以前は Azure Information Protection として知られていた Microsoft Information Protection (MIP) は、組織の IT 管理者によって構成された機密ラベルに基づいて、ドキュメントに暗号化と使用権を適用します。 MIP によって保護された PDF は暗号化され、表示、編集、印刷、コピーを制限できるアクセス ポリシーの対象となります。 MIP をサポートしていない標準ビューアでこのような PDF を開こうとすると、エラーが発生するか、空白の画面が表示されます。
これは通常のパスワードロックではありません。
Microsoft Information Protection で保護された PDF のロックを解除することは、標準のパスワードで保護された PDF を解読することとは異なります。暗号化は、入力できる静的なパスワードではなく、Azure Active Directory の組織 ID に関連付けられます。ロック解除パスは、正当なアクセス権があるかどうか、保護ポリシーの有効期限が切れているかどうか、ファイルの発信元が自分の組織か外部エンティティかによって異なります。どのシナリオが自分の状況に当てはまるかを知ることで、適切なアプローチが決まります。
Microsoft Information Protection による PDF の暗号化方法
MIP は、Azure Rights Management サービスを通じて権利管理を強制する、保護されたコンテナー内にドキュメントをラップします。実際の暗号化には AES-256 が使用され、復号キーはファイルに埋め込まれるのではなく、Azure クラウドに保存されます。 PDF ファイルを所有している場合でも、保護を発行した Azure AD テナントに対して認証しない限り、そのファイルを復号化することはできません。ファイルを所有していることは、その内容にアクセスできることと同じではありません。
PDF 標準自体は、MIP 暗号化をネイティブにサポートしていません。 MIP で保護された PDF は、実際には、適切な MIP クライアント ソフトウェアがインストールされている場合に Adobe Acrobat、Adobe Reader、および Microsoft Edge で認識されるラッパー形式を使用する .ppdf ファイル (保護された PDF) です。 MIP クライアントがないと、これらのファイルはほとんどの PDF ビューアでは破損しているか、読み取れないように見えます。このラッパー メカニズムは、PDF 仕様自体に組み込まれているパスワード ベースの暗号化とは根本的に異なります。
自分の組織アカウントを使用して PDF のロックを解除する
同一テナントアクセスは単純なケースです。 Azure Information Protection クライアントまたは Microsoft Purview Information Protection クライアントをデバイスにインストールします。 MIP クライアントと統合されている Adobe Acrobat または Adobe Reader で PDF を開きます。アプリケーションでは、組織アカウントでサインインするように求められます。認証されると、セッションの暗号化層が透過的に削除され、PDF を通常どおり操作できるようになります。
WukongPDF の Unlock PDF ツールは、標準的なパスワードベースの PDF 保護を処理できます。ただし、MIP で暗号化されたファイルの場合、ロック解除プロセスには単純なパスワードの削除ではなく、組織の認証が必要です。対処している保護の種類を理解すると、時間を節約し、間違ったツールを使用した無駄な試みを回避できます。ファイルを開くときにファイル拡張子とエラー メッセージを確認して、MIP セキュリティと標準 PDF セキュリティのどちらを扱っているかを判断してください。
ドメインに参加していないデバイスも動作します。 MIP クライアントは、組織の資格情報でサインインできる限り引き続き機能します。クライアントは、Azure RMS サーバーへの安全な接続を確立し、保護されたファイルへのアクセスを許可する使用ライセンスを取得します。組織の条件付きアクセス ポリシーによっては、多要素認証が必要になる場合があります。このプロセスには数秒かかりますが、インターネットに接続されたどのデバイスからでも機能します。
外部組織からの MIP で保護された PDF へのアクセスのリクエスト
クロステナント アクセスとは、ファイルが他の人の Azure AD で暗号化されることを意味します。あなたのアカウントが組織のディレクトリに存在しないため、組織の資格情報ではロックを解除できません。 MIP で保護されたファイルのほとんどには、連絡先電子メール、または権限のないユーザーがファイルを開こうとしたときに開くアクセス拒否メッセージ内のリンクが含まれています。これがアクセス要求の開始点です。
ドキュメント所有者によってアクセスが許可されると、電子メール通知が届きます。所有者が許可した ID で認証すると、ファイルにアクセスできるようになります。このプロセスには、組織の応答時間と外部共有に対する内部承認ワークフローに応じて、数分から数営業日かかる場合があります。特に保護されたドキュメントが時間に敏感な場合は、それに応じて計画を立ててください。
定期的な交換は永続的なインフラストラクチャの恩恵を受けます。外部組織に、Azure AD でテナント間信頼または B2B コラボレーションを設定するよう依頼します。これにより、2 つのディレクトリ間に永続的な認証パスが確立され、ドキュメントごとのアクセス要求が排除されます。セットアップには IT 部門間の調整が必要ですが、保護されたドキュメントを定期的に交換する組織にとって、長期的な効率の向上は大幅です。
| シナリオ | ロック解除方法 | 所要時間 |
|---|---|---|
| 同じ組織の MIP ファイル、有効なアカウント | MIP クライアントで組織の認証情報を使用してサインインします。 | 秒 |
| 同じ組織の MIP ファイル、アカウントの有効期限が切れているか無効になっています | 社内 IT に連絡してアクセスを復元してください | 数時間から数日 |
| 外部 MIP ファイル、アクセスが許可されていません | ドキュメント所有者にアクセスを要求する | 数時間から数日 |
| 元従業員の MIP で保護されたファイル | IT 管理者は所有権を再割り当てしたり、一括で暗号化を解除したりできます | 数分から数時間 |
保護ポリシーの有効期限が切れた場合、または取り消された場合の対処法
MIP 保護ポリシーには有効期限を含めることができます。有効期限が切れた後も、暗号化は維持されますが、復号キーは Azure RMS によって提供されなくなります。認証は成功しますが、使用ライセンスが発行できず、ファイルを開くことができません。あなたがまだローカル コピーを保持している間に、ドキュメントの所有者が Azure portal 経由でアクセスを取り消した場合にも、同じことが発生します。
ユーザー側のバイパスはありません。唯一の選択肢は、ドキュメントの所有者または組織の IT 部門に連絡して、保護を再発行するか、ドキュメントの保護されていないコピーを提供するように要求することです。これは仕様によるものです。 MIP は、ファイルが所有権を離れた後もドキュメント所有者がアクセス制御を維持する必要があるシナリオ向けに構築された権利管理システムです。 PDF セキュリティ の観点から見ると、この永続的な制御は MIP の中核となる価値提案であり、最も重要なユーザーの摩擦点です。
ロック解除された MIP PDF を標準の保護されていない PDF に変換する
MIP で保護された PDF を正常に開くことができましたか? Adobe Acrobat の「名前を付けて保存」機能を使用すると、保護レイヤーなしで標準の PDF コピーを保存できます。このストリップされたコピーは、どの PDF ビューアやワークフローでも正常に機能します。これを行う前に、保護を削除することが組織のデータ処理ポリシーまたはドキュメント所有者がファイルを共有したときの条件に違反するかどうかを検討してください。
コンプライアンス ポリシーにより、保護されていないコピーの作成が断固として禁止される場合があります。規制要件によって MIP が義務付けられている環境では、保護をバイパスすると重大な結果を伴うコンプライアンス違反となります。 MIP 認証の摩擦は、不正配布を防止するために設計された機能であり、回避すべきバグではありません。疑わしい場合は、保護を有効にしたままにして、認証された環境内で作業してください。