MS_ADRMS

Rights Management Services (AD RMS)

• TOP > インフラストラクチャ > Windows OSの機能と役割 > Active Directory > Active Directory（機能一覧）
  • Rights Management Services (AD RMS)
  • ドメイン サービス (AD DS)
  • ライトウェイト ディレクトリ サービス (AD LDS)
  • 証明書サービス (AD CS)
  • フェデレーション サービス (AD FS)

移行メモ: 元 Wiki では本ページは「…工事中…」であり、本文が存在しなかった。 移行にあたり、Active Directory（機能一覧）および ドメイン サービス (AD DS)から参照されている位置付けを踏まえ、 概要のみを補って作成した。

概要

AD RMS（Active Directory Rights Management Services）は、
IRM（Information Rights Management） を実現する Windows Server の役割で、
文書やメールそのものに暗号化と利用条件（権利ポリシー）を埋め込むことにより、
ファイルがネットワークの外に持ち出された後も保護を継続させる技術である。

ACL・ACE によるアクセス制御は「そのファイル サーバー上」でしか効かないが、
AD RMS の保護はファイル自体に付随するため、
コピー・添付・持ち出しの後でも権利が有効なままとなる点が本質的な違いである。

制御できる操作

• 閲覧、編集、印刷、コピー＆ペースト、画面キャプチャ、転送、マクロ実行の可否
• 有効期限（一定日数後に開けなくする）
• オフライン利用の可否

詳細

構成要素

要素	役割
AD RMS クラスタ（サーバー）	権利ポリシーの管理、ライセンスの発行
AD DS	ユーザ／グループの認証と解決（必須）
構成データベース	通常 SQL Server（MS_SQLServer.md）を使用
RMS 対応クライアント	Microsoft Office、SharePoint、Exchange、RMS 共有アプリなど

保護と利用の流れ

1. 発行者のクライアントがコンテンツを暗号化し、
   利用条件を記述した発行ライセンスを AD RMS サーバーから取得して文書に埋め込む。
2. 受信者は文書を開くとき、AD RMS サーバーへ使用ライセンスを要求する。
3. AD RMS サーバーは AD DS で受信者を認証・認可し、
   条件を満たせば復号鍵と許可された操作を含む使用ライセンスを発行する。
4. クライアント アプリケーションが、そのライセンスに従って操作を制限する。

権利ポリシー テンプレート

「社外秘（閲覧のみ・印刷不可）」のような定型の権利セットを
テンプレートとして配布しておくと、利用者は選ぶだけで保護をかけられる。

他サービスとの連携

• フェデレーション サービス (AD FS)と組み合わせると、
  他組織（信頼関係のあるパートナー）のユーザにも保護コンテンツを配布できる。
• Exchange のトランスポート ルールと組み合わせると、
  条件に合致したメールを自動的に保護できる。

補足（最新化）: 現在、この領域の主流はクラウド側の Azure Information Protection（AIP）、 および後継の Microsoft Purview Information Protection である。 保護の実体は Azure RMS が担い、 オンプレミスの AD RMS は既存資産の互換・移行対象という位置付けになっている。 新規導入では Microsoft Entra ID（旧 Azure AD）を前提とした Purview 側の秘密度ラベルを検討するのが妥当である。

参考

• Active Directory Rights Management サービス - Microsoft Learn
• Microsoft Purview Information Protection

---

Tags: Active Directory, セキュリティ, 暗号化