Data Loss Prevention で Azure MIP を設定する方法

技術的な記事 ID: KB91833
最終更新: 2021-01-13 13:04:35 Etc/GMT

環境

McAfee Data Loss Prevention (DLP) Discover 11.4.x
McAfee DLP Endpoint 11.6.x, 11.5.x

概要

この記事では、DLP Discover 11.4.x および DLP Endpoint 11.5.x. での Azure Microsoft Information Protection（MIP）のサポートに関する情報を提供します。また、それを使用するために必要な設定プロセスも提供します。

注: McAfee ePO に複数の Azure サーバーを登録すると、パフォーマンスが低下する可能性があります。必要な Azure サーバーのみを追加することをお勧めします。

次のタスクを実行します。

クライアントアプリケーションを Azure Active Directory に登録します。
クライアントアプリケーションを Azure Active Directory for DLP Discover に登録する
DLP Discover サーバーで Azure MIP 機能を使用するには、クライアントアプリケーションを Azure Active Directory に登録する必要があります。クライアントアプリケーションを登録するには、次の手順を実行します。
1. Azure の組織アカウントで スーパーユーザー として定義されているユーザーを使用して Azure ポータルにログオンします。
2. 左側のナビゲーションウィンドウで、Azure Active Directory サービスを選択し、アプリの登録、新規登録の順に選択します。
3. アプリケーションの登録 ページで、アプリケーションの登録情報を入力します。
  - 名前 - アプリのユーザーに表示される意味のあるアプリケーション名を入力します。
  - サポートされているアカウントの種類 - この組織ディレクトリのアカウントのみを選択します。
  - Redirect URl (optional) – このフィールドは空白のままにすることができます。
4. 登録を選択します。 Azure AD は一意のアプリケーション（クライアント）ID をアプリに割り当て、アプリケーションの概要ページにリダイレクトされます。
5. アプリケーション（クライアント）ID と ディレクトリ（テナント）ID の 2 つのフィールドの値をコピーします。後で ePO 登録サーバー サーバー設定を作成するために必要になります。
6. 管理の下の API 権限をクリックし、権限の追加をクリックします。 API 権限のリクエストページが表示されます。
7. アプリケーションが実行時に必要とする MIP API と権限を追加します。
  1. API の選択 ページで、Azure Rights Management サービスをクリックします。
  2. Azure Rights Management サービス API ページで、アプリケーション権限をクリックします。
  3. 権限の選択 セクションで、コンテンツ ノードを展開し、 Content.DelegatedReader、Content.DelegatedWriter、および Content.SuperUser 権限を選択します。このオプションを使用すると、アプリケーションは、Azure の組織アカウントのすべてのユーザーの保護されたコンテンツを作成してアクセスできます。
  4. 権限の追加 をクリックして保存します。
8. 上記の手順 7 を繰り返して、API の選択ページから API を検索します。
  1. API の選択 ページで、組織が使用している API をクリックします。検索フィールドに、「Microsoft 情報保護同期サービス」と入力して、選択します。
  2. Microsoft 情報保護同期サービス APIページで、アプリケーションのアクセス許可をクリックします。
  3. UnifiedPolicy ノードを展開し、UnifiedPolicy.Tenant.Read を確認します。
  4. 権限の追加 をクリックして保存します。
9. API アクセス許可 ページで、管理者の同意を付与 (テナント名)をクリックし、はいをクリックします。この選択により、指定された権限で API にアクセスするために、この登録を使用するアプリケーションに事前同意が与えられます。グローバル管理者としてサインインした場合、アプリケーションを実行するテナント内のすべてのユーザーの同意が記録されます。それ以外の場合は、ユーザーアカウントにのみ適用されます。
10. Certificates & secrets を管理の下よりクリックし、新しいクライアントシークレットをクリックします。
  1. クライアントシークレットの説明を追加し、期間を選択して、追加をクリックします。
  2. 作成したクライアントシークレット値をコピーして保存します。
  注: ページを離れると、キーは再び表示されなくなります。
クライアントアプリケーションを Azure Active Directory for DLP Endpoint に登録する
DLP Endpoint で Azure 機能を使用するには、クライアントアプリケーションを Azure Active Directory に登録する必要があります。クライアントアプリケーションを登録するには、次の手順を実行します。

注: 現在、DLP は、Hybrid Azure Active Directory（フェデレーションサービス）を使用する企業環境のみをサポートしています。
1. Azure の組織アカウントで スーパーユーザー として定義されているユーザーを使用して Azure ポータルにログオンします。
2. 左側のナビゲーションウィンドウで、Azure Active Directory サービスを選択し、アプリの登録、新規登録の順に選択します。
3. アプリケーションの登録ページで、アプリケーションの登録情報を入力します。
  - 名前: アプリのユーザーに表示される意味のあるアプリケーション名を入力します。
  - サポートされているアカウントの種類:この組織ディレクトリのアカウントのみを選択します。
  - Redirect URl (optional): このフィールドは空白のままにすることができます。
4. 登録を選択します。 Azure AD は一意のアプリケーション（クライアント）ID をアプリに割り当て、アプリケーションの概要ページにリダイレクトされます。
5. アプリケーション（クライアント）ID と ディレクトリ（テナント）ID の 2 つのフィールドの値をコピーします。後で ePO 登録サーバー サーバー設定を作成するために必要になります。
6. アプリのページのリストで、マニフェストを選択し、次の手順を実行します。
  1. マニフェストエディタで allowPublicClient プロパティを true に設定します。
  2. マニフェストエディタの上にあるバーで保存 iをクリックします。
  3. signInAudience が AzureADandPersonalMicrosoftAccount に設定されていることを確認します。
  4. accessTokenAcceptedVersion が 2 に設定されていることを確認します。
7. 管理の下の API 権限をクリックし、権限の追加をクリックします。 API 権限のリクエスト ページが表示されます。
8. アプリケーションが実行時に必要とする MIP API と権限を追加します。
  1. API の選択 ページで、Azure Rights Management サービスをクリックします。
  2. Azure Rights Management サービス API ページで、アプリケーション権限をクリックします。
  3. 権限の選択 セクションで、コンテンツ ノードを展開し、Content.DelegatedReader、Content.DelegatedWriter、Content.Writer、Content.SuperUser、および user_impersonation permissionsを選択します。このオプションを使用すると、アプリケーションは、Azure の組織アカウントのすべてのユーザーの保護されたコンテンツを作成してアクセスできます。
  4. 権限の種類を 委任された権限に変更し、user_impersonation 権限 を選択します。
  5. 権限の追加 をクリックして保存します。
9. 上記の手順 7 を繰り返して、API の選択 ページから API を検索します。
  1. API の選択 ページで、組織が使用している API をクリックします。検索フィールドに、「Microsoft 情報保護同期サービス」と入力して、選択します。
  2. Microsoft 情報保護同期サービス APIページで、アプリケーションのアクセス許可をクリックします。
  3. UnifiedPolicy ノードを展開し、UnifiedPolicy.Tenant.Read を確認します。
  4. 委任された権限に変更し、UnifiedPolicy.User.Read を選択します。
  5. 権限の追加をクリックして保存します。
10. 上記の手順 7 を繰り返して、API の選択ページから API を検索します。
  1. API の選択 ページで、Azure Active Directory グラフをクリックします。
  2. Azure Active Directory グラフ ページで、アプリケーション権限をクリックします。
  3. アクセス許可の選択 セクションで、Application.ReadWrite.All Application.ReadWrite.OwnedBy、Device.ReadWrite.All、Directory.Read.All、 Directory.ReadWrite.All、 Domain.ReadWrite.All、Member.Read.Hidden、 Policy.Read.All を選択します。
  4. 権限の追加 をクリックして保存します。
11. 上記の手順 7 を繰り返して、API の選択ページから API を検索します。
  1. API の選択 ページで、Microsoft グラフをクリックします。
  2. Microsoft Graph ページで、アプリケーションのアクセス許可をクリックします。
  3. アクセス許可の選択 セクションで、User.Read User.Read.All, User.ReadBasic.All permissions を選択します。
  4. 権限の種類を 委任された権限に変更し、User.Read, User.ReadBasic および すべてのアクセス許可を選択します。
  5. 権限の追加をクリックして保存します。
12. API アクセス許可 ページで、管理者の同意を付与 (テナント名) をクリックし、はいをクリックします。この選択により、指定された権限で API にアクセスするために、この登録を使用するアプリケーションに事前同意が与えられます。グローバル管理者としてサインインした場合、アプリケーションを実行するテナント内のすべてのユーザーの同意が記録されます。それ以外の場合は、ユーザーアカウントにのみ適用されます。
13. Certificates & secrets を管理の下よりクリックし、新しいクライアントシークレットをクリックします。
  1. クライアントシークレットの説明を追加し、期間を選択して、追加をクリックします。
  2. 作成したクライアントシークレット値をコピーして保存します。
  注: ページを離れると、キーは再び表示されなくなります。
14. Azure Information Protection の Azure Services で、ラベルを設定するときに次の手順を実行します。
  1. ラベルが Protection: Azure (cloud key) に設定されている場合は、ラベルを使用するユーザーが少なくともラベルに対する共同所有者の権限を持っていることを確認してください。
  2. ラベルが使用済みポリシーに設定されていることを確認します。
    
    分類、ポリシーに移動して、関連するポリシーを開きます。
    
    [ラベルの追加または削除] オプションを使用してラベルを割り当てます。
  3. ラベルを公開します。
    
    管理に移動し、統一されたラベルを使用して、公開をクリックします。
    
    Https://protection.office.com/homepage に移動して、ポリシーを公開します。
    
    分類をクリックして、機密ラベルをクリックします。ラベルポリシータブに移動して、公開をクリックします。
  4. ラベルが公開されたポリシーに設定されていることを確認してください。

Azure サーバーを ePO 登録サーバーに登録します。

Azure ポータルでクライアントアプリケーションを作成したら、ePO 設定で Azure サーバーを定義する必要があります。

注: 権利管理の所有者が、使用しているアプリのアプリの所有者であることを確認してください。これは、アプリケーション設定 の下の 所有者 タブで表示できます。

また、Azure で使用されるラベルは、サーバー定義に手動で追加する必要があります。

これらのラベルは、Azure サーバーの RM ポリシーリアクションを定義するときに選択できます。このタスクの詳細については、製品バージョンの Data Loss Prevention インストールガイド を参照してください。
Microsoft Information Protection に Azure サーバーを登録します。

注: このトピックは、MVISION ePO で使用する DLP エンドポイントに適用されます。 MVISION ePO で使用する DLP エンドポイントは、Azure Microsoft Information Protection （MIP）と統合できます。

Azure サーバーと保護ラベルを登録して、ルールリアクションで保護するために選択できるようにします。
1. MVISION ePOで、メニュー、DLP ポリシーマネージャー、定義 を選択します。
2. 左側のウィンドウの RM サーバー カテゴリで、Microsoft 情報保護 を選択します。 アクション、新しいアイテム をクリックします。
  1. サーバー設定の名前とオプションの説明を入力します。
  2. Azure アプリケーションの登録の詳細で定義されているように、アプリケーション（クライアント） ID と ディレクトリ（テナント） ID を入力します。
  3. Azure アカウントに表示される各 AIP ラベル名 と AIP ラベル ID を入力します。
3. 設定が完了したら、保存をクリックします。
これで、Azure サーバーと情報保護ラベルが保存されました。

Azure Information Protection ラベルを使用して分類を作成し、それをデータ保護ルールに追加できます。

製品ドキュメントについては、製品ドキュメントポータルにアクセスしてください。

免責事項

この記事の内容のオリジナルは英語です。英語の内容と翻訳に相違がある場合、常に英語の内容が正確です。一部の内容は Microsoft の機械翻訳による訳文となっています。

影響を受ける製品

言語:

この記事は、次の言語で表示可能です:

Knowledge Center

Data Loss Prevention で Azure MIP を設定する方法

環境

概要

関連情報

免責事項

影響を受ける製品

言語:

Title

Title

Knowledge Center

Data Loss Prevention で Azure MIP を設定する方法

環境

概要

関連情報

免責事項

影響を受ける製品

言語:

地域を選択してください

Title

Title