目次 1. はじめに 本資料の目的 導入の流れ 暗号化導入の種類 暗号化を設定するには 暗号化を実施するグループの作成 暗号化コンポーネントのインストール

Transcription

1 Kaspersky Security Center 10 Kaspersky Endpoint Security 10 暗号化機能インストール 設定ガイド 2016/09/23 株式会社カスペルスキーコーポレートビジネス本部セールスエンジニアリング部 Ver

2 目次 1. はじめに 本資料の目的 導入の流れ 暗号化導入の種類 暗号化を設定するには 暗号化を実施するグループの作成 暗号化コンポーネントのインストール KES を新規インストールする場合 KES がインストールされている環境に暗号化コンポーネントを追加する場合 インストール状況を確認するには グループポリシーの作成 目的別設定方法 フルディスク暗号化 (FDE) FDE で使用されるキーの種類 ディスク全体を暗号化するには 暗号化の状態を確認するには 複数のユーザーで使用するコンピューターの場合 認証エージェントのアカウントを追加するには ディスク全体の暗号化を解除 ( 復号化 ) するには リムーバブルメディアの暗号化 リムーバブルドライブ全体の暗号化 リムーバブルメディアのファイル単位の暗号化 ポータブルモード リムーバブルメディアの暗号化の解除 付録 外部の相手と暗号化されたファイルをやり取りするには 特定のリムーバブルメディアのみ暗号化 / 復号化するには 暗号化されたディスクやファイルが使用できなかった場合 ( 要求ファイルによる認証 ) 認証エージェントで認証できなかった場合 ( チャレンジ / レスポンスによる認証 ) ドライブにアクセスできなくなった場合 ( 暗号化されたデバイスの復元 ) リムーバブルメディアのデータの復元 OS をアップグレードするには

3 1. はじめに 1.1. 本資料の目的 暗号化は不正アクセスからデータを保護するのに有効な手段であり 特にネットワーク通信において必須の機能と 言えるでしょう しかし 暗号化が必要なのは通信だけではありません コンピューターが使用するデータを暗号によって守ることで セキュリティをより一層強化できます Kaspersky Endpoint Security for Business Advanced のデータ暗号化機能は この セキュアな保存 を提供し デバイスの紛失や盗難 データ搾取を行うマルウェアによる不正アクセスからデータを保護します < セキュアな保存 > 暗号化ドライバー アプリケーション オペレーティングシステム 保存中のデータ Kaspersky Endpoint Security for Business Advanced では Kaspersky Security Center の管理サーバーによる管理のもと ディスク全体を対象としたフルディスク暗号化 (FDE: Full Disk Encryption) と ファイルやフォルダーレベルの暗号化 (FLE: File Level Encryption) を行います 本資料では Kaspersky Endpoint Security( 以下 KES) への暗号化コンポーネントのインストールと Kaspersky Security Center( 以下 KSC) における暗号化の設定方法について説明します 3

4 1.2. 導入の流れ 暗号化はグループのポリシーで設定します 設定に先立ち 暗号化を実施するクライアントに暗号化コンポーネントをインストールします 続いて 必要に応じ グループやグループポリシーを作成します なお システムディスク全体を暗号化する際には 導入時にクライアント側での設定も必要となるため 先に小規模なグループのコンピューターで試験導入することをお勧めします テスト用のグループを作成 ( 必要に応じ ) 暗号化用のグループを作成 暗号化コンポーネントのインストール 暗号化コンポーネントのインストール グループポリシーの作成 グループポリシーの作成 暗号化ポリシーの設定 暗号化ポリシーの設定 暗号化導入の種類 暗号化は ハードディスクやリムーバブルメディアごとに設定します ハードディスクを暗号化する方法は ディスク全体の暗号化 と ファイルレベルの暗号化 があります ハードディスク全体の暗号化指定したディスクの全体を暗号化します 認証されたユーザー以外からは ディスクがマウントできなくなり 内部へのアクセスが完全にできなくなります コンピューターそのものの盗難に備える必要のあるモバイルコンピューターで特に有効です ファイルレベルでの暗号化 フォルダー単位 あるいはファイルの種類 ( 拡張子 ) の単位で暗号化します 他のコンピューターから暗号化されたディスクを直接参照した場合 フォルダーやファイルの所在はわかりますが 内 4

5 容は暗号化された状態となります ファイルレベルでの暗号化については ここでは取扱いません USB メモリなどのリムーバブルメディアの暗号化も ディスク全体の暗号化 と ファイルレベルの暗号化 が選択できます ファイルレベルの暗号化の場合 暗号化コンポーネントを導入していないコンピューターや KSC に接続することのない外部のコンピューターでも利用するための ポータブルモード があります リムーバブルドライブ全体の暗号化リムーバブルメディア全体を暗号化します ドライブ全体の暗号化を行っている場合 認証されていないコンピューターからは リムーバブルメディア内にどのようなファイルやファイルが存在しているか 保存されているファイルのサイズはどのくらいかといった情報が読み取れなくなります なお リムーバブルドライブ全体が暗号化されている場合 企業内のコンピューター (KSC に接続できるコンピューター ) ではメディアを使用できますが 外部のコンピューター (KSC 管理下にないコンピューター ) では新規ファイルの追加も含めた一切のファイル操作ができなくなるため 外部のコンピューターとメディアを共有することはできません リムーバブルメディア内のファイルレベルでの暗号化リムーバブルメディアに保存されているすべてのファイルを 個別に暗号化します 外部のコンピューター (KSC 管理下にないコンピューター ) からアクセスすると フォルダーやファイルの所在はわかるので ファイルのコピー等は行えますが ファイルの内容は暗号化されているので判読できない状態となります ポータブルモード外部のコンピューター (KSC 管理下にないコンピューター ) でも暗号化したリムーバブルメディアを使用できるようにします ポータブルモードの場合 リムーバブルメディア内はファイル単位で暗号化し さらに 暗号化されたファイルにアクセスするためのモジュールを格納します リムーバブルメディア内のファイルへのアクセスはそのモジュールを経由して行います ドライブ全体を暗号化した場合 ディスクからファイルを読み込んだ時点で復号化されるため 暗号化されていないリムーバブルメディアやネットワークドライブなどにファイルをコピーした場合 ファイルは復号化された状態で保存されます ファイル単位で暗号化した場合は 暗号化されたままでコピーされます なお メールなど アプリケーションを経由して転送する場合は 暗号化の方法を問わず ファイルは常に復号化されます 暗号化した状態でファイルをやりとりしたい場合は 上記のポータブルモードまたは 暗号化パッケージ を使う方法があります ( 付録 P.89 参照 ) 5

6 1.3. 暗号化を設定するには 暗号化の設定を行うには 管理サーバーの設定で データ暗号化と保護機能の表示 を有効にする必要があります 以下の手順で設定します 暗号化を使用するには Advanced のライセンスが必要です 1 管理コンソールを起動し 左側のコンソールツリーで 管理サーバー を選択して 監視 タブを開き 管理サーバー グループにある ユーザーインターフェイスに表示する機能の設定 をクリックします 2 インターフェイスの設定 画面が開くので データ暗 号化と保護機能の表示 および セキュリティ設定タブの表示 を有効にして OK をクリックします 3 確認メッセージが表示されるので OK をクリックします 6

7 表示の設定は 管理コンソールを再起動すると有効になります < 設定前 > < 設定後 ( 管理サーバーの詳細にデータ暗号化と保護機能が表示される )> < 設定前 > < 設定後 (KES のポリシーに 暗号化 が表示される )> 7

8 1.4. 暗号化を実施するグループの作成 暗号化はグループのポリシーで設定します まず 小規模のグループで試験的に運用することをおすすめします グループは以下の手順で作成します なお グループおよびグループポリシーについて 詳しくは ポリシータスク設定ガイド をご参照ください 1 左側のコンソールツリーで親グループ ( ここでは 管理対象コンピューター ) を選択し 右側の詳細ウィンドウで コンピューター タブにある 新規グループ をクリックします 2 グループ名 を入力して OK をクリックします ここでは 暗号化グループ としています 8

9 3 グループが作成されたことを確 認します 続いて グループに端末を追加します 4 移動元の端末の コンピューター タブを開き 暗号化を実施したい端末を一覧から移動先のグループへドラッグします ここでは 管理対象コンピューター のコンピュータータブから 暗号化グループ へドラッグしています 5 移動先グループの コンピューター タブで 端末が移動されていることを確認します 9

10 1.5. 暗号化コンポーネントのインストール データの暗号化には フルバージョンの KES とネットワークエージェントのほか以下の2つが必要です KES 暗号化コンポーネント ( ドライブの暗号化 ファイルとフォルダーの暗号化 ) AES 暗号化モジュール (256 ビット ) これらは KES の基本構成には含まれていないので コンポーネントを追加する必要があります 追加に際しては KES をこれからインストールする場合と KES を既にインストールしている環境に追加する場合で方法が異なります KES をまだインストールしていない端末に新規でインストールする場合 P.10 KES をインストールしてある環境に暗号化コンポーネントを追加する場合 P KES を新規インストールする場合 KES のインストールパッケージをカスタマイズして 暗号化コンポーネント ( ドライブの暗号化 ファイルとフォルダーの暗号化 ) を有効にしたインストールパッケージを作成してインストールします AES 暗号化モジュールも同時にインストールされます まず カスタマイズの元となるパッケージの場所を確認します 1 管理サーバーの 詳細 リモートインストール にある インストールパッケージ を開き KES のパッケージをダブルクリックしてプロパティ画面を開きます 10

11 2 全般 セクションでアプリケーションのパスを確認します メモ帳などにコピーしておくとよいでしょう 確認したら OK をクリックしてプロパティ画面を閉じます 続いて パッケージを作成します 3 先ほどと同じ リモートインストール の画面で インストールパッケージの作成 をクリックします 11

12 4 新規パッケージウィザード が開くので インストールパッケージの種別の選択 で カスペルスキー製品のインストールパッケージを作成する を選択します 5 インストールパッケージ名の定義 で新しく作るパッケージの名前を入力します ここでは KES10_ 暗号化機能入りパッケージ としています 12

13 6 インストールする配信パッケージの 選択 が開くので 参照 をクリックし ます 7ファイルを選択する画面が開くので 2で確認したインストールパッケージのパスを開いて Kes10win.kpd を選択し 開く をクリックします 13

14 8 インストールする配信パッケージの選択 画面に戻り 製品のバージョンなどが表示されるので 次へ をクリックします 9 使用許諾契約書 の画面が開くので 内容を確認の上 使用許諾所に同意する にチェックマークを入れて 次へ をクリックします 14

15 ( 次へ をクリックすると インストールパッケージのコピーが始まります ) 10 リモートアプリケーションインストール設定 が開いたら この段階では 標準インストール を選択したまま 次へ をクリックします 15

16 11 完了 をクリックします 12 インストールパッケージの一覧に今回作成したパッケージが追加されるので ダブルクリックでプロパティ画面を開き ます 16

17 13 プロパティ セクションで ドライブの暗号化 と ファイルフォルダーの暗号化 にチェックを付けます 設定したら OK をクリックしてプロパティ画面を閉じます コンポーネントを有効化すると 暗号化モジュール使用に際しての 使用許諾契約書 が表示されるので 内容を確認の上 同意する をクリックしてください 17

18 暗号化コンポーネント入りのインストールパッケージが作成できたら クライアントにインストールします クライアントの一般的なインストール方法としては まず ネットワークエージェントをインストールし リモートインストール のタスクを使って KES を一括インストールします その際 上で作成した暗号化コンポーネント入りのパッケージを選択します ⅰ) インストールガイドの Step2. ネットワークエージェントのインストール に従い ネットワークエージェントをインストールします また Step3 に従い他社製アンチウイルス製品の有無を確認します ⅱ) 必要に応じ 暗号化モジュールをインストールするグループを作成します ( インストールガイド Step4. Kaspersky Endpoint Security10 のインストール b. グループ別インストールパターン 手順 1~4) ⅲ) グループを選択して タスク タブの タスクの作成 でパッケージをリモートインストールするタスクを作成します タスク種別 は アプリケーションのリモートインストール を選択します( 同手順 5 6) ⅳ) インストールパッケージの選択 で 先の手順で作成した 暗号化コンポーネント入りインストールパッケージ を選択します ⅴ) リモートインストールするタスクが作成できたら タスクを選択して 開始 をクリックしてインストールします ( インス トールガイド b. グループ別インストールパターン 手順 12) 18

19 KES がインストールされている環境に暗号化コンポーネントを追加する場合 暗号化を実施するクライアントのグループで KES 暗号化コンポーネントをインストールするタスクを作成 実施し AES 暗号化モジュールをインストールするタスクを作成 実施します 暗号化実施用のグループがない場合 インストールガイドの Step4. Kaspersky Endpoint Security 10 のインストール の 2.2. グループ別インストールパターン 手順 1~4を参考に 暗号化を実施するグループを作成してください 全クライアントにインストールする場合は 管理対象コンピューター グループで 各タスクを作成 実施します KES 暗号化コンポーネントのインストール P.19 AES 暗号化モジュールのインストール P.24 KES 暗号化コンポーネントのインストール 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) を選択し タスク タブを開いて タスクの作成 をクリックします 19

20 2 新規タスクウィザード が開くので タスク種別の選択 で KES の コンポーネントの変更 を選択して 次へ をクリックします 3 コンポーネント構成変更タスクの 設定 が開くので 標準インストー ル のまま 次へ をクリックします 20

21 4 タスクスケジュール の設定が開 くので 次へ をクリックします 5 タスクの名前を付けて 次へ をク リックします 例 ) 暗号化コンポーネントの追加 21

22 6 完了 をクリックします 7 作成したタスクが一覧に追加されるので ダブルクリックでプロパティを開きます 22

23 8 プロパティ セクションで インストールするコンポーネント の ドライブの暗号化 および ファイルとフォルダーの暗号化 を有効にします 設定したら OK をクリックします 9 OK でプロパティ画面を閉じると グループタスクの画面に戻ります 10タスクを選択して 開始 をクリックすると インストールが始まります 23

24 AES 暗号化モジュールのインストール続いて AES 暗号化モジュールのリモートインストールパッケージを作成して導入します 先に インストールする AES パッケージの保存場所を確認し 続いて インストールパッケージの作成 を実施します 1 管理サーバーの 詳細 リモートインストール にある インストールパッケージ を開き KES のパッケージをダブルクリックします 2 プロパティ 画面が開くので 全般 セクションで パス を確認します メモ帳などにコピーをしておくとよいでしょう 確認したら OK をクリックしてプロパティ画面を閉じます 24

25 3 続いて 同じ インストールパッケージ の画面で インストールパッケージの作成 をクリックします 4 新規パッケージウィザード が開始されるので インストールパッケージの種別の選択 で 指定した実行ファイルのインストールパッケージを作成する をクリックします 25

26 5 インストールパッケージ名の定義 が表示されるので名前をつけて 次へ をクリックします 例 ) AES リモートインストールパッケージ 6 インストールする配信パッケージの選択 が表示されるので 参照 をクリックします 26

27 72 で確認した KES パッケージのパスを 開き その中の exec フォルダーを選択 します 8 aes_encryption_module を選択 して 開く をクリックします 9 インストールする配信パッケージの選択 画面に戻るので 実行ファイルのコマンドラインに以下を入力します /qn EULA= 1 入力したら 次へ をクリックします 27

28 10 管理サーバーにインストールパッケ ージをアップロード中 というメッセー ジが表示されます 11 アップロードが終わるとメッセージが 表示されるので 完了 をクリックしま す 12 インストールパッケージ 画面に戻るので パッケージが作成されているのを確認します 28

29 続いて インストールタスクを作成します 1 暗号化を実施するグループを選択し タスク タブを開いて タスクの作成 をクリックします 29

30 2 新規タスクウィザード が開くので タスク種別の選択 で KSC の アプリケーションのリモートインストール を選択して 次へ をクリックします 3 インストールパッケージの選択 画面が開くので 12で作成した AES 暗号化モジュールのインストールパッケージを選択します 30

31 4 設定 画面が表示されるので 次へ をクリックします 5 オペレーティングシステム再起動方法の選択 が表示されるので再起動の選択をします ここでは コンピューターを再起動しない を選択して 次へ をクリックします 31

32 6 タスクを実行するアカウントの選択 が表示されるので アカウントが不要 のまま 次へ をクリックします 7 タスクスケジュールの設定 が表 示されるので 次へ をクリックします 32

33 8 タスクに名前を付けて 次へ をク リックします 例 )AES モジュールのリモートインストール 9 完了 をクリックします 33

34 10 作成したタスクが一覧に追加されます 11タスクを選択して 開始 をクリックすると インストールが始まります 34

35 インストール状況を確認するには クライアントに暗号化コンポーネントがインストールされているかは 以下の 2 か所で確認します (1) コントロールパネルの プログラムと機能 に AES 暗号化モジュール が追加されているかを確認します (2) 続いて タスクトレイのアイコンをクリックして KES の画面を開きます KES の画面では ファイルとデバイスへのアクセスステータス が使用できるようになります また レポート の画面に 暗号化 セクションが追加されています レポート画面は右上の レポート で確認できます < 暗号化なし> < 暗号化あり > 35

36 レポート画面は右上の レポート で確認できます 暗号化コンポーネントがインストールされていると 暗号化 セクションが表示されます < 暗号化なし> < 暗号化コンポーネントあり> 36

37 1.6. グループポリシーの作成 グループのコンピューターに暗号化コンポーネントを導入できたら ポリシーを作成します 通常は 親グループのポリシーは親グループに属するサブグループ ( 子グループ ) へ継承されます したがって 暗号化用のグループのみで暗号化を実施するには グループ用のポリシーを作成し 親グループのポリシーを継承しないように設定する必要があります 1 ポリシーの作成 をクリックします 37

38 2 新規ポリシーウィザード が開くの で ポリシーの名前をつけて 次へ をクリックします 例 ) KES10 ポリシー ( 暗号化あり ) 3 グループポリシー作成対象のアプリケーションを選択 で Kaspersky Endpoint Security を選択して 次へ をクリックします 38

39 4 設定のインポート が表示されるの で 次へ をクリックします 5 コントロールの設定 が表示される ので 次へ をクリックします この画面は管理サーバーの インターフェイスの設定 で エンドポイントコントロールの設定の表示 が有効になっている場合に表示されます 39

40 6 暗号化の設定 が表示されるので この段階では設定を変更せず 次へ をクリックします この画面は管理サーバーの インターフェイスの設定 で データ暗号化と保護機能の表示 が有効な場合に表示されます ここで 暗号化の設定 が表示されていなくても 作成後にポリシーのプロパティ画面で設定できます 7 プロテクションの設定 が表示されるので 次へ をクリックします 40

41 8 信頼リスト が表示されるので 次 へ をクリックします 9KSN 声明が表示されるので 内容 を確認し 参加条件に同意する を選択して 次へ をクリックします 41

42 10 インターフェイス が表示されるので 次へ をクリックします 11 パスワードによる保護 が表示され るので 次へ をクリックします 42

43 12 完了 をクリックします 13 ポリシーが作成されるので ダブルクリックでプロパティを開きます 43

44 14ポリシーのプロパティが開くので 全般 セクションで 親ポリシーから設定を継承する をオフにして OK をクリックします この画面で設定項目がグレー表示で変更できない状態になっていた場合は 親グループのポリシーで 設定を子ポリシーへ強制的に継承させる をオフにします OK でプロパティ画面をいったん閉じて あらためてプロパティ画面を開くと 設定が変更できるようになります < 設定前 ( 継承しているので設定を変更できない )> < 設定後 ( 設定できるようになった )> 44

45 2. 目的別設定方法 2.1. フルディスク暗号化 (FDE;Full Disk Encryption) フルディスク暗号化 (FDE) では ブートセクター以外のすべてのデータを暗号化します ファイル内のデータだけ でなく システムのオペレーティングシステムの種別 ディレクトリの構造 ファイルの場所に関するメタ情報まで秘匿さ れます FDE では OS に統合されている特別なドライバーによって 内部で自動的に復号化および暗号化されます したがって ユーザーは システムを起動した後は暗号化されていることを意識することなく 普段通りに端末を利用できます また 保存されたデータは常に暗号化された状態であるため 予期しないシステムシャットダウンが発生した場合でもデータを保護できます 暗号化ドライバー (AES 256) アプリケーション オペレーティングシステム ここですべてを暗号化 / 複合化 ディスク 暗号化を意識することなく利用できる 暗号化 / 複合化に際して サーバーに接続する必要がないのも FDE のメリットです サーバーへの接続は 最初に FDE を適用するときと 後でパスワードを復元することが必要になったときのみ必要になります 普段は企業ネットワークの境界外で使用し 管理サーバーに長時間接続しないことがあるモバイルコンピューターで特に便利です 注意 : 複数の OS がインストールされているハードディスクでは FDE を使用しないでください システムドライブの暗号化ではマスターブートレコードが変更されます このため 複数の OS がインストールされているコンピューターでハードディスクの暗号化を使用すると KES がインストールされている OS 以外のシステムは起動できなくなります 45

46 FDE で使用されるキーの種類 FDE を有効にすると 物理ドライブごとに個別の マスターキー が作成されます 暗号化されているディスクでは このマスターキーを使用してデータを複合化 / 暗号化されることになります マスターキーは KSC に保存されていますが 暗号化された状態でクライアント端末側にも保存されます したがって KSC に接続できないモバイル環境でも暗号化されたディスクを問題なく使用できます マスターキーの暗号化 にもキーが使用されます この時のキー ( 中間キー ) は 暗号化の対象がシステムドライブかそれ以外かで保存方法が異なります FDE では 特別なドライバーを経由してディスクを読み書きすることになりますが システムドライブの場合 OS の起動に必要なファイルも暗号化されるため OS が起動する前にマスターキーが使える状態になっている必要があります このため 認証エージェント を使用します 認証エージェントはシステムの起動領域にインストールされ 認証エージェントに対してユーザー名とパスワードを入力し 認証に成功すると 中間キーが複合化されて マスターキーが使用できる状態となり OS が起動します 認証エージェントの役割はここまでで OS が起動した後は 複合化 / 暗号化を行う特別なドライバーを経由してのアクセスとなります システムドライブ以外の場合は OS が起動する前にアクセスが必要 ということがないので 認証エージェントは使用しません 管理サーバーが提供するマスターキーか 管理サーバーに接続できないときはクライアント端末側に保存されているマスターキーのコピーを使用します マスターキーのコピーを複合化するのに使われる中間キーは OS へのログオン時に入力した認証データを元に生成されます このため ユーザーが OS のパスワードを変更すると 次に管理サーバーに接続するまでは 端末に保存されているマスターキーが使用できなくなります パスワードの変更は 管理サーバーに接続できるときに行うようにしてください ハードディスクの ID と この ID 用に作られたマスターキーが管理サーバーに転送されると 暗号化がはじまります 暗号化と複合化を処理するドライバーが OS に転送され インストールされると ハードディスクのデータはブロック単位で徐々に暗号化されたデータに置き換えられていきます この作業はバックグラウンドで実行されるので ユーザーは普段の作業をそのまま続けることができます 注意事項 OS を再インストールやアップグレードする際には システムディスクを復号化する必要があります これは OS のローダーが暗号化ドライブを読み取ることができないためです FDE が有効になっているコンピューターで OS のインストーラーを起動するだけで 認証エージェントのローダーが自動的に置き換えられて コンピューターが使用できなくなります かならず 先にドライブを復号化してください 46

47 ディスク全体を暗号化するには FDE の設定は KES のポリシーで行います 設定項目は大きく分けて以下の 3 つです システムディスクを暗号化する場合 クライアント側では 認証エージェントのパスワードを設定します 認証エージェントのパスワード設定 P.53 認証エージェントの設定認証エージェントの設定 ( システムディスクを暗号化する場合 ) P.47 暗号化しないハードディスクの登録 P.50 暗号化の開始 P.52 システムディスクを暗号化する場合 クライアント側では 認証エージェントのパスワードを設定します 認証エージェントのパスワード設定 P.53 認証エージェントの設定認証エージェントはシステムディスクを暗号化する際にクライアント端末にインストールされ OS の起動に先立ちユーザーを認証しマスターキーを復元するのに使われます 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 47

48 2プロパティ画面が開くので 暗号化の共通設定 セクションで パスワードの設定 の 設定 をクリックします 3 暗号化パスワードの設定 が開きます ここでは パスワードの設定方法と設定時 の強度を設定します デフォルト ( 推奨設定 ) では シングルサインオン (SSO) 技術を使用 と アクティブなユーザーにパスワードを要求する が有効になっています 設定内容は以下の通りです シングルサインオン (SSO) の技術を使用する システムを起動する前に認証エージェントによって 1 回だけ認証すればすむようにします オフにした場合 認証エージェントと Windows とで別々に認証を行います パスワードの強度パラメーター ユーザーがパスワードを設定する際に 単純すぎるパスワードを設定させないようにします SSO を使用する設定になっている場合は Windows 側の設定が適用されるため ここでの設定は無視されます アクティブなユーザーにパスワードを要求する 端末を利用しているユーザーにメッセージを表示して 認証エージェントのパスワードを設定するよう促します オンのまま使用してください なお そのほかのユーザーについては Windows のパスワードで自動生成されます 48

49 続いて 自動生成する認証エージェントアカウントを設定します 認証エージェントのアカウントには Windows ア カウントが使用されます 4 ドライブの暗号化 セクションを開き 認証エージェントの自動作成 が有効になっていることを確認し 設定 をクリックします 5 認証エージェントの自動生成設定 画面が開きます デフォルトでは コンピューター上のすべてのアカウント が有効になっており 過去 30 日間にサインインしたすべてのローカルアカウントが認証エージェントのアカウントに自動で追加されます Active Directory を使っている場合は コンピューター上のすべてのドメインアカウント もオンにしてください 詳しくはヘルプを参照してください 続いて 暗号化しないハードディスクの登録 ( 信頼リスト ) へ進みます すべてのディスクを暗号化する場合は P.52 暗号化の開始 へ進んでください 49

50 暗号化しないハードディスクの登録 ( 信頼リスト ) 暗号化実施に先立ち 複数の OS をインストールしているなどで FDE を使用できないハードディスクや ディスク全体を暗号化する必要のないディスクを登録します すべてのハードディスクを暗号化する場合はここでの設定は不要なので P.52 暗号化の開始 へ進んでください KES ポリシーのプロパティ画面が開いていない場合は 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックしてプロパティ画面を開きます 6 ドライブの暗号化 セクションの 次のハードディスクを暗号化しない で 追加 をクリックします 7 デバイスの追加 画面が開くので 更新 をクリックします 50

51 8ディスクが一覧表示されるので FDE で暗号化しないハードディスクにチェックマークを入れて OK をクリックします コンピューター名を指定して更新を押すことにより ハードディスクを検索しやすくなります 9ディスクが追加されていることを確認します 続いて 暗号化の開始 へ進みます 51

52 暗号化の開始ここまでの設定が完了したら 暗号化を有効にします KES ポリシーのプロパティ画面が開いていない場合は 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックしてプロパティ画面を開きます 10 ドライブの暗号化 セクションで 既定の暗号化ルール を 暗号化する に変更し OK をクリックします 暗号化ルールは 現在使用しているハードディスクに加え 今後追加されるディスクにも影響します 変更しない 暗号化されたディスクは暗号化されたまま 暗号化されていないディスクはそのままとなります ポリシーのデフォルト設定です すべてのハードディスクを暗号化する 現在使用しているディスクおよび今後追加されるディスクもすべて暗号化します ただし 次のハードディスクを暗号化しない に登録したディスクは除きます システムディスク ( 起動が可能なディスク ) の場合 ディスクの起動領域が認証エージェントに置き換わります すべてのハードディスクを復号化 暗号化されているハードディスクが復号化されます システムディスクの場合は認証エージェントも削除されます 暗号化が不要になった際や OS の再インストールやアップグレードを行う際に使用します 11 OK をクリックすると 複数の OS がインストールされているディスク場合についての警告メッセージが表示されます 該当しない場合は はい をクリックします 52

53 12 ドライブの暗号化 セク ションの画面に戻るので OK をクリックします 13KSC の設定のバックアップを取るよう促すメッセージが表示されるので 内容を確認して OK をクリックします メニューからバックアップを取得し他のマシン 媒体に保管して下さい システムディスクを暗号化する場合 暗号化を有効にすると まず 認証エージェントがインストールされます 認証エージェントによって最初にユーザー認証が行われて OS が起動した時点で暗号化処理が開始されます システムディスク以外の場合 端末が起動していればただちに暗号化が開始されます バックグラウンドで処理されるため 利用者には影響ありません 認証エージェントのパスワード設定 ( ユーザー側 ) 1 アクティブなユーザーにパスワードを要求する が有効になっている場合 端末でシステムディスクの暗号化が有効になって 最初に OS が起動すると 最初にサインインしたユーザーに パスワードを入力するよう促す画面が表示されます SSO を有効にしている場合は Windows アカウントで使用しているパスワードを入力して OK をクリックします この画面を入力せず閉じてしまった場合 付録 をご覧ください 53

54 2 認証エージェントのパスワードを元に 暗号化の際のマスターキーが作成されます マスターキーが KSC に保存されると バックグラウンドで暗号化がスタートします 3 確認メッセージが表示されるので OK をクリックします これで認証エージェントの設定が完了しました 次回の起動からは システムの起動時に Authentication agent 画面が表示されるようになり 認証エージェントによる認証が行われるようになります Active Directory を使用している場合は ドメイン名とユーザー名とパスワードを入力 使用していない場合は ドメインとしてコンピューター名を入力し ユーザー名とパスワードを入力して CONTINUE をクリックします 認証に成功すると Windows が起動します SSO( シングルサインオン ) が有効になっている場合 認証エー ジェントの画面で入力したユーザー名とパスワードで Windows にサインイン ( ログイン ) します 54

55 暗号化の状態を確認するには 暗号化の状態は コンピュータータブの データ暗号化ステータス で確認できます デフォルトでは後ろの方に表示されているため右へスクロールする必要がありますが 以下の手順で データ暗号化ステータス の表示位置を変更することができます なお 表示位置の設定は 管理対象コンピューター 全体で共通となります 1いずれかのグループの コンピューター タブで 列の追加と削除 をクリックします 2 暗号化ステータス を選択し 矢印キーで移動して OK をクリックします 55

56 暗号化ステータス 欄の表示位置が変わります 暗号化が完了すると ポ リシーに適合 に変わります ハードディスクの暗号化を設定していない場合は 暗号化ポリシーが指定されていません になります 暗号化が終わっていない場合のステータスを 警告 にするには暗号化がエラーなどによって中断されているとステータスが 警告 になりますが 再起動していないので暗号化が開始されていなかったり 暗号化の最中であるなどという場合は警告にはなりません 適用が終わっていないものも 警告 にしたい場合は 以下の手順で設定します 56

57 1 管理コンソールを起動し 左側のコンソールツリーで暗号化ステータスを確認したいグループ ( ここでは 暗号化グ ループ ) を右クリックして プロパティ を選択します 2 コンピューターのステータス セクションを開き コンピューターのステータスを 警告 にする条件の 継承 をオフにして データ暗号化の指定ステータス をダブルクリックします 57

58 3 条件の編集 画面が開くので ポリシーの適用中 - 再起動が必要 です および ポリシーの適用中 にチェックを入れて OK をクリックしま す OK をクリックして設定が反映されると 暗号化ポリシーの適用中はステータスが 警告 になります クリックすると詳細が表示されます ( 暗号化ステータスの表示位置を変更している場合 ) 58

59 複数のユーザーで使用するコンピューターの場合 複数のユーザーが登録されているコンピューターの場合 暗号化開始時に 暗号化されたシステムハードディスクにアクセスするためのパスワード 画面でパスワードを設定したユーザー以外についても 認証エージェントのアカウントが自動で生成されます 認証エージェントアカウントが自動で生成されるのは デフォルトでは ディスクの暗号化開始時点から 30 日以内のアカウントです 追加方法は KES ポリシーの ドライブの暗号化 セクションで設定できます 暗号化開始後に追加したユーザーについては P.60 認証エージェントのアカウントを追加するには の方法で追加します SSO( シングルサインオン ) の場合 認証エージェントの画面で別のユーザー名とパスワードを入力して CONTINUE をクリックすると そのまま Windows にサインインできます < 入力例 > 59

60 認証エージェントのアカウントを追加するには アカウントの管理 タスクで認証エージェントのアカウントを追加できます 1 アカウントを追加したい PC のプロパティを開きます タスクから 暗号化 ( アカウント管理 ) のプロパティを開きます 2 さらにプロパティを開きます 60

61 3 処理から アカウントの追加を 選択します 4 ユーザーアカウントの追加 画面が開くので アカウントを入力し 初期パスワードを設定します このパスワードは Windows サインインのパスワードと一致しなくても構いません SSO の場合 後で一致させます 61

62 5 コマンドが設定できたら OK をクリックします 6タスクを選択して水色のアイコンをクリックし開始します 完了すると アカウントが追加されます 62

63 7クライアント側で追加したアカウントでサインインします 先に設定した初期パスワードを入力し CONTINUE をクリックします 8 初回認証時にパスワードを変更します の設定になっているため パスワード変更を求められます CONTINUE をクリックします 63

64 9 新しくパスワードを登録します ここでもまだ Windows サインインのパスワードではありません 強度設定は認証エージェントの強度設定です 要件を満たさない場合 警告が出ます 64

65 10パスワードが登録出来たら そのまま続行します SSO の場合 Windows サインインパスワードと同期します 65

66 ディスク全体の暗号化を解除 ( 復号化 ) するには ディスク全体の暗号化を解除するには 既定の暗号化ルール で すべてのハードディスクを復号化する に変更するか 復号化したいディスクを 次のハードディスクを暗号化しない に追加します 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 2プロパティ画面が開くので ドライブの暗号化 セクションの 既定の暗号化ルール すべてのハードディスクを復号化する を選択します 特定のディスクだけを復号化したい場合は 追加 で暗号化しないハードディスクを登録してください 66

67 3 OK をクリックして設定 を反映させます 復号化の状態を確認するには復号化が開始されると コンピューターの 暗号化ステータス が ポリシーの適用中 になり 復号化が完了すると ポリシーに適合 すべてのハードディスクが復号化されると 暗号化ポリシーが指定されていません に変わります 暗号化ステータス の表示については P.55 暗号化の状態を確認するには を参照してください なお 起動ディスクを復号化した場合は 認証エージェントもアンインストールされます 復号化が完了すると 認 証エージェントは起動せず Windows のサインイン ( ログイン ) 画面となります 67

68 2.2. リムーバブルメディアの暗号化 リムーバブルメディアの暗号化には リムーバブルドライブ全体の暗号化 と ファイル単位の暗号化 があり ファイル単位の暗号化 は さらに すべてのファイルを暗号化する方法と 新しいファイルだけを暗号化する方法 また KSC に接続しない外部のコンピューターや暗号化コンポーネントを導入していないコンピューターでも暗号化ファイルを利用できるようにするための ポータブルモード があります これらは リムーバブルメディアによって使い分けることができます リムーバブルメディアの暗号化は グループポリシーの リムーバブルドライブの暗号化 セクションで設定します 設定には 既定のルール と カスタムルール の 2 種類があります 既定のルール と カスタムルール は組み合わせて使用できます 両方設定されている場合はカスタムルールの方が優先されます たとえば 原則としてすべてのリムーバブルドライブはリムーバブルドライブ全体を暗号化するが 一部 外部のユーザーと共有するメディアだけはポータブルモードを利用するためファイル単位で暗号化する という場合は 以下のようにします 既定のルール を リムーバブルドライブ全体の暗号化 にする カスタムルール で共有したいリムーバブルメディアを追加し すべてのファイルの暗号化 と ポータブルモード を設定する特定のリムーバブルメディアのみ暗号化を設定したい場合は以下のようにします 既定のルール を 変更しない にする カスタムルール に暗号化したいリムーバブルメディアを追加し ルールを設定する 68

69 リムーバブルドライブ全体の暗号化 リムーバブルドライブ全体を暗号化すると ドライブごとに個別のマスターキーが作成され 次の 3 か所に保存されます 1. 管理サーバー 2. ユーザーのコンピューター ( ユーザーのプライベートキーを使って暗号化されます ) 3. リムーバブルドライブ上のデータファイルのヘッダー ( 管理サーバーの公開キーを使って暗号化されます ) 鍵の抽出は内部で自動的に行われるため 使用時に鍵の保存場所を意識する必要はありません ただし 管理サーバーに接続できない環境の場合 既に使用したことのあるコンピューターからのみ使用可能となります 認証されているコンピューターでデータの読み書きを行う際には 特別なドライバーによってリムーバブルドライブが即座に復号化 暗号化されるので ユーザーは暗号化を意識することなく利用できます 管理サーバーに接続できないコンピューターでは ドライブ全体が暗号化されたリムーバブルメディアを使って作業することはできないため 外部ユーザーとのデータ交換に使用することはできません 外部のユーザーや 暗号化コンポーネントを導入していないコンピューターとリムーバブルメディアを共有する場合は ファイル単位の暗号化を行い ポータブルモード(P. 80) を使用してください なお FDE の場合 元のコンテンツはセクター別に暗号化され 認証されていないコンピューターではマウントもできなくなりますが リムーバブルドライブの場合 特別なヘッダーを持つ暗号化されたファイルに置き換えられます リムーバブルドライブ全体が暗号化されているメディアは 認証されていないコンピューターではマウントはできますが FDE_PR.BIN というファイルだけが存在する空き領域 0 のメディア として認識されるので メディアに保存されているファイルの名前や容量は読み取れなくなります <ドライブ全体が暗号化されたリムーバブルメディア ( 参考 )> どのようなファイルが保存されているかは一切わからなくなります 空き領域 0 の状態なのでファイルの追加などはできません 69

70 リムーバブルドライブ全体を暗号化する ( 管理サーバー側 ) リムーバブルドライブ全体を暗号化するには KES ポリシーの リムーバブルドライブの暗号化 セクションで リムーバブルドライブ全体の暗号化 を設定します 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 2 プロパティ 画面が開くので リムーバブルドライブの暗号化 セクションを選択します 70

71 3リムーバブルメディア全般を暗号化したい場合は 既定のルール で リムーバブルドライブ全体の暗号化 を選択します メディアごとに設定したい場合は 変更しない のままにして カスタムルール で設定します 4メディアごとに設定したい場合 あるいは 暗号化の対象外としたいリムーバブルメディアがある場合は カスタムルール の 追加 で追加します 追加方法には次の 2 つがあります 71

72 (A) 信頼するデバイスのリストから追加する方法 追加 - このポリシーの信頼するデバイスから指定する を選択します エンドポイントコントロール の デバイスコントロール で 信頼するデバイス として登録されているデバイス ( 接続を許可されたデバイス ) が一覧表示されるので すべて選択 をクリック または暗号化したくないメディアを個別に選択して OK をクリックします (B)KSC の管理下にあるすべてのメディアから追加する方法 追加 - KSC のデバイスリストから指定する を選択します 更新 をクリックすると KSC 管理下で使用されたことのあるデバイスがリストアップされるので すべて選択 をクリック または暗号化したくないメディアを個別に選択して OK をクリックします 72

73 追加したメディアに対 し ルール を設定し ます ここでは リムーバブルメディア全般で リムーバブル全体の暗号化 を実施し 例外として暗号化しない ( 変更しない ) メディアを追加しています 5 OK をクリックして設定を反映させます 6KSC の設定のバックアップを取るよう促すメッセージが表示されるので 内容を確認して OK をクリックします メニューからバックアップを取得し他のマシン 媒体に保管して下さい 73

74 リムーバブルドライブの暗号化の開始 ( ユーザー側 ) ポリシーが適用されたコンピューターに まだ暗号化されていないリムーバブルメディアを接続すると リムーバブルドライブの暗号化 というメッセージが表示されます まだ暗号化したくない場合は リムーバブルドライブを暗号化しない を選択します この場合 メディアは読み取りのみとなります リムーバブルドライブを暗号化する を選択した場合 ただちに暗号化が開始されます 暗号化が完了すると リムーバブルメディアが使用できるようになります この後の暗号化 / 復号化は自動で行われるため 特別な操作は不要です 74

75 リムーバブルメディアのファイル単位の暗号化 ファイルレベルの暗号化では 以下の 4 種類のキーが使用されます 管理サーバーの公開キー マスターキーを暗号化するのに使用される ユーザーのプライベートキー マスターキーを取り出すのに使用される マスターキー ファイルのキーを取り出すのに使用される ( デバイスごとに作成される ) ファイルを暗号化するためのキー ( ファイルごとに生成される ) リムーバブルメディアのマスターキーは ファイルの暗号化が開始される前に生成され リムーバブルメディア内 アクティブなユーザーのコンピューター内 および管理サーバーの 3 か所に保存されます ユーザーが リムーバブルメディア内の暗号化されたファイルを使用する場合 特別なドライバーによって内部で即座に復号化 / 暗号化されますが ユーザーのコンピューターにマスターキーがない場合は管理サーバーからマスターキーを取得します 管理サーバーにアクセスできない場合は FLE 同様 チャレンジ / レスポンス手段でキーを取得します 取得したマスターキーはユーザーのコンピューター内に自動的に保存され 次からはこのマスターキーが使用されます なお リムーバブルメディアをファイル単位で暗号化している場合 他のコンピューターで暗号化したファイル つまり 別のマスターキーで暗号化したファイルがそのリムーバブルメディアにコピーされていることがあります この場合 別途マスターキーを取得する必要がありますが KSC に接続されている場合は自動的に処理されます 75

76 リムーバブルメディアをファイル単位で暗号化する ( 管理サーバー側 ) リムーバブルドライブ全体を暗号化するには KES ポリシーの リムーバブルドライブの暗号化 セクションで 既定 のルール を すべてのファイルの暗号化 または 新しいファイルのみ暗号化 に設定します すべてのファイルの暗号化 の場合 例外なしにドライブのすべてのファイルが暗号化されます 新しいファイルのみ暗号化 の場合 ドライブの新しいファイルまたは変更のあったファイルのみ暗号化されます ファイル単位の暗号化は 以下の手順で設定します 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 2 プロパティ 画面が開くので リムーバブルドライブの暗号化 セクションを選択します 76

77 3リムーバブルメディア全般を暗号化したい場合は 既定のルール で すべてのファイルの暗号化 または 新しいファイルのみ暗号化 を選択します メディアごとに設定したい場合は 変更しない のままにして カスタムルール で設定します 4メディアごとに設定したい場合 あるいは 暗号化の対象外としたいリムーバブルメディアがある場合は カスタムルール の 追加 で追加します 追加方法には次の 2 つがあります 77

78 (A) 信頼するデバイスのリストから追加する方法 追加 - このポリシーの信頼するデバイスから指定する を選択します エンドポイントコントロール の デバイスコントロール で 信頼するデバイス として登録されているデバイス ( 接続を許可されたデバイス ) が一覧表示されるので すべて選択 をクリック または暗号化したくないメディアを個別に選択して OK をクリックします (B)KSC の管理下にあるすべてのメディアから追加する方法 追加 - KSC のデバイスリストから指定する を選択します 更新 をクリックすると KSC 管理下で使用されたことのあるデバイスがリストアップされるので すべて選択 をクリック または暗号化したくないメディアを個別に選択して OK をクリックします 78

79 追加したメディアに対 し ルール を設定し ます ここでは リムーバブルメディア全般で リムーバブル全体の暗号化 を実施し 例外として暗号化しない ( 変更しない ) メディアを追加しています 外部のコンピューターや暗号化コンポーネントを導入していない端末でも暗号化されたファイルを使用したい場合は ポータブルモード (P.81) にチェックマークを入れます 5 OK をクリックして設定を反映させます 6KSC の設定のバックアップを取るよう促すメッセージが表示されるので 内容を確認して OK をクリックします メニューからバックアップを取得し他のマシン 媒体に保管して下さい 79

80 リムーバブルドライブの暗号化の開始 ( ユーザー側 ) リムーバブルドライブでファイル単位の暗号化を有効にしている場合 コンピューターにメディアを接続すると 接続ごとに暗号化をするかどうかの確認メッセージが表示されます すべてのファイルの暗号化 の場合 新しいファイルのみ暗号化 の場合 ファイルを暗号化しない をクリックした場合 リムーバブルメディアは読み取り専用モードとなります ファイルを暗号化する をクリックすると 暗号化の準備がはじまります すべてのファイルの暗号化 の場合 ファイルを暗号化する をクリックすると 即座に暗号化が開始されます このとき メディア内のファイルがすべてチェックされ 暗号化されていないファイルはすべて暗号化されます したがって メディアに保存されているファイルの量によっては時間がかかることがあります 既に暗号化されているファイルはそのままなので 2 回目以降は高速化されます なお 暗号化の途中もメディアへのアクセスは可能ですが 接続は切断しないようにしてください すべてのファイルの暗号化が終わるとメッセージが表示 されます 新しいファイルのみ暗号化 の場合 この時点では処理はなにも行われません 新しいファイルを保存する際に ファイルが自動的に暗号化されます なお メディアに保存されている既存のファイルについては 参照した段階では何も行われず 更新すると その時点で自動的にファイルが暗号化した状態で保存されます 80

81 ポータブルモード すべてのファイルを暗号化 あるいは 新しいファイルのみ暗号化 で リムーバブルメディアをファイル単位で暗号化する場合 ポータブルモード を使用することができます なお ファイル単位の暗号化を行っている場合は 後でポータブルモードに変更することも可能です ファイル単位の暗号化および すべてのファイルを暗号化 あるいは 新しいファイルのみ暗号化 の違いについて 詳しくは P リムーバブルメディアのファイル単位の暗号化 をご参照ください ポータブルモードが有効になっている場合 ポータブルマネージャー (pmv.exe) がリムーバブルメディアにコピーされます 外部のコンピューターなど KSC に接続できないコンピューターや暗号化コンポーネントが導入されていないコンピューターでも このポータブルマネージャーを経由してファイルにアクセスすることで 暗号化 / 復号化を行うことができます ポータブルモードを有効にする ( 管理サーバー側 ) 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 81

82 2 プロパティ 画面が開くので リムーバブルドライブの暗号化 セクションを選択します リムーバブルメディア全般で ポータブルモード を使用する場合は 既定のルール で すべてのファイルを暗号化 あるいは 新しいファイルのみ暗号化 を選択して ポータブルモード にチェックマークを入れて有効にします メディアごとに設定する場合は カスタムルール で ポータブルモード にチェックマークを入れます 82

83 ポータブルモードでは ポータブルモード専用の暗号化パスワードを設して使用します パスワードの最小文字数などは 暗号化の共通設定 で設定します デフォルト ( 推奨設定 ) は 大文字 数字 記号を含む最低 8 文字で 30 日ごとに変更するように設定されています 3 暗号化の共通設定 セクションで パスワードの設定 の 設定 をクリックします 4 暗号化パスワードの設定 が開くので ポータブルファイルマネージャー タブをクリックしてパスワードのパラメーターを設定します 5 OK をクリックして設定を反映させます 83

84 ポータブルモードによる暗号化の開始 ( ユーザー側 ) コンピューターにメディアを接続すると 接続ごとに暗号化をするかどうかの確認メッセージが表示されます すべてのファイルの暗号化 の場合 新しいファイルのみ暗号化 の場合 ファイルを暗号化しない をクリックした場合 リムーバブルメディアは読み取り専用モードとなります ファイルを暗号化する をクリックすると 暗号化の準 備がはじまります ( すべてのファイルの暗号化選択時の み ) 最初の暗号化の際 ポータブルモードのパスワードを入力する画面が表示されます 確認のためパスワードを 2 回入力して OK をクリック します すべてのファイルの暗号化 を選択している場合 ポータブルモード用のパスワードを設定すると暗号化が開始されます ポータブルモードの準備ができるとメッセージが表示されます ポータブルマネージャーは pmv.exe という名前でリムーバブルメディアにコピーされます すべてのファイルの暗号化 が設定されている場合も この pmv.exe と自動再生用の設定ファイル (autorun.inf) は暗号化されません 84

85 ポータブルモードでリムーバブルメディアにアクセスするには 1 リムーバブルメディアを接続し リムーバブルメディアに保存されているポータブルマネージャー (pmv.exe) を実行します 接続したコンピューターで 自動再生 が有効になっている場合はポータブルマネージャーが自動起動します 2 リムーバブルドライブにアクセスするためのパスワードの要求 画面が表示されるので ポータブルモード用のパスワードを入力し OK をクリックします 3 ポータブルファイルマネージャーが起動します 85

86 暗号化されているファイルには黄色いアイコンが表示されます これらのファイルは ポータブルファイルマネージャーを経由することで表示 更新できるようになります 暗号化されたファイルをダブルクリックして関連付けられたアプリケーションを起動すると 自動で復号化されて表示され アプリケーションで保存した場合は自動で暗号化されます また ファイルを選択して暗号化 / 復号化することも可能です 暗号化されているファイルをハードディスクなどにコピーする場合に復号化するかどうかは 右上の コピー時にファイルを復号化する で設定します ( オフの状態 ) ( オンの状態 ) なお 暗号化されていないファイルの表示 更新や 新しいファイルを保存する場合は ポータブルマネージャーを経由する必要はありません また ポータブルマネージャーを経由せずファイルを保存した場合 ファイルは暗号化されません 86

87 リムーバブルメディアの暗号化の解除 リムーバブルメディアの暗号化を解除するには ポリシーで リムーバブルドライブ全体の復号化 を行います 設定 はドライブ全体 ファイル単位共通です 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリック します 2 リムーバブルドライブの暗号化 セクションで 既定のルール で リムーバブルドライブ全体の復号化 に変更 または カスタムルール で個々のメディアを選択し リムーバブルドライブ全体の復号化 に変更し OK をクリ ックして設定を反映させます 87

88 <ユーザー側 > リムーバブルドライブ全体を暗号化している場合暗号化されたリムーバブルメディアを接続すると 自動的に復号化がはじまります 復号化が完了するとリムーバブルメディアが使用可能 になり 外部のコンピューターからもメディア内を参照でき るようになります ファイル単位で暗号化している場合ファイル単位で暗号化している場合も 暗号化されたリムーバブルメディアを接続すると 自動的に復号化がはじまります 復号化中も リムーバブルメディアの読み書きは可能です 復号化が完了すると 外部のコンピューターからもすべてのファイルが読み書きできるようになります なお ポータブルモードの場合 ポータブルマネージャーも削除されます 88

89 2.3. 付録 外部の相手と暗号化されたファイルをやり取りするには ファイル単位で暗号化している場合 メールソフトなど アプリケーションを経由してファイルを送る場合 ファイルは自動的に復号化されますが 暗号化されたファイルをネットワークドライブやリムーバブルメディアにコピーした場合 ファイルは暗号化されたままとなります 別のコンピューターでこのファイルを使用するには 管理サーバーに接続してキーを取得する必要があります KSC に接続しているクライアントの場合 この処理は自動で行われます フルディスク暗号化やリムーバブルドライブ全体を暗号化している場合 ファイルを暗号化していない場所にコピーすると 自動で復号化されます ファイルを暗号化した状態で KSC に接続しない外部のユーザーや 暗号化コンポーネントを導入していない企業内ユーザーとフファイルを交換したい場合は リムーバブルメディアの ポータブルモード (P.81) または 暗号化されたパッケージ を使用します 暗号化されたパッケージ は 自己解凍形式のファイルです ファイルを暗号化した状態で外部のコンピューターに渡すことができます KES の暗号化コンポーネントが導入されたコンピューターでは ファイルまたはフォルダーの右クリックメニューで 暗号化されたパッケージへの追加 が選択できるようになります 暗号化されたパッケージへの追加 メニューを選択してパスワードを入力すると自己解凍形式のファイルが作成されます 暗号化されたパッケージのパスワードポリシー 暗号化されたパッケージへの追加 のパスワードは ポリシーで設定したパスワードのポリシーに従っている必要があります パスワードのポリシーは以下で設定します 1 暗号化されたパッケージ を作成するグループ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 89

90 2プロパティ画面が開くので 暗号化の共通設定 セクションで パスワードの設定 の 設定 をクリックします 3 暗号化パスワードの設定 画面が開くので 暗号化されたパッケージ タブでパスワードのポリシーを設定し OK で設定を反映させます 90

91 暗号化されたパッケージを作成するには 暗号化されたパッケージは以下の手順で作成します 1 ファイルまたはフォルダーで右ク リックして 暗号化されたパッケージに追加 を選択します 2 保存先とファイル名を入力し 保存 をクリックします 既存のファイルを選択すると上書きとなります 3パスワードを確認のため 2 回入力し 新規作成 をクリックします 91

92 4 パッケージが作成できました 暗号化されたパッケージからファイルを取り出すには暗号化されたパッケージは自己解凍形式の実行ファイルです ダブルクリックで実行します 1 パスワードの入力 が表示されるので パッケージのパスワードを入力して OK をクリックします 2 フォルダーの参照 画面が開くので ファイルの保存先を選択して OK をクリックします 3 指定したフォルダーに パッケージに格納されているすべてのファイルが展開されます 92

93 特定のリムーバブルメディアのみ暗号化 / 復号化するには 特定のリムーバブルメディアのみ暗号化 / 復号化したい場合は KES ポリシーの リムーバブルドライブの暗号化 セクションで カスタムルール を設定します 1 暗号化を実施するグループ ( ここでは 暗号化グループ ) の ポリシー タブで KES10 のポリシーをダブルクリックします 2プロパティ画面が開くので リムーバブルドライブの暗号化 セクションの 既定のルール を 変更しない にします 93

94 3 カスタムルール の 追加 をクリックして 設定したいメディアを追加します 追加 - このポリシーの信頼するデバイスから指定する の場合 エンドポイントコントロール の デバイスコントロール で 信頼するデバイス として登録されているデバイス ( 接続を許可されたデバイス ) が一覧表示されます すべて選択 をクリック または必要なメディアを選択して OK をクリックします 94

95 追加 - KES のデバイスリストから指定する の場合 更新 をクリックすると KES 管理下で使用されたことのあるデバイスがリストアップされるので すべて選択 をクリックまたは必要なメディアを選択して OK をクリックします 4 カスタムルール でそれぞれのメディアのルールを選択し OK をクリックして設定を反映させます 95

96 暗号化されたディスクやファイルが使用できなかった場合 ( 要求ファイルによる認証 ) 暗号化されたディスクやファイルにアクセスしようとした際に 通常であれば KSC から自動でキーを取得して復号化します KSC に接続できないなど 何らかの理由でアクセスできなかった場合は ファイルへのアクセスがブロックされました というメッセージが表示されるので この画面で要求ファイルを作成し 管理者へ送ります 要求ファイルの作成 ( ユーザー側 ) 1 ファイルへのアクセスがブロックされました というメッセージが表示されたら 保存 をクリックします 2 要求ファイルの保存 画面が開くので わかりやすい場所を選んで 保存 をクリックします 保存したファイルを メールやリムーバブルメディア等で管理サーバーに送ってください なお 要求ファイルは KES の画面からも保存できます 96

97 この場合は KES を開いて画面下部の アクティブな要求があります をクリックして ファイルとデバイスへのアクセスステータス 画面を開き ドライブ等を選択して ファイルに保存 をクリックします 後の手順は共通です アクティブな要求 をクリックします ファイルとデバイスへのアクセスステータス でドライブを選んで ファイルに保存 をクリックします 要求ファイルの保存 画面が開くので わかりやすい場所を選んで 保存 をクリックし 保存したファイルを管理サーバーへ送ります 97

98 アクセスキーファイルの作成 ( 管理サーバー側 ) 3 管理コンソールを起動し 左側のコンソールツリーでパスワードをリセットしたい端末のグループを選択します 4 コンピューター タブでリセットしたい端末を右クリックして オフラインモードでのデバイスおよびデータへのアクセスを許可する を選択します 5 オフラインモードでのデバイスおよびデータへ のアクセスを許可する 画面が表示されるので 暗号化 タブで 参照 をクリックします 98

99 6 要求ファイルの選択 画面が開くので クライアントから受け取ったファイルを選択して 開く をクリックします 7 オフラインモードでのデバイスおよびデータへのアクセスを許可する 画面に戻り 要求の内容が表示されるので 保存 をクリックします 8 アクセスキーファイルの保存 画面が開くので ファイルを保存します 保存したファイルをメールなどでクライアントに送ります 99

100 アクセスキーファイルの読み込み ( ユーザー側 ) タスクトレイで KES のアイコンをクリックして KES を開きます 9 画面下部の アクティブな要求があります をクリックします 10 ファイルとデバイスへのアクセスステータス 画面が 開くので 参照 をクリックします 100

101 11 アクセスキーファイルの選択 画面が開くので 管理者から受け取ったアクセスキーファイル ( 拡張子.kesdr) を選択して 開く をクリックします 暗号化されたドライブにアクセスできるようになりました デスクトップに ドライブの暗号化 というメッセージ画面が表示されるので エクスプローラー等を開いていたらすべて閉じてから すべてのウィンドウを閉じて 直接アクセスを可能にする を選択します これで 暗号化されたディスクにアクセスできるようになりました 101

102 認証エージェントで認証できなかった場合 ( チャレンジ / レスポンスによる認証 ) 認証エージェントで入力したユーザー名やパスワードが違っていた場合 Authentication error 画面が表示 されます CONTINUE で再度入力できますが 5 回間違えると Password Reset 画面が表示されます パスワードのリセットは以下の手順で行います チャレンジキーの作成 ( ユーザー側 ) 1 Password Reset 画面で CONTINUE をクリックします 102

103 2 Entropy メッセージが表示されている間 画面上でマウスを動かします 3 Challenge が表示されたら 5 つの文字列を管理者に伝えます 103

104 一時アクセスコードの作成 ( 管理サーバー側 ) 4 管理コンソールを起動し 左側のコンソールツリーでパスワードをリセットしたい端末のグループを選択します 5 コンピューター タブでリセットしたい端末を右クリックして オフラインモードでのデバイスおよびデータへのアクセスを許可する を選択します 6 オフラインモードでのデバイスおよびデータへのアクセスを許可する 画面が表示されるので 認証エージェント タブの ユーザーの要求 に 先の Challenge の文字列を入力し 一時アクセスコードの作成 をクリックします 104

105 7 一時アクセスコード が作成されるので 7 つの文字列をクライアントに伝えます 一時アクセスコードの入力とパスワードの再設定 ( ユーザー側 ) 8 Challenge 画面で CONTINUE をクリックします 105

106 9 Response 画面が表示されるので 管理者から通知された 7 の一時コードを入力します 10 入力できると CONTINUE ボタンが表示されるのでクリックします 106

107 11 Enter new password 画面が表示されるので 新しくパスワードを入力して CONTINUE をクリックします ここでの強度設定は認証エージェントの強度設定です 要件を満たさない場合警告が表示されます SSO の場合 後でパスワード同期がされますので Windows サインインと一致しなくても構いません 107

108 12 あらためて認証画面が表示されるので ドメイン名 \ ユーザー名 または マシン名 \ ユーザー名 とパスワードを入 力して CONTINUE をクリックします 108

109 ドライブにアクセスできなくなった場合 ( 暗号化されたデバイスの復元 ) フルディスク暗号化 (FDE) で暗号化されたディスクが接続されていたコンピューターが何らかの理由で起動できなくなった場合 ドライブからデータを取り出せなくなってしまいます データの破損していない部分を復元するには KES がインストールされている別のコンピューターにドライブを接続し 以下の手順でデータを復元します なお 二重に暗号化してしまうことのないように 復元したいディスクを接続するコンピューターでは あらかじめ ディスク暗号化を無効にしておいてください 具体的には ポリシーの ドライブの暗号化 セクションで 既定の暗 号化ルール を 変更しない に設定します (A) 要求ファイルによる認証を行う場合暗号化されたドライブを接続して ファイルへのアクセスがブロックされました という画面が表示された場合は この画面で 要求ファイル を保存し 認証を行います P.96 暗号化されたディスクやファイルが使用できなかった場合 ( 要求ファイルによる認証 ) の手順に従ってください (B) 暗号化されたデバイスの復元を使用する場合 ファイルへのアクセスがブロックされました というメッセージが表示されず 要求ファイルが作成できなかった場合は 暗号化されたデバイスの復元 ユーティリティーで復元を試みます フォーマットする必要があります というメッセージが表示されても キャンセル で回避してください 暗号化されたデバイスの復元 ユーティリティーによる復元は 以下の手順で行います 109

110 暗号化されたデバイスの復元 の起動と要求ファイルの作成( ユーザー側 ) 1タスクトレイから KES を起動し 左下の サポート をクリックします 2 サポート 画面が開くので 暗号化されたデバイ スの復元 をクリックします 暗号化されたデバイスの復元 メニューは 暗号化コンポーネントが導入されていない KES では表示されません 暗号化コンポーネントが導入されているコンピューターで復元するか 暗号化コンポーネントが導入されているコンピューターで スタンドアロン用の復元ツールの作成 ( 次画面参照 ) で作成したツールを使って復元してください 110

111 3 暗号化されたデバイスの復 元ツール 画面が開きます 暗号化モジュールあるいは KES そのものがないない環境で復号化を行う場合は スタンドアロン用の復元ツールの作成 でツールを作成します ツール (fdert.exe) を起動するとこの画面が開くので同じように操作してください 4 デバイスの選択 で 復元したいディスクを選択して スキャン をクリックします スキャンが完了すると 右下の ロック解除 ボタンが有効になるので ロック解除 をクリックします 5 デバイスのロック解除設定 が開くので デバイスのアクセスキーを手動で指定する を選択し アクセスキーの取得 をクリックします 111

112 6 デバイスアクセスキーの取得 画面が開くので 保存 をクリックします 7 名前を付けて保存 画面が開くので わかりやすい名前をつけて 保存 をクリックします 拡張子は自動で.fdertc となります 8 保存をクリックすると 暗号化されたデバイスの復号ツール から 保存したアクセスキーを管理者に送り 管理者からアクセスキーファイルを取得するまでは画面を閉じないでおく必要がある旨のメッセージが表示されるので 確認して OK をクリックします 9 保存したファイルをメール等で管理者に送ります デバイスアクセスキーの取得 画面は開いたままにしておいてください 閉じてしまった場合は アクセスキーの取得 でファイルを作り直してから管理者に送信してください 112

113 アクセスキーファイルの作成 ( 管理サーバー側 ) 10KSC を起動し 詳細 の データ暗号化と保護機能 下にある 暗号化されたデバイス 画面を開き 復号化し たいドライブを右クリックして 指定の暗号化されたデバイスのアクセスキーの取得 を選択します 11 デバイスへのアクセスを 許可 画面が開くので 参照 をクリックします 113

114 12 要求ファイルの選択 画面が開くので クライアントから受け取ったファイルを選択して 開く をクリックします 13 デバイスへのアクセスを許可 画面に戻り コンピューターやディスクの詳細情報が表示されます 保存 をクリックしてアクセスキーを保存します 114

115 14 アクセスキーファイルの保存 画面が開くので 保存場所を選択して 保存 をクリックします 拡張子は.fdertr となります 保存したファイルを 復号化したいディスクを接続しているコンピューターに送ります アクセスキーファイルの読み込み ( ユーザー側 ) 15 開いたままにしておいた デバイスアクセスキーの取得 画面で 読み込み をクリックします 16 ファイルを開く 画面が開くので 管理者から受け取ったアクセスキーファイル ( 拡張子は.fdertr) を選択して 開く をクリックします 115

116 17 メッセージが表示されるので OK をクリックします 18 デバイスのロック解除設定 画面に戻るので OK をクリックします 19 暗号化されたデバイスの復元ツール 画面に戻り ロックが解除されます ロックが解除されると 中のファイルにアクセスできるようになるので 必要なファイルを別のディスクにコピーしてください 116

117 リムーバブルメディアのデータの復元 KSC に接続できない環境で ドライブ全体が暗号化されたリムーバブルメディアを使用したい場合や ファイル単位で暗号化されているがポータブルモードが設定されていないリムーバブルメディアを使用したいという場合 管理サーバーへ 要求ファイル を送りアクセスキーを取得します 暗号化されているリムーバブルメディア接続すると ファイルへのアクセスがブロックされました というメッセージが表示されるので この画面で要求キーを保存し 管理サーバーに送ります この後は P.96 暗号化されたディスクやファイルが使用できなかった場合( 要求ファイルによる認証 ) の手順に従ってください 要求ファイルが作成できない場合は チャレンジ / レスポンス 手順でキーを取得します データの破損があるなどで 上記 2 つの方法がとれなかった場合は 暗号化されたデバイスの復元 ユーティリティーからの復元を試みます タスクトレイから KES を起動し 左下の サポート をクリックします 117

118 サポート 画面が開くので 暗号化されたデバ イスの復元 をクリックします 暗号化されたデバイスの復元 メニューは 暗号化コンポーネントが導入されていない KES では表示されません 暗号化コンポーネントが導入されているコンピューターで復元するか 暗号化コンポーネントが導入されているコンピューターで 暗号化されたデバイスの復元 画面を開き スタンドアロン用の復元ツールの作成 で作成したツールを使って復元してください この後は P.109 ドライブにアクセスできなくなった場合( 暗号化されたデバイスの復元 の手順に従ってください 118

119 OS をアップグレードするには OS をアップグレードや再インストールする際には ディスクの復号化を先に行う必要があります 以下の手順で実施してください 1グループを作成する OS をアップグレードするために ディスクの復号化を実施するグループを作成し 対象としたいコンピューターを移動します 2 復号化を設定するグループポリシーの ドライブの暗号化 セクションで 既定の暗号化ルール を すべてのハードディスクを復号化する に変更します 3 復号化が完了していることを確認する復号化が開始されると コンピューターの 暗号化ステータス が ポリシーの適用中 になり フルディスク暗号化で暗号化されているハードディスクがなくなると 暗号化ポリシーが指定されていません に変わります なお 暗号化ステータス の表示については P.55 暗号化の状態を確認するには を参照してください ( 復号化が開始した状態 ) 119

120 ( 復号化が完了した状態 ) クライアント側では KES の レポート 画面の 暗号化 で復号化の開始と終了を確認できます また クライアント側で復号化が完了すると 認証エージェントもアンインストールされます 起動時に認証エージェントが起動せず 直接 Windows のサインイン ( ログイン ) 画面となることを確認してくだ さい 120

121 認証エージェントのパスワード設定をスキップしてしまった場合 起動時に認証エージェントがパスワードを求めてきます 管理者は初期パスワードを表示し ユーザーに伝える必要があります 該当 PC のプロパティを開きます タスクから 暗号化 ( アカウント管理 ) のプロパティを開きます パスワード種別が初期のものは パスワードを表示することができます 該当のアカウントをダブルクリックします 121

122 元のパスワードの表示にチェックを入れます または アカウントの編集から初期パスワードを設定し直し タスクを実行させて変更することもできます 122

123 株式会社カスペルスキー 東京都千代田区外神田 住友不動産秋葉原ビル 7F Kaspersky Labs Japan. Kaspersky Anti-Virus および Kaspersky Security は Kaspersky Lab ZAO の登録商標です その他記載された会社名または製品名などは 各社の登録商標または商標です なお 本文中では TM マークは明記していません 記載内容は 2016 年 9 月現在のものです 記載された内容は 改良の為に予告なく変更されることがあります 123