PowerShellでクラウドアプリ持ち出し禁止(CloudEgress対応)のDLPポリシー作成

概要

Microsoft Purview や Endpoint DLP などで使われるルール構成は、実際には PowerShell を使って柔軟に管理・可視化できます。
本記事では、Cloud Egress（クラウド経由の持ち出し）対策を含むDLPルール構成を、PowerShellで簡単に確認・出力する方法を紹介します。なぜかCloudEgressのところだけネットで記事が見つからなかったので。

---

🔧 コード例：DLP構成の定義と出力

# DLPルール構成をそのまま定義（Cloud Egress対策込み）

$dlpRule = @{
    Name       = "BlockCloudEgressExample"
    Comment    = "Cloud Egress 対応ルールのサンプル"
    Conditions = @(
        @{
            Type  = "ContentContains"
            Match = "Confidential"
        }
    )
    Restrictions = @(
        @{
            Setting           = "CloudEgress"
            Value             = "Block"
            IsAnyFile         = $true
            CloudEgressGroup  = @(
                @{ AppName = "Dropbox"; Destination = "External" },
                @{ AppName = "GoogleDrive"; Destination = "External" }
            )
        },
        @{
            Setting = "UnallowedApps"
            Value   = "Block"
        }
    )
}

CloudEgressGroupのパラメータの書き方がMS公式ドキュメントだとわかりづらかったので、ここに放流しておきます。

ちなみに、GUI上だと下記[機密性の高いサービス ドメイン グループの制限が構成されました。]に反映されます。(2025年5月時点)