Microsoft 365・Power BIで秘密度ラベルが適用されない問題：トラブルシューティングと解決策

By Mirko Peters · 2026-04-21

この記事では、Microsoft 365、Power BI、関連アプリで秘密度ラベルが期待どおりに適用されない理由を詳しく解説します。ラベルの選択肢が表示されない、自動ラベル付けが失敗する、設定がうまく反映されないといった問題で悩んでいる場合に役立つ内容です。実際の運用で多い問題点、ライセンスや構成の要件を整理しながら、実践的なトラブルシューティングの手順を説明します。

Automatically translated with AI from the original post. Read the English original

この記事では、Microsoft 365、Power BI、関連アプリで秘密度ラベルが期待どおりに適用されない理由を詳しく解説します。ラベルの選択肢が表示されない、自動ラベル付けが失敗する、設定がうまく反映されないといった問題で悩んでいる場合に役立つ内容です。実際のIT担当者やPower BIユーザーがよく直面する代表的な障害を取り上げ、ライセンスや構成の要件を明示しながら、実践的なトラブルシューティングの手順を説明します。

確認すべき項目を一覧で示し、通常の問題だけでなく、熟練者でも原因の特定に苦労する高度な問題への対処法も解説します。日常的にユーザーをサポートする場合でも、全社的にセキュリティポリシーを展開する場合でも、機密データを適切に保護し、コンプライアンス担当者の不安を減らすための知見と解決策が得られます。「すべてを解決する単一の設定」は存在しない、と感じている方は、次に確認すべき場所がこの記事で具体的にわかります。

秘密度ラベルの概要と、よくあるアプリケーションの障害

秘密度ラベルは、今日のMicrosoft 365環境においてデータセキュリティの要となっています。サイバー脅威は巧妙化し、SharePoint、OneDrive、Power BIへ移行するデータも増えています。そのため、秘密度ラベルが実際に何をするのか、そして期待どおりに動かない場合にどのような状態になるのかを理解することが重要です。

Microsoft Purviewを使うと、組織はデータの秘密度を明確にし、ファイル、メール、Power BIのコンテンツまで分類して保護できます。ただし、ラベルを設定しただけで、常に意図どおりに機能するとは限りません。ボタンが表示されない、既定のラベルが適用されない、特定のファイルやユーザーが対象から漏れるなど、実際には予想外の問題が起こることがあります。

このセクションでは、基本から解説します。秘密度ラベルの目的、規制への対応やプライバシー保護において重要な理由、そして表面からは見えにくい不具合の典型的な兆候を取り上げます。「ラベルが表示されない」といった単純な問題から、継承の問題や自動化の不具合など、より厄介な問題まで、主な障害パターンを把握できます。特に、Power BIやSharePoint、OneDriveによる共同作業環境で発生しやすい問題に注目します。

「なぜ動かないのか」と疑問に思ったことがあるなら、このまま読み進めてください。以降のサブセクションでは、よくある警告サインや基本的な定義、そして自動ラベル付けが失敗する主な原因（予想しにくいものを含む）を解説します。最後まで読めば、Microsoftのエコシステムにおける秘密度ラベルの問題を見つけ出し、解決するための基礎が身につきます。

秘密度ラベルとは何か、どのように動作すべきか

秘密度ラベルは、Microsoft 365のファイル、メール、各種クラウドコンテンツに付与できるタグで、情報の分類、保護、利用の制御に使用されます。これらのラベルはMicrosoft Purviewで管理され、財務情報、顧客情報、知的財産などの機密データを厳重に保護します。

ラベルが適用されると、コンテンツを自動的に暗号化したり、ファイルへのアクセスや編集を制限したり、データの不適切な取り扱いが検出された場合に通知を発生させたりできます。Outlook、Word、Teams、SharePoint、Power BIのいずれで作業していても、ラベルは目に見える目印であり、同時に見えない盾として、文書やメッセージとともにどこへでも移動します。

ラベルは、ユーザーが手動で設定する方法（手動ラベル付け）と、事前に定義されたルールに基づいて自動的に設定される方法（自動ラベル付け）があります。目標はシームレスなワークフローです。ラベルが一度付与されれば、セキュリティとコンプライアンスのポリシーが裏側で作動し、ファイルがどこに置かれても組織は安心できます。

秘密度ラベルは規制対応の戦略において中心的な役割を果たし、コンプライアンス監査や法的な防御のための重要な統制手段を提供します。文書の混乱を防ぎ、リスクを抑えることが目的であれば、Microsoft Purviewを使った強固な秘密度ラベル運用の仕組みを構築することが基本となります。SharePointやTeamsを横断してファイルを保護する実践的なアドバイスについては、こちらのディスカッションをお聞きください：stopping document chaos with your Purview shield。

秘密度ラベルでよくある問題と注意すべき点

• ラベルが表示されない: Word、Excel、Power BI などのアプリで想定したラベルの選択肢が表示されません。多くの場合、ポリシーの設定ミスやユーザーのアクセス許可の問題が原因です。
• ラベルボタンがグレー表示で選択できない: ユーザーには秘密度ラベルのボタンが表示されるものの、選択できません。ライセンスの不足、クライアントの古さ、テナント ポリシーの競合などが原因として考えられます。
• ラベルが継承されない: エクスポート、レポート、共有ファイルなどの下位コンテンツに、親アイテムの秘密度ラベルが引き継がれません。多くの場合、継承が意図どおりに動作していないか、そのシナリオでサポートされていないことが原因です。
• 自動ラベル付けが機能しない: 既定で適用するように設定したラベル、またはキーワードに基づいて適用するラベルが、新しいコンテンツに適用されません。同期の問題やラベル ポリシーの設定不備が疑われます。
• ラベルの適用に漏れがある: ユーザーが保護されたコンテンツを扱っているにもかかわらず、暗号化やアクセス保護が作動しません。これによりデータがリスクにさらされ、適用設定に不備があることを示しています。

自動で秘密度ラベルが適用されないのはなぜですか?

1. 自動ラベル付けポリシーの対象指定が正しくありません。 Microsoft Purview でポリシーを設定したものの、対象となるユーザー、グループ、または場所を正確に含めていない場合、一見問題なさそうに見えても、ラベルは適用されません。
2. ライセンスの制限によりラベルが使えません。 適切な Microsoft 365 または Purview のライセンスがないユーザーには、ラベルが表示されず、自動ラベル付けも動作しません。たとえば、Power BI でラベルを効果的に適用するには、多くの場合 Power BI Pro または Premium Per User が必要です。
3. ポリシーの同期遅延が問題を引き起こします。 ポリシーを更新したり新しいラベルを追加したりした場合、すべてのデバイスやクライアントに変更が反映されるまで、数時間から数日かかることがあります。同期が完了するまで、自動ラベル付けが実行されないことがあります。
4. 下位コンテンツへの継承がサポートされていないか、設定が誤っています。 Power BI で「下位への継承を有効にする」がオンになっていても、すべてのエクスポート、レポート、モデルが正しく伝達をサポートしているわけではありません。ページ分割レポートや特定のエクスポート ファイルなど、一部のコンテンツの種類では、親のラベルが自動的に引き継がれません。
5. デバイスやサインインの状況によってラベルの適用が制限されています。 条件付きアクセスや Intune のポリシーにより、管理されていないデバイスや準拠していないデバイスではラベルの使用が制限されることがよくあります。そのため、自動ラベル付けが適切に設定されていても、デバイスが要件を満たしていない場合は、静かに失敗することがあります。
6. デスクトップ アプリのローカル キャッシュやメタデータの破損。 Office や Power BI Desktop のクライアントが古いラベル一覧を保持し続けることがあります。その結果、キャッシュのクリアやアプリの再起動まで、新規または更新された自動ラベルのルールが表示されず、適用もされません。
7. B2B ゲスト ユーザーのアクセス許可に関する問題。 ゲストや外部ユーザーは、編集権限があっても、テナント間の境界、ポリシー、ライセンスの制約により、ラベルの適用、表示、継承ができないことがよくあります。

判断に迷う場合は、Purview の監査に関するこちらのガイドなどを参考にユーザー アクティビティを監査すると、自動化や継承がどこで機能しなくなっているかを特定しやすくなります。

秘密度ラベルのライセンスと構成の前提条件

Microsoft 365 と Power BI 全体で秘密度ラベルをスムーズに機能させるには、適切な基盤が必要です。ライセンス、テナント設定、サービス構成がすべて正しく整合している必要があります。管理センターでポリシーが完璧に見えても、わずか 1 つの要件が欠けているだけで、ユーザーがラベルを表示したり適用したりできなくなることがあります。

このセクションでは、ラベル システムの基盤となる仕組みを解説します。具体的には、どの製品や役割にプレミアム ライセンスが必要か、ラベルを表示または使用するにはどのようなアクセス許可が必要か、そしてラベル ポリシーが適切なユーザーやサービスに届くようにどのように対象を設定するかを取り上げます。また、これらの手順を省くと、機能が見つからない、ボタンが無効になっている、アプリごとにラベルの動作が一貫しないといった問題が起こりやすい理由も説明します。

ラベルの問題のトラブルシューティングや大規模な展開の準備をしている場合、これらのライセンスと設定の要件を確認することは非常に重要です。以下のセクションでは各要素を詳しく説明しますので、技術的な問題を深く調べる前に確認すべき事項がはっきりわかります。コンプライアンスとポリシーの適用における隠れた課題をより深く理解するには、Microsoft 365 compliance driftの解説もご覧ください。

秘密度ラベルの表示と適用に必要なライセンス

1. Microsoft Purview Information Protection (MIP) のライセンス: Microsoft 365 で秘密度ラベルを使用するには、ラベルを表示、適用、または自動適用する必要があるユーザーごとに、次のいずれかのライセンスが必要です。

• Microsoft 365 E5、A5、または G5
• Information Protection and Governance アドオンを搭載した Microsoft 365 E3
• Azure Information Protection P1/P2 または同等のバンドル
• アプリケーション固有の要件:Power BI では、PBIX ファイルまたはワークスペース内のコンテンツに対して秘密度ラベルを作成、適用、継承するには、Pro または Premium Per User (PPU) ライセンスが必要です。
• ラベル付きのコンテンツを閲覧するだけで、ラベルの作成や変更を行わないユーザーは、ワークスペースの構成によっては、より下位のライセンスで足りる場合があります。
• 管理者と自動化のためのライセンス:Purview ポータルで秘密度ラベルを作成および管理する管理者にも、適切なライセンスの割り当てが必要です。また、PowerShell や REST API による自動化を行う場合は、追加のアクセス許可が必要になることもあります。
• よくあるギャップ:ライセンスの階層が不十分な場合や、誤って割り当てられている場合、ライセンスが混在する環境のユーザーは、ラベルや自動ラベル付けを利用できなくなることがよくあります。
• B2B ゲストやサービス プリンシパルには、通常、特別な構成が必要です。Microsoft 365 のほとんどのライセンスはユーザー単位であり、これらのシナリオを自動的にカバーしないためです。ここでは、データ アクセス、所有権、ガバナンスも関係します。

秘密度ラベルの作成とスコープの定義

1. Microsoft Purview ポータルを開く - まず Purview コンプライアンス センターに移動し、「データ ライフサイクル管理」の下にある「情報保護」を選択します。
2. 新しいラベルを作成し、プロパティを定義する - ラベルにわかりやすい名前と説明を付け、適切なスコープ（ファイル、メール、Power BI コンテンツ、またはすべて）を選択します。適用する保護内容（暗号化、透かし、アクセス許可）を定義します。
3. ラベル ポリシーの対象を設定する - 特定のユーザー、グループ、またはすべてのアカウント保有者を対象にして、ラベルを使用および表示できるユーザーを決めます。割り当てを確認し、ラベルが必要な場所に表示され、意図せず非表示になっていないことを確認します。
4. 既定のラベル付けと必須のラベル付けを構成する - すべての新規ドキュメントを特定の保護レベルで開始したい場合は、既定のラベル付けを有効にします。ユーザーがコンテンツを保存または送信する前にラベルの適用を求めるには、必須のラベル付けを設定します。
5. 公開して展開を監視する - 設定に自信が持てたら、ポリシーを公開し、ユーザーに周知します。定期的に採用状況とラベル付きコンテンツの統計を確認し、問題を早期に発見してください。これについては、監査に対応できるドキュメント管理に関するこのガイドでも取り上げています。

Power BI での秘密度ラベル適用のトラブルシューティング

Power BI では、秘密度ラベルに関して独自の難しさがあり、経験豊富な管理者でもつまずくことがあります。Microsoft Purview と Microsoft 365 テナント全体で正しく設定したつもりでも、Power BI では新たな課題が生じることがあります。ラベル ボタンが理由もなく灰色で表示されて使えない場合から、保護された PBIX ファイルが開けない、または公開できない場合まで、問題はさまざまです。

そのほかにも、既定のラベルや必須のラベルが想定どおりに適用されない、Power BI Desktop と Service の間での移動によりラベルの継承が失われる、エクスポートしたレポートから主要な保護が削除されるといった問題があります。B2B ゲストユーザー、行レベル セキュリティ、コンテンツへのアクセスに関する独特のシナリオも、ガバナンス計画を複雑にする可能性があります。

このセクションでは、Power BIのラベルに関して遭遇しやすい主な問題を取り上げます。各小見出しでは、グレー表示になるコントロール、ポリシーが適用されない問題、保護されたファイルや高度なセキュリティ設定での作業の問題など、実際に起きる原因と解決策を詳しく解説します。エラーメッセージを並べるだけではなく、コンプライアンスとセキュリティの戦略を軌道に乗せるためのギャップの埋め方をお伝えします。より広いガバナンスの見通しに関心がある場合は、非効果的なコントロールによって露呈する課題について、Fabricガバナンスの幻想をご覧ください。

Power BIで秘密度ラベルボタンがグレー表示になる、または表示されない理由

• Power BI Desktopのバージョンが古い: ラベル機能には最新のDesktopクライアントが必要です。古いバージョンを使用している場合、ボタンがまったく表示されないことがあります。
• ライセンスの不足、またはポリシーの適用範囲が不十分: Power BI Pro、Premium Per User、または適切なMicrosoft Purviewライセンスが必要です。ライセンスがなければ、ラベルのオプションは表示されません。
• PBIXファイルがサポートされていない場所に保存されている: 一部の機能は、ローカルドライブではなくOneDriveまたはSharePointに保存されたファイルでのみ動作します。
• テナントのラベルポリシーが発行されていない、またはユーザーが対象になっていない: 管理者がポリシーにご自身(またはワークスペース)を含めていない場合、ラベルが表示されません。
• インターネット接続またはオフラインモード: ラベル機能はクラウドのポリシー同期に依存しています。オフラインの場合、ラベルが表示されないことがあります。

Power BI PBIXファイルで必須ラベルと既定のラベルが適用されない問題

• テナントの必須/既定ラベルが構成されていない: Power BIでは適用のために特定のテナント設定が必要です。ここで必要なオプションが欠けていると、PBIXファイルにラベルが付与されないままになります。
• 手動でのラベル変更が有効になっている: ユーザーがラベルを削除または変更できる場合、「必須」の設定があっても適用が回避されてしまいます。
• ワークスペースの除外: 適用は特定のワークスペースに限定して設定できます。対象に含まれていないワークスペースでは、ラベルが適用されないまま漏れてしまいます。
• DesktopとService間の同期遅延: 新しく発行または作成されたコンテンツは、バックエンド処理の遅れにより、すぐにはラベルが反映されないことがあります。

保護されたPBIXファイルとコンテンツへのアクセスの問題

1. 暗号化によりファイル操作がブロックされる: PBIXが暗号化を伴うラベルで保護されている場合、適切なアクセスグループに割り当てられていないユーザーは、開く、保存する、または発行することがブロックされる可能性があります。
2. B2Bおよびゲストユーザーの制限: 外部のコラボレーターが保護されたコンテンツを開く、または編集できるのは、通常、そのアカウントがラベルのアクセスポリシーに明示的に含まれている場合のみです。含まれていない場合、ファイルが読み込めない、または発行できません。
3. サービスプリンシパルと自動化の障害: サービスプリンシパルを使用した自動処理では、サポートされていないシナリオや不足しているRBACアクセス許可のために、ラベルの適用または削除が常にできるとは限りません。
4. 互換性のない古いファイル: 初期のPower BI Desktopバージョンで作成または保存されたPBIXファイルは、新しいラベル保護と組み合わせて動作しない場合があり、インポートやアクセスのエラーにつながることがあります。
5. オンプレミスストレージへの保存と発行のエラー: PBIXファイルをローカルストレージやクラウド以外の場所に保存すると、秘密度ラベルの保護はファイルに付随しません。その結果、他のデバイスやPower BI Serviceでアクセスに失敗します。
6. テナント構成の不一致: Microsoft PurviewとPower BIのテナント設定の間でポリシーがずれると、ラベルの同期がブロックされ、「機能が見つからない」エラーや保護されたファイルへのアクセス失敗が発生することがあります。
7. 行レベルセキュリティとデータソースのハンドシェイクの失敗: 行レベルセキュリティを保護されたファイルと組み合わせると、ロールとラベルポリシーが完全に一致していない限り、エクスポートとアクセスが失敗します。ここでのベストプラクティスについては、Power BIでの行レベルセキュリティの実装をご覧ください。

下位へのラベル継承とラベルの伝達に関する問題

理想的には、データセットやレポートに秘密度ラベルを適用すれば、そこから派生するすべての子ファイルやエクスポートされたアイテムは、どこに移動しても同じセキュリティの「バッジ」を保持するはずです。しかし実際には、下位への継承は多くの人が期待するほど堅牢ではありません。特にエクスポート、ページ分割レポート、そしてPower BIや他のアプリでコンテンツを再利用する場合に顕著です。

ここでは、ラベルの伝達が不十分になりやすい場面の前提を整理します。原因には、サポートされていないファイル形式のような技術的な問題もあれば、継承が設定されていない、またはエクスポート オプションによって継承が上書きされるといった、純粋にポリシーに関わる問題もあります。複数の要素が連鎖する複雑な仕組みであり、継承が途切れると、機密性の高いコンテンツが想定どおりの保護を受けられなくなります。

以下のセクションでは、「下流のコンテンツ」であるにもかかわらず、エクスポートされた一部の Excel シートや Power BI レポートが秘密度ラベルを失う理由を具体的に説明します。あわせて、ページ分割レポートやモデルベースのラベル継承という分かりにくい領域も取り上げます。どこに注意すべきか、またどこにトラブルシューティングの労力を投じれば全体の改善効果が最も大きくなるかを把握していただけます。

下流のコンテンツが秘密度ラベルを継承しない理由

• サポートされていないエクスポート形式: Power BI からエクスポートされる CSV や PDF など、多くの下流のエクスポートは、形式がラベルのメタデータをサポートしないため、元の秘密度ラベルを保持しません。
• すべてのコンテンツ タイプで継承が有効になっていない: Purview の設定で「下流の継承」を有効にしていても、対象となるのはサポートされているファイル形式とデータ フローのみです。ページ分割レポートや一部のハイブリッド レポートでは、この連鎖が途切れることがよくあります。
• 手動エクスポートによる上書き: ユーザーが「ラベルなしでダウンロード」を選択した場合や、サードパーティ製ツールを使用した場合、継承されたラベルは維持されません。
• ポリシーの設定ミス: 秘密度ラベル ポリシーのスコープ設定やテナント構成に不備があると、一部のファイルやエクスポートが「すり抜け」て、ラベルの伝達ルールの対象外になることがあります。
• クライアント側のアプリの同期遅延: アプリでラベル データが更新されていない場合、新しく作成されたラベルや継承されたラベルは、次回のポリシーの伝達まで表示されないことがあります。

ページ分割レポートとモデルベースのラベル継承の失敗

1. ページ分割レポートに適切な継承の仕組みがない: ページ分割レポートがラベル付きのデータセットに基づいて作成されている場合でも、接続が間接的であったり、データ ソースがラベルを認識しなかったりすると、継承は必ずしも自動的には行われません。
2. エクスポートされたページ分割コンテンツからラベルが失われる: ページ分割レポートからエクスポートされた PDF、CSV、Excel には、エクスポート処理の制約により、秘密度ラベルがまったく含まれないことがよくあります。
3. データ ソースとモデルの分離: レポートのモデルが、ラベル付きのソースとラベルなしのソースの両方からデータを取得している場合、継承のルールが曖昧になり、フォールバックが適用されるか、ラベルがまったく付与されなくなります。
4. カスタム コネクタの問題: カスタム コネクタや外部 API を使用するレポートでは、ラベルのメタデータが伝送されず、自動的な伝達が途切れることがあります。
5. ハイブリッド ソースに対するポリシーの不備: ハイブリッド環境(オンプレミスとクラウドの混在)や複数のテナントを利用している場合、ポリシーの不一致が生じ、継承が適用されない、またはサポートされないことがよくあります。
6. 推奨される回避策: Purview のポリシーと Power BI のエクスポート設定を定期的に見直してください。可能な場合は、モデルと派生するすべてのレポートに手動でラベルを適用するよう、ユーザーに周知してください。また、ラベルのないエクスポートを監視してください。自動継承だけに頼るのは危険です。ガバナンスの観点を深く知りたい場合は、Microsoft Fabric のガバナンスに関するこちらの記事をご覧ください。

セキュリティ、保護、そして Defender for Cloud Apps との統合

秘密度ラベルは、ファイルにラベルを貼るだけのものではありません。暗号化やデバイスおよびクラウド サービス全体での自動的な適用など、高度なセキュリティにおいて実質的な効力を発揮します。ただし、保護設定が強力になるほど、すべてが適切に連携するよう管理する IT チームの複雑さも増します。

このセクションでは、秘密度ラベルに関連付けられた保護設定と暗号化設定が、Microsoft 365、Power BI、そして Microsoft Defender for Cloud Apps などの統合ツール全体のコンテンツにどのように影響するかを取り上げます。ラベルがファイルに暗号化を追加すると、誰がドキュメントにアクセス、編集、さらには閲覧できるかが変わります。そのため、設定が適切に揃っていないと、新たなトラブルシューティングの課題が生じることがあります。

また、Defender for Cloud Apps と Purview で利用できるツールを使い、秘密度ラベルが付いたコンテンツのコンプライアンス監視、アクセスの監査、不審なアクティビティのアラート設定についても見ていきます。プロアクティブなリスク管理と可視化のためのツールキットと考えてください。コンプライアンスのずれへの対応やレポートの統合についてさらに知りたい場合は、Defender for Cloud でコンプライアンスを監視する方法をご覧ください。

保護設定と暗号化がラベルの動作に与える影響

暗号化を伴う秘密度ラベルを割り当てると、コンテンツがどこへ移動しても適用される新しい一連のルールが適用されます。ドキュメントやメールの場合、暗号化によって、誰がファイルを開く、印刷する、転送できるかが制御され、組織の外であってもアクセス制限が適用されます。

ユーザーがラベルのポリシーの対象に含まれていない場合、これらの保護によって編集やアクセスがブロックされることがあります。Power BI の PBIX ファイルでは、許可されたグループに含まれていないユーザーの場合、暗号化によってコンテンツの公開や保存が制限されることがあります。外部共有や B2B のコラボレーションなどの共同作業の場面では、保護レベルの高いラベルによって、通常は特権を持つユーザーであってもブロックされる場合があります。

ラベルの設定によっては、アプリの一部機能が無効になることもあります。たとえば、ファイルが暗号化されている場合、SharePoint や Teams でのプレビュー表示ができなくなることがあります。また Power BI では、行レベルセキュリティと秘密度ラベルが正しく連携しないと不具合が生じる可能性があります。特にモバイルや埋め込みのシナリオではその傾向が強くなります。

保護設定は、条件付きアクセス、Microsoft Defender、DLP ルールといった他のセキュリティ機能とも密接に関係しています。これらが連携することで、機密としてマークされたファイルに対してアラートを発生させたり、リスクのある操作をブロックしたり、必要に応じてコンテンツ全体をロックしたりできます。これらの要素をどのように組み合わせて、ユーザーの負担を増やさずに職場のセキュリティを確保するのかについては、こちらの Microsoft 365 セキュリティの詳細解説でご確認いただけます。

Defender for Cloud Apps による秘密度ラベルの監視

• ラベル操作の監査: Defender for Cloud Apps と Microsoft Purview はラベルに関連する操作を追跡し、不正な削除やラベル割り当ての失敗をその場で把握するのに役立ちます。
• ポリシーとアラートの設定: 機密情報がポリシーの範囲外でアクセス、ダウンロード、共有された場合に、セキュリティチームへ通知するアラートを設定します。
• 大規模なコンテンツの検出: 自動検出を利用して、保護されていないコンテンツを特定したり、クラウド全体でラベルポリシーへの準拠を確認したりします。
• 継続的なコンプライアンスの追跡: コンプライアンスのずれを監視し、自動修復のオプションを利用します。詳しくはこちらの Defender for Cloud のコンプライアンスガイドで解説しています。

高度なシナリオと環境固有の制限事項

多くの組織は、標準的な Microsoft 365 環境で秘密度ラベルを利用しています。しかし、ソブリンクラウド、テナント間(B2B)の共有、または API やサービスアカウントを使ってラベル操作を自動化する場合は、話が大きく変わります。これらの高度なシナリオには固有の制限があり、技術的なものもあれば、ポリシー上のものもあります。そのため、秘密度ラベルに関して立てた計画が崩れることもあります。

このセクションでは、特殊な環境で何が起こるかを解説します。米国政府クラウドやドイツクラウドのテナント、外部 B2B ユーザーとのコラボレーション、サービスプリンシパルを使用する自動化スクリプトなど、ラベル付けが機能しない、または多くの追加設定が必要になるケースを取り上げます。ラベル機能が突然消えたり、静かに失敗したりして、原因が分からず困るような場面もあるでしょう。

各サブトピックでは、固有の制限を明示し、その障壁を回避または最小化する戦略を提案します。規制の厳しい業界で事業を行っている場合や、複数のテナントを管理していて、監査に対応しながらセキュリティの穴をふさぐ必要がある場合に特に役立ちます。管理されていないゲストアカウントに関連するコンプライアンスリスクが気になる方は、ゲストアカウントのライフサイクル管理に関する解説をご覧ください。

ソブリンクラウドおよび B2B コラボレーションにおける秘密度ラベル

• ソブリン クラウドの制限: Microsoft 365 の US Government 版やドイツ版クラウドでは、グローバル テナントと比べて秘密度ラベルの機能が完全には提供されていない、または一部の機能しかサポートされていないことがよくあります。
• 外部ユーザー / B2B ユーザーのギャップ: B2B ゲストは編集権限を持っていても、ラベル ポリシーに明示的に含まれているか、テナント間アクセスが有効になっていない限り、ラベルを表示または適用できないことがよくあります。
• コラボレーションにおけるポリシーのずれ: あるテナントで設定したポリシーは、テナントの境界を越えてファイルとともに引き継がれないことがあります。その結果、ラベルが失われたり、安全性の低い設定が既定値として適用されたりします。
• 回避策: 手動でラベルを付与し、外部の共同作業者に教育を行い、ポリシーの適用対象を見直して、ゲストユーザーとパートナー ユーザーをより幅広くカバーしてください。

REST API とサービス プリンシパルによる秘密度ラベルの自動化

• API エンドポイントの制限: 一部の REST API エンドポイントは、特に Power BI や SharePoint において、ラベルのメタデータの読み取りや書き込みにまだ対応していません。
• アクセス許可と RBAC の問題: サービス プリンシパルでラベルを管理するには、適切な Azure ロールと委任されたアクセス許可の両方が必要となるため、設定が難しい場合があります。
• ラベルの整合性を保つための自動化: 一括でのラベルの付与(または削除)には PowerShell や Graph API を使用できます。ただし、環境固有の挙動は必ずテストしてください。サービス アカウントでは、手動によるユーザー操作をすべて再現できるわけではありません。
• 文書化されていないエラー メッセージ: 原因のわからない失敗は自動化では珍しくないため、すべてのログを記録し、API のドキュメントや最近の更新情報を頻繁に確認してください。M365 ガバナンスの自動化のベスト プラクティスは変わることがあります。詳しくは、こちらの PowerShell 自動化に関する解説(利用可能な場合)をご覧ください。

秘密度ラベルの適用に影響するユーザーとデバイスのコンテキストの制限

秘密度ラベルが機能しないのは、ライセンスや管理者の設定が誤っているからとは限りません。ユーザーの作業コンテキストが原因となっている場合があります。デバイスのコンプライアンス、条件付きアクセス、サインインの状態などが原因で、警告も目に見えるエラーもないままラベル機能がブロックされることがあります。

このセクションでは、詳細な説明の中にしか見当たらない問題を扱います。たとえば、管理されていないノート PC からユーザーがサインインする場合や、どれだけアクセス許可を構成してもラベルのオプションが表示されないゲスト ユーザーの場合です。こうしたブロックは、多くの場合 Intune(デバイスのコンプライアンス)と Azure 条件付きアクセス ポリシーで制御されています。これらのポリシーは、ゲスト、非準拠デバイス、外部共有のシナリオに対して、より厳格な制御を適用している場合があります。

どのポリシーが暗黙のうちにラベルを「無効化」しているのか、また明らかな設定に問題がなさそうに見える場合に何が起きているのかを診断する方法を解説します。これはドキュメントだけの話ではありません。Power BI、Teams、Outlook など、ラベルが表示されるべきなのに表示されないあらゆる場面が対象です。条件付きアクセス ポリシーに信頼性を組み込む方法の詳細を確認したい場合は、信頼性を重視した条件付きアクセス ポリシーのガイドをご覧ください。

条件付きアクセス、デバイスのコンプライアンス、ラベルの利用可否

• デバイスのコンプライアンスの強制: 条件付きアクセスと Intune では、Office アプリや Power BI アプリでラベル操作を行う前に、デバイスが準拠していること(管理対象、暗号化済み、または登録済み)を要求できます。
• 管理されていないデバイスでのブロック: Intune / Entra ID の管理外のデバイスからユーザーがサインインすると、秘密度ラベルを適用するオプションが消えたり、グレー表示になったりします。明示的なエラー メッセージは表示されません。
• カスタム認証コンテキスト: MFA や場所ベースのルールを要求する CA ポリシーでは、ラベル付けを特定のシナリオのみに制限できます。セッションが完全に信頼されていない場合、ラベル付けは失敗します。
• 診断: 管理者は、条件付きアクセス ポリシーの割り当てとサインイン ログを確認する必要があります。特定のユーザーだけでラベル操作が失敗する場合、原因はデバイスのコンプライアンスの不備または制限の厳しいポリシーである可能性が高いと考えられます。より複雑なケースでは、ID セキュリティ ポリシーのドリフトに対する制御ループが不可欠になることがあります。ベスト プラクティスについては、こちらの Entra ID セキュリティに関するエピソードをご覧ください。

秘密度ラベルにおけるゲストおよび外部ユーザーの制限

• 既定ではラベルがサポートされない: B2B 接続のユーザーや外部のコラボレーターは、ラベル ポリシーで ID や外部ドメインが明示的に含まれていない限り、ラベルを適用できないことが多く、ラベルが表示されないこともあります。
• ポリシーとアクセス許可のギャップ: 編集権限があっても、テナントの既定の設定が厳しい場合や、ライセンスが割り当てられていない場合には、ゲストがラベルのサポートを受けられないことがあります。
• 非アクティブなゲスト アカウントのセキュリティ リスク: 放置された、または管理されていないゲスト アカウントは、ポリシーを回避したり、ラベルの適用そのものを失わせたりする可能性があります。こちらのゲスト アカウントに関する警告で説明されているとおり、ゲストのライフサイクルを監査し、制限してください。
• 構成に関する推奨事項: ラベルの対象設定を定期的に確認し、ゲストのアクセスには期限を設定し、必要な場合にはゲストが含まれるようにしてください。ただし、コンプライアンスの観点から、アクセス レビューは厳格に維持してください。

アプリケーションのキャッシュとポリシー同期の遅延によるラベル適用の失敗

多くのガイドで見落とされがちなポイントがあります。ラベルのキャッシュやポリシーの同期が遅れるといった、アプリケーション側の問題によって、管理者の設定が正しく見えていても、秘密度ラベルが表示されなかったり、更新されなかったりすることがあります。こうした問題は、ポリシー変更後にローカルのメタデータやキャッシュ ファイルが古いままになりやすい Office デスクトップ アプリや Power BI Desktop で特によく発生します。

ポリシーの更新がお使いのアプリに反映されていない場合、新しい秘密度ラベルが表示されない、古いラベルが残ったままになる、以前の自動ラベリング規則が適用され続けるといった現象が起こることがあります。その結果、ユーザーは「自分だけの問題だ」と思い込みがちですが、実際には広範囲に及ぶポリシーの同期またはキャッシュの問題であることも少なくありません。

このセクションでは、ラベル キャッシュのクリアや、デバイスとプラットフォーム全体でのポリシー伝達のタイミングの理解など、こうした内部的な問題への対処方法を説明します。管理者によるポリシー変更の後に、ご自身（またはユーザー）がラベルの不具合に遭遇した場合は、サポートに問い合わせる前にまず確認すべき項目です。

Office デスクトップ アプリで秘密度ラベルのキャッシュをクリアする

1. Word、Excel、Outlook などを含むすべての Office アプリを閉じてください。タスク マネージャーを開き、Office のプロセスが残っていないことを確認します。
2. ラベル キャッシュの場所に移動します: %localappdata%\Microsoft\MSIP、および（Office 365 のビルドの場合）%localappdata%\Microsoft\Office\16.0\LabeledDocuments を開きます。
3. キャッシュ フォルダーを削除するか名前を変更します。必要に応じて「Policy」や「Labels」のサブフォルダーも対象にします。これにより、Office アプリの古い、または破損したラベル メタデータが消去されます。
4. Office アプリを再起動します。クラウドからラベル ポリシーが自動的に取得され、新規または更新された秘密度ラベルがすぐに反映されます。
5. 使用するタイミング: この手順は、ラベル ポリシーを編集した後、ラベル カタログを更新した後、または新しいラベルがラベル ピッカーに表示されない場合に特に有効です。より詳細な技術的確認に進む前に試せる、手早い解決策です。

クライアント間のポリシー伝達の遅延について

• Office デスクトップ アプリ: 特に Purview ポータルで大規模な変更を行った後は、新しいポリシーやラベルが反映されるまで最大 24 時間かかることがあります。
• Web アプリ（Office Online、Power BI Service）: ポリシーの更新はより迅速に適用され、多くの場合 1～2 時間以内に反映されます。ただし、ブラウザーに残ったキャッシュが表示の遅れの原因になることがあります。
• モバイルおよびハイブリッド クライアント: モバイル アプリはポリシー データを長時間キャッシュすることがあります。サインアウトしてから再びサインインすると、更新が早まる場合があります。
• 確認方法: Office デスクトップ、Web、Power BI のそれぞれでラベルの一覧を比較し、同期の遅れを見つけてください。遅延が続く場合は、IT 管理者にテナントの同期状態の確認を依頼してください。

秘密度ラベルの適用試行に関するサイレント障害とログ記録

最も厄介な秘密度ラベルの問題は、目に見える形で発生しないものかもしれません。エラー メッセージは表示されないのに、ラベルが適用されない、または維持されないといった状況です。こうした「サイレント障害」は、特に規制の厳しい業界にいる場合や外部監査に対応する必要がある場合に、ユーザーにも管理者にも大きな負担となります。

このセクションでは、ラベルの適用が明確に失敗しているわけではないのに機能しない場合に、どこを確認すべきかを説明します。Microsoft 365 の監査ログ、ユーザー デバイス上のローカル ログ（MIP クライアントや Office アプリのもの）を調べ、エラー トレースを読み解く方法を扱います。これは高度なトラブルシューティングの領域ですが、他のすべてが正しく見えるときに、欠けているピースが見つかる場所でもあります。

Microsoft Purviewの統合監査ログへのアクセス方法と利用方法を説明し、失敗した、または不完全なラベル割り当てを特定する手順を解説します。さらに、UI上は「成功」と表示されているものの結果が正しくない場合に、MIPおよびOfficeアプリのログを読み解くためのポイントもご紹介します。舞台裏で何が起きているのかを本格的に把握したい方は、Purviewのユーザーアクティビティ監査の監査・フォレンジック追跡の世界をご覧ください。

監査ログを使って秘密度ラベルの失敗を追跡する

1. Microsoft 365の監査ログにアクセスする: Microsoft Purviewコンプライアンス ポータルにアクセスし、「監査」セクションに移動します。監査ログのアクセス許可が必要です。
2. 秘密度ラベルの操作でフィルターする:「Sensitivity label applied」「Label changed」「Label removed」などのイベントを検索します。「status」が失敗または不完全になっているエントリに注意してください。
3. ユーザーとファイルの履歴を確認する:失敗したイベントを詳しく確認し、ユーザーアカウント、デバイス、対象ファイル、およびエラー（ある場合）を記録します。
4. 根本原因を特定する:失敗が常に特定のユーザー、特定のファイルの種類、またはポリシーの更新後に発生しているかどうかのパターンを探します。これにより、ポリシー、ライセンス、またはクライアント側の問題を切り分けられます。
5. ベストプラクティス:コンプライアンスが重要な場合は、より詳細なシグナルと長期の保持を得るために、Purview Audit Premiumへのアップグレードを検討してください。フォレンジック追跡の詳細については、こちらのステップごとの監査チュートリアルをご覧ください。

サイレントエラーを探すためのMIPクライアントおよびOfficeアプリのログ分析

• 詳細ログを有効にする:MIPおよびOfficeアプリで、レジストリ設定またはコマンドラインスイッチを使用して、詳細（verbose）またはデバッグのログ記録モードを有効にします。
• ローカルログを確認する:MIPクライアントの主要なファイルは%localappdata%\Microsoft\MSIP\Logsにあり、Officeのログは\Logsサブフォルダーにあります。
• ラベル操作後のエラーを確認する:ユーザーが操作を行った後に、0x80070005（アクセス拒否）などのエラーコードや「label application failed」を検索します。
• サポートと連携する:ユーザー側のトラブルシューティングで解決しない場合は、高度な診断のためにログとタイムスタンプをMicrosoftサポートに共有します。

最終チェック、フィードバック、および推奨リソース

Microsoft 365およびPower BIにおける秘密度ラベルの問題に対する主要なトラブルシューティング手順は、ここまでで一通り確認できました。サポートチケットを起票したり、対応を諦めたりする前に、体系的なチェックリストを使って構成の詳細とポリシー設定を見直すことをお勧めします。多くの場合、最後に見落とした設定や忘れていたアクセス許可が問題の解決につながります。深い調査は必要ありません。

このセクションでは、エスカレーションの前に必ず確認すべき項目として、ポリシーの対象範囲、ラベルの公開、ライセンスの割り当て、および適用設定をまとめます。また、フィードバックの窓口、サポート手段、継続的な学習のための公式のベストプラクティス資料へのリンクも掲載しています。

これは、トラブルシューティングの最後の確認であると同時に、さらなるサポートへの橋渡しにもなります。より深く調査する必要がある場合や新しい問題を報告する場合に備えて、信頼できるコミュニティフォーラム、おすすめの記事、Microsoftの公式ドキュメントへのリンクを含めています。監査に対応したドキュメント管理のヒントについては、Purview和SharePointによるドキュメント混在問題の解決策をご覧ください。

秘密度ラベルの設定とライセンス要件を確認するためのチェックリスト

1. テナント設定を検証する:秘密度ラベル機能が有効になっており、Microsoft Purviewで一元的に管理されていることを確認します。テナントの適用範囲と機能のトグルを再確認してください。
2. ラベルポリシーの割り当てを確認する:ラベルポリシーが、意図したすべてのユーザー、グループ、またはゲストアカウントを含んでいることを確認します。ポリシーの適用範囲の問題は、ラベルが本来表示されるべき場所に表示されない主な原因です。
3. ライセンスの割り当てを確認する:すべてのユーザーと管理者が、Purview Information Protection、Power BI Pro/Premium、または関連するラベル対応のサブスクリプションのライセンスを取得していることを確認します。
4. ポリシーの反映と同期を確認する:最近のラベルまたはポリシーの変更が、すべてのクライアントに反映され、主要なアプリの秘密度ピッカーに表示されているかを確認します。
5. 必須およびデフォルトのラベル適用の強制: 特に Power BI と SharePoint で、既定の適用設定と必須の適用設定が有効になっていることを確認し、ラベルなしのコンテンツが作成されないようにします。
6. ゲストおよび B2B の対象範囲: 外部の共同作業者をラベル ポリシーに含めるかどうか、またどのように含めるかを確認します。未使用のゲスト アカウントは削除してください。詳しくは the hidden danger of M365 guest accounts をご覧ください。
7. 監査ログとアクティビティ ログの確認: Microsoft 365 の監査ログをスキャンして、失敗した、または不完全なラベルの割り当てを見つけます。この手順は、規制対象の組織や、先を見越した IT 監視にとって不可欠です。
8. 必要に応じてラベル キャッシュをクリア: ポリシーを変更した後は「キャッシュのクリア」の方法を使用し、古いラベルが残ることでユーザーが問題に直面しないようにします。
9. すべてのシナリオをテスト: 管理対象デバイスと非管理対象デバイスの両方、ゲスト ユーザー、必要に応じて Web、デスクトップ、モバイルの各プラットフォームでラベルの適用を検証します。

フィードバックの送信と推奨記事へのアクセス方法

• Microsoft へのフィードバック チャネル: Microsoft 365 管理センターのフィードバック ツールを使用するか、コミュニティ フォーラムにアクセスして、新しい問題を報告したり、機能ロードマップに意見を寄せたりします。
• サポートへのエスカレーション: 解決されていない重大な秘密度ラベルの問題については、Microsoft 365 管理ポータルからサポート チケットを開きます。ログと詳細な手順を共有できるように準備しておいてください。
• ベスト プラクティスのリソースと記事: 詳しい解説や専門家による議論を探しましょう。たとえば、監査に焦点を当てた Purview によるユーザー アクティビティの監査ガイド や、チェックリストに沿って Purview のシールドを構築する方法などがあります。
• コミュニティでの学習: 推奨される Microsoft Docs のページや信頼できるフォーラムをブックマークして、進化するラベル戦略やトラブルシューティングのヒントを把握し続けましょう。