Microsoft Intuneで Windows Information Protection ポリシーを作成する

[アーティクル]
03/09/2023

注

2022 年 7 月以降、Microsoft は Windows Information Protection (WIP) を非推奨としています。 Microsoft は引き続き、サポートされているバージョンの Windows で WIP をサポートします。 Windows の新しいバージョンには WIP の新機能は含まれません。また、今後のバージョンの Windows ではサポートされません。詳細については、「Windows Information Protectionの日の入りを発表する」を参照してください。

データ保護のニーズに合わせて、Microsoft Purview 情報保護とMicrosoft Purview データ損失防止を使用することをお勧めします。 Purview を使用すると、構成のセットアップが簡略化され、高度な機能セットが提供されます。

適用対象:

Windows 10
Windows 11

Microsoft Intuneには、Windows Information Protection (WIP) ポリシーを簡単に作成して展開する方法があります。保護するアプリ、保護のレベル、ネットワーク上のエンタープライズデータの検索方法を選択できます。デバイスは、Mobile デバイス管理 (MDM) によって完全に管理することも、モバイルアプリケーション管理 (MAM) によって管理することもできます。ここで、Intuneはユーザーの個人用デバイス上のアプリのみを管理します。

WIP の MDM と MAM の違い

MDM のデバイス登録を使用するか、MAM のデバイス登録なしで、Intuneでアプリ保護ポリシーを作成できます。どちらのポリシーを作成するプロセスも似ていますが、重要な違いがあります。

MAM には、Windows Hello for Businessのアクセス設定が増えています。
MAM は、ユーザーの個人用デバイスから会社のデータを選択的にワイプできます。
MAM には、Microsoft Entra ID P1 または P2 ライセンスが必要です。
WIP の自動回復には、P1 または P2 のMicrosoft Entra IDライセンスも必要です。デバイスは、再登録して保護されたデータへのアクセスを回復できます。 WIP 自動回復は、暗号化キーをバックアップするための登録Microsoft Entraによって異なります。これには、MDM を使用したデバイスの自動登録が必要です。
MAM では、デバイスごとに 1 人のユーザーのみがサポートされます。
MAM は、対応するアプリのみを管理できます。
BitLocker CSP ポリシーを使用できるのは MDM のみです。
同じユーザーとデバイスが MDM と MAM の両方を対象としている場合、MDM ポリシーは、Microsoft Entra IDに参加しているデバイスに適用されます。職場に参加している個人用デバイスの場合 (つまり、[設定]> を使用して追加Email &アカウント>職場または学校アカウントを追加します)、MAM 専用ポリシーが推奨されますが、[設定] でデバイス管理を MDM にアップグレードできます。 Windows Home エディションでは、MAM 専用の WIP のみがサポートされています。Home エディションで MDM ポリシーにアップグレードすると、WIP で保護されたデータアクセスが取り消されます。

前提条件

Intuneを使用して WIP ポリシーを作成する前に、Microsoft Entra IDで MDM または MAM プロバイダーを構成する必要があります。 MAM には、Microsoft Entra ID P1 または P2 ライセンスが必要です。 WIP の自動回復には、P1 または P2 のMicrosoft Entra IDライセンスも必要です。デバイスは、再登録して保護されたデータへのアクセスを回復できます。 WIP 自動回復は、MICROSOFT ENTRA登録に依存して暗号化キーをバックアップします。これには、MDM を使用したデバイスの自動登録が必要です。

MDM または MAM プロバイダーを構成する

Azure portal にサインインします。
[Microsoft Entra ID>Mobility (MDM と MAM)Microsoft Intune]>を選択します。
[ 既定の URL の復元] を 選択するか、MDM または MAM ユーザースコープの設定を入力し、[保存] を選択 します。

WIP ポリシーを作成する

Microsoft Intune管理センターにサインインします。
Microsoft Intuneを開き、[アプリ>アプリ保護ポリシー] [ポリシーの作成] の順に>選択します。
[ アプリポリシー ] 画面で、[ ポリシーの追加] を選択し、フィールドに入力します。
- [名前]: 新しいポリシーの名前を入力します (必須)。
- [説明]: 説明を入力します (省略可能)。
- [プラットフォーム]: [Windows 10] を選択します。
- [登録の状態]: [MAM の 登録なし ] または [MDM の 登録あり] を選択します。
[ 保護されたアプリ ] を選択し、[ アプリの追加] を選択します。

次の種類のアプリを追加できます。

注

アプリケーションは、保護されたアプリの一覧から削除した後、アクセス拒否エラーを返す場合があります。一覧から削除するのではなく、アプリケーションをアンインストールして再インストールするか、WIP ポリシーから除外します。

推奨されるアプリを追加する

[ 推奨アプリ ] を選択し、エンタープライズデータにアクセスする各アプリを選択するか、すべて選択して [ OK] を選択します。

Microsoft Intune 管理コンソール: 推奨されるアプリ。

ストアアプリを追加する

[ ストアアプリ] を選択し、アプリの製品名と発行元を入力して、[ OK] を選択します。たとえば、ストアからPower BI Mobile アプリを追加するには、次のように入力します。

名前: Microsoft Power BI
パブリッシャー: CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
製品名: Microsoft.MicrosoftPowerBIForWindows

ストアアプリを追加します。

複数のストアアプリを追加するには、省略記号を選択します …。

ストアアプリの発行元または製品名がわからない場合は、次の手順に従って見つけることができます。

ビジネス向け Microsoft Store の Web サイトに移動して、目的のアプリを探します。たとえば、アプリPower BI Mobile。
アプリの URL から ID 値をコピーします。たとえば、Power BI Mobileアプリ ID URL は https://www.microsoft.com/store/p/microsoft-power-bi/9nblgggzlxn1で、ID 値 9nblgggzlxn1をコピーします。
ブラウザーで、ビジネス向けストアポータルの Web API を実行して、発行元名と製品名の値を含む JavaScript Object Notation (JSON) ファイルを取得します。たとえば、を実行 https://bspmts.mp.microsoft.com/v1/public/catalog/Retail/Products/9nblgggzlxn1/applockerdataすると、が 9nblgggzlxn1 ID 値に置き換えられます。

API が実行され、アプリの詳細がテキストエディターに表示されます。
```
 {
 	"packageIdentityName": "Microsoft.MicrosoftPowerBIForWindows",
 	"publisherCertificateName": "CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US"
 }
```
publisherCertificateName と packageIdentityName の値をコピーして、Intune の [発行元] ボックスと [名前] ボックスにそれぞれ貼り付けます。
重要

JSON ファイルでは、[発行元名] ボックスと [製品名] ボックスの両方に対して 1 つの windowsPhoneLegacyId 値が返される場合もあります。つまり、XAP パッケージを使用しているアプリがあり、製品名をとしてwindowsPhoneLegacyId設定し、パブリッシャー名CN=をに続けてに設定するwindowsPhoneLegacyId必要があります。

次に、例を示します。
```
{
    "windowsPhoneLegacyId": "ca05b3ab-f157-450c-8c49-a1f127f5e71d",
}
```

デスクトップアプリを追加する

デスクトップアプリを追加するには、返される結果に基づいて、次のフィールドに入力します。

フィールド	管理対象
としてマークされたすべてのフィールド `*`	発行元によって署名されているすべてのファイル。 (推奨されず、動作しない場合があります)
[発行元] のみ	このフィールドにのみ入力すると、名前付き発行元によって署名されたすべてのファイルが取得されます。このオプションは、会社が内部基幹業務アプリの発行元および署名者である場合に役立つ可能性があります。
[発行元] と [名前] のみ	これらのフィールドのみを入力すると、指定した発行元によって署名された、指定した製品のすべてのファイルが取得されます。
[発行元]、[名前]、[ファイル] のみ	これらのフィールドのみを入力すると、指定した発行元によって署名された、指定した製品の名前付きファイルまたはパッケージの任意のバージョンが取得されます。
[発行元]、[名前]、[ファイル]、[最小バージョン] のみ	これらのフィールドにのみ入力すると、指定した発行元によって署名された、指定した製品の名前付きファイルまたはパッケージの指定されたバージョンまたは新しいリリースが取得されます。以前は対応していなかった対応アプリにはこのオプションを使うことをお勧めします。
[発行元]、[名前]、[ファイル]、[最大バージョン] のみ	これらのフィールドにのみ入力すると、指定した発行元によって署名された、指定した製品の名前付きファイルまたはパッケージの指定されたバージョンまたは古いリリースが取得されます。
すべてのフィールドに入力	すべてのフィールドに入力すると、指定した発行元によって署名された、指定した製品の指定されたバージョンの名前付きファイルまたはパッケージが取得されます。

別のデスクトップアプリを追加するには、省略記号を選択します …。フィールドに情報を入力したら、[ OK] を選択します。

Microsoft Intune 管理コンソール: デスクトップアプリ情報の追加。

パブリッシャーに含める内容がわからない場合は、次の PowerShell コマンドを実行できます。

Get-AppLockerFileInformation -Path "<path_of_the_exe>"

ここで、"<path_of_the_exe>" はデバイス上のアプリの場所を示します。次に、例を示します。

Get-AppLockerFileInformation -Path "C:\Program Files\Windows NT\Accessories\wordpad.exe"

この例では、次の情報が得られます。

Path                   Publisher
----                   ---------
%PROGRAMFILES%\WINDOWS NT\ACCESSORIES\WORDPAD.EXE O=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US

はパブリッシャー名で、WORDPAD.EXEファイル名はですO=MICROSOFT CORPORATION, L=REDMOND, S=WASHINGTON, C=US。

追加するアプリの製品名を取得する方法については、Windows サポートチームに問い合わせてガイドラインを要求してください

アプリの一覧をインポートする

このセクションでは、AppLocker XML ファイルを 保護されたアプリ の一覧に使用する 2 つの例について説明します。複数のアプリを同時に追加する場合は、このオプションを使用します。

ストアアプリのパッケージアプリルールを作成する
署名されていないアプリの実行可能ルールを作成する

AppLocker について詳しくは、「AppLocker」をご覧ください。

ストアアプリのパッケージアプリルールを作成する

ローカルセキュリティポリシースナップイン (SecPol.msc) を開きます。
[ アプリケーション制御ポリシー] を展開し、[ AppLocker] を展開し、[ パッケージアプリ規則] を選択します。
右側で右クリックし、[ 新しいルールの作成] を選択します。

[Create Packaged app Rules] ウィザードが表示されます。
[ 開始する前 に] ページで、[ 次へ] を選択します。
[ アクセス許可 ] ページで、[ アクション ] が [許可] に設定され、[ ユーザーまたはグループ ] が [ すべてのユーザー] に設定されていることを確認し、[ 次へ] を選択します。
[パブリッシャー] ページで、[インストールされているパッケージアプリを参照として使用する] 領域から [選択] を選択します。
[ アプリケーションの選択 ] ボックスで、ルールの参照として使用するアプリを選択し、[ OK] を選択します。この例では、Microsoft Dynamics 365を使用しています。
更新された パブリッシャー ページで、[ 作成] を選択します。
表示されるダイアログボックスで [ いいえ ] を選択し、既定のルールを作成するかどうかを確認します。 WIP ポリシーの既定のルールを作成しないでください。
ローカルセキュリティポリシースナップインを確認し、規則が正しいことを確かめます。
左側の AppLocker を右クリックし、[ ポリシーのエクスポート] を選択します。

[ポリシーのエクスポート] ボックスが表示され、新しいポリシーを XML としてエクスポートおよび保存できます。

[ ポリシーのエクスポート ] ボックスで、ポリシーを保存する場所を参照し、ポリシーに名前を付けて、[保存] を選択 します。

ポリシーが保存され、ポリシーから 1 つのルールがエクスポートされたことを示すメッセージが表示されます。

XML ファイルの例
これは、AppLocker で Microsoft Dynamics 365 用に作成された XML ファイルです。

<?xml version="1.0"?>
<AppLockerPolicy Version="1">
    <RuleCollection EnforcementMode="NotConfigured" Type="Appx">
        <FilePublisherRule Action="Allow" UserOrGroupSid="S-1-1-0" Description="" Name="Microsoft.MicrosoftDynamicsCRMforWindows10, version 3.2.0.0 and above, from Microsoft Corporation" Id="3da34ed9-aec6-4239-88ba-0afdce252ab4">
            <Conditions>
                <FilePublisherCondition BinaryName="*" ProductName="Microsoft.MicrosoftDynamicsCRMforWindows10" PublisherName="CN=Microsoft Corporation, O=Microsoft Corporation, L=Redmond, S=Washington, C=US">
                    <BinaryVersionRange HighSection="*" LowSection="3.2.0.0"/>
                </FilePublisherCondition>
            </Conditions>
        </FilePublisherRule>
    </RuleCollection>
    <RuleCollection EnforcementMode="NotConfigured" Type="Dll"/>
    <RuleCollection EnforcementMode="NotConfigured" Type="Exe"/>
    <RuleCollection EnforcementMode="NotConfigured" Type="Msi"/>
    <RuleCollection EnforcementMode="NotConfigured" Type="Script"/>
</AppLockerPolicy>

XML ファイルを作成したら、Microsoft Intuneを使用してインポートする必要があります。

署名されていないアプリの実行可能ルールを作成する

実行可能ルールは、署名されていないアプリに署名する AppLocker 規則を作成するのに役立ちます。これにより、WIP ポリシーを適用するために必要なファイルのデジタル署名に含まれるファイルパスまたはアプリ発行元を追加できます。

ローカルセキュリティポリシースナップイン (SecPol.msc) を開きます。
左側のウィンドウで、[ アプリケーション制御ポリシー>] AppLocker>実行可能ルールを選択します。
[実行可能ルール]を右クリックし、[>新しいルールの作成] をクリックします。
[ 開始する前 に] ページで、[ 次へ] を選択します。
[ アクセス許可 ] ページで、[ アクション ] が [許可] に設定され、[ ユーザーまたはグループ ] が [ すべてのユーザー] に設定されていることを確認し、[ 次へ] を選択します。
[ 条件 ] ページで、[ パス ] を選択し、[ 次へ] を選択します。
[ フォルダーの参照]を 選択し、署名されていないアプリのパスを選択します。この例では、"C:\Program Files" を使用しています。
[ 例外 ] ページで、例外を追加し、[ 次へ] を選択します。
[ 名前 ] ページで、ルールの名前と説明を入力し、[ 作成] を選択します。
左側のウィンドウで、[ AppLocker>エクスポートポリシー] を右クリックします。
[ ポリシーのエクスポート ] ボックスで、ポリシーを保存する場所を参照し、ポリシーに名前を付けて、[保存] を選択 します。

ポリシーが保存され、ポリシーから 1 つのルールがエクスポートされたことを示すメッセージが表示されます。
XML ファイルを作成したら、Microsoft Intuneを使用してインポートする必要があります。

Microsoft Intuneを使用して保護されたアプリの一覧をインポートするには

[ 保護されたアプリ] で、[ アプリのインポート] を選択します。

次に、ファイルをインポートします。
エクスポートした AppLocker ポリシーファイルを参照し、[ 開く] を選択します。

ファイルがインポートされ、アプリが 保護されたアプリ の一覧に追加されます。

WIP ポリシーからアプリを除外する

アプリが WIP と互換性がないが、エンタープライズデータで引き続き使用する必要がある場合は、WIP の制限からアプリを除外できます。つまり、アプリでは自動暗号化やタグ付けが行われなくなり、ネットワークの制限が尊重されなくなります。また、除外したアプリでデータ漏洩が発生する可能性があることも意味します。

[クライアントアプリ - アプリ保護ポリシー] で、[アプリの除外] を選択します。
[ アプリの除外] で、[ アプリの追加] を選択します。

アプリを除外すると、WIP 制限をバイパスし、会社のデータにアクセスできるようになります。
追加するアプリの種類に基づいて、残りのアプリ情報を入力します。
[OK] を選択します。

エンタープライズデータの WIP 保護モードの管理

WIP で保護するアプリを追加したら、管理および保護モードを適用する必要があります。

まずは、[サイレント] または [上書きの許可] で始め、保護されたアプリの一覧に適切なアプリを含めていることを小規模なグループで検証することをお勧めします。完了したら、最終的な適用ポリシー [ ブロック] に変更できます。

[アプリ保護ポリシー] で、ポリシーの名前を選択し、[必須設定] を選択します。

Microsoft Intune、[必須] 設定に Windows Information Protection モードが表示されます。

モード	説明
ブロック	WIP が、不適切なデータ共有を探し、従業員の操作の完了を停止します。不適切な操作には、エンタープライズで保護されていないアプリ間での情報の共有のほか、エンタープライズデータを社外の人やデバイスと共有する操作が含まれます。
上書きの許可	WIP によって不適切なデータ共有が検出され、危険と見なされる操作を従業員が実行しようとすると警告が表示されます。ただし、この管理モードでは、従業員はポリシーを上書きしてデータを共有でき、従業員が行った操作が監査ログに記録されます。監査ログファイルの収集方法について詳しくは、「Windows 情報保護 (WIP) 監査イベントログの収集方法」をご覧ください。
Silent	WIP は、無効なデータ共有をログに記録し、上書きを許可モードの間に従業員の操作を求められる内容をブロックすることなく、サイレントで実行されます。ネットワークリソースや WIP で保護されたデータにアプリから不適切にアクセスしようとした場合など、許可されていない操作は引き続き禁止されます。
オフ	WIP がオフになり、データの保護や監査は行われません。 WIP を無効にすると、ローカルで接続されたドライブ上にある WIP タグの付いたファイルに対して暗号化の解除が試みられます。 WIP 保護を再び有効にしても、以前の復号化とポリシーの情報は自動的には再適用されません。詳細については、「Windows Information Protectionを無効にする方法」を参照してください。

[保存] を選びます。

企業で管理する企業 ID の定義

通常、プライマリインターネットドメイン (contoso.com など) として表される企業 ID は、WIP によって保護済みとしてマークされたアプリから企業データを識別してタグ付けするのに役立ちます。たとえば、contoso.com を使用する電子メールは、企業データとして識別され、Windows 情報保護ポリシーにより制限されます。

Windows 10 Version 1703 以降では、Intune によって自動的に会社の ID が特定され、[会社の ID] フィールドに追加されます。

会社の ID を変更するには

[アプリポリシー] で、ポリシーの名前を選択し、[必須設定] を選択します。
自動定義 ID が正しくない場合は、[ 企業 ID ] フィールドの情報を変更できます。
メールドメイン名などのドメインを追加するには、[詳細設定>の構成] [ネットワーク境界の追加] の順に選択し、[保護されたドメイン] を選択します。

アプリがエンタープライズデータにアクセスできる場所の選択

アプリに保護モードを追加したら、それらのアプリがネットワーク上でエンタープライズデータにアクセスできる場所を決める必要があります。すべての WIP ポリシーには、エンタープライズネットワークの場所が含まれている必要があります。

WIP には既定の場所が含まれていないため、それぞれのネットワークの場所を追加することが必要です。この領域は、企業の範囲内の IP アドレスを取得し、SMB 共有を含むいずれかのエンタープライズドメインにもバインドされているネットワークエンドポイントデバイスに適用されます。ローカルファイルシステムの場所では暗号化を維持する必要があります (ローカルの NTFS、FAT、ExFAT など)。

ネットワーク境界を定義するには、[アプリポリシー] ポリシー>の [詳細設定]> [ネットワーク境界の追加] の名前を>選択します。

Microsoft Intune、アプリがネットワーク上のエンタープライズデータにアクセスできる場所を設定します。

[境界の種類] ボックスで、追加するネットワーク境界の種類を選択します。 [ 名前 ] ボックスに境界の名前を入力し、次のサブセクションで説明されているオプションに基づいて値を [値 ] ボックスに追加し、[OK] を選択します。

クラウドリソース

WIP により企業データとして扱われて保護されるクラウドリソースを指定します。クラウドリソースごとに、必要に応じて、そのクラウドリソースのトラフィックをルーティングするプロキシサーバーをエンタープライズ内部プロキシサーバーの一覧から指定することもできます。内部プロキシサーバー経由でルーティングされるすべてのトラフィックは、エンタープライズと見なされます。

"|" 区切り記号で複数のリソースを区切ります。次に、例を示します。

URL <,proxy>|URL <,proxy>

個人用アプリケーションは、空白または無効な文字 (URL の末尾のドットなど) を持つクラウドリソースにアクセスできます。

クラウドリソースのサブドメインを追加するには、アスタリスク (*) の代わりにピリオド (.) を使用します。たとえば、Office.com 内にすべてのサブドメインを追加するには、".office.com" (引用符なし) を使用します。

アプリが IP アドレスを介してクラウドリソースに直接接続する場合など、場合によっては、エンタープライズクラウドリソースに接続しようとしているか、個人用サイトに接続しようとしているのかを Windows が判断できません。このような場合、Windows では、既定で接続をブロックします。 Windows がこれらの接続を自動的にブロックするのを中止するには、設定に /*AppCompat*/ という文字列を追加します。次に、例を示します。

URL <,proxy>|URL <,proxy>|/*AppCompat*/

この文字列を使用する場合は、条件付きアクセスによって保護されているエンタープライズクラウドリソースへのアプリのアクセスをブロックする [ドメインに参加または準拠としてマークされている] オプションを使用して、条件付きアクセスのMicrosoft Entraも有効にすることをお勧めします。

プロキシを使用した値の形式:

contoso.sharepoint.com,contoso.internalproxy1.com|contoso.visualstudio.com,contoso.internalproxy2.com

プロキシを使用しない値の形式:

contoso.sharepoint.com|contoso.visualstudio.com|contoso.onedrive.com,

保護されたドメイン

環境内の ID に使用するドメインを指定します。この一覧に表示される完全修飾ドメインへのすべてのトラフィックが保護されます。 "|" 区切り記号で複数のドメインを区切ります。

exchange.contoso.com|contoso.com|region.contoso.com

ネットワークドメイン

環境で使用される DNS サフィックスを指定します。この一覧に表示される完全修飾ドメインへのすべてのトラフィックが保護されます。複数のリソースを "," 区切り記号で区切ります。

corp.contoso.com,region.contoso.com

プロキシサーバー

クラウドリソースにアクセスするためにデバイスが通過するプロキシサーバーを指定します。このサーバーの種類を使用すると、接続先のクラウドリソースがエンタープライズリソースであることを示します。

この一覧には、内部プロキシサーバーの一覧に一覧表示されているサーバーを含めてはいけません。プロキシサーバーは、WIP で保護されていない (非エンタープライズ) トラフィックにのみ使用します。 ";" 区切り記号で複数のリソースを区切ります。

proxy.contoso.com:80;proxy2.contoso.com:443

内部プロキシサーバー

クラウドリソースにアクセスするためにデバイスが経由する内部プロキシサーバーを指定します。このサーバーの種類を使用すると、接続先のクラウドリソースがエンタープライズリソースであることを示します。

この一覧には、プロキシサーバーの一覧に一覧表示されているサーバーを含めてはいけません。内部プロキシサーバーは、WIP で保護された (エンタープライズ) トラフィックにのみ使用します。 ";" 区切り記号で複数のリソースを区切ります。

contoso.internalproxy1.com;contoso.internalproxy2.com

IPv4 範囲

イントラネット内の有効な IPv4 値の範囲のアドレスを指定します。これらのアドレスは、ネットワークドメイン名と共に使用され、企業ネットワークの境界を定義します。クラスレス Inter-Domain ルーティング (CIDR) 表記はサポートされていません。

"," 区切り記号で複数の範囲を区切る。

開始 IPv4 アドレス: 3.4.0.1
終了 IPv4 アドレス: 3.4.255.254
カスタム URI: 3.4.0.1-3.4.255.254,
10.0.0.1-10.255.255.254

IPv6 範囲

Windows 10 バージョン 1703 以降では、このフィールドは省略可能です。

イントラネット内の有効な IPv6 値の範囲のアドレスを指定します。これらのアドレスは、ネットワークドメイン名と共に使用され、会社のネットワーク境界を定義します。クラスレス Inter-Domain ルーティング (CIDR) 表記はサポートされていません。

"," 区切り記号で複数の範囲を区切る。

IPv6 アドレスの開始:2a01:110::
終了 IPv6 アドレス:2a01:110:7fff:ffff:ffff:ffff:ffff:ffff
カスタム URI:2a01:110:7fff:ffff:ffff:ffff:ffff:ffff,'<br>'fd00::-fdff:ffff:ffff:ffff:ffff:ffff:ffff:ffff

ニュートラルリソース

会社の認証リダイレクトエンドポイントを指定します。これらの場所は、リダイレクト前の接続状況に応じて企業用または個人用と見なされます。複数のリソースを "," 区切り記号で区切ります。

sts.contoso.com,sts.contoso2.com

Windows で他のネットワーク設定を検索するかどうかを決定します。

エンタープライズプロキシサーバーリストが優先されます (自動検出しません)。 ネットワーク境界定義で指定したプロキシサーバーを、ネットワークで使用可能なプロキシサーバーの完全な一覧として Windows で処理する場合は、オンにします。これをオフにすると、Windows は即時ネットワーク内のより多くのプロキシサーバーを検索します。
エンタープライズ IP の範囲リストが優先されます (自動検出しません)。 ネットワーク境界定義で指定した IP 範囲を、ネットワークで使用可能な IP 範囲の完全な一覧として扱う場合は、有効にします。これをオフにすると、ネットワークに接続されているドメイン参加済みデバイスで、さらに多くの IP 範囲が検索されます。

Microsoft Intune、Windows でエンタープライズ内の他のプロキシサーバーまたは IP 範囲を検索するかどうかを選択します。

データ回復エージェント (DRA) 証明書のアップロード

WIP ポリシーを作成して従業員に展開すると、Windows は従業員のローカルデバイスドライブ上の企業データの暗号化を開始します。何らかの方法で従業員のローカル暗号化キーが失われたり取り消されたりすると、暗号化されたデータが回復不能になる可能性があります。このような事態を防ぐために、データ回復エージェント (DRA) 証明書を使うと、データの暗号化を解除できる秘密キーを保持しながら、証明書に含まれる公開キーを使用して Windows でローカルデータを暗号化できます。

重要

DRA 証明書の使用は必須ではありません。ただし、使用することを強くお勧めします。データ回復証明書を検索してエクスポートする方法の詳細については、「 Data Recovery and Encrypting File System (EFS)」を参照してください。 EFS DRA 証明書の作成と検証の詳細については、「暗号化ファイルシステム (EFS) Data Recovery Agent (DRA) 証明書の作成と検証」を参照してください。

DRA 証明書をアップロードするには

[アプリポリシー] で、ポリシーの名前を選択し、表示されるメニューから [詳細設定] を選択します。

詳細設定 が表示されます。
[ 暗号化されたデータの回復を許可するデータ復旧エージェント (DRA) 証明書をアップロードする] ボックスで 、[ 参照 ] を選択して、ポリシーのデータ回復証明書を追加します。

保護されたアプリがネットワーク上のエンタープライズデータにアクセスできる場所を決定したら、オプションの設定を選択できます。

高度なオプション設定。

登録解除時に暗号化キーを取り消す。 Windows Information Protectionから登録を解除するときに、ユーザーのローカル暗号化キーをデバイスから取り消すかどうかを決定します。暗号化キーが取り消された場合、ユーザーは暗号化された企業データにアクセスできなくなります。オプションは次のとおりです。

オンまたは未構成 (推奨): 登録解除時に、デバイスからローカルの暗号化キーを取り消します。
オフ: 登録解除時に、ローカルの暗号化キーがデバイスから取り消されるのを停止します。たとえば、Mobile デバイス管理 (MDM) ソリューション間で移行する場合などです。

[エンタープライズデータ保護アイコンを表示します]: [名前を付けて保存] やエクスプローラーのビューで、企業ファイルに Windows 情報保護アイコンオーバーレイを表示するかどうかを決定します。オプションは次のとおりです。

オン: [名前を付けて保存] やエクスプローラーのビューで、企業ファイルに Windows 情報保護アイコンオーバーレイが表示されるようにします。また、未適用でも保護されていないアプリの場合、アイコンオーバーレイはアプリタイルにも表示され、[ スタート ] メニューのアプリ名に [マネージドテキスト] が表示されます。
オフまたは未構成 (推奨): Windows Information Protection アイコンオーバーレイが会社のファイルに表示されないようにしたり、未インストールで保護されているアプリに表示されないようにします。既定のオプションは [未構成] です。

[Azure RMS を WIP のために使います]: WIP で Microsoft Azure Rights Management を使用して、従業員と安全に共有できるように、Windows 10から USB またはその他のリムーバブルドライブにコピーされたファイルに EFS 暗号化を適用するかどうかを決定します。つまり、WIP では、Azure Rights Management の "機械" を使用して、リムーバブルドライブにコピーされるときに EFS 暗号化をファイルに適用します。 Azure Rights Management が既に設定されている必要があります。 EFS ファイル暗号化キーは、RMS テンプレートのライセンスによって保護されます。そのテンプレートへのアクセス許可を持つユーザーのみが、リムーバブルドライブから読み取ることができます。 WIP は、EnterpriseDataProtection CSP の AllowAzureRMSForEDP と RMSTemplateIDForEDP MDM 設定を使用して、Azure RMS と統合することもできます。

[有効]。 リムーバブルドライブにコピーされたファイルを保護します。 TemplateID GUID を入力して、Azure Rights Management で保護されたファイルにアクセスできるユーザーと、その期間を指定できます。 RMS テンプレートはリムーバブルメディア上のファイルにのみ適用され、アクセス制御にのみ使用されます。実際には Azure Information Protectionがファイルに適用されることはありません。

RMS テンプレートを指定しない場合、すべてのユーザーがアクセスできる既定の RMS テンプレートを使用した通常の EFS ファイルです。
オフまたは未構成: リムーバブルドライブにコピーされた Azure Rights Management ファイルの暗号化から WIP を停止します。

注

この設定に関係なく、移動された既知のフォルダーを含め、OneDrive for Business内のすべてのファイルが暗号化されます。

Windows Search インデクサーが暗号化されたファイルを検索できるようにします。 WINDOWS Search インデクサーが、WIP で保護されたファイルなど、暗号化されたアイテムにインデックスを付けることができるようにするかどうかを指定します。

[有効]。 Windows Search インデクサーを起動して、暗号化されたファイルのインデックスを作成します。
オフまたは未構成: Windows Search インデクサーによる暗号化されたファイルのインデックス作成を停止します。

暗号化されたファイル拡張子

WIP によって保護されるファイルは、エンタープライズネットワークの場所内の SMB 共有からダウンロードするときに制限できます。この設定が構成されている場合、リスト内の拡張子を持つファイルのみが暗号化されます。この設定を指定しない場合、既存の自動暗号化動作が適用されます。

WIP で暗号化されたファイル拡張子。

Microsoft Intuneで Windows Information Protection ポリシーを作成する

WIP の MDM と MAM の違い

前提条件

MDM または MAM プロバイダーを構成する

WIP ポリシーを作成する

推奨されるアプリを追加する

ストアアプリを追加する

デスクトップアプリを追加する

アプリの一覧をインポートする

ストアアプリのパッケージアプリルールを作成する

署名されていないアプリの実行可能ルールを作成する

WIP ポリシーからアプリを除外する

エンタープライズデータの WIP 保護モードの管理

企業で管理する企業 ID の定義

アプリがエンタープライズデータにアクセスできる場所の選択

クラウドリソース

保護されたドメイン

ネットワークドメイン

プロキシサーバー

内部プロキシサーバー

IPv4 範囲

IPv6 範囲

ニュートラルリソース

データ回復エージェント (DRA) 証明書のアップロード

暗号化されたファイル拡張子

フィードバック

フィードバック

その他のリソース

Microsoft Intuneで Windows Information Protection ポリシーを作成する

WIP の MDM と MAM の違い

前提条件

MDM または MAM プロバイダーを構成する

WIP ポリシーを作成する

推奨されるアプリを追加する

ストア アプリを追加する

デスクトップ アプリを追加する

アプリの一覧をインポートする

ストア アプリのパッケージ アプリルールを作成する

署名されていないアプリの実行可能ルールを作成する

WIP ポリシーからアプリを除外する

エンタープライズ データの WIP 保護モードの管理

企業で管理する企業 ID の定義

アプリがエンタープライズ データにアクセスできる場所の選択

クラウド リソース

保護されたドメイン

ネットワーク ドメイン

プロキシ サーバー

内部プロキシ サーバー

IPv4 範囲

IPv6 範囲

ニュートラル リソース

データ回復エージェント (DRA) 証明書のアップロード

オプションの WIP 関連設定の選択

暗号化されたファイル拡張子

関連記事

フィードバック

フィードバック

その他のリソース

ストアアプリを追加する

デスクトップアプリを追加する

ストアアプリのパッケージアプリルールを作成する

エンタープライズデータの WIP 保護モードの管理

アプリがエンタープライズデータにアクセスできる場所の選択

クラウドリソース

ネットワークドメイン

プロキシサーバー

内部プロキシサーバー

ニュートラルリソース