Azure RMS。 サービスの特徴

この記事の著者は、Energy TimeのテクニカルディレクターであるMikhail Voitkoです。

この出版物を使用して、新しいMicrosoftクラウドおよび多くの場合なじみのないテクノロジに関する一連の記事を開始します。 この記事では、Azure RMSサービスの操作について「水なし」について簡単に説明します。 以下をご覧ください。

1. Azure RMSが必要な理由。
2. 仕事について一言。
3. キラー機能、または競合他社との重要な違い。
4. 「ケーキの上のチェリー」-PowerShellのスーパーユーザーモード。
5. 実際の顧客のユースケース。

だから、Azure RMS。 獣は新しくない、なぜなら Microsoftは、Windows Server 2003以降、さまざまなサーバーオペレーティングシステムにRMSを実装した経験があります。しかし、おそらく多数のパートナーとフェデレーション関係を構築する必要があるため、広く使用されていません。 その後、クラウドテクノロジーの普及とOffice 365およびAzure ADの出現により、論理的な疑問が生じました。なぜSaaSスキームを通じてRMSへのアクセスを提供しないのですか？ 2013年はこの方向で革命的な年でした。 Azure RMSが市場に参入しました。 Azure RMSを今すぐ購入するには、いくつかの方法があります。

• Azure RMSは、Office 365 E3、E4、A3、およびA4プランに含まれています。
• 直接モデルのサービスは、サイトで直接購入できます。
• このサービスは、Enterprise Mobility Suite（EMS）およびEMSが存在するすべての製品に含まれています。

Azure RMSが必要な理由 TechNetでは、この答えは次のとおりです。「 暗号化、ID、および承認ポリシーを使用してファイルとメールを保護し、電話、タブレット、PCなどの複数のデバイスで機能します 。」 私は彼に完全に同意します。サーバーにRMSに必要なすべてをインストールするのではなく、サブスクリプションによってクラウドのサービスを使用できるようになりました。 ただし、暗号化されたデータはクラウドに保存されません。もちろん、後でメールなどで自分で送信しない場合です。 すべての暗号化はクライアント側で行われ、クラウドはID、キー、およびポリシー管理サービスを提供します。

サービスはどのように機能しますか？ インフラストラクチャ全体はMicrosoftクラウドで使用できますが、ローカル環境に接続し、独自のキー（ Bring-Your-Own-Key 、BYOK）を使用するシナリオが可能です。 RMS WebサービスはAzure ADを使用してユーザーを認証し、対応するページで構成されます。



このサービスには3つの主要な部分が含まれます。

• 証明書：ユーザーIDの確認と証明書の割り当て。
• ライセンス：コンテンツのライセンスを発行します。
• 公開：コンテンツを保護するために証明書を発行します。

すべてのAzure RMSサービスの作業は、XrML（拡張可能な右マークアップ言語）を使用した証明書に基づいています。 詳細については、たとえばこちらをご覧ください 。

簡単に説明すると、サービス操作スキームは図に示されています。



データの暗号化はローカルアプリケーションレベルで行われ、キーに加えて、ユーザーおよびファイルへのアクセスの種類が指定されているポリシーも考慮します。 ポリシー、認証、およびキー管理は、クラウドサービスによって提供されます。 たとえば、ドキュメントに機密情報が含まれていて、ユーザー（ユーザーまたはサービス）がアクセスしたい場合。 Azure ADにログインし、Azure RMSポリシーに従うと、アクセスを許可できます。 ドキュメントはランダムキーで保護されています。 このキーはドキュメントごとに一意であり、RMSテナントルートキーの暗号化フェーズ中にファイルヘッダーに配置されます。 テナントキーはMSによって作成および管理されますが、BYOKスキームも機能します。上記を参照してください。

ドキュメントはキー長128ビットの対称AESアルゴリズムに基づいて保護され、暗号化キーはキー長2048ビットのRSAを使用して保護され、証明書はSHA-256を使用して署名されます。 同時に、暗号化アルゴリズムを置き換えることはできません。

キラー機能について少し 。 私たちの意見では、そのような最初の機会はAzure Trust Fabricの出現です。 フェデレーションにAD FSまたはその他のソリューションを使用する場合、各組織間の関係を構成する必要があり、Azure AD / Azure RMSを使用する場合、クラウドディレクトリサービスは複数の組織の承認のためのプラットフォームを提供します。 この場合、Azure ADと一度だけフェデレーション関係を確立してから、このアクセス権を持つすべての企業に接続するだけで十分です。 この場合のコインの裏側は、クラウドに対する自信です。 ただし、同期する予定の属性はいつでも管理できます。

2番目の興味深い機会は、個々のユーザーに対するRMSの使用です。 会社にはRMSがない場合がありますが、誰かがあなたのために保護しているドキュメントにアクセスしたい場合があります。 この場合、個人向けのAzure RMSは素晴らしいソリューションです。 社内のユーザーは、Azure RMSサービスの無料アカウントに登録し、アプリケーションをインストールして、コンテンツに無料でアクセスできます。 この場合、管理用に制限されたテナントが会社用に作成され、将来的には、サブスクリプションの購入により、企業使用に移行できます。 詳細はこちらをご覧ください 。

PowerShellのスーパーユーザーモード 。 それでは、記事にハードコアな管理者を少し追加しましょう。 スクリプト、コマンドライン、詳細なトラブルシューティング-好きなように。 事実、デフォルトでは、個々のテナントのAzure RMSには「スーパーユーザー」モードが含まれておらず、対応するユーザーは存在しません。 このモードでは、Azure RMSのすべての保護されたコンテンツへのフルアクセスを取得できます。 スーパーユーザーは、組織全体のすべてのライセンスユーザーのすべての保護された素材の所有者レベルで所有権を取得します。 これらのユーザーは、すでに期限が切れている場合でも、コンテンツを復号化して暗号化を削除できます。 たとえば、考えられるユースケースは、ウイルス対策ソリューションまたはDLPとの統合です。 原則として、郵便サービスは「生の」暗号化されていないコンテンツにアクセスする必要があります。 管理者は、インシデントを調査するために、送信された電子メールメッセージと暗号化されたファイルの本質にアクセスする必要もあります。 注意：この機能には注意し、会社の情報セキュリティポリシーに従う必要があります。

スクリプトを使用するには、Azure Rights Management用のWindows PowerShellとMicrosoft Online Servicesサインインアシスタントバージョン7.0をインストールする必要があります。

1. アカウントにアクセスするために将来使用する変数を宣言します。 データを入力して、管理者アカウントに接続します。
   
   
   
   
2. サブスクリプションに接続します：
   
   
   
   
3. システムから肯定的な回答が得られます。
   
   
   
   
4. Azure RMSの機能を有効にし、サービスから確認を受け取ります。
   
   
   
   
5. スーパーユーザー権限を持つユーザーを追加します。 これらのアカウントのいくつかを追加できます：
   
   
   
   
6. Get-AadrmSuperUserコマンドレットを使用して、既存のスーパーユーザーのリストを参照してください。

これで、ユーザーまたはサービスは暗号化されたコンテンツに対する絶対的な権利を取得します。 また、スーパーユーザーの機能にアクセスする必要がない場合は、スーパーユーザーをオフにすることを忘れないでください。

使用例 そして、この記事を締めくくるために、お客様によるAzure RMSサービスの実際の使用例についてお話したいと思います。

例1 教育セグメントの顧客。 電子メールは、ExchangeベースのオンプレミスとOffice 365のクラウドベースの両方で使用されます。ローカルに配置された従業員のメールボックス、および学生と教師は、Exchange Onlineクラウドに配置されます。 教育機関には、電子メールで送信されたドキュメントを保護するタスクがあります。 特に、時間と給料の記録は、臨時教師と初等教師に送られます。 そして、学生はトレーニング全体の結果の最終的なパフォーマンスに関する情報を受け取ります。 Azure RMSは、給与シートの作成と送信中の会計スタッフと教師のアカウント、および大学院生-いくつかの最終テストからデータを転送するために使用されます。 ハイブリッドRMS展開スキームを使用します。

例2 生産部門、エンジニアリング工場の顧客。 Azure RMSは、オフィスドキュメントの保護に使用されます。 基本的に、2つのタスクが実装されます。

• MS Officeではなく、特殊な形式の図面ファイルの送信を制御します。 顧客には、さまざまな部門の従業員間でアクセスが制限されているファイルのリストがあります。 読み取り専用ポリシーは、部門全体でこれらのファイルに適用されます。
• 外部監査人へのデータ転送。 6か月に1回、会社は外部の規制機関にレポートを提出します。 個人向けRMSを使用すると、特定の外部企業のみに限定コンテンツへの限定アクセスを許可できます。

オンプレミスとクラウドインフラストラクチャの両方でファイルを保護するための既製の機能を提供するAzure RMSサービスの動作について説明しました。