制御
機能詳細
資料アクセスに一部制限があることをお知らせします。
ファイル制御機能に関する詳細は次で確認できます。
概要
外部ストレージ（OneDrive、SharePoint、Google Driveなど）へのアップロードおよびダウンロード時に、文書に対する暗号化およびセキュリティ処理を自動的に実行し、組織の情報セキュリティポリシーを遵守します。 Google Driveのサポート範囲と判定方式には、他のストレージとは異なる制約があります。 9項を合わせて参照してください。
1. ドキュメントの状態表示
文書のセキュリティ状態はファイルアイコンを通 じて視覚的に表示されます。ラベルを発行した組織も区別され、自社ポリシーで管理される文書と他の組織（系列会社・協力会社など）が発行した文書をアイコンだけで隠すことができます。
| ユーザー画面 | 内容 | 備考 |
|---|---|---|
| 分類(Label)+保護(Protect) | パワーポイント文書はプレビューとして表示されます | |
| 分類(Label) | パワーポイント文書はプレビューとして表示されます | |
| 他の組織発行分類(Label)+保護(Protect) | 自社のポリシーで管理されていない文書 | |
| 他の組織発行分類(Label) | アイコンのみで区別し、閲覧・変換などの処理は一般文書と同様です。 |
1.1 制約事項
特定のアイコンサイズでMIPラベル（セキュリティ）アイコンが表示されない: Windows エクスプローラーのアイコン表示を「中アイコン」以上のサイズに設定すると、一部の MIP ドキュメントでドキュメント セキュリティが指定した MIP ラベル アイコンが表示されなくなります。 (小アイコン・リスト・詳細表示では正常に表示されます。) このサイズではアイコンの代わりにドキュメントの最初のページのプレビューが描画されます。
原因 (文書セキュリティ制御外): Windows エクスプローラーは、アイコンが一定のサイズ以上の場合、文書に保存されたプレビュー画像をアイコンより優先して表示します。プレビュー画像が保存された三桁の拡張子フォーマット（例: .ppt）は MIP 保護を適用してもプレビュー画像が文書内に平文で残るため、このサイズではエクスプローラーがプレビューを描画し、文書セキュリティの MIP ラベルアイコンは表示されません。同じ Microsoft Office 文書形式であっても、パスワード暗号化方式ではプレビューが一緒に暗号化されて削除されますが、MIP/IRM 保護は文書本文のみを暗号化することを規定しているため、プレビューが平文で残ります。文書セキュリティはファイルアイコンのみを指定し、このプレビュー表示動作は Microsoft Office 文書形式と Windows エクスプローラーの特性に基づくものであり、文書セキュリティが制御できない領域です。
適用範囲: プレビュー画像が保存された三桁拡張子フォーマット .ppt で確認されており、同じ三桁拡張子フォーマットの .doc·.xls もプレビューが保存されると同様に表示される可能性があります。四桁拡張子フォーマット (.pptx·.docx·.xlsx) は文書全体が暗号化されてプレビューが残らないため、MIPラベルアイコンが正常に表示されます。
他の組織発行アイコンも同様: 上記のプレビューに関する制約は、他の組織が発行した文書のアイコンにも同様に適用されます。
参考 (技術仕様)
- Windows エクスプローラー サムネイル処理 — アイコンサイズ別優先順位 (Microsoft Learn)
- MS-OFFCRYPTO §1.3.2: IRM データ スペース — 保護は文書本文(content)のみ暗号化対象として定義 (Microsoft Learn)
- MS-OFFCRYPTO §2.3.5.4: (対照) パスワード(RC4) 暗号化は文書の属性・プレビューを共に暗号化・削除 (Microsoft Learn)
2. 外部ストレージにアップロードする際
2.1 概要
ローカルパスの文書をOneDrive/SharePoint/Google Driveなどの外部ストレージにアップロードする際、システムは自動的にセキュリティポリシーを適用し、文書を暗号化および変換処理します。
2.2 セキュリティ処理プロセス
- アップロード検出: ファイル移動/コピーイベント検出
- ポリシー確認: オリジナルファイルに対するZTCAPポリシー確認
- 文書変換: ポリシーに従ってセキュリティ文書に変換 (MIPラベル適用またはDRM変換)
- アップロード実行: 変換された文書を外部ストレージにアップロード
- バックアップ保存: (ポリシー設定時) 元の文書バックアップ保存
2.3 サポートシナリオ
| 区分 | Document Security 6 | 備考 |
|---|---|---|
| 一般的なパス → OneDrive/SharePoint | 変換後アップロード | ZTCAP fileEvent - CopyFileTo_OneDrive - CopyFileTo_Sharepoint |
| 一般的なパス → Google Drive | 変換後アップロード | ZTCAP fileEvent - CopyFileTo_GoogleDrive |
| 一般経路 → 一般経路 | 未対応 | 内部移動のため、制御未適用 |
| 同一リポジトリ内移動 | 未対応 | 原本と対象が同じストレージの場合、制御は適用されません。Google Drive内の移動も同様です。 |
保存先の判定順序: 元のパスと対象のパスは OneDrive → Google Drive → SharePoint の順に評価され、最初に一致した保存先のイベントが使用されます。したがって、OneDrive と Google Drive の間を行き来する移動・コピーは OneDrive イベントとして分類されます (CopyFileFrom_OneDrive または CopyFileTo_OneDrive)。
2.4 認証状態別動作
- DS6 ログイン状態: 元のファイルに対する ZTCAP ポリシーに従って変換されたファイルをアップロードします。
- DS6 ログアウト状態: 外部ストレージへのファイルアップロードがブロックされます。
統合ログイン状態とSHIELD資格情報がすべて確認される必要があり、どちらか一方でも満たされない場合はログイン案内を表示し、コピー・移動を中断します。上記の動作はOneDrive・SharePoint・Google Driveに同様に適用されます。認証確認はストレージ判定 直後に行われるため、ストレージの種類による違いはありません。
3. アップロード時の警告ダイアログ機能
3.1 機能概要
外部ストレージ（OneDrive・SharePoint・Google Drive）パスにファイルまたはフォルダーをアップロードする場合、文書変換作業が進行中であることを知らせる案内ウィンドウを表示します。
3.2 リソース適用情報
リソース key: ① Title ② MainMsg ③ SubMsg1 ④ SubMsg2 ⑤ HelpUrl
リソースファイル情報:c:\Windows\softcamp\sdk\Res\DS\ResUIKOR.rc, バージョン 6.0.0.13
....
[CloudCopyMoveWarning]
Title = OneDrive 移動 / コピー進行中
MainMsg = 作業完了前には対象ファイル（またはフォルダー）を\r\n使用しないでください。
SubMsg1 = *大量のファイルは時間がかかる場合があります。
SubMsg2 = *移動 / コピーが完了する前にファイルを開いたり修正したりすると\r\nエラーが発生する可能性があります。
HelpUrl = (案内サイトアドレス)
....
案内ウィンドウの文言とストレージ名: 上記のTitle値はOneDriveを指していますが、同じ案内ウィンドウはSharePoint・Google Driveのアップロードにも使用されます。案内ウィンドウの文言はプログラムに固定された値ではなく、上記のリソースファイルから読み込まれる値なので、製品の修正なしにリソース文言の交換だけ でストレージ中立表現に変更できます。
3.4 制約事項
- 該当のコピーが終了する前に別のコピーを開始すると、重複ウィンドウが発生します。(最大10個のウィンドウ)
- 基本的にはコピーが完了するとウィンドウも自動的に閉じますが、ユーザーが確認を押してウィンドウを閉じることもできます。
- Google Drive 内部でのみファイルを移動・コピーする場合は、制御対象ではないため、案内ウィンドウも表示されません。
4. アップロード時のバックアップファイル保存機能
4.1 機能概要
外部ストレージにアップロードされる文書の原本をバックアップして保管する機能です。
4.2 制約事項
バックアップパスは、ポリシーで指定されたパス、またはデフォルトパス（マ イドキュメント）に "CloudDrv_Backup" フォルダーが作成され、その下に日付ごとのフォルダーが作成された後、そのフォルダーにバックアップファイルが保存されます。フォルダーコピー時にフォルダー構造は維持されず、変換されたファイルがすべて日付フォルダーの下に保存されます。
5. 外部ストレージのダウンロード時
5.1 概要
OneDrive/SharePoint/Google Drive 等の外部ストレージからローカルパスにドキュメントをダウンロードする際、システムは自動的にセキュリティポリシーを適用してドキュメントを変換処理します。
5.2 セキュリティ処理プロセス
- ダウンロード検出: ファイル移動/コピーイベント検出
- ポリシーの確認: ダウンロード対象ファイルのセキュリティ状態の確認
- 文書変換: 政策に従って適切なセキュリティ文書に変換
- ダウンロード実行: 変換された文書をローカルパスに保存
5.3 サポートシナリオ
| 区分 | Document Security 6 | 備考 |
|---|---|---|
| OneDrive/SharePoint → 一般的なパス | 変換後ダウンロード | ZTCAP fileEvent - CopyFileFrom_OneDrive - CopyFileFrom_Sharepoint |
| Google Drive → 一般のパス | 変換後ダウンロード | ZTCAP fileEvent - CopyFileFrom_GoogleDrive |
| OneDrive/SharePoint → OneDrive/SharePoint | 未対応 | クラウド間の移動のため、制御は適用されません。 |
| Google Drive → Google Drive | 未対応 | 同一リポジトリ内の移動のため、制御は適用されません。 |
本節のストレージ判定順序は2.3項と同じです。OneDriveとGoogle Drive間の移動・コピーはOneDriveイベントに分類されます。
5.4 認証状態別動作
- DS6 ログイン状態: 外部ストレージのファイルをダウンロードする際、ポリシーに従って変換されたファイルを保存します。
- DS6 ログアウト状態: 外部ストレージからのファイルダウンロードがブロックされます。
2.4 項と同様に統合ログイン状態と SHIELD 資格情報がすべて確認される必要があり、OneDrive·SharePoint·Google Drive に同様に適用されます。
6. 文書閲覧時のセキュリティ制御
6.1 概要
文書を閲覧する際、システムは自動的にセキュリティポリシーを確認し、必要に応じて文書を変換して安全に閲覧できるようにします。
6.2 セキュリティ処理プロセス
- 閲覧リクエスト検出: ドキュメント閲覧イベント検出
- ポリシーの確認: ドキュメントのパスおよびセキュリティ状態に基づくポリシーの確認
- 文書変換: ポリシーに従ってセキュリティ文書に変換 (必要に応じて)
- 閲覧許可: 変換された文書を安全に閲覧
6.3 パス別閲覧ポリシー
| 区分 | Document Security 6 | 備考 |
|---|---|---|
| 一般経路文書 | 変換後閲覧 | ZTCAP fileEvent - ApplicationFileOpen, カスタムポリシー - DS_MIP_SHELL : open |
| OneDrive パス ドキュメント | 一般文書: 未対応 / セキュリティ文書: 閲覧禁止 / MIP文書: 未対応 | セキュリティ文書は MIP 変換後に閲覧が必要です |
| SharePoint パス ドキュメント | 一般文書: 変換後閲覧 / セキュリティ文書: 変換後閲覧 / MIP文書: 変換後閲覧 | すべてのドキュメントタイプ変換サポート |
6.4 ポリシー適用メカニズム
- 文書閲覧時点 ZTCAP ポリシー適用: 文書イベント-文書閲覧時に変換ポリシーとして指定し、閲覧時点に実行ポリシーに登録された文書に変換をサポート
- セキュリティ文書の閲覧制限: OneDrive パスのセキュリティ文書 (DRM) は SHILDRM サービスで MIP 文書に変換後に閲覧可能 (またはユーザーの右クリックメニューで MIP/一般文書に変換後に閲覧)
文書閲覧時に変換をサポートしないケース
- 統合ログイン前の時点
- ローカル OneDrive パスの文書ファイル
- ファイルサイズが0バイトのファイル
- MIP サポート拡張子の中でオフィス拡張子でない場合
7. ドキュメント変換およびセキュリティラベル管理
7.1 概要
ユーザーが手動で文書のセキュリティレベルを変更したり、MIPラベルを管理したりできる機能です。
7.2 サポート機能
- 一般文書 → MIP ラベルの作成
- セキュリティ文書(DRM) → MIP 文書に変換
- MIP ドキュメント → MIP 削除、DRM ドキュメントに変換
7.3 パス別サポート機能
| 区分 | Document Security 6 | 備考 |
|---|---|---|
| 一般経路文書 | 一般文書: MIP ラベルの作成 / セキュリティ文書: MIP 文書に変換 / MIP 文書: MIP の削除、DRM 文書に変換 | 複数ファイル/フォルダーのサポート、カスタムポリシー - DS_MIP_SHELL_MENU, DS6: ZTCAPポリシーに変換 |
| OneDrive パス ドキュメント | 一般文書: MIP ラベル作成 / セキュリティ文書: MIP 文書に変換 / MIP 文書: MIP 削除 | 複数ファイル/フォルダーのサポート、OneDriveのパスの特性上、DRM変換の制限 |
| SharePoint パス ドキュメント | 一般文書: MIP ラベルの作成 / セキュリティ文書: MIP 文書に変換 / MIP 文書: MIP の削除、DRM 文書に変換 | マルチファイル/フォルダーサポート、すべての変換機能サポート |
8. 外部ストレージのアップロードブロック (選別ブロック · 案内文の代替)
8.1 概要
OneDrive·SharePoint·Google Drive のようなクラウドストレージに文書をアップロードする際（コピー・移動）、会社のセキュリティポリシーが「持ち出し禁止」と定めた等級の文書は、原本の代わりに案内文ファイルに置き換えてアップロードされ、敏感な文書がクラウドに流出するのを防ぐ機能です。許可された等級の文書はそのままアップロードされます。ブロックされても作業は「成功」のように終了するため、複数のファイルを一度にアップロードする作業が途中で停止したり、エラーメッセージが表示されたりすることはありません。
要約: 敏感度ランク文書のクラウドアップロードを静かに選別ブロックし、原本の代わりに案内文をアップロードします。作業が完了すると、ファイルごとの結果（移動/ブロック/エラー）を 一つのウィンドウで通知します。
この機能が必要な理由: 既存ではクラウドに文書をアップロードする際、ポリシーに従って変換（暗号化・セキュリティ等級の適用）だけが行われており、「特定の等級はまったくアップロードできない」手段がありませんでした。したがって、機密・社外秘などの敏感な文書がクラウドに持ち出されるリスクがありました。この機能は文書の等級に応じてアップロードを選別的にブロックし、このギャップを埋めます。
動作方式 (1行メカニズム): サーバーポリシーがブロック対象と判定した文書は、原本の代わりに案内文(原本名_ブロックされました.txt)がクラウドにアップロードされ(静かなブロック)、許可された文書は正常にアップロードされます。作業が終わると、ファイルごとの結果を1つのウィンドウに表示します(ブロック・エラーが1つでもある場合のみ — 全て正常であれば通知なし)。
8.2 適用範囲 / 入口
| エントリーポイント | サポートの有無 |
|---|---|
| ローカルエクスプローラー → OneDrive/SharePoint コピー (Ctrl+C/V) | サポート |
| ローカルエクスプローラー → OneDrive/SharePoint 移動・ドラッグ | サポート |
| ローカルエクスプローラー → Google Drive コピー (Ctrl+C/V) | サポート |
| ローカルエクスプローラー → Google Drive 移動・ドラッグ | サポート |
| フ ォルダー単位の移動 | サポート (フォルダー内のブロックされた文書も代替) |
| Teams コパイロット アップロード | 連携方式が異なるため、本ドキュメントの範囲外 |
| クラウド→クラウド 移動、ダウンロード | 非対象 |
8.3 ユーザーシナリオ
| ユーザーがすること | どうなるの |
|---|---|
| 一般（許可）文書をOneDrive/SharePoint/Google Driveにコピー・移動 | 通常通り正常にアップロードされます。 |
| ブロックレベル（例：機密）文書のコピー・移動 | 原本はアップロードされず、原本名_ブロックされています.txt の案内ファイルが代わりにアップロードされます。 |
| 複数の文書を一度にアップロード | ブロック対象のみ案内ファイルに変更され、残りは正常にアップロードされます。作業が終わると結果ウィンドウで一目で表示されます。 |
| フォルダーごとアップロード（移動） | フォルダー内のブロックされた文書のみが案内ファイルに変更され、元のフォルダーは私のPCにそのまま残ります。 |
| ブロックされた文書はありません（すべて許可されています） | 結果ウィンドウを表示せずに静かに完了します。 |
8.4 制約事項
- フォルダ移動のブロック時のローカル重複: ブロックされた文書が含まれるフォルダを移動すると、元のフォルダ全体がローカルに保持されます。この時、許可された文書はローカルとクラウドの両方に存在（重複）します — データ損失を防ぐための意図された動作です。
- サポート拡張子限定: クラウドアップロードブロック対象は Office(docx/xlsx/pptx など)・PDFです。HWP/HWPX などはブロック対象ではなく、ブロックが必要な場合はサポート拡張子の拡張が別途必要です。
- 案内文の保護レベル: 案内文はセキュリティラベルのない平文テキストです。敏感な情報を含まず、セキュリティ目標（敏感な原本のクラウド未持ち出し）は原本をアップロードしないことで達成されます。
- サーバーポリシー依存: ブロックレベルの判定はサーバー条件付きポリシーに依存します。ポリシーが登録されていない場合、既存の変換・アップロードフローはそのまま維持されます。
- appAuth モード除外: appAuth モードは条件付きポリシーを使用しないため、本ブロック対象ではありません。
- Teams コパイロットアップロード: エクスプローラーとの連携方式が異なるため、本機能範囲外です。
- レガシーファイルコピー方式経由アップロード: 一部のアプリケーションが使用する古いファイルコピー方式(SHFileOperation)を通じたアップロードはOneDriveパスのみを認識します。このパスでGoogle Driveにアップロードする場合、アップロードブロックは適用されません。Windowsエクスプローラーのコピー・移動・ドラッグは該当しません。
8.5 ユーザー画面 (UX)
作業が終わると結果ウィンドウが表示されます（ブロック・エラーがある場合のみ）。
┌──────────────────────────────────────────────┐
│ Document Security │
│ アップロードブロック │
│ ┌────────────────────────────────────────┐ │
│ │ 対象ファイル │ │
│ │ 報告書.docx ✓ 移動済み │ │
│ │ 機密文書.docx ! ブロック済み │ │
│ │ 売上.xlsx ! ブロック済み │ │
│ └────────────────────────────────────────┘ │
│ [ 確認 ] │
└──────────────────────────────────────────────┘
ブロックされた文書はクラウドに原本名_ブロックされています.txt(案内文)としてアップロードされます。結果ウィンドウはその作業のすべてのファイルを状態とともに表示します(移動済み/ブロック済み/エラー)。すべて正常にアップロードされた作業は結果ウィンドウを表示しません(不必要な通知を防ぐため)。
8.6 ポリシー / 設定
ブロッ クの有無は、サーバー条件付きポリシー(ZTCAP)の「アップロードブロック」（uploadBlock）実行カードで制御されます。どのグレードをブロックするか（例：C・Sグレード）は、ポリシーの「対象文書セキュリティラベル条件」で指定します。クライアントは、応答にブロックカードがあるかどうかだけを確認します。
8.7 サポート範囲 (拡張子)
サポート: Microsoft Office(docx/xlsx/pptxなど)·PDF. 非サポート: HWP/HWPXなどその他の拡張子はアップロード禁止対象ではありません(8.4 制約事項)。
8.8 主要なフロー
- 管理者: 条件付きポリシー登録（アップロードブロックカード ON + ブロックレベル指定）。
- ユーザー: ドキュメントを OneDrive/SharePoint/Google Drive にコピー・移動 → (ブロックレベル) 案内文の代替 / (許可) 正常アップロード → 作業終了時の結果ウィンドウ。
9. Google Drive サポート範囲および制約
Google Drive は OneDrive・SharePoint と同 様の制御フローを使用していますが、パスを認識する方法が異なるため、以下の制約が適用されます。
⚠️ ポリシーサーバーの事前登録が必須（前提条件）: Google Drive サポートはポリシーサーバー(ZTCAP)に
CopyFileTo_GoogleDrive·CopyFileFrom_GoogleDriveイベント、DrmRemove実行属性、%GOOGLEDRIVE%経路予約語4つの項目が事前に登録されている必要があります。未登録の場合、クライアントログは正常に見えますが、何の変換も行われず無動作状態になります。詳細な登録方法は「Google Drive文書セキュリティ制御 — 適用ガイド」§4-1を参照してください。
9.1 サポートモード — 仮想ドライブ（ストリーミング）専用
Google Drive for Desktop の仮想ドライブ（ストリーミング）モードのみサポートしています。ドライブ文字でマウントされたボリュームの中でファイルシステムが DriveFS であるか、ボリューム名に Google Drive が含まれているドライブを Google Drive と判定します。
ミラーリング（ローカルフォルダーの同期）モードは範囲外です。このモードはドライブ文字が割り当てられていないため、判定対象自体にならず、一般的なローカルフォルダーとして扱われます。
9.2 マウント時点の制約
ドライブのリストはプログラムが開始されるときに一度だけ取得されます。したがって、エクスプローラーやエージェントがすでに実行中の状態で Google Drive を新たに接続すると、再起動するまで認識されません。OneDrive にも同様の制約が適用されます。
9.3 条件付きポリシーの指定方法
Google Drive を対象とする条件付きポリシーは、管理コンソール「条件付きポリシー › Endpoint」で以下の項目として指定します。
| 指定項目 | 値 |
|---|---|
| ドキュメントイベント (アップロード) | Google Driveでファイルを移動/コピー |
| ドキュメントイベント (ダウンロード) | Google Driveでファイルを移動/コピー |
| ドキュメントパスの指定 | 指定されたパス › %GOOGLEDRIVE% |
Google Drive のドライブ文字は PC ごとに異なるため、パスはドライブ文字の代わりに %GOOGLEDRIVE% 予約語で指定します。予約語はマイドライブ・共有ドライブを区別しない単一の値です。
9.4 ストレージ判定優先順位
原本・対象のパスは OneDrive → Google Drive → SharePoint の順に評価され、最初に一致したストレージのイベントが使用されます。この順序により、OneDrive と Google Drive の間を行き来する移動・コピーは Google Drive のイベントではなく OneDrive のイベントとして分類されます。二つのストレージを一緒に運用する環境でポリシーを構成する際には注意が必要です。