データ損失防止

対象者: システム管理者と Amazon Quick 管理者

Amazon Quick は と統合Microsoft Purviewして、組織のデータ損失防止 (DLP) ポリシーを適用します。Microsoft Purview テナントを接続すると、Quick はスペース、チャット、ナレッジベースを介して共有される機密ファイルを分類して保護します。機密データは、組織の情報ガバナンスポリシーで定義されている境界内にとどまります。

データ損失防止の概念

Amazon Quick で DLP を設定する前に、以下の概念を理解してください。

機密ラベル

機密ラベルは、パブリック、機密、極秘など、コンテンツの機密レベルを記述するためにMicrosoft Purviewテナントで定義する分類です。親ラベルとサブラベル (子ラベル) を使用してラベルを階層的に整理できます。

強制アクション

強制アクションは、Quick が特定の機密ラベルを持つファイルを処理する方法を定義します。

• ブロック – ファイルをすばやく拒否し、ファイルを共有またはアップロードすることはできません。エラーメッセージが表示されます。

• 警告 – インタラクティブ機能では、警告メッセージが表示され、アップロードを続行するかキャンセルするかを選択できます。

• 許可 – 制限なしでファイルをクイック共有します。

デフォルトアクション

デフォルトのアクションは、特定のアクションに明示的にマッピングされていない機密ラベルを持つファイルに適用される強制アクションです。設定時にデフォルトのアクションを設定します。デフォルトのアクションでは、セットアップMicrosoft Purview後に で公開する新しいラベルもカバーされます。Quick は、これらのラベルをすぐに保持するファイルを管理するため、何も保護されません。新しいラベルに独自のアクションを付与するには、設定を編集して明示的にマッピングします。

プロバイダー停止アクション

プロバイダー停止アクションは、DLP プロバイダー (Microsoft Purview) が一時的に使用できない場合に Quick がファイルを処理する方法を決定します。次のいずれかのアクションに設定できます。

• ブロック – プロバイダーが再び利用可能になるまで、ファイルをすばやく拒否します。

• 警告 – Quick は を通じてファイルを許可し、停止中に警告を表示します。

• 許可 – Quick は、制限なしで を通じてファイルを許可します。

機能

機能とは、Quick が DLP の適用を適用する Amazon Quick 内の領域です。

• スペース – ユーザーがコラボレーションワークスペースにアップロードするファイル。

• チャット – チャット会話を通じてユーザーが共有するファイル。

• ナレッジベース – SharePoint、OneDrive、およびその他のコネクタを介して同期されたコンテンツ。

ラベルの継承

ラベルマッピング設定では、親ラベルに明示的なアクション (ブロックまたは警告) を割り当てることも、デフォルトのアクションに設定したままにすることもできます。サブラベル (子ラベル) は、親ラベルの アクションを継承します。明示的にマッピングされていないラベルは、マッピングされた親ラベルが存在する場合、その親ラベルのアクションに従います。それ以外の場合は、デフォルトのアクションが適用されます。

前提条件

DLP 設定を作成する前に、以下を準備します。

Microsoft Purview 機密ラベル

機密ラベル (パブリック、機密、極秘など) は、既に Microsoft Purviewまたは Microsoft 365テナントに公開する必要があります。これらのラベルはテナントからクイック読み取りされます。

Microsoft Entra ID アプリ登録

Quick がラベルの読み取りとファイルの分類に使用するアプリケーションを Microsoft Entra ID (Azure AD) に登録します。ディレクトリ (テナント) ID とアプリケーション (クライアント) ID を書き留めます。どちらも GUIDsであり、クライアントシークレット認証情報を作成する必要があります。アプリ登録に次の API アクセス許可を付与する必要があります。

API アクセス許可	型	説明
UnifiedPolicy.Tenant.Read	必須	テナントの統合データ保護ポリシーをお読みください。
SensitivityLabels.Read.All	必須	テナントで定義されているすべての機密ラベルを読み取ります。
Files.Read.All	オプションです。	SharePoint または でバックアップされたナレッジベースを使用する場合にのみ必要ですOneDrive。

AWS Secrets Manager シークレット

クイック AWS アカウントと同じアカウントの AWS Secrets Manager シークレットにPurview認証情報を保存します。シークレット値には、次の JSON 形式を使用します。

{
  "clientId": "abcdef12-3456-7890-abcd-ef1234567890",
  "clientSecret": "<client secret value>",
  "tenantId": "11111111-1111-1111-1111-111111111111"
}

注記

クイックはシークレットの ARN のみを保存します。クイックは実行時に認証情報を読み取り、コンソールに表示したり、API から返したり、ログに書き込んだりすることはありません。

重要

、clientId、 clientSecretの 3 つのキー名を正確に使用しますtenantId。クイックはこれらのキーを逐語的に検索するため、名前が変更されたかキーが欠落していると、フィールド欠落エラーで検証が失敗します。値を単一の JSON オブジェクトとして保存します。

シークレットへのクイックアクセス

管理者として AWS アカウントにサインインし、クイック管理者コンソールを開きます。次に、Secrets Manager シークレットを読み取るクイックアクセス許可を付与します。

1. アクセス許可を選択し、AWS リソースを選択します。

2. サービスのリストから AWS Secrets Manager を選択します。

3. シークレットを選択します。

4. [保存] を選択します。

カスタマーマネージド KMS キーで暗号化されたシークレット

カスタマーマネージド KMS キーが Secrets Manager シークレットを暗号化する場合、Quick には に加えてそのキーに対するkms:Decryptアクセス許可も必要ですsecretsmanager:GetSecretValue。

重要

アクセス許可、AWS リソースページでは、 を付与できませんkms:Decrypt。クイックサービスロールを IAM で直接編集して追加します。ロールを手動で編集すると、管理者コンソールのAWS リソースページからロールを管理できなくなります。

ロールに次のようなステートメントを追加します。アカウント ID、シークレット名、およびキー ID を独自の ID に置き換えます。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "secretsmanager:GetSecretValue" ],
      "Resource": [
        "arn:aws:secretsmanager:<home-region>:<account-id>:secret:<secret-name>",
        "arn:aws:secretsmanager:<other-region>:<account-id>:secret:<secret-name>"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [ "kms:Decrypt" ],
      "Resource": [ "arn:aws:kms:<other-region>:<account-id>:key/<key-id>" ]
    }
  ]
}

リージョン間でシークレットをレプリケートする

クイックはファイルを評価するすべての AWS リージョン でシークレットを読み取るため、シークレットはそれらの各リージョンに存在する必要があります。Secrets Manager コンソールの他のリージョンにシークレットをレプリケートしてレプリケートし、ロールがすべてのレプリカ ARN へのアクセスを許可していることを確認します。

カスタマーマネージド KMS キーがシークレットを暗号化しない場合は、それをレプリケートするだけで十分です。カスタマーマネージド KMS キーがシークレットを暗号化する場合は、次のいずれかの方法を使用します。

オプション 1: シングルリージョンキー

1. シークレットを他のリージョンにレプリケートします。

2. プライマリシークレットからレプリカをデタッチして、スタンドアロンになるようにします。

3. 他のリージョンに KMS キーを作成します。

4. そのキーをスタンドアロンシークレットにアタッチします。

5. 「」で説明されているように、新しいキーkms:Decryptに を付与しますカスタマーマネージド KMS キーで暗号化されたシークレット。

オプション 2: マルチリージョンキー

1. ホームリージョンにマルチリージョンキーを作成します。

2. マルチリージョンキーをシークレットの暗号化キーとして設定します。

3. マルチリージョンキーを他のリージョンにレプリケートします。

4. シークレットをそのリージョンにレプリケートし、レプリケートされたマルチリージョンキーを暗号化キーとして選択します。

5. 「」で説明されているように、レプリカキーkms:Decryptに を付与しますカスタマーマネージド KMS キーで暗号化されたシークレット。

DLP 設定の作成

管理者コンソールにサインインします。ガバナンスを選択し、データ損失防止を選択し、DLP 設定の作成を選択してセットアップウィザードを開きます。ウィザードには 4 つのステップがあり、ナビゲーションペインに表示されます。次の表に、各ステップを示します。

Step	名前	説明
1	プロバイダー	DLP プロバイダー () を選択しますMicrosoft Purview。
2	認証情報	設定に名前を付け、 AWS Secrets Manager に接続します。
3	ラベルマッピング	適用範囲を指定し、機密性ラベルをアクションにマッピングします。
4	確認	設定を確認し、設定をアクティブ化します。

ステップ 1: プロバイダー

DLP プロバイダーとして Microsoft Purview を選択し、続行を選択します。

ステップ 2: 認証情報

次の情報を入力します。

• 設定名 – ダッシュボードに表示されるわかりやすい名前。例: Knowledge base DLP。

• シークレット ARN – Secrets Manager シークレットの ARN を貼り付けます。

• Validate を選択してシークレットPurviewで に接続し、必要な読み取りアクセス許可を確認します。

注記

検証が成功すると、必要なアクセス許可ごとに緑色のチェックが表示されます。アクセス許可がない場合、またはシークレットが無効である場合、Quick は問題にインラインフラグを付け、修正して再試行できるようにします。

重要

検証が成功するまで次のステップに進むことはできません。再試行する前に、アプリ登録に必要なすべての API アクセス許可があり、シークレット ARN が正しいことを確認します。

ステップ 3: ラベルマッピング

各機密ラベルを アクションにマッピングします。

• デフォルトアクション – Quick が明示的にマッピングしないラベルに適用するアクションを選択します。オプションは、ブロック、警告、または許可です。保守的な開始点はブロックです。

• 機密ラベル – Purviewテナントから現在のラベルのリストをクイックロードします。ラベルごとに、そのアクションを選択します。サブラベルは親の アクションを継承します。で最近ラベルを変更Purviewし、最新のリストを取得する場合は、更新を選択します。

• プロバイダーの停止アクション – Purviewが到達できない場合の Quick の動作を選択します。ブロック (フェイルクローズ – 最も安全）、警告、または許可 (フェイルオープン）。機密マテリアルを保持するナレッジベースの場合、Block は推奨されるプロバイダーの停止アクションです。

[Review] (レビュー) を選択します。

次の表に、強制アクションを示します。

許可

ファイルは正常に処理されます。Quick は制限を適用しません。

警告

ファイルは続行されますが、機密性の高いラベルが付いている場合は、インタラクティブ機能 (チャットとスペース) で Quick から通知されます。

ブロック

Quick はファイルを拒否し、Quick インデックスに取り込みません。

ステップ 4: 確認

概要を確認する – プロバイダー、設定名、認証方法、機能、label-to-action内訳、デフォルトのアクション、プロバイダーの停止アクション。セクションの横にある編集リンクを選択して、それに戻ります。

アクティブ/非アクティブトグルを使用して、Quick が設定を作成するとすぐに強制するかどうかを設定します (デフォルトはアクティブ)。クイックは非アクティブ設定を保存しますが、アクティブ化するまで強制しません。準備が完了したら、[作成] を選択します。

これで、設定がデータ損失防止ダッシュボードにカードとして表示されるようになりました。アクティブのままにすると、クイックはナレッジベースへの新しいファイルアップロードの強制を開始します。

強制の仕組み

ファイルがアクティブな DLP 設定が保護するクイック機能に入ると、次のシーケンスが発生します。

1. ファイルは保護されたクイック機能に入ります。たとえば、クイックはナレッジベースの同期中にドキュメントを取り込みます。

2. Quick DLP はファイルのMicrosoft Purview機密ラベルを取得します。

3. Quick は、設定内の label-to-action マッピングとラベルを照合します。

4. Quick は、結果のアクションを適用します。

   • 許可 – ファイルは正常に続行されます。

   • 警告 – ファイルは続行されますが、機密性の高いラベルが付いている場合は、インタラクティブ機能 (チャットとスペース) でクイック通知されます。

   • ブロック – ファイルをすばやく拒否します。

5. 明示的にマッピングされていないラベルの場合、クイックはマッピングされた親ラベルをチェックします。マッピングされた親が存在する場合、Quick はその親のアクションを使用します。それ以外の場合は、デフォルトのアクションが適用されます。セットアップPurview後に で公開する新しいラベルもデフォルトのアクションの対象となるため、Quick がすぐに管理します。新しいラベルに独自のアクションを付与するには、設定を編集して明示的にマッピングします。

6. Quick が に到達できない場合Purview、設定されたプロバイダーの停止アクションが適用されます。

ヒント

機密マテリアルを保持するナレッジベースの場合、デフォルトのアクションとプロバイダー停止アクションの両方をブロックに設定することをお勧めします。これにより、Quick がラベル付けされていないファイルやPurview停止中に到着したファイルを取り込むのを防ぐことができます。

機能別の強制

DLP の適用は、チャット、スペース、ナレッジベースの 3 つの機能に適用されます。同じアクションが 3 つすべてに適用されます。表示される内容と Quick が結果を記録する場所は、Quick がファイルをインタラクティブにスキャンするか、バックグラウンド同期中にスキャンするかによって異なります。

インタラクティブ機能: チャットとスペース

クイックは、結果の待機中に、ファイルを共有またはアップロードするときにファイルを評価します。

• ブロック – ファイルをすばやく拒否し、エラーメッセージが表示されます。

• 警告 – 警告メッセージが表示され、続行またはキャンセルを選択できます。

• 許可 – 制限なしでファイルをクイック共有します。

ナレッジベース

クイックは、取り込み中、同期開始後にファイルを評価するため、ユーザーは結果を待機しません。次の 2 つの結果があります。

• 警告プロンプトはありません。クイックは、Warn にマッピングされたラベルを持つファイルを取り込みます。Warn アクションは、この機能にユーザー表示の効果はありません。

• 結果はクイックオブザーバビリティレポートに表示されます。ナレッジベースの同期中に DLP が何をしたかを確認するには、その同期の Quick Observability レポートを開きます。レポートには、ファイルごとに 1 つのステータスが表示されます。

ブロック

Quick はファイルをインデックスに取り込みませんでした。BLOCKED ステータスは、DLP の適用または内部障害を示している可能性があります。内部障害のエラーメッセージは汎用です。

追加

新しいファイルをすばやく取り込みました。このステータスには、警告ラベルに一致するファイルが含まれます。レポートには個別には表示されません。

MODIFIED

既存のファイルをすばやく更新して再取り込みしました。前回の同期以降にファイルが変更されると、警告ラベルに一致するファイルは MODIFIED として表示されます。

設定をテストする

ダッシュボードの設定のカードから、テスト (ファイルスキャン) アイコンを選択します。ラベル付きファイルの Amazon S3 URI (例: s3://bucket/key) を指定し、本番環境で依存する前に、予想される許可、警告、またはブロックの結果が返されることを確認します。

注記

テストアクションは、現在のlabel-to-actionのマッピングを使用してドライランを実行します。ファイルを変更したり、ライブデータに影響を与えたりすることはありません。

設定の管理

各ダッシュボードカードから、次のアクションを実行できます。

• 編集 (鉛筆アイコン) – 認証情報、機能、ラベルマッピング、デフォルトアクション、またはプロバイダー停止アクションを変更します。

• アクティブ化/非アクティブ化 (トグル) — 強制をオンまたはオフにします。非アクティブ化すると、対象機能の保護が停止するため、確認を求められます。

• 削除 – 設定を完全に削除します (編集ビューから使用可能）。

注記

ダッシュボードカードは、Purviewテナントにまだマッピングされていない新しいラベルがある場合に警告します。マッピングするまでは、デフォルトの アクションに従います。

制限と検証

Amazon Quick の DLP には、次の制限が適用されます。

• アカウントあたりの DLP 設定 – 10。

• アカウントあたりのアクティブな DLP 設定 – 1。

• スキャンされた最大ファイルサイズ – 500 MB。Quick は大きなファイルをスキャンしません。

サポートされているファイルの種類

ラベル付けのために がMicrosoft Purviewサポートするファイルタイプをクイックスキャンします: Word、Excel、PowerPoint、PDF、Visio、Project、一般的なイメージ形式 (JPEG、PNG、TIFF、DNG、PSD)、XPS、 Power BI (.pbit、.pbix)、.dwfx、、および E メール (.msg、).eml。権威リストについては、 Microsoftウェブサイトでサポートされているファイルタイプを参照してください。

このリストを読むときは 1 つの区別が重要です。ラベル付けのために がMicrosoft Purviewサポートするファイルタイプのみが対象範囲内です。Quick は、復号Azure Rights Management化が必要なファイルや、保護されたラベルにのみ適用されるファイルタイプをスキャンしません。

保護されたラベル

ファイルに保護が有効になっているラベルがある場合、Quick はファイルをスキャンせず、代わりにデフォルトのアクションを適用します。保護されたラベルは、管理者コンソールのラベルマッピングステップには表示されません。CreateDlpSetting API を使用して指定することはできますが、評価結果は同じです。デフォルトのアクションが適用されます。

デフォルトのアクションが適用される場合

明示的にマッピングされていないラベルを超えると、次のいずれかに該当する場合、Quick はデフォルトのアクションに戻ります。

• ファイルには機密ラベルはありません。

• ファイルタイプはサポートされていません (「」を参照サポートされているファイルの種類)。

• ファイルが 500 MB のサイズ制限を超えています。

• ファイルは空です (0 バイト）。

• ファイルには保護されたラベルが付けられています。

注記

パブリック API では、デフォルトのアクションは unmappedActionフィールドです。

セキュリティのベストプラクティス

• DLP 専用のアプリ登録を使用します。他の統合を提供するMicrosoft Entra IDアプリ登録を再利用するのではなく、Quick DLP に別のアプリケーションを登録します。専用登録を使用すると、認証情報を個別にローテーションまたは取り消すことができ、アクセス許可の範囲を絞り込むことができます。

• DLP に必要なアクセス許可のみを付与します。アプリ登録の範囲を SensitivityLabels.Read.Allと に設定しますUnifiedPolicy.Tenant.Read。SharePoint または にバックアップされたナレッジベースを使用するFiles.Read.All場合にのみ を追加しますOneDrive。ラベルを一覧表示またはマッピングする必要はありません。

• Secrets Manager で認証情報を保持します。クイックはシークレットの ARN のみを保存します。クイックは実行時に認証情報を読み取り、コンソールに表示したり、API から返したり、ログに書き込んだりすることはありません。

API リファレンス

DLP 設定のプログラムによる管理については、「Amazon Quick API Reference」を参照してください。

クイックナレッジベースのセットアップ

クイック取り込みナレッジベースを設定するには、各コネクタの手順に従います。

• Google Drive ナレッジベース統合

• Microsoft OneDrive ナレッジベースの統合

• Microsoft SharePoint ナレッジベースの統合

• ウェブクローラーの統合

• Amazon S3 統合

• Atlassian Confluence Cloud ナレッジベースの統合

トラブルシューティング

次の表に、一般的な問題とその解決方法を示します。

アクセス許可エラーで検証が失敗する

アプリ登録が付与UnifiedPolicy.Tenant.ReadされSensitivityLabels.Read.All、管理者の同意があることを確認します。

シークレット ARN が見つかりません

Secrets Manager シークレットが Quick と同じ AWS アカウントに存在し、アクセス許可、AWS リソースで Quick Access を付与したことを確認します。

ラベルリストが空または古い

ステップ 3 (ラベルマッピング) の更新を使用して、Purviewテナントから現在のラベルリストを再取得します。

ナレッジベースの同期中にファイルが予期せずブロックされる

クイックオブザーバビリティレポートで同期を確認します。BLOCKED ステータスは、DLP の適用ではなく内部障害を示すこともあります。ファイルに、ブロックにマッピングしたラベルがあるかどうか、デフォルトのアクションがブロックかどうか、同期中に Purview に到達できなかった場合はプロバイダー停止アクションがあるかどうかを確認します。