分類して保護するために Office アプリに表示され始めます。

この記事の情報を使用して、Office アプリの秘密度ラベルを正常に管理するのに役立ててください。 たとえば、特定のラベル付け機能に関する追加の構成情報などです。

ヒント

E5 のお客様でない場合は、90 日間の Microsoft Purview ソリューション試用版を使用して、Purview の追加機能が組織のデータ セキュリティとコンプライアンスのニーズの管理にどのように役立つかを確認してください。 Microsoft Purview コンプライアンス ポータルのトライアル ハブで今すぐ開始してください。 サインアップと試用期間の詳細については、こちらをご覧ください。

アプリでの秘密度ラベル付けのサポート

Office アプリで秘密度ラベルを使用するには、Office のサブスクリプション エディションを使用する必要があります。 このページの上部にあるライセンス リンクを使用して、対象となるプランを特定します。 秘密度ラベルは、Office のスタンドアロン エディション ("Office 永続的" とも呼ばれます) ではサポートされていません。

アプリでの秘密度ラベル機能のサポート

Office アプリの秘密度ラベルの最小バージョンのテーブルを使用して、Office アプリで秘密度ラベルに固有の機能を導入した最小 Office バージョンを特定します。 または、ラベル機能が公開プレビュー中または将来のリリースのためにレビュー中の場合。

Windows、macOS、iOS、および Android の最小バージョンの一覧に加えて、この機能がOffice on the webでサポートされているかどうかを表に含めます。

Office for iOS および Office for Android: 秘密度ラベルは Office アプリに組み込まれています。

Office 組み込みのラベル付けと Azure Information Protection クライアント

Azure Information Protection統合ラベル付けクライアントの Windows Office アドインは廃止され、サポートされなくなりました。 ラベル付けを サポートする Office アプリに組み込まれている秘密度ラベルに置き換えられます。

アドインはサポートされなくなったため、[Office ポリシー] 設定 [秘密度ラベル付けに Azure Information Protection アドインを使用する] を [未構成 ] (既定値) または [無効] に設定する必要があります。 この設定が [有効] に構成されている場合、Office アプリで秘密度ラベル付けを使用することはできません。

この設定をチェックするには:

この以前のラベル付けクライアントの他のラベル付け機能は、Microsoft Purview 情報保護 クライアントでサポートされています。 詳細については、「 Windows での秘密度ラベル付けを拡張する」を参照してください。

Windows 上の Office アプリで組み込みのラベル付けを無効にする必要がある場合

Office アプリで秘密度ラベル付けを使用するには、Microsoft Purview コンプライアンス ポータルのユーザーに発行された 1 つ以上のラベル ポリシーと、サポートされているバージョンの Office が必要です。

これらの両方の条件が満たされていても、Windows Office アプリで秘密度ラベルをオフにする必要がある場合は、Office ポリシー設定 [ Office の秘密度機能を使用して秘密度ラベルを適用して表示する] を使用します。 [無効] を選択して、値を 0 に設定 します。

グループ ポリシーおよびMicrosoft 365 Apps for enterprise管理用テンプレートの場合は、ユーザー構成/管理用テンプレート/Microsoft Office 2016/セキュリティ設定からこの設定に移動します。 Microsoft 365 の Cloud Policy サービスを使用している場合は、この設定を名前で検索します。 この設定は、Office アプリが再起動したときに有効になります。

後でこの構成を元に戻す必要がある場合は、[ 有効] を選択して値を 1 に変更します。 また、リボンに [ 秘密度 ] ボタンが期待どおりに表示されない場合は、この設定を有効にする必要があります。 たとえば、前の管理者がこのラベル付け設定をオフにしたとします。

この設定は Windows Office アプリに固有であるため、秘密度ラベル (Power BI など) や他のプラットフォーム (macOS、モバイル デバイス、Office for the web など) をサポートする Windows 上の他のアプリには影響しません。 一部またはすべてのユーザーにすべてのアプリ (すべてのプラットフォーム) で秘密度ラベルを表示して使用したくない場合は、それらのユーザーに秘密度ラベル ポリシーを割り当てないでください。

ヒント

Word、Excel、PowerPoint の組み込みラベルの表示を停止し、Outlook 用に表示する場合や、その他の方法で表示する場合は、ラベルごとの設定でこの結果を実現できます。 詳細については、「 ファイルまたはメールのみにラベルをスコープする」を参照してください。

サポートされる Office ファイルの種類

一般に、Word、Excel、PowerPoint ファイルのラベル付けが組み込まれている Office アプリでは、Open XML 形式 (.docx や .xlsx など) はサポートされますが、Microsoft Office 97-2003 形式 (.doc や .xls など)、開くドキュメント形式 (.odtや.odsなど) やその他の形式はサポートされません。 ファイルの種類が組み込みのラベル付けでサポートされていない場合、Office アプリでは [秘密度] ボタンを使用できません。

注:

ユーザーが Windows で Word、Excel、PowerPoint の古いファイルの種類を開いたり保存したりできないようにすることができます。 手順については、「 Office 2016 で特定のファイル形式の種類をブロックする」を参照してください。

これらのサービスが秘密度ラベルに対して有効になっている場合に SharePoint と OneDrive でサポートされる特定のファイルの種類については、「 SharePoint と OneDrive でファイルの秘密度ラベルを有効にする」を参照してください。

その他のラベル付けソリューションについては、サポートされるファイルの種類のドキュメントを確認してください。

保護テンプレートと秘密度ラベル

Microsoft Purview Message Encryption用に定義した保護テンプレートなど、管理者が定義した保護テンプレートは、組み込みのラベル付けを使用している場合、Office アプリには表示されません。 この簡素化されたエクスペリエンスにより、保護テンプレートを選択する必要はありません。暗号化が有効になっている秘密度ラベルに同じ設定が含まれているためです。

EncryptionTemplateId パラメーターを指定して New-Label コマンドレットを使用すると、既存のテンプレートを秘密度ラベルに変換できます。

Information Rights Management (IRM) オプションと秘密度ラベル

暗号化を適用するために構成する秘密度ラベルは、ユーザーから複雑さを取り除き、独自の暗号化設定を指定します。 Office アプリでは、これらの個々の暗号化設定は、Information Rights Management (IRM) オプションを使用してユーザーによって手動で構成される場合があります。 たとえば、Windows アプリの場合:

  • ドキュメントの場合: ファイル>情報>ドキュメントの保護>アクセスの制限
  • 電子メールの場合: [オプション] タブ [暗号化] から>

Windows および Mac 用の最新のWord、Excel、PowerPoint アプリでは、秘密度ラベルがある場合にユーザーが Information Rights Management (IRM) オプションを選択できなくなりました。 代わりに、ユーザーに秘密度ラベルを使用して情報保護を適用するように求めるダイアログ ボックスが表示されます。 このメッセージでは、後で 秘密度バー にアクセスしてラベルを選択および変更する方法についても説明します。

最新の Office アプリでは、IRM オプションは使用できなくなり、ユーザーは代わりに秘密度ラベルを選択する必要があります。

ユーザーが Information Rights Management オプションを選択できる Outlook および古い Office アプリの場合、ユーザーは適用された秘密度ラベルの設定を独自の暗号化設定でオーバーライドできます。 次に例を示します。

  • ユーザーが社外秘 \ すべての従業員ラベルをドキュメントに適用し、このラベルは組織内のすべてのユーザーに暗号化設定を適用するように構成されています。 次に、このユーザーは IRM 設定を手動で構成して、組織外のユーザーへのアクセスを制限します。 最終結果は、社外秘 \ すべての従業員というラベルが付けられ、暗号化されたドキュメントですが、組織内のユーザーは期待どおりに開くことができません。

  • ユーザーが社外秘 \ 受信者のみラベルをメールに適用し、このメールは転送不可の暗号化設定を適用するように構成されています。 Outlook アプリでは、このユーザーが手動で暗号化のみの IRM 設定を選択します。 最終的に、社外秘 \ 受信者のみラベルが付いていても、暗号化が保持される間は受信者はメールを転送できます。

    例外として、Outlook on the web の場合、現在選択されているラベルが暗号化を適用する場合、ユーザーは [暗号化] メニューのオプションを選択できません。

  • ユーザーが全般ラベルをドキュメントに適用しますが、このラベルは暗号化を適用するように構成されていません。 次に、このユーザーは IRM 設定を手動で構成して、ドキュメントへのアクセスを制限します。 最終結果は、全般というラベルの付いたドキュメントですが、暗号化も適用されるため、一部のユーザーは期待どおりに開くことができません。

ドキュメントまたはメールにすでにラベルが付けられている場合、コンテンツがまだ暗号化されていないか、「エクスポート」または「フル コントロール」の使用権限があるなら、ユーザーはこれらのアクションのいずれかを実行できます。

わかりやすいレポートを使用してラベルをより一貫性のあるエクスペリエンスにするには、ドキュメントとメールを保護するためにラベルのみを適用するための適切なラベルとガイダンスをユーザーに提供します。 次に例を示します。

  • ユーザーが独自のアクセス許可を割り当てる必要がある例外的なケースでは、ユーザーが独自のアクセス許可を割り当てることができるラベルを提供します。

  • ユーザーが暗号化を適用するラベルを選んだ後に手動で暗号化を削除する代わりに、ユーザーが同じ分類の暗号化なしのラベルを必要とする場合は、サブラベルの代替手段を提供します。 たとえば、次のようなものです。

    • 社外秘 \ すべての従業員
    • 社外秘 \ すべてのユーザー (暗号化なし)

  • ユーザーが Word、Excel、PowerPoint の IRM 設定を選択できない最新バージョンにアップグレードします。 Outlook の場合は、ユーザーが IRM 設定を選択できないように IRM 設定を無効にすることを検討してください。

    • Outlook for Windows:
      • レジストリ キー DWORD:00000001DisableDNF と DisableEO from HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Common\DRM
      • グループ ポリシー設定では、[暗号化] ボタン向けに既定の暗号化オプションを構成するは構成されないことを確認してください。
    • Outlook for Mac:
    • Outlook on the web:
      • パラメーター SimplifiedClientAccessDoNotForwardDisabled および SimplifiedClientAccessEncryptOnlyDisabled は、Set-IRMConfiguration 向けに文書化されます
    • iOS および Android 用の Outlook: これらのアプリでは、ユーザーがラベルなしの暗号化を適用することをサポートされていないため、すべて無効です。

注:

ユーザーが SharePoint または OneDrive に保存されているラベル付きドキュメントから暗号化を手動で削除し、SharePoint および OneDrive で Office ファイルの秘密度ラベルを有効にした場合、ラベルの暗号化は、次にドキュメントがアクセスまたはダウンロードされたときに、自動的に復元します。

ドキュメントの暗号化ベースのラベルマッチング

管理者が定義したアクセス許可でドキュメントが暗号化されている場合、暗号化ポリシーがドキュメントに埋め込まれます。 これは、ラベル付けとは別に行われます。 たとえば、Office 添付ファイルが電子メール メッセージから暗号化を継承している場合、またはユーザーが Office アプリで Information Rights Management (IRM) を使用して権限管理テンプレートを適用した場合などです。 テナント内の秘密度ラベルが同じ暗号化ポリシーと一致する場合、Office アプリはその一致するラベルをドキュメントに自動的に割り当てます。

このシナリオでは、一致する秘密度ラベルでラベル付けされていないドキュメントにラベルを付け、暗号化を適用しない既存のラベルを置き換えることができます。 たとえば、[ 全般 ] ラベルは 社外秘/すべての従業員に置き換えられます。 一致するラベルのコンテンツ マーキングは自動的には適用されません。

このシナリオは、以前の暗号化ソリューションを権利管理テンプレートから、権限管理で暗号化を適用する秘密度ラベルに移行するのに役立ちます。

ただし、この動作は、受信者が開いたときに、電子メールと会議の添付ファイルのラベル付けシナリオでも表示されます。 以下に例を示します。

  1. ユーザーが電子メールを作成し、暗号化されていない Office ドキュメントを添付した後、メールにラベルを適用します。

    ラベルは、[転送不可] または [Encrypt-Only] オプションではなく、管理者によって設定されたアクセス許可を使用して暗号化を適用します。 たとえば、ラベル構成の場合、管理者は [ 今すぐアクセス許可を割り当てる] を選択し、すべての従業員が読み取りアクセス権を持っていることを指定します。

  2. 電子メールが送信されると、 添付ファイルは、権限管理を使用した暗号化を自動的に継承しますが、ラベルは継承しません。

  3. 同じテナント内の受信者が暗号化されたドキュメントを開くと、管理者が定義したアクセス許可の一致するラベルがドキュメントに自動的に表示され、ドキュメントが保存された場合は保持されます。

    アクティビティ エクスプローラーに表示される監査イベントとして、このユーザーはメール送信者ではなくラベルを適用しました。

暗号化ベースのラベル照合はテナント内でのみ機能し、次のすべての条件が適用されます。

  • ドキュメントにラベルが付いていないか、既存のラベルが暗号化を適用しない
  • ドキュメントは管理者が定義したアクセス許可で暗号化されます
  • 一致する秘密度ラベルは、ドキュメントを開くユーザーに発行されます
  • 一致する秘密度ラベルのラベル スコープには、Files が含まれます

ドキュメントが保存されると、一致するラベルが保持されます。

秘密度ラベルの互換性

RMS 対応アプリの場合: 秘密度ラベルをサポートしていない RMS 対応アプリケーションで、ラベル付きで暗号化されたドキュメントまたはメールを開いた場合でも、アプリは暗号化とアクセス権管理を実施します。

Microsoft Purview 情報保護 クライアントを使用する場合: Microsoft Purview 情報保護 クライアントを使用して、Office アプリを使用してドキュメントに適用する秘密度ラベルを表示および変更できます。

他のバージョンの Office の場合: 許可されたユーザーは、他のバージョンの Office でラベル付きのドキュメントやメールを開くことができます。 ただし、サポートされている Office バージョンまたは Microsoft Purview 情報保護 クライアントを使用する場合にのみ、ラベルを表示または変更できます。 サポートされている Office アプリのバージョンは、前のセクションに記載されています。

秘密度ラベルで保護された SharePoint および OneDrive ファイルのサポート

SharePoint または OneDrive のドキュメントに対して Office on the web で Office 組み込みのラベル付けクライアントを使用するには、SharePoint および OneDrive の Office ファイルに秘密度ラベルが有効になっていることを確認してください。

外部ユーザーとラベル付きコンテンツのサポート

ドキュメントまたはメールにラベルを付けると、ラベルはテナントとラベル GUID を含むメタデータとして保存されます。 秘密度ラベルをサポートする Office アプリでラベル付きのドキュメントまたはメールを開くと、このメタデータが読み取られ、ユーザーが同じテナントに属している場合にのみ、ラベルがアプリに表示されます。 たとえば、Word、PowerPoint、Excel の組み込みのラベル付けの場合、ラベル名はステータス バーに表示されます。 ユーザーはゲスト アカウントを除外します。

この実装は、異なるラベル名を使用する別のorganizationとドキュメントを共有する場合、各organizationが適用され、ドキュメントに適用された独自のラベルを確認できることを意味します。 ゲスト ユーザーには、アプリにラベルが表示されません。

注:

別のorganizationが独自の秘密度ラベルを適用できない 2 つの例外:

Outlook から送信されたメール (およびラベル付き予定表イベント) についても同じことが当てはまります。 ただし、Outlook 以外のメール クライアントは、メール ヘッダーにラベル メタデータを保持しない場合があります。 たとえば、Outlook を使用しない別のorganizationから返信または転送するユーザーは、ラベルメタデータが保持されていないため、元のメール ラベルが元のorganizationに表示されなくなる可能性があります。 そのラベルが暗号化を適用した場合、暗号化はコンテンツを保護するために保持されます。

適用されたラベルの次の要素は、organization外のユーザーに表示されます。

  • コンテンツ マーキング。 ラベルがヘッダー、フッター、または透かしを適用すると、これらはコンテンツに直接追加され、誰かが変更または削除するまで表示されたままになります。

  • 暗号化を適用したラベルの基になる保護テンプレートの名前と説明。 この情報は、コンテンツの上部にあるメッセージ バーに表示され、コンテンツを表示する権限を持つユーザーとそのコンテンツの使用権に関する情報を提供します。

暗号化されたドキュメントを外部ユーザーと共有する

独自のorganization内のユーザーへのアクセスを制限することもできますが、Microsoft Entra IDにアカウントを持つ他のユーザーにアクセスを拡張することもできます。 既定では、これらの外部ユーザーは追加の構成なしで認証されます。 ただし、外部 ID のクロステナント アクセス設定と条件付きアクセスMicrosoft Entra追加の構成が必要になる場合があります。

外部ユーザーがMicrosoft Entra IDにアカウントを持っていない場合は、テナントのゲスト アカウントを使用して認証できます。 これらのゲスト アカウントは、SharePoint および OneDrive で Office ファイルの秘密度ラベルを有効にしている場合に、SharePoint または OneDrive の共有ドキュメントにアクセスするためにも使用できます。

オプションのMicrosoft Entra機能と認証要件にゲスト アカウントを使用する方法の詳細については、「暗号化コンテンツのMicrosoft Entra構成」を参照してください。

すべての Office アプリおよびその他の RMS 対応アプリケーションは、ユーザーが正常に認証された後、暗号化されたドキュメントを開くことができます。

Office アプリがコンテンツ マーキングと暗号化を適用した場合

Office アプリは、使用するアプリに応じて、秘密度ラベルを使用したコンテンツ マーキングと暗号化を異なる方法で適用します。

アプリ コンテンツのマーケティング 暗号化
すべてのプラットフォームの Word、Excel、PowerPoint 直ちに 直ちに
Outlook for PC と Outlook for Mac Exchange Onlineがメールまたは会議出席依頼を送信した後 直ちに
Outlook on the web、iOS、および Android Exchange Onlineがメールまたは会議出席依頼を送信した後 Exchange Onlineがメールまたは会議出席依頼を送信した後

Office アプリの外部のファイルに秘密度ラベルを適用するソリューションは、ファイルにラベル付けメタデータを適用します。 このシナリオでは、ラベルの構成からコンテンツ マーキングはファイルに挿入されませんが、暗号化が適用されます。 Office アプリでこれらのドキュメントを開くと、コンテンツ マーキングは自動的に適用されません。

Office アプリの外部に秘密度ラベルを適用することを含むシナリオは次のとおりです。

  • Microsoft Purview 情報保護 クライアントからのスキャナー、エクスプローラー、PowerShell

  • SharePoint と OneDrive の自動ラベル付けポリシー

  • Power BI からエクスポートされた、ラベル付けおよび暗号化されたデータ

  • Microsoft Defender for Cloud Apps

これらのシナリオでは、Office アプリを使用して、ユーザーは現在のラベルを一時的に削除または置き換え、元のラベルを再適用することで、ラベルのコンテンツ マーキングを適用できます。

変数を使用した動的マーキング

重要

ご使用の Office アプリがこの機能をサポートしていない場合、変数を解決するのではなく、ラベル構成で指定された元のテキストとしてマーキングを適用します。 Office アプリの秘密度ラベルについては、「最小バージョン」の表を参照してください。

コンテンツ マーキングの秘密度ラベルを構成する場合、ヘッダー、フッター、または透かしのテキスト文字列で次の変数を使用できます。

変数 説明 ラベルが適用された場合の例
${Item.Label} 適用されたラベルのラベル表示名 全般
${Item.Name} ラベル付けされたコンテンツのファイル名またはメールの件名 Sales.docx
${Item.Location} ラベル付けされたドキュメントのパスとファイル名、またはラベル付けされたメールの件名 \\Sales\2020\Q3\Report.docx
${User.Name} ラベルを適用するユーザーの表示名 Richard Simone
${User.PrincipalName} ラベルMicrosoft Entra適用するユーザーのユーザー プリンシパル名 (UPN) rsimone@contoso.com
${Event.DateTime} コンテンツにラベル付けされる日時、Microsoft 365 アプリでラベルを適用するユーザーのローカル タイム ゾーン、または Office Online および自動ラベル付けポリシーの UTC (協定世界時) 2020 年 8 月 10 日午後 1:30

注:

これらの変数の構文では大文字と小文字が区別されます。

Word、Excel、PowerPoint、および Outlook にさまざまな視覚的マーキングを設定する

追加の変数として、テキスト文字列で "If.App" 変数ステートメントを使用して Office アプリケーションの種類ごとに視覚的マーキングを構成し、Word、Excel、PowerPoint、または Outlook の値を使用してアプリケーションの種類を識別できます。 これらの値を短縮することもできます。これは、同じ If.App ステートメントで複数を指定する場合に必要です。

次の構文を使用してください。

${If.App.<application type>}<your visual markings text> ${If.End}

他の動的な視覚的マーキングと同様に、構文では大文字と小文字が区別されます。これには、各アプリケーションの種類 (WXPO) の省略形が含まれます。

例:

  • Word 文書のみのヘッダー テキストを設定します。

    ${If.App.Word}This Word document is sensitive ${If.End}

    Word 文書ヘッダーのみで、ラベルに「この Word 文書は機密です」というヘッダー テキストを適用します。 ヘッダー テキストは他の Office アプリケーションには適用されません。

  • Word、Excel、および Outlook のフッター テキストと、PowerPoint の別のフッター テキストを設定します。

    ${If.App.WXO}This content is confidential. ${If.End}${If.App.PowerPoint}This presentation is confidential. ${If.End}

    Word、Excel、Outlook では、"このコンテンツは機密です" というフッター テキストがラベルによって適用されます。PowerPoint では、ラベルによってフッター テキスト "このプレゼンテーションは機密です" が適用されます。

  • Word と PowerPoint に特定の透かしテキストを設定してから、Word、Excel、PowerPoint に透かしテキストを設定します。

    ${If.App.WP}This content is ${If.End}Confidential

    Word および PowerPoint では、ラベルに「このコンテンツは社外秘です」という透かしテキストを適用します。 Excel では、ラベルに「社外秘」という透かしテキストを適用します。 Outlook では、視覚的マーキングとしての透かしは Outlook でサポートされていないため、ラベルに透かしテキストを適用しません。

ユーザーがメールとドキュメントにラベルを適用することを必須にする

重要

この構成は、必須のラベル付けと呼ばれることもあります。 サポートされている Office バージョンをチェックするには、「Office アプリの秘密度ラベルの最小バージョン」の表を参照してください。

メールではなくドキュメントに必須ラベルを使用するには、Outlook 固有のオプションを構成する方法を説明する次のセクションの手順を参照してください。

Power BI の必須のラベル付けを使用するには、「Power BI の必須のラベル付けポリシー」を参照してください。

ポリシー設定 [ メールにラベルを適用することをユーザーに要求し、ドキュメントを 選択する] が選択されている場合、ポリシーを割り当てられたユーザーは Office アプリで秘密度ラベルを選択して適用する必要があります。

  • ドキュメント (Word、Excel、PowerPoint) の場合: ラベル付けされていないドキュメントを開いたり保存したりしたとき。

  • メール (Outlook) の場合: ユーザーがラベル付けされていないメール メッセージを送信するとき。 Outlook Mobile の場合、 これは、電子メール メッセージが最初に構成されたときに に変更できます。

追加情報 :

  • ラベルなしは、ユーザーのテナントから発行された秘密度ラベルがコンテンツに適用されていないことを意味します。 他のテナントによって適用される秘密度ラベルは、このポリシー設定では無視されます。

  • ラベル付けされていないドキュメントを開いたために秘密度ラベルを追加するように求められた場合、ユーザーはラベルを追加するか、ドキュメントを読み取り専用モードで開くことを選択できます。

  • 必須のラベル付けが有効になっている場合、ユーザーはドキュメントから秘密度ラベルを削除することはできませんが、既存のラベルを変更することはできます。

  • 必須のラベル付けが有効になっている場合、ドキュメントにラベルが付けられているか暗号化されていると、PDF に印刷オプションは使用できなくなります。 詳細については、このページの「PDF サポート」セクションを参照してください。

この設定をいつ使用するかについては、ポリシー設定に関する情報を参照してください。

注:

必須のラベル付けに加えて、ドキュメントやメールに既定のラベル ポリシー設定を使用する場合:

既定のラベルは、必須のラベル付けよりも常に優先されます。 ただし、既存のドキュメントの既定のラベルをまだサポートしていないバージョンの Office を使用する場合、ユーザーは新しいドキュメントごとに秘密度ラベルを適用するように求められます。

機能テーブルと行 [既存のドキュメントに既定のラベルを適用する] を使用して、既存のドキュメントの既定のラベルをサポートするWord、Excel、PowerPoint の最小バージョンを特定します。

Outlook Mobile の場合、ユーザーにラベルの入力を求めるメッセージが表示されたら変更します

この設定には、Outlook for Android と Outlook for iOS 用の 4.2316.0 の最小バージョンが必要です。

Microsoft Intuneマネージド アプリ アプリ構成ポリシーを使用すると、ユーザーが Outlook Mobile の秘密度ラベルを選択するように求められたときに変更される、Intune App Software Development Kit (SDK) から設定を構成できます。

必須のラベル付けが電子メール用に構成されている場合は、送信時にラベルの入力を求める代わりに、ユーザーが最初にメッセージを作成するときにラベルの入力を求めるメッセージが表示されます。

この構成では、ポリシーの一般的な構成設定として、次のキーと値のペアを指定する必要があります。

キー 値
com.microsoft.outlook.Mail.LouderMandatoryLabelEnabled true

既定ラベルと必須ラベルの Outlook 固有のオプション

Outlook の 機能テーブル と、 既定のラベルと必須のラベル付けの [異なる設定] 行を使用して、これらの機能をサポートする Outlook の最小バージョンを特定します。

Outlook アプリが、ドキュメントの既定のラベル設定と異なる既定のラベル設定をサポートしている場合は、以下のようになります。

  • Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルのラベル ポリシー構成の [電子メールに既定のラベルを適用する] ページで、ラベル付けされていないすべてのメールに適用する秘密度ラベルを選択するか、既定のラベルを指定しないように指定できます。 この設定は、構成の以前の [ドキュメント向けポリシー設定] ページの [既定でドキュメントにこのラベルを適用する] 設定とは独立しています。

Outlook アプリが、ドキュメント向けの既定のラベル設定と異なる既定のラベル設定をサポートしていない場合: Outlook は、ラベル ポリシー ウィザードの[ドキュメント向けポリシー設定] ページで [既定でドキュメントにこのラベルを適用する] に指定した値を常に使用します。

Outlook アプリが、必須のラベル付けをオフすることをサポートする場合は、以下のようになります。

  • Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルのラベル ポリシー構成の [ポリシー設定] ページで、[ユーザーにメールまたはドキュメントへのラベルの適用を要求する] を選択します。 次に [次へ]>、[次へ] の順に選択し、[メールへのラベルの適用をユーザーに要求する] チェックボックスをオフにします。 ドキュメントに加えて、メールにもラベル付けを必須にすることを適用する場合は、チェックボックスをオンにしたままにしておきます。

Outlook アプリが必須のラベル付けをオフにすることをサポートしていない場合。ポリシー設定でRequire users to apply a label to their email or documentsを選択した場合、Outlookはラベルのない電子メールに対して常にユーザーにラベルの選択を促すようになります。

ファイルまたはメールのみにラベルをスコープする

注:

機能 テーブルを使用して、この機能をサポートする最小バージョンを特定し、[ スコープ] 行のラベルをファイルまたは電子メールに指定します。

この機能がユーザーによって使用されるすべてのプラットフォームでサポートされていない限り、一貫性のないラベル付けエクスペリエンスが得られます。 たとえば、1 つのプラットフォーム上のWordには、別のプラットフォームに表示されるラベルは表示されません。

この構成は、Microsoft Purview コンプライアンス ポータルで秘密度ラベルを作成または編集するときに、Items スコープの拡張機能です。 アイテムのラベルのスコープを定義すると、ファイルまたは電子メールだけでなく、 会議にもスコープをさらに絞り込むことができます。

  • Word、Excel、PowerPoint のみにラベルのスコープを設定するには、メールのオプションではなく、[ファイル] のオプションが選択されていることを確認します。
  • Outlook のみにラベルのスコープを設定するには、[ファイル] のオプションではなく、[ メール] のオプションが選択されていることを確認 します。

警告

既存のラベルを編集して [ファイル ] スコープを削除することはできますが、既存の構成が期待どおりに機能しなくなる可能性があるため、これを行うことをお勧めしません。 たとえば、SharePoint サイト管理者は、ドキュメント ライブラリの既定のラベルとして選択した秘密度ラベルがラベルを適用しなくなった理由を理解しません。

メール専用の秘密度ラベルが必要な場合は、既存のラベルを編集するのではなく、[ メール ] スコープだけを含む新しいラベルを作成します。

ラベルの範囲を Word、Excel、PowerPoint、または Outlook のみに限定する必要がない場合は、両方のオプションが選択されていることを確認します。

他のラベル構成は、アプリに秘密度ラベルが表示されるかどうかにも影響を与える可能性があります。 使用するラベル構成のドキュメントを確認してください。

注:

[ ファイル] オプションには、Power BI ファイルなど、このスコープ オプションをサポートする他の項目を含めることができます。 アプリケーションのドキュメントを確認して確認し、organizationで使用されるすべてのラベル付けアプリとサービスをテストしてください。

この構成は、クライアント アプリとサービス、手動ラベル付け、自動ラベル付けの両方に影響することに注意してください。 以下に例を示します。

  • 既定のラベル:

    • スコープに電子メールが含まれていない場合、電子メールの構成済みの既定のラベルは適用されません。
    • スコープにファイルが含まれていない場合、ファイルに対して構成された既定のラベルは適用されません。また、SharePoint ドキュメント ライブラリの既定の秘密度ラベルとして選択することはできません。

  • 自動ラベル付けポリシー:

    • スコープに電子メールが含まれていない場合、Exchange の場所を含む自動ラベル付けポリシーのラベルを選択することはできません。
    • スコープにファイルが含まれていない場合、SharePoint と OneDrive の場所を含む自動ラベル付けポリシーのラベルを選択することはできません。

  • ユーザーがアクセス許可を割り当てることができる暗号化:

    • スコープに電子メールが含まれていない場合、[ 転送不可 ] または [ 暗号化のみ] の暗号化オプションを選択することはできません。
    • スコープにファイルが含まれていない場合は、[Word、PowerPoint、Excel で暗号化オプションを選択することはできません。ユーザーにアクセス許可の指定を求めるメッセージが表示されます。

  • 電子メールの添付ファイルからのラベルの継承:

    • この構成では、ラベルの範囲をファイルと電子メールの両方に設定する必要があります。

さらに、ラベルが以前に適用された後、いずれかのスコープから削除された場合、ユーザーには、この機能をサポートするアプリのスコープに適用されたラベルが表示されなくなります。

ファイルまたはメールのみにラベルをスコープする影響があるため、一部の既存のラベル付け構成では 、ファイル と 電子メールのスコープ オプションを削除できなくなります。

  • ラベル ポリシーの既定のラベル
  • チャネル会議に適用する既定のラベル
  • 自動ラベル付けポリシーで選択されたラベル

ファイルまたはメールのみにラベルをスコープする前に、これらの既定のラベルの 1 つとして構成されている場合は、ラベルを削除し、自動ラベル付けポリシーから削除する必要があります。

制限：

  • 現時点では、秘密度ラベルを持つラベル ポリシー設定を使用する場合は、スコープが [ファイル ] のみ、または [ メール] のみにスコープが設定されている場合、同じポリシーには、両方のスコープ オプションを持つ少なくとも 1 つのラベルも含める必要があります。

  • ラベルが 1 つ以上のラベル ポリシーで既定のラベルとして構成されていて、Outlook が同じポリシー内の独自の既定のラベルで構成されていない場合、Emailのスコープを削除することはできません。 回避策として、最初にこのラベルを既定のラベルとして削除します。 その後、メール スコープを削除できます。 最後に、変更されたラベルをドキュメントの既定のラベルとして再選択します。

Outlook で S/MIME 保護を適用するようにラベルを構成する

注:

Outlook の 機能テーブル と [ S/MIME 保護の適用] 行を使用して、この機能をサポートする Outlook の最小バージョンを特定します。

S/MIME 保護を適用するようにラベルを構成しても、Outlook for Windows のバージョンがまだサポートされていない場合、ラベルは引き続き表示され、適用できますが、S/MIME 設定は無視されます。 Exchange 自動ラベル付けポリシーでこのラベルを選択したり 、予定表アイテム、Teams 会議、チャットを保護するように構成したりすることはできません。

この構成は、Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルでは使用できません。 セキュリティ & コンプライアンス PowerShell に接続した後、Set-Label または New-Label cmd で PowerShell の詳細設定を使用する必要があります。

これらの設定は、作業中の S/MIME 展開 があり、 Azure Information ProtectionからのRights Management 暗号化を使用する既定の保護ではなく、電子メールにラベルでこの保護方法を自動的に適用する場合にのみ使用します。 結果として得られる保護は、ユーザーが Outlook から S/MIME オプションを手動で選択した場合と同じです。

構成 詳細設定のキー/値
S/MIME デジタル署名 SMimeSign="True"
S/MIME 暗号化 SMimeEncrypt="True"

これらの設定に対して構成するラベルは、Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルで暗号化用に構成する必要はありません。 ただし、その場合、S/MIME 保護は Outlook でのみRights Management暗号化を置き換えます。 他のアプリの場合、ラベルは Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルで指定された暗号化設定を適用します。

秘密度ラベル GUID が 8faca7b8-8d20-48a3-8ea2-0f96310a848eである PowerShell コマンドの例:

Set-Label -Identity "8faca7b8-8d20-48a3-8ea2-0f96310a848e" -AdvancedSettings @{SMimeSign="True"}

Set-Label -Identity "8faca7b8-8d20-48a3-8ea2-0f96310a848e" -AdvancedSettings @{SMimeEncrypt="True"}

PowerShell の詳細設定の指定に関する詳細については、「PowerShell の詳細設定の指定に関するヒント」を参照してください。

電子メールの添付ファイルからのラベル継承を構成する

注:

Outlook の 機能テーブルを使用して、この機能をサポートする Outlook の最小バージョンと、 電子メールの添付ファイルからのラベルの継承行を特定します。

ユーザーが手動でラベル付けされていないメール メッセージにラベル付けされたドキュメントを添付する場合に、メールの継承を有効にします。 この構成では、添付ファイルに適用され、ユーザーに公開される秘密度ラベルに基づいて、電子メール メッセージに対して秘密度ラベルが動的に選択されます。 最も優先度の高いラベルは、Outlook でサポートされている場合に動的に選択されます。

このラベルの継承が、電子メール メッセージの既存のラベルをオーバーライドするかどうかを指定します。

  • 電子メール メッセージに手動でラベルが付いている場合、そのラベルは電子メールの添付ファイルからのラベル継承に置き換えられません。

  • 電子メールの添付ファイルからのラベルの継承は、既定のラベルとして自動的に適用または適用される低優先度の秘密度ラベルに置き換えられますが、優先度の高いラベルはオーバーライドされません。

この設定は、秘密度ラベル ポリシーの [ 電子メールの既定の設定 ] ページで構成します。 [添付ファイルからラベルを継承する] セクションで、添付ファイルから最も優先度の高いラベルEmail継承するチェック ボックスをオンにします。 添付ファイルは物理ファイルである必要があり、ファイルへのリンク (たとえば、Microsoft SharePoint または OneDrive 上のファイルへのリンク) にすることはできません。

このチェック ボックスをオンにすると、次のオプションをさらに選択できます。 ユーザーが自動的に適用するのではなく、添付ファイル ラベルを適用することをお勧めします。 この選択がないと、ラベルは自動的に適用されますが、ユーザーはメールを送信する前にラベルを削除したり、別のラベルを選択したりできます。

既定では、自動的に選択されたラベルが暗号化を適用する場合、同じ暗号化がメールに適用されます。 たとえば、最も優先度の高いラベルがマーケティング グループにフル コントロールで暗号化を適用する場合、電子メールはマーケティング グループに対してフル コントロールで保護されます。 優先度が最も高いラベルが [転送不可] の暗号化オプションを適用する場合、電子メール メッセージも [転送不可] でラベル付けされ、暗号化されます。

ただし、電子メール クライアントが添付ファイルに適用された特定の保護アクションをサポートしていない場合の結果を考慮してください。

  • 二重キー暗号化: 動作は、Outlook がこの暗号化方法をサポートしているかどうかによって異なります。 機能テーブルと行 Double Key Encryption (DKE) を使用して、バージョンのサポートを確認します。

    • Outlook が DKE をサポートしている場合: 最も優先度の高いラベルが Double Key Encryption の暗号化設定を適用し、 アクセス許可を今すぐ割り当てる場合、Outlook for Windows はそのラベルと保護を電子メール メッセージに適用します。 ラベルが [ユーザーがラベルを 適用するときにアクセス許可を割り当てよう] に構成されている場合、ラベルと保護は適用されません。

    • Outlook が DKE をサポートしていない場合: 最も優先度の高いラベルがダブル キー暗号化を適用する場合、Outlook for Windows の電子メール メッセージにラベルまたは暗号化は選択されません。

  • Word、PowerPoint、Excel のカスタム アクセス許可: 最も優先度の高いラベルが、Word、PowerPoint、および Excel に対するユーザー定義のアクセス許可のみを適用する場合 ([ユーザーがラベルを適用するときにアクセス許可を割り当てできるようにする] オプションと [Word、PowerPoint、Excel で、ユーザーにアクセス許可の指定を求める] オプション)、Outlook ではこのラベル構成がサポートされていないため、電子メール メッセージにはラベルまたは保護が選択されていません。

PDF サポート

Office アプリの秘密度ラベルの最小バージョンのテーブルを使用して、サポートされているバージョンを特定します。

Office for Windows: Word、Excel、PowerPoint では、Office ドキュメントを PDF ドキュメントに変換するための次の方法がサポートされています。

  • ファイル > を PDF として > 保存
  • ファイルの > エクスポート > PDF
  • コピーの送信 PDF を共有する>>

このアクションは、ファイル アクティビティとページ アクティビティ監査グループの名前変更されたファイル監査イベントでログに記録されます。 Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルの監査検索結果には、[アクティビティ] フィールドの [SensitivityLabeledFileRenamed] という監査イベント表示の詳細が表示されます。

Office for iOS: Word、Excel、PowerPoint では、Office ドキュメントを PDF ドキュメントに変換するための次の方法がサポートされています。

  • PDF をエクスポートする>
  • コピー > の送信 PDF として送信する

Office for Android: Word、Excel、PowerPoint では、Office ドキュメントを PDF ドキュメントに変換するための次の方法がサポートされています。

  • コピーの送信を共有 > する -> PDF

Office for the web: ブラウザーからファイルをダウンロードする必要があります。 Office オンライン ドキュメントを PDF ドキュメントに変換するには、次の方法がサポートされています。

  • WordとPowerPoint on the web:
    • PDF > ダウンロードとして>保存
  • Excel on the web:
    • ダウンロードを PDF > ダウンロードとしてエクスポートする>
    • 印刷 > 印刷 > ダウンロード (PDF > ダウンロード)

PDF を作成すると、コンテンツ マーキングを含むラベルが継承されます。 Windows の場合、ラベルに暗号化が適用されている場合、その暗号化も継承されます。 暗号化された PDF は、Windows または Mac の Microsoft Edge で開くことができます。 詳細については、「 Windows または Mac で Microsoft Edge を使用して保護された PDF を表示する」を参照してください。

SharePoint と OneDrive では、次の PDF シナリオがサポートされています。

Outlook では、現在、ラベル付きメッセージから暗号化を継承する PDF 添付ファイルはサポートされていません。 ただし、Outlook では、次に説明するように、ユーザーが PDF に印刷できないように警告またはブロックする機能がサポートされるようになりました。

PDF シナリオはサポートされていません:

  • PDF に印刷する

    ユーザーがこのオプションを選択すると、ドキュメントまたはメールがラベルの保護と暗号化 (適用されている場合) を失うことを警告され、続行するには確認する必要があります。 秘密度ラベル ポリシーでラベルを削除するか、その分類を下げる理由が必要な場合は、このプロンプトが表示されます。

    このオプションは秘密度ラベルを削除するため、必須のラベルを使用している場合、ユーザーはこのオプションを使用できません。 この構成は、ユーザーがメールとドキュメントにラベルを適用することを要求する秘密度ラベル ポリシー設定を参照します。

  • PDF/A 形式と暗号化

    長期アーカイブ用に設計されたこの PDF 形式は、ラベルが暗号化を適用する場合はサポートされず、ユーザーが Office ドキュメントを PDF に変換できなくなります。 構成情報については、「 ISO 19005-1 への PDF 準拠を強制する (PDF/A) 」に関するグループ ポリシードキュメントを参照してください。

  • パスワード保護と暗号化

    ドキュメントのラベルが暗号化を適用する場合、オプション [ファイル]>[情報]>[ドキュメントの保護]>[パスワードで暗号化] はサポートされません。 このシナリオでは、ユーザーは [パスワードで暗号化] オプションを使用できなくなります。

PDF へのエクスポートの詳細については、「 Office アプリで作成された PDF に秘密度ラベルを適用する」を参照してください。

エンド ユーザーのドキュメントについては、「 Office ファイルから保護された PDF を作成 する」および「 保護された PDF でサポートされている PDF リーダー」を参照してください。

PDF サポートの無効化

Word、Excel、PowerPoint の Office アプリで PDF サポートを無効にする必要がある場合は、ユーザー構成/管理用テンプレート/Microsoft Office 2016/Microsoft Save As PDF および Save As XPS アドインの下にある グループ ポリシー Office 設定を使用して、これを行うことができます。

  • Office の秘密度機能を使用して PDF に秘密度ラベルを適用する

この設定を [無効] に構成します。

この設定を展開するには、グループ ポリシーを使用するか、Microsoft 365 の Cloud Policy サービスを使用します。

秘密度バー

Office アプリの秘密度ラベルの最小バージョンのテーブルを使用して、機密バーをサポートする Office バージョンを特定します。

Word、Excel、PowerPoint がこの機能をサポートしている場合、上部のウィンドウ バーのファイル名の横にある秘密度バーに秘密度ラベルが表示されます。 以下に例を示します。

ウィンドウ タイトル バーの秘密度ラベル。

Outlook がこの機能をサポートしている場合、電子メールの [件名] 行に秘密度バーが表示されます。 以下に例を示します。

Outlook の件名行の秘密度ラベル。

ラベルに関する情報と、ラベルを選択または変更する機能も、保存と名前の変更、エクスポート、共有、印刷、 PDF への変換を含むユーザー ワークフローに統合されます。 詳細とスクリーンショットの例については、ブログ投稿のお知らせ「 Office for Windows の新しい秘密度バー」を参照してください。

この高い可視性の一部として、これらのラベルは色もサポートしています。 詳細については、次のセクションを参照してください。

ラベルの色

ラベル付けアプリでこの機能がサポートされていない場合、構成されたラベルの色は表示されません。 Office アプリでサポートされているバージョンを特定するには、「Office アプリの 秘密度ラベルの最小バージョン」の表を参照してください。

新しく作成されたラベルには、既定では色がありません。 Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルを使用して、秘密度ラベルに 10 色の標準色のいずれかを選択します。 ラベルの色の構成は、ラベル名と説明の後のラベル構成の最初のページにあります。

サブラベルの色は、親ラベルからラベルの色を自動的に継承するため、選択できません。

ラベルが 10 個の既定の色の 1 つとは異なる色で構成されている場合は、[以前に割り当てられたカスタムカラーチェックを使用する] ボックスが選択されており、標準の色オプションは使用できません。 カスタムの色を標準色のいずれかに変更するには、最初にチェック ボックスをオフにしてから、標準の色のいずれかを選択します。

Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルを使用して別のカスタム 色を構成することはできません。 代わりに、次のセクションで説明するように PowerShell を使用します。

PowerShell を使用したカスタム 色の構成

Security & Compliance PowerShell の詳細設定の色を使用して、秘密度ラベルの色を設定できます。 この構成では、Microsoft Purview ポータルまたはMicrosoft Purview コンプライアンス ポータルで構成できない色がサポートされています。

色の選択を指定するには、色の赤、緑、青 (RGB) コンポーネントの 16 進トリプレット コードを使用します。 たとえば、＃40e0d0 はターコイズの RGB 16進数値です。

これらのコードの詳細については、MSDN Web ドキュメントの <カラー> ページを参照してください。 また、RapidTables が役立つ場合もあります。 これらのコードは、画像を編集できる多くのアプリケーションで識別できます。 たとえば、Microsoft ペイントでは、パレットからカスタムカラーを選択すると、RGB値が自動的に表示され、コピーできます。

秘密度ラベル GUID が 8faca7b8-8d20-48a3-8ea2-0f96310a848e である PowerShell コマンドの例

Set-Label -Identity 8faca7b8-8d20-48a3-8ea2-0f96310a848e -AdvancedSettings @{color="#40e0d0"}

秘密度ラベルの PowerShell 詳細設定の指定に役立つ詳細については、「 詳細設定を指定するための PowerShell のヒント」を参照してください。

親ラベルの既定のサブラベルを指定する

注:

この設定をサポートする Office の最小バージョンを特定するには、 機能テーブル と、 親ラベルの [既定のサブラベル] 行を使用します。

この構成は、Microsoft Purview コンプライアンス ポータルでは使用できません。 セキュリティ & コンプライアンス PowerShell に接続した後、Set-Label または New-Label cmd で PowerShell の詳細設定 DefaultSubLabelId を使用する必要があります。

サブラベルをラベルに追加すると、ユーザーはアイテムに親ラベルを適用できなくなります。 既定では、ユーザーは親ラベルを選択して適用できるサブラベルを表示し、それらのサブラベルのいずれかを選択します。 親ラベルに既定のサブラベルを指定した場合、ユーザーが親ラベルを選択すると、サブラベルが自動的に選択されて適用されます。

たとえば、親ラベル Confidential は、既定のサブラベルである [すべての従業員] で構成されます。 次の親ラベル である非常に機密性の高いラベルには、既定のサブラベルが構成されていません。 [機密性の高い] では表示されない [機密] のラベル バーの末尾との違いを確認できます。

親ラベル Confidential が既定のサブラベル用に構成されていることを示す例。

ユーザーがその垂直バーの左側を選択すると、1 つの選択で [社外秘\すべての従業員] が 自動的に選択されます。 別のサブラベルが必要な場合は、垂直バーの右側を選択してラベルの展開を選択し、選択するすべてのサブラベルを表示する必要があります。 これに対し、[機密性の 高い] を選択した場合、そのラベルのサブラベルは常に選択用に表示されます。

このラベル設定を構成したら、必要に応じてエンド ユーザー ドキュメントを更新してください。

親秘密度ラベル GUID が 8faca7b8-8d20-48a3-8ea2-0f96310a848e であり、既定値として指定するサブラベルが 1ace2cc3-14bc-4142-9125-bf946a70542c である PowerShell コマンドの例:

Set-Label -Identity "8faca7b8-8d20-48a3-8ea2-0f96310a848e" -AdvancedSettings @{DefaultSubLabelId="1ace2cc3-14bc-4142-9125-bf946a70542c"}

PowerShell の詳細設定の指定に関する詳細については、「PowerShell の詳細設定の指定に関するヒント」を参照してください。

ラベル付けアクティビティの監査

秘密度ラベル アクティビティによって生成される監査イベントの詳細については、監査ログ アクティビティのドキュメントの 秘密度ラベル アクティビティ に関するセクションを参照してください。

この監査情報は コンテンツ エクスプローラー と アクティビティ エクスプローラー で視覚的に表され、秘密度ラベルの使用方法と、ラベル付けされたコンテンツの場所を理解するのに役立ちます。

監査ログ レコードをエクスポートおよび構成するときには、セキュリティ情報とイベント管理 (SIEM) ソフトウェアを選択してカスタム レポート を作成することもできます。 大規模なレポート ソリューションについては、「Office 365 Management Activity API リファレンス」を参照してください。

ヒント

カスタム レポートを作成するには、次のブログ記事を参照してください:

エンド ユーザー向けのドキュメント