Purviewの保護ポリシーにEntra ID条件付きアクセス＋MDCAを組み合わせたファイルの持ち出し制御

「社外からファイルを見ることはできるが、ダウンロード・コピー・印刷はできない」——この“閲覧はできるが持ち出せない”状態を、SharePoint・OneDrive・Teamsで実現する構成を解説します。軸になるのは、Microsoft Purview の秘密度ラベルと、そのラベルが持つ保護ポリシー（暗号化やアクセス権）です。この保護ポリシーを、Microsoft Entra ID の条件付きアクセスと Microsoft Defender for Cloud Apps（MDCA）のセッション制御と組み合わせることで、会社が管理していない私物端末やスマートフォン、Edge以外のブラウザからのアクセスに対しても、ラベルに連動した持ち出し制御をかけられます。

株式会社ロクシアシステムズは、福岡と東京を拠点に、全国のお客様へMicrosoft 365のセキュリティ・情報保護（Microsoft Purview／ゼロトラスト）の導入支援を提供しているIT企業です。本記事は、前編「Microsoft Purviewで情報漏洩と内部不正を止める」で線引きした“標準ライセンスでは届かない領域”——Edge以外のブラウザ・非管理端末・モバイルでのラベル連動制御——を、実際にどう実装するかを扱う続編です。

なぜ標準の仕組みだけでは「閲覧可・持ち出し不可」が作れないのか

前編で解説したエンドポイントDLPは、情報漏洩対策の要ですが、その効き方には前提があります。会社が管理対象として登録（オンボード）したパソコンの上で、Microsoft Edge for Business を中心に制御する——これが標準の守備範囲です。裏を返すと、次のような場面では、標準の仕組みだけでラベル連動の持ち出し制御を効かせることが難しくなります。

• Edge以外のブラウザ
  Chrome・Firefox・Safari から SharePoint や OneDrive にアクセスされた場合。
• 会社が管理していない端末（私物PC）
  在宅勤務者の私物PCや、業務委託先・取引先のパソコンからのアクセス。
• スマートフォン・タブレット
  モバイルのブラウザから Microsoft 365 のファイルを開くケース。

これらに共通するのは、「会社が管理していない環境」からのアクセスだという点です。端末にエージェントを入れられない以上、パソコンの操作を監視する方式では届きません。そこで、端末側ではなくクラウドへの通信経路の途中で制御をかける、という発想に切り替えます。Purviewで付けた秘密度ラベルはそのまま判断材料として活かしつつ、その効き目を管理外の環境まで広げる——それが条件付きアクセスとMDCAの組み合わせです。

「閲覧はできるが持ち出せない」を実現する全体像

「閲覧可・持ち出し不可」は、単一の機能で実現するものではありません。利用する端末とブラウザの組み合わせによって、最適な実現手段が変わります。この“場合分け”を押さえることが、過不足のない設計の勘所です。全体像は次の図のとおりです。

要点は、利用者のアクセスを条件付きアクセスでいったんMDCAへ経由させ、MDCAがリバースプロキシとしてセッションを監視・制御するという流れです。会社が管理するPCで Edge を使う場合は、前編のエンドポイントDLPによるネイティブ制御が効くため、そのまま最短経路で守れます。環境ごとの実現手段を整理すると、次の表になります。

利用環境	実現手段	主な前提
管理PC × Edge for Business	エンドポイントDLP＋ブラウザ統合制御（ダウンロード・コピー・印刷・USB・アップロードを端末上でネイティブに制御）	Defender for Endpoint へのオンボード（Microsoft 365 E5 相当）
Edge以外のブラウザ／非管理端末（私物PC）	条件付きアクセスのセッション制御 → MDCA（リバースプロキシ）でダウンロード・アップロード・コピー・印刷・表示を制御	Microsoft Entra ID P1＋ Defender for Cloud Apps ライセンス
スマートフォン・タブレット（モバイル）	ブラウザ経由は MDCA のセッション制御が中心。Intune で管理する端末は、アプリ保護ポリシー（MAM）による保護も併用できる	同上（＋モバイル管理は Intune）

秘密度ラベル（前編で構築済みの前提）を条件に、それぞれの手段でラベルに連動した制御をかけていきます。以降で、各手段の中身を見ていきます。

環境別の実現手段

① 管理PC × Edge｜エンドポイントで“ネイティブに”止める

会社が管理するWindows・macOSのパソコンで Microsoft Edge for Business を使う構成は、最も確実に制御できる経路です。前編のエンドポイントDLPが、端末上でダウンロード・USBコピー・クリップボード・印刷・アップロードを直接監視・制御します。通信を外部に迂回させる必要がないため、体感速度への影響も小さく、まずこの経路を「正規のルート」として固めるのが定石です。

② Edge以外のブラウザ・非管理端末｜条件付きアクセス → MDCAで止める

本記事の中心がここです。Chrome・Firefox・Safari や私物PCからのアクセスに対しては、条件付きアクセスのセッション制御で通信をMDCAへ誘導し、MDCAがリバースプロキシとしてセッションの中身を監視・制御します。端末に何かをインストールする必要がないため、会社が管理していない端末や取引先の端末に対しても制御をかけられるのが、この方式の最大の利点です。

ブラウザによって、制御のかかり方が少し異なります。Microsoft Edge の場合は、リバースプロキシを経由せずにブラウザ内で直接保護されます（アドレスバーに鍵アイコンが表示されます）。Edge以外のブラウザ（Chrome・Firefox・Safari）の場合は、リバースプロキシを経由し、URLの末尾に .mcas.ms が付いた形でセッションが保護されます。いずれの場合も、利用者は普段どおりファイルを閲覧でき、ダウンロードやコピーだけがポリシーに従って止まります。

③ モバイル｜MDCAのセッション制御を中心に、Intuneと併用

スマートフォン・タブレットのブラウザからのアクセスも、MDCAのセッション制御の対象です。加えて、Intune で管理する端末であれば、アプリ保護ポリシー（MAM）を併用し、Officeアプリ内での他アプリへのコピーや保存を制限する、といった多層の守りを重ねられます。「私物スマホからの閲覧は許すが、端末内への保存はさせない」という要件を、端末を会社の資産にしなくても実現できます。

標準（前編）と強化（本編）の違い

前編のエンドポイントDLP（標準）と、本編の条件付きアクセス＋MDCA（強化）は、対立するものではありません。守る範囲を、管理端末の外側まで広げるための重ね合わせです。両者の守備範囲を対比すると、次のようになります。

観点	標準：エンドポイントDLP（前編）	強化：条件付きアクセス＋MDCA（本編）
対象ブラウザ	Edge for Business が中核	Edge に加え Chrome・Firefox・Safari
対象端末	管理PC（オンボード済のWindows／Mac）	非管理端末・私物PC・取引先端末も
モバイル	―	ブラウザ経由で対象（Intune併用も可）
端末への導入	オンボードが必要	不要（通信経路上のプロキシで制御）
ラベル連動	対応	対応（セッションポリシーで秘密度ラベルを条件にできる）
主なライセンス	Microsoft 365 E5（エンドポイントDLP）	Entra ID P1＋ Defender for Cloud Apps ライセンス

実務では、まず標準（管理PC×Edge）で正規ルートを固め、その外側（Edge以外・非管理端末・モバイル）を強化（CA＋MDCA）で覆う、という二段構えで設計します。どちらか一方だけでは、必ず抜け道が残るためです。

MDCAのセッションポリシーで実際にできること

MDCAのセッション制御には、大きく分けて「アクセスを丸ごと許可／拒否する」アクセスポリシーと、「アクセスは許すが、セッション中の操作を制限する」セッションポリシーがあります。「閲覧はさせたいが持ち出しは止めたい」という要件に応えるのは、後者のセッションポリシーです。主な制御は次のとおりです。

やりたいこと	MDCAでの実現方法
ダウンロードを止める	ファイルのダウンロードを検査し、条件に合致したものをブロック。利用者には「ダウンロードが制限されています」というメッセージが表示され、実ファイルの代わりにテキストファイルが渡ります
ダウンロード時に暗号化する	ブロックする代わりに、ダウンロードするファイルへ秘密度ラベル（暗号化）を自動付与する「Protect」も選べます（対応形式：Word・Excel・PowerPoint・PDF）。持ち出されても、権限のない相手は開けません
コピー・切り取り・印刷を止める	クリップボードへのコピー・切り取り、印刷といった操作を個別にブロックできます
未ラベルのファイルのアップロードを止める	機密情報を含むのに適切なラベルが付いていないファイルのアップロードをブロックし、利用者にラベル付けを促せます
危険な操作時に追加認証を求める	特定の操作が発生したときに、条件付きアクセスを再評価し、多要素認証や端末のコンプライアンス確認を要求できます（ステップアップ認証）
秘密度ラベルで対象を絞る	これらの制御は、Microsoft Purview の秘密度ラベルを条件にできます。たとえば「『社外秘』以上のファイルだけダウンロードを止める」といった、ラベル連動の制御が可能です

いずれも「まず監査（Monitor／Audit）で様子を見て、問題がなければブロックへ引き上げる」という段階的な適用ができます。前編で述べた「いきなり全ブロックにしない」という考え方は、ここでも同じです。

正直な設計上の注意

強力な仕組みですが、万能ではありません。導入してから気づくと手戻りになる注意点を、先に共有します。

実装の勘所｜4つのステップで組み立てる

弊社は、この「閲覧可・持ち出し不可」の構成を、次の4ステップで組み立てます。順序を守ることが、事故なく定着させる勘所です。

ステップ	内容	勘所
1. ラベル設計	秘密度ラベルと、暗号化の要否を確定	ダウンロード時暗号化（Protect）を使うラベルは、暗号化を有効にしておく必要があります（前編の土台の上に組む）
2. 条件付きアクセス	対象アプリ・利用者・条件を定め、セッションを「条件付きアクセス アプリ制御」へ誘導	まずレポート専用モードで作成し、影響を確認してから有効化します
3. セッションポリシー	MDCAでダウンロード・コピー・印刷・アップロードの制御を、秘密度ラベルを条件に設定	「監査のみ」で開始し、誤検知や業務影響を見てからブロックへ引き上げます
4. 検証	管理／非管理端末、Edge／他ブラウザ、モバイルの各パターンで挙動を確認	ブラウザに鍵アイコンや .mcas の付与が出るか、抜け道（デスクトップアプリ経路）が残っていないかを実機で確認します

この構成は、条件付きアクセス・Intune・Defender・Purviewを一体で運用するゼロトラストの考え方そのものです。単体の機能設定にとどめず、「誰が・どの端末で・何をしようとしているか」を毎回検証し、リスクに応じて許可の強さを変える——その一部として、情報の持ち出し制御を位置づけると、全体の整合が取れます。

弊社の支援｜情報保護とゼロトラストを一体で

弊社は、秘密度ラベルの設計から、条件付きアクセス・MDCAによる持ち出し制御、その先のゼロトラスト全体の設計・運用までを一貫して支援しています。製品の機能を並べるのではなく、お客様の業務の実態に合わせて、止めるべきものと止めてはいけないものを見極める設計を重視します。

• 要件を「実現手段」に翻訳する
  「閲覧はさせたいが持ち出しは止めたい」という要件を、端末・ブラウザの場合分けに落とし込み、過不足のない構成に設計します。
• 段階導入で現場を止めない
  レポート専用モード・監査モードから始め、影響を見ながらブロックへ引き上げます。
• 情報保護とゼロトラストを一体で
  持ち出し制御を単独で入れるのではなく、Entra ID・Intune・Defender・Purviewを束ねたゼロトラストの一部として整えます。
• 運用まで伴走する
  ポリシーは作って終わりではありません。運用しながらの見直し・チューニングまで支援します。

情報保護の土台づくり（秘密度ラベル・DLP・内部リスク管理）は前編「Microsoft Purviewで情報漏洩と内部不正を止める」で、ゼロトラスト全体の考え方は「セキュリティ強化支援（ゼロトラスト）」でご覧いただけます。守るべきデータの主権をお客様の側に残す——これが弊社の一貫した基本姿勢です。

よくあるご質問

こちらをクリックして「よくある質問」を表示

SharePointで「閲覧はできるがダウンロードはできない」を実現できますか？

できます。条件付きアクセスのセッション制御でアクセスをMicrosoft Defender for Cloud Apps（MDCA）へ誘導し、セッションポリシーでダウンロードをブロックすれば、ファイルの閲覧は許しつつダウンロードだけを止められます。会社が管理していない私物PCやスマートフォン、Edge以外のブラウザからのアクセスにも適用できるのが特長です。秘密度ラベルを条件に「特定のラベル以上だけ止める」といった絞り込みも可能です。

MDCA（Microsoft Defender for Cloud Apps）とは何ですか？

クラウドアプリの利用を可視化し、リアルタイムに制御するための仕組み（CASB：Cloud Access Security Broker）です。条件付きアクセスと組み合わせると、SharePoint・OneDrive・Teamsなどへのブラウザセッションを経由・監視し、ダウンロード・コピー・印刷・アップロードといった操作を、秘密度ラベルや端末の状態に応じて制御できます。端末へのインストールが不要なため、非管理端末にも適用できます。

端末に何かをインストールする必要はありますか？

条件付きアクセス＋MDCAのセッション制御は、端末へのインストールを必要としません。通信経路上のリバースプロキシで制御するため、会社が管理していない私物PCや取引先の端末にも適用できます。なお、会社が管理するPCで Microsoft Edge を使う場合は、リバースプロキシを経由せず、ブラウザ内で直接保護されます（アドレスバーに鍵アイコンが表示されます）。

スマートフォンや私物PCからのダウンロードも止められますか？

止められます。それがこの構成の狙いです。私物PCやスマートフォンのブラウザからのアクセスも、条件付きアクセスでMDCAへ誘導し、セッションポリシーでダウンロード・コピー・印刷を制御できます。Intuneで管理するモバイル端末であれば、アプリ保護ポリシー（MAM）を併用して、端末内への保存制限などをさらに重ねることもできます。

導入に必要なライセンスは何ですか？

セッションポリシーを使うには、Microsoft Entra ID P1 と、Microsoft Defender for Cloud Apps のライセンスが前提になります。Defender for Cloud Apps は単体のほか、Microsoft 365 の上位プランなどに含まれる形でも提供されます。前編で解説したエンドポイントDLP（管理PC向け）はMicrosoft 365 E5相当が必要です。個別のライセンス構成は変わることがあるため、導入時に最新の公式情報で確認します。ご契約中のプランに合わせて、どこから始められるかをご提案します。

Teamsのデスクトップアプリからの持ち出しも制御できますか？

MDCAのセッション制御が効くのは、ブラウザ経由のアクセスです。Teamsのデスクトップアプリからの操作はセッション制御の対象外で、ダウンロードのブロックは効きません。そのため、厳密に持ち出しを止めたい場合は、条件付きアクセスで「デスクトップアプリからのサインインは制限し、ブラウザ利用へ寄せる」といった設計を併用します。抜け道を残さないための、重要な設計上の考慮点です。

導入すると、業務が重くなったり遅くなったりしませんか？

セッションをプロキシ経由にするため、体感速度への影響がまったくのゼロではありません。だからこそ、対象を最重要ラベルや特定部署に絞り、条件付きアクセスのレポート専用モード・監査モードで影響を観察してから本適用する段階導入をおすすめしています。過剰な制御は回避策を生み、かえって統制を弱めます。業務を止めない範囲で、必要な情報を確実に守る——その線引きの設計が、弊社の支援の中心です。

SharePoint・OneDrive・Teamsでの「閲覧可・持ち出し不可」やゼロトラスト全体のご相談・お見積り、無料でのご相談は、お問い合わせよりお気軽にご連絡ください。現在お使いのMicrosoft 365のライセンスに合わせて、どこから始めるべきかをご提案します。

関連サービス

• セキュリティ強化支援（ゼロトラスト）
• Microsoft 365導入支援
• クラウド導入支援（Azure）
• 前編：Microsoft Purviewで情報漏洩と内部不正を止める
• DX支援（デジタル化戦略コンサルティング）