トランスポート復号化

[アーティクル]
04/04/2023

製品: Exchange Server 2013

Microsoft Exchange Server 2013、Microsoft Outlook 2010 以降、および Microsoft Office Outlook Web Appでは、ユーザーは Information Rights Management (IRM) を使用してメッセージを保護できます。 Outlook 2010 クライアントからメッセージが送信される前に、IRM 保護をメッセージに自動的に適用する Outlook 保護ルールを作成できます。また、ルール条件に一致する送信中のメッセージに IRM 保護が適用されるように、トランスポート保護ルールを作成することもできます。トランスポート復号化を使用すると、IRM で保護されたメッセージングコンテンツにアクセスして、メッセージングポリシーを強制できます。

IRM の管理に関連する管理タスクについては、「 Information Rights Management の手順」を参照してください。

他の暗号化ソリューションの制限

ビジネスへの影響が大きい (HBI) 情報および個人識別情報 (PII) を含む機密情報を保護することは組織にとって重要であり、電子メールのメッセージと添付ファイルの暗号化を考慮します。 S/MIME のような電子メールの暗号化ソリューションは、昔から利用可能でした。これらの暗号化ソリューションは、さまざまな種類の組織に採用され、さまざまなレベルで見受けられました。ただし、このようなソリューションは次の課題を提示します。

メッセージングポリシーを適用できない: 組織は、メッセージングポリシーに準拠していることを確認するためにメッセージングコンテンツの検査を必要とするコンプライアンス要件にも直面しています。ただし、S/MIME を含む、ほとんどのクライアントベースの暗号化ソリューションによって暗号化されたメッセージは、サーバー上でコンテンツを検査できません。コンテンツの検査ができないと、すべてのメッセージがメッセージングポリシーに準拠したユーザーによって送信または受信されたことを、組織は検証できません。たとえば、法的規則に従うために、社会保障番号などの PII を検出して自動的にメッセージに免責事項を適用するようトランスポートルールを構成しました。メッセージが暗号化されている場合、トランスポートサービスのトランスポートルールエージェントはメッセージのコンテンツにアクセスできず、そのため免責事項を適用できません。この結果、ポリシーの違反になります。
セキュリティの低下: ウイルス対策ソフトウェアは暗号化されたメッセージコンテンツをスキャンできず、組織はウイルスやワームなどの悪意のあるコンテンツからリスクにさらされます。暗号化されたメッセージはほとんどのユーザーによって信頼されたものと一般的にみなされますので、組織全体にウイルスを蔓延させる可能性が増加します。たとえば、"全従業員" 配布リストに送信されるすべてのメッセージに対して自動的に、Company Confidential Rights Management Service (RMS) テンプレートを使用して IRM 保護を適用するよう Outlook 保護ルールを構成しました。ユーザーのワークステーションは、[全員へ返信] を自動的に使用してメッセージに返信することで広がるウイルスに感染しました。ウイルスを運んでいるメッセージが暗号化されている場合、ウイルス対策ソフトのスキャナーはメッセージをスキャンできません。
カスタムトランスポートエージェントへの影響: 多くの組織では、コンプライアンス、セキュリティ、カスタムメッセージルーティングに関する追加の処理要件を満たすなど、さまざまな目的でカスタムトランスポートエージェントを開発しています。組織によって開発された、メッセージを検査または変更するカスタムのトランスポートエージェントは、暗号化されたメッセージを処理出来ません。組織で開発したカスタムのトランスポートエージェントがメッセージコンテンツにアクセスできない場合、メッセージの暗号化によって、カスタムのトランスポートエージェントが開発された目標を組織が達成するのを阻害している可能性があります。

暗号化されたコンテンツにトランスポート復号化を使用する

Exchange 2013 では、IRM 機能がこれらの問題に対処します。メッセージが IRM で保護されている場合、トランスポート復号化を使用するとメッセージを送信中に復号化できます。 IRM で保護されたメッセージは、コンプライアンスのためのトランスポートエージェントである復号化エージェントによって復号化されます。

注:

Exchange 2013 では、復号化エージェントはビルトインエージェントです。ビルトインエージェントは、 Get-TransportAgent コマンドレットによって返されるエージェントの一覧には含まれていません。詳細については、「トランスポートエージェント」を参照してください。

復号化エージェントは、次の種類の IRM で保護されたメッセージを復号化します。

Outlook Web App でユーザーによって IRM で保護されたメッセージ。
Outlook 2010 でユーザーによって IRM で保護されたメッセージ。
Exchange 2013 および Outlook 2010 の Outlook 保護ルールで、自動的に IRM で保護されたメッセージ。

重要

組織の AD RMS サーバーによって IRM 保護されたメッセージだけが、復号化エージェントによって復号化されます。

トランスポート保護規則を使用して転送中に保護されたメッセージは、復号化エージェントによって復号化する必要はありません。復号化エージェントは 、OnEndOfData および OnSubmit トランスポートイベントで起動します。トランスポート保護規則は、 OnRoutedMessage イベントで発生するトランスポートルールエージェントによって適用され、IRM 保護は OnRoutedMessage イベントの Encryption エージェントによって適用されます。トランスポートエージェントと、登録できる SMTP イベントの一覧の詳細については、「トランスポートエージェント」を参照してください。

トランスポート復号化は、Active Directory フォレストでメッセージを処理する、最初の Exchange 2013 トランスポートサービスで実行されます。メッセージが別の Active Directory フォレストのトランスポートサービスに転送される場合、メッセージは再び復号化されます。復号化の後は、暗号化されていないコンテンツはサーバー上の他のトランスポートエージェントで利用可能です。たとえば、トランスポートサービスのトランスポートルールエージェントは、メッセージコンテンツを検索してトランスポートルールを適用できます。免責事項の適用またはその他の方法によるメッセージの変更など、このルールで指定されたすべての操作は、暗号化されていないメッセージで行われます。ウイルス対策スキャナーなどの、サードパーティのトランスポートエージェントは、ウイルスとマルウェアについてメッセージをスキャンできます。他のトランスポートエージェントがメッセージを検査およびもしくはそれに変更を加えた後、復号化エージェントによって復号化される前と同じユーザー権限で再び暗号化されます。同じメッセージは、組織の他のメールボックスサーバー上の他のトランスポートサービスによって再び復号化されません。

復号化エージェントによって復号化されたメッセージは、再び暗号化されることなしにトランスポートサービスから出て行くことはありません。メッセージを復号化または暗号化しているときに一時的なエラーが返される場合、トランスポートサービスは操作を 2 度再試行します。 3 回の失敗の後、エラーは永続的なエラーとして扱われます。再試行後に一時的なエラーが永続的なエラーとして扱われる場合を含めて、永続的なエラーが発生すると、トランスポートサービスはそれらを以下のように扱います。

暗号化解除中に永続的なエラーが発生した場合、トランスポート復号化がに設定され、暗号化されたメッセージが NDR と共に Mandatory送信される場合にのみ、配信不能レポート (NDR) が送信されます。トランスポート復号化に使用できる構成オプションの詳細については、このトピックの「トランスポート復号化の構成」を参照してください。
再暗号化中に永続的エラーが発生すると、NDR は常に復号化されたメッセージなしに送信されます。

重要

トランスポートサービスにインストールされた、すべてのカスタムまたはサードパーティのエージェントは、復号化されたメッセージにアクセスできます。このようなトランスポートエージェントの動作を考慮する必要があります。すべてのカスタムおよびサードパーティのトランスポートエージェントを、運用環境で展開する前に徹底的にテストすることをおすすめします。

メッセージが復号化エージェントによって復号化された後に、トランスポートエージェントが新しいメッセージを作成し、その新しいメッセージに元のメッセージを埋め込む (添付する) 場合、新しいメッセージだけが保護されます。元のメッセージは、新しいメッセージの添付となり、再暗号化はされません。そのようなメッセージを受信する受信者は、添付されたメッセージを開いて、転送または返信などの操作を実行して、権限の適用をバイパスできます。