Active Directory Rights Management Services

Active Directory Rights Management Services（アクティブ・ディレクトリ・ライツ・マネジメント・サービス、AD RMS)は、Windows Serverの機能であるInformation Rights Management (IRM)を利用するためのサーバソフトウェアである。Windows Server 2008以前はRights Management Services (RMS)と呼ばれていた。

概要 
AD RMSにより実現されるIRMでは、情報の暗号化や選択的機能拒否機能を使うことができ、企業の電子メール、 Microsoft Word文書、 ウェブページなどの文書へのアクセスを制限し、許可されたユーザーのみが閲覧、編集することができるようにする。企業はこのテクノロジーを使用して、このようなドキュメント形式で保存された情報を暗号化し、ドキュメントに埋め込まれたポリシーを通じて、特定の人やグループ以外、特定の環境、特定の条件下、特定の期間、保護されたコンテンツが復号されるのを防ぐことができる 。IRMには、印刷、コピー、編集、転送、削除のような操作について、特定のコンテンツに対する可否をコンテンツ作成者が指定する機能や、およびRMS管理者がこれらの特定の操作をグループ化して事前定義されたRMSテンプレートとして一斉適用できる機能がある。

RMSはWindows Server 2003で新規に実装され、クライアントAPIライブラリがWindows 2000以降で利用できるようになった。 Rights Management ClientはWindows Vista以降に同梱され、Windows XP、Windows 2000、Windows Server 2003でも後日利用できるようになった。また、AD RMSはOffice for Macでも実装され、Mac OS X上でIRMが利用できる。また、Android、Blackberry OS、iOS、Windows RT上でIRMを利用するためのサードパーティの製品が存在する。

ポリシー強制機能に対する攻撃 
2016年4月、RMS実装（Azure RMSを含む）に対する攻撃の疑いが公開され、 マイクロソフトに報告された。 公開されたコードにより、RMSで保護されたドキュメントを表示する権限が付与された許可ユーザーは、保護を削除してファイル形式を保持することができた。この場合は、コンテンツを表示できるように、コンテンツを復号する権限がユーザーに付与されている必要がある。 Rights Management Servicesは、権限のないユーザーが保護されたコンテンツにアクセスできないように特定のセキュリティアサーションを作成するが、権限を取得したユーザーに異なる権限内容を与えるかは、マイクロソフトが「ベストエフォート」として実装されていると主張するポリシー強制機能の一部と見なされる。マイクロソフトでは、セキュリティの問題ではなく、ポリシー強制に関する制限と見なしている。以前は、RMS SDKは、アプリケーションがRMSと対話するレベルをある程度限定するために、RMS機能を使用してコードの署名を強制していたが、この機能は後で削除された。これは、攻撃者がコンテンツを復号するライセンスをウェブサービスから直接取得するアプリケーションを作成する可能性があり、RMSと対話するレベル限定する機能がバイパスされるためである。 

さらに、これと同じ手法を使用して、保護されたドキュメントを表示する権限を付与されたユーザーは、操作の痕跡を残さずにドキュメントのコンテンツを変更することができる。 Azure RMSは否認防止ソリューションではなく、ドキュメント署名ソリューションとは異なり、改ざん防止機能を提供するとはマイクロソフトは主張していない。また、変更はドキュメントへの権限を付与されたユーザーのみが行えるため、マイクロソフトは後者の問題は、RMSの機能に対する攻撃であるとは見なしていない。 研究者は、GitHubを介して、結果の評価を可能にする概念実証ツールを提供している。

ソフトウェアでの対応状況 
RMSは、次の製品がネイティブにサポートする。

 Microsoft Office 2003以降: Word、Excel、PowerPoint、Outlook、InfoPath
 Microsoft Office for Mac 2011以降: Word、Excel、PowerPoint、Outlook
 SharePoint 2007以降
 Exchange Server 2007以降
 XML Paper Specification （XPS）

Secure Islands (マイクロソフトが買収)、GigaTrust、Liquid Machines (Check Pointが買収) などのサードパーティソリューションは、RMS機能を以下の製品に追加する。

 SharePoint 2003
 Microsoft Visio
 Microsoft Project 
 Adobe Acrobat 
 Internet Explorer
 IIS 6.0

関連項目 

 Information Rights Management (IRM)
 Azure Information Protection
 Microsoft Servers
 デジタル著作権管理 (DRM)

脚注

外部リンク 

 Windows Rights Management Services
 RMS Client downloads
 RMS SDK for RMS-enabling applications
 Troubleshooting Windows Rights Management Services (RMS) - One Root Certification Server Warning
 Active Directory Rights Management - In Summary
 Active Directory Rights Management Services SDK 2.0
 Active Directory Rights Management Services - TechNet
 Active Directory Rights Management Services - MSDN
 Secure Islands IQProtector - Information Protection and Control using Microsoft RMS
 Windows RMS Technical Overview

著作権管理技術
Microsoft server technology
Windowsのセキュリティ技術
Windowsのコンポーネント
長大な項目名