Erste Schritte mit dem Information Protection Scanner

Hinweis

Es gibt eine neue Version des Informationsschutz-Scanners. Weitere Informationen finden Sie unter Aktualisieren des Microsoft Purview Information Protection-Scanners.

Bevor Sie den Scanner von Microsoft Purview Information Protection installieren, stellen Sie sicher, dass Ihr System die Anforderungen für den Azure Rights Management-Dienst erfüllt.

Darüber hinaus gelten die folgenden Anforderungen spezifisch für den Scanner:

Wenn Sie nicht alle aufgeführten Anforderungen für den Scanner erfüllen können, da sie durch die Richtlinien Ihrer Organization verboten sind, finden Sie weitere Informationen im Abschnitt "Alternative Konfigurationen".

Informationen zum Bereitstellen des Scanners in der Produktion oder zum Testen der Leistung für mehrere Scanner finden Sie unter Speicheranforderungen und Kapazitätsplanung für SQL Server.

Wenn Sie bereit sind, mit der Installation und Bereitstellung Ihres Scanners zu beginnen, fahren Sie mit Konfigurieren und Installieren des Informationsschutz-Scanners fort.

Anforderungen für Windows Server

Sie benötigen zum Ausführen des Scanners einen Windows Server Computer mit den folgenden Systemspezifikationen:

Spezifikation Details
Prozessor 4-Core-Prozessoren
RAM 8 GB
Speicherplatz 10 GB freier Speicherplatz (Durchschnitt) für temporäre Dateien.

Der Scanner benötigt genügend Speicherplatz, um temporäre Dateien für jede gescannte Datei zu erstellen, vier Dateien pro Kern.

Der empfohlene Speicherplatz von 10 GB ermöglicht 4 Kernprozessoren, die 16 Dateien mit einer Dateigröße von jeweils 625 MB scannen.
Betriebssystem Eine 64-Bit-Version von Windows Server, die von der Microsoft Lifecycle-Richtlinie unterstützt wird, einschließlich Versionen mit erweitertem Support. Informationen dazu, ob eine bestimmte Version unterstützt wird, finden Sie in den Versionsinformationen zu Windows Server.

Hinweis: Zu Test- oder Evaluierungszwecken in einer Nicht-Produktionsumgebung können Sie auch jedes Windows-Betriebssystem verwenden, das vom Information Protection-Client unterstützt wird.

Server Core und Nano Server werden nicht unterstützt.
- Netzwerkkonnektivität Der Scannercomputer kann ein physischer oder virtueller Computer mit einer schnellen und zuverlässigen Netzwerkverbindung zu den zu überprüfenden Datenspeichern sein.

Wenn aufgrund der Richtlinien Ihrer Organization keine Internetverbindung möglich ist, lesen Sie Bereitstellen des Scanners mit alternativen Konfigurationen.

Stellen Sie andernfalls sicher, dass dieser Computer über eine Internetverbindung verfügt, die die folgenden URLs über HTTPS (Port 443) zulässt:

- *,aadrm.com
- *,azurerms.com
- *,informationprotection.azure.com
- informationprotection.hosting.portal.azure.net
- *,aria.microsoft.com
- *,protection.outlook.com
- *,events.data.microsoft.com
- config.edge.skype.com
NFS-Freigaben Um Scans auf NFS-Freigaben zu unterstützen, müssen Dienste für NFS auf dem Scannercomputer bereitgestellt werden.

Navigieren Sie auf Ihrem Computer zum Dialogfeld " Windows-Features (Windows-Features aktivieren oder deaktivieren)" und wählen Sie die folgenden Elemente aus: Dienste für NFS>Verwaltungstools und Client für NFS.
Microsoft Office iFilter Wenn der Scanner auf einem Windows-Servercomputer installiert wird, müssen Sie auch Microsoft Office iFilter installieren, um .zip Dateien auf vertrauliche Informationstypen zu überprüfen.

Weitere Informationen finden Sie auf der Microsoft-Downloadwebsite.

Anforderungen an das Dienstkonto

Sie müssen über ein Dienstkonto verfügen, um den Scannerdienst auf dem Windows Server-Computer auszuführen, sich bei Microsoft Entra ID zu authentifizieren und die Richtlinie des Scanners herunterzuladen.

Ihr Dienstkonto muss ein Active Directory-Konto sein und mit Microsoft Entra ID synchronisiert sein.

Wenn Sie dieses Konto aufgrund von Richtlinien Ihrer Organization nicht synchronisieren können, lesen Sie Bereitstellen des Scanners mit alternativen Konfigurationen.

Für dieses Dienstkonto gelten die folgenden Anforderungen:

Anforderung Details
Lokal anmelden Zuweisen von Benutzerrechten Für die Installation und Konfiguration des Scanners erforderlich, aber nicht für die Ausführung von Scans.

Nachdem Sie bestätigt haben, dass der Scanner Dateien erkennen, klassifizieren und schützen kann, können Sie dies direkt aus dem Dienstkonto entfernen.

Wenn es aufgrund der Richtlinien Ihrer Organization nicht möglich ist, dieses Recht auch nur für kurze Zeit zu gewähren, lesen Sie Bereitstellen des Scanners mit alternativen Konfigurationen.
Anmelden als Dienstbenutzer Rechtezuweisung. Dieses Recht wird dem Dienstkonto während der Scannerinstallation automatisch gewährt und ist für die Installation, Konfiguration und den Betrieb des Scanners erforderlich.
Berechtigungen für die Datenrepositorys - Dateifreigaben oder lokale Dateien: Erteilen Sie Lese-, Schreib- und Änderungsberechtigungen zum Scannen der Dateien und zum anschließenden Anwenden der Klassifizierung und des Schutzes wie konfiguriert.

- SharePoint: Sie müssen Vollzugriffsberechtigungen zum Scannen der Dateien und zum anschließenden Anwenden der Klassifizierung und des Schutzes auf die Dateien erteilen, die die Bedingungen in der Azure Information Protection-Richtlinie erfüllen.

- Ermittlungsmodus: Um den Scanner nur im Ermittlungsmodus auszuführen, ist die Leseberechtigung ausreichend.
Für Bezeichnungen, die den Schutz erneut schützen oder entfernen Um sicherzustellen, dass der Scanner immer Zugriff auf verschlüsselte Dateien hat, legen Sie dieses Konto als Administrator für den Azure Rights Management-Dienst fest, und stellen Sie sicher, dass das Feature "Administrator" aktiviert ist.

Wenn Sie Onboarding-Steuerelemente für eine gestaffelte Bereitstellung implementiert haben, stellen Sie außerdem sicher, dass das Dienstkonto in den von Ihnen konfigurierten Onboarding-Steuerelementen enthalten ist.
Spezifischer Scan auf URL-Ebene Um Websites und Unterwebsites unter einer bestimmten URL zu scannen und zu entdecken, erteilen Sie dem Scannerkonto auf Farmebene die Rechte als Site Collector-Auditor .
Lizenz für Informationsschutz Erforderlich, um Dateiklassifizierungs-, Bezeichnungs- oder Schutzfunktionen für das Scannerdienstkonto bereitzustellen.

Weitere Informationen finden Sie im Microsoft 365-Leitfaden für Sicherheit & Compliance.

SQL Server-Anforderungen

Verwenden Sie zum Speichern der Scannerkonfigurationsdaten einen SQL-Server mit den folgenden Anforderungen:

  • Eine lokale oder Remote-Instance.

    Es wird empfohlen, den SQL-Server und den Scannerdienst auf verschiedenen Computern zu hosten, es sei denn, Sie arbeiten mit einer kleinen Bereitstellung. Darüber hinaus empfehlen wir, eine dedizierte SQL-Instance zu haben, die nur die Scannerdatenbank bedient und nicht mit anderen Anwendungen geteilt wird.

    Wenn Sie auf einem gemeinsam genutzten Server arbeiten, stellen Sie sicher, dass die empfohlene Anzahl von Kernen frei ist, damit die Scannerdatenbank funktioniert.

    SQL Server 2016 ist die Mindestversion für die folgenden Editionen:

    • SQL Server Enterprise

    • SQL Server Standard

    • SQL Server Express (nur für Testumgebungen empfohlen)

  • Ein Konto mit der Rolle "Systemadministrator" zum Installieren des Scanners.

    Die Rolle "Sysadmin" ermöglicht es dem Installationsprozess, automatisch die Konfigurationsdatenbank des Scanners zu erstellen und dem Dienstkonto, auf dem der Scanner ausgeführt wird, die erforderliche db_owner-Rolle zu erteilen.

    Wenn Ihnen die Rolle des Systemadministrators nicht zugewiesen werden kann oder die Richtlinien Ihrer organization erfordern, dass Datenbanken manuell erstellt und konfiguriert werden, finden Sie weitere Informationen unter Bereitstellen des Scanners mit alternativen Konfigurationen.

  • Kapazität verschieben. Hinweise zur Kapazitätsanleitung finden Sie unter Speicheranforderungen und Kapazitätsplanung für SQL Server.

  • Sortierung ohne Berücksichtigung der Groß-/Kleinschreibung.

Hinweis

Mehrere Konfigurationsdatenbanken auf demselben SQL-Server werden unterstützt, wenn Sie einen benutzerdefinierten Clusternamen für den Scanner angeben oder wenn Sie die Vorschauversion des Scanners verwenden.

Speicheranforderungen und Kapazitätsplanung für SQL Server

Der für die Konfigurationsdatenbank des Scanners erforderliche Speicherplatz und die Spezifikation des Computers, auf dem SQL Server ausgeführt wird, können je nach Umgebung variieren. Daher empfehlen wir Ihnen, Ihre eigenen Tests durchzuführen. Verwenden Sie die folgende Anleitung als Ausgangspunkt.

Weitere Informationen finden Sie unter Optimieren der Leistung des Scanners.

Die Datenträgergröße für die Scannerkonfigurationsdatenbank variiert für jede Bereitstellung. Verwenden Sie die folgende Gleichung als Orientierungshilfe:

100 KB + <file count> *(1000 + 4* <average file name length>)

Um beispielsweise 1 Million Dateien mit einer durchschnittlichen Dateinamenlänge von 250 Byte zu überprüfen, weisen Sie 2 GB Speicherplatz zu.

Für mehrere Scanner:

  • Bis zu 10 Scanner, verwenden:

    • 4-Core-Prozessoren
    • 8 GB RAM empfohlen

  • Mehr als 10 Scanner (maximal 40), verwenden:

    • 8 Kernprozesse
    • 16 GB RAM empfohlen

Clientanforderungen für Informationsschutz

Für ein Produktionsnetzwerk muss die aktuelle allgemein verfügbare Version des Microsoft Purview Information Protection-Clients auf dem Windows Server-Computer installiert sein.

Weitere Informationen finden Sie unter Installieren oder Aktualisieren des Information Protection-Clients.

Wichtig

Sie müssen den vollständigen Client für den Scanner installieren. Installieren Sie den Client nicht nur mit dem PowerShell-Modul.

Anforderungen an die Konfiguration von Bezeichnungen

Sie müssen mindestens eine Vertraulichkeitsbezeichnung im Microsoft Purview-Portal für das Scannerkonto konfiguriert haben, um die Klassifizierung und optional die Verschlüsselung anzuwenden.

Das Scannerkonto ist das Konto, das Sie im Parameter DelegatedUser des Cmdlets Set-Authentication angeben, das Sie beim Konfigurieren Ihres Scanners ausführen.

Wenn Ihre Etiketten keine Bedingungen für die automatische Bezeichnung aufweisen, lesen Sie die Anweisungen für alternative Konfigurationen weiter unten.

Weitere Informationen finden Sie unter:

SharePoint-Anforderungen

Stellen Sie zum Überprüfen von SharePoint-Dokumentbibliotheken und -ordnern sicher, dass Ihr SharePoint-Server die folgenden Anforderungen erfüllt:

Anforderung Beschreibung
Unterstützte Versionen SharePoint Server-Abonnementedition (SPSE) im erweiterten Support. Weitere Informationen finden Sie in der aktualisierten SharePoint Server-Supportrichtlinie für SharePoint Server SE.
Versionsverwaltung Wenn Sie die Versionsverwaltung verwenden, prüft und kennzeichnet der Scanner die zuletzt veröffentlichte Version.

Wenn der Scanner eine Datei bezeichnet und eine Inhaltsgenehmigung erforderlich ist, muss diese bezeichnete Datei genehmigt werden, damit sie für Benutzer verfügbar ist.
Große SharePoint-Farmen Überprüfen Sie bei großen SharePoint-Farmen, ob Sie den Schwellenwert für die Listenansicht erhöhen müssen (standardmäßig 5.000), damit der Scanner auf alle Dateien zugreifen kann.

Weitere Informationen finden Sie unter Verwalten umfangreicher Listen und Bibliotheken in SharePoint.
Lange Dateipfade Wenn Sie in SharePoint über lange Dateipfade verfügen, stellen Sie sicher, dass der httpRuntime.maxUrlLength-Wert Ihres SharePoint-Servers größer als die standardmäßigen 260 Zeichen ist.

Weitere Informationen finden Sie im nächsten Abschnitt, Vermeiden von Scannertimeouts in SharePoint.

Vermeiden von Scannertimeouts in SharePoint

Wenn Sie in SharePoint, Version 2013 oder höher, lange Dateipfade haben, stellen Sie sicher, dass der httpRuntime.maxUrlLength-Wert Ihres SharePoint-Servers größer als die standardmäßigen 260 Zeichen ist.

Dieser Wert wird in der HttpRuntimeSection-Klasse der ASP.NET Konfiguration definiert.

So aktualisieren Sie die HttpRuntimeSection-Klasse:

  1. Sichern Sie Ihre web.config Konfiguration.

  2. Aktualisieren Sie den maxUrlLength-Wert nach Bedarf. Beispiel:

    <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

  3. Starten Sie den SharePoint-Webserver neu, und stellen Sie sicher, dass er ordnungsgemäß geladen wird.

    Wählen Sie beispielsweise im Windows-IIS-Manager (Internet Information Servers) Ihre Website aus, und wählen Sie dann unter Website verwaltendie Option Neu starten.

Microsoft Office-Anforderungen

Zum Scannen von Office-Dokumenten müssen Ihre Dokumente in einem der folgenden Formate vorliegen:

  • Microsoft Office 97-2003
  • Office Open XML-Formate für Word, Excel und PowerPoint

Weitere Informationen finden Sie unter Unterstützte Dateitypen.

Anforderungen an Dateipfade

Standardmäßig müssen die Dateipfade maximal 260 Zeichen lang sein, damit Dateien gescannt werden können.

Um Dateien mit Dateipfaden von mehr als 260 Zeichen zu scannen, installieren Sie den Scanner auf einem Computer mit einer der folgenden Windows-Versionen und konfigurieren Sie den Computer nach Bedarf:

Windows-Version Beschreibung
Windows 2016 oder höher Computer so konfigurieren, dass er lange Pfade unterstützt
Windows 10 oder Windows Server 2016 Legen Sie die folgende Gruppenrichtlinieneinstellung fest: Lokale Computerrichtlinie>Computerkonfiguration>Administrative Vorlagen>Alle Einstellungen>Aktivieren langer Win32-Pfade.

Weitere Informationen zur Unterstützung langer Dateipfade in diesen Versionen finden Sie im Abschnitt "Maximale Pfadlängenbeschränkung" der Windows 10-Entwicklerdokumentation.
Windows 10, Version 1607 oder höher Abonnieren Sie die aktualisierte MAX_PATH Funktionalität. Weitere Informationen finden Sie unter Aktivieren langer Pfade in Windows 10, Version 1607 und höher.

Bereitstellen des Scanners mit alternativen Konfigurationen

Die oben aufgeführten Voraussetzungen sind die Standardanforderungen für die Scannerbereitstellung und werden empfohlen, da sie die einfachste Scannerkonfiguration unterstützen.

Die Standardanforderungen sollten für Ersttests geeignet sein, damit Sie die Fähigkeiten des Scanners überprüfen können.

In einer Produktionsumgebung können die Richtlinien Ihrer Organization jedoch von den Standardanforderungen abweichen. Der Scanner kann die folgenden Änderungen mit zusätzlicher Konfiguration aufnehmen:

Ermitteln und Überprüfen aller SharePoint-Websites und -Unterwebsites unter einer bestimmten URL

Der Scanner kann alle SharePoint-Websites und -Unterwebsites unter einer bestimmten URL mit der folgenden Konfiguration ermitteln und scannen:

  1. Starten Sie die SharePoint-Zentraladministration.

  2. Klicken Sie auf der Website SharePoint Central Administration im Abschnitt Anwendungsverwaltung auf Webanwendungen verwalten.

  3. Klicken Sie, um die Webanwendung hervorzuheben, deren Berechtigungsrichtlinienstufe Sie verwalten möchten.

  4. Wählen Sie die entsprechende Farm aus, und wählen Sie dann Berechtigungsrichtlinienebenen verwalten aus.

  5. Wählen Sie in den Optionen für Websitesammlungsberechtigungendie Option Websitesammlungsprüfer aus, erteilen Sie dann Anwendungsseiten anzeigen in der Liste Berechtigungen und benennen Sie schließlich die neue Richtlinienebene Scanner Websitesammlungsprüfer und -viewer.

  6. Fügen Sie Ihren Scanner-Benutzer zur neuen Richtlinie hinzu, und erteilen Sie die Websitesammlung in der Liste "Berechtigungen".

  7. Fügen Sie eine URL der SharePoint-Website hinzu, auf der Websites oder Unterwebsites gehostet werden, die überprüft werden müssen. Weitere Informationen finden Sie unter Konfigurieren der Scannereinstellungen.

Weitere Informationen zum Verwalten Ihrer SharePoint-Richtlinienebenen finden Sie unter Verwalten von Berechtigungsrichtlinien für eine Webanwendung.

Einschränkung: Der Scannerserver darf keine Internetverbindung haben

Der Informationsschutzclient kann zwar keine Verschlüsselung ohne Internetverbindung anwenden, der Scanner kann jedoch Bezeichnungen basierend auf importierten Richtlinien anwenden.

Verwenden Sie eine der folgenden Methoden, um einen getrennten Computer zu unterstützen:

Verwenden des Microsoft Purview-Portals bei einem getrennten Computer

Führen Sie die folgenden Schritte aus, um einen Computer zu unterstützen, der keine Verbindung mit dem Microsoft Purview-Portal herstellen kann:

  1. Konfigurieren Sie Bezeichnungen in Ihrer Richtlinie, und verwenden Sie dann das Verfahren zur Unterstützung getrennter Computer , um die Offlineklassifizierung und -bezeichnung zu ermöglichen.

  2. Aktivieren Sie die Offlineverwaltung für Inhaltsaufträge wie folgt:

    Aktivieren Sie die Offlineverwaltung für Inhaltsscanaufträge:

    1. Legen Sie den Scanner mithilfe des Cmdlets Set-ScannerConfigurationfür den Offlinemodus fest.

    2. Konfigurieren Sie den Scanner im Microsoft Purview-Portal, indem Sie einen Scannercluster erstellen. Weitere Informationen finden Sie unter Konfigurieren der Scannereinstellungen.

    3. Exportieren Sie Ihren Inhaltsauftrag aus dem Bereich Informationsschutz – Inhaltsscanaufträgemithilfe der Exportoption.

    4. Importieren Sie die Richtlinie mit dem Cmdlet Import-ScannerConfiguration .

    Die Ergebnisse für Offline-Inhaltsüberprüfungsaufträge befinden sich unter: %localappdata%\Microsoft\MSIP\Scanner\Reports

Verwenden von PowerShell auf einem getrennten Computer

Führen Sie das folgende Verfahren aus, um einen getrennten Computer nur mit PowerShell zu unterstützen.

Wichtig

Administratoren von Azure China 21Vianet-Scannerservernmüssen dieses Verfahren verwenden, um ihre Inhaltsüberprüfungsaufträge zu verwalten.

Verwalten Sie Ihre Inhaltsscanaufträge nur mit PowerShell:

  1. Legen Sie den Scanner mithilfe des Cmdlets Set-ScannerConfigurationfür den Offlinemodus fest.

  2. Erstellen Sie einen neuen Inhaltsscanauftrag mithilfe des Cmdlets Set-ScannerContentScan, und stellen Sie sicher, dass Sie den obligatorischen -Enforce On Parameter verwenden.

  3. Fügen Sie Ihre Repositorys mithilfe des Cmdlets Add-ScannerRepository mit dem Pfad zu dem Repository hinzu, das Sie hinzufügen möchten.

    Tipp

    Um zu verhindern, dass das Repository Einstellungen von Ihrem Inhaltsscanauftrag erbt, fügen Sie den OverrideContentScanJob On Parameter sowie Werte für zusätzliche Einstellungen hinzu.

    Um Details für ein vorhandenes Repository zu bearbeiten, verwenden Sie den Befehl Set-ScannerRepository .

  4. Verwenden Sie die Cmdlets Get-ScannerContentScan und Get-ScannerRepository, um Informationen über die aktuellen Einstellungen Ihres Inhaltsscanauftrags zurückzugeben.

  5. Verwenden Sie den Befehl Set-ScannerRepository , um Details für ein vorhandenes Repository zu aktualisieren.

  6. Führen Sie den Inhaltsüberprüfungsauftrag bei Bedarf sofort mithilfe des Cmdlets Start-Scan aus.

    Die Ergebnisse für Offline-Inhaltsüberprüfungsaufträge befinden sich unter: %localappdata%\Microsoft\MSIP\Scanner\Reports

  7. Wenn Sie ein Repository oder einen kompletten Inhaltsscanauftrag entfernen müssen, verwenden Sie die folgenden Cmdlets:

Einschränkung: Ihnen kann kein Systemadministrator erteilt werden, oder Datenbanken müssen manuell erstellt und konfiguriert werden

Verwenden Sie die folgenden Verfahren, um Datenbanken manuell zu erstellen und der db_owner Rolle nach Bedarf zuzuweisen.

Wenn Ihnen vorübergehend die Rolle " Systemadministrator" zum Installieren des Scanners erteilt werden kann, können Sie diese Rolle nach Abschluss der Scannerinstallation entfernen.

Führen Sie abhängig von den Anforderungen Ihrer Organization einen der folgenden Schritte aus:

Einschränkung Beschreibung
Sie können vorübergehend die Rolle "Systemadministrator" innehaben. Wenn Sie vorübergehend die Rolle "Systemadministrator" innehaben, wird die Datenbank automatisch für Sie erstellt, und dem Dienstkonto für den Scanner werden automatisch die erforderlichen Berechtigungen erteilt.

Das Benutzerkonto, das den Scanner konfiguriert, benötigt jedoch weiterhin die db_owner Rolle für die Scannerkonfigurationsdatenbank. Wenn Sie die Rolle "Systemadministrator" nur bis zum Abschluss der Scannerinstallation innehaben, erteilen Sie dem Benutzerkonto manuell die Rolle "db_owner ".
Sie können die Rolle des Systemadministrators überhaupt nicht haben Wenn Ihnen die Rolle "Sysadmin" auch nur vorübergehend nicht erteilt werden kann, müssen Sie einen Benutzer mit Sysadmin-Rechten bitten, manuell eine Datenbank zu erstellen, bevor Sie den Scanner installieren.

Für diese Konfiguration muss die db_owner Rolle den folgenden Konten zugewiesen werden:
- Dienstkonto für den Scanner
- Benutzerkonto für die Scanner-Installation
- Benutzerkonto für die Scannerkonfiguration

In der Regel verwenden Sie dasselbe Benutzerkonto, um den Scanner zu installieren und zu konfigurieren. Wenn Sie unterschiedliche Konten verwenden, benötigen beide die db_owner Rolle für die Scannerkonfigurationsdatenbank. Erstellen Sie diesen Benutzer und die Rechte nach Bedarf. Wenn Sie einen eigenen Clusternamen angeben, erhält die Konfigurationsdatenbank den Namen AIPScannerUL_<cluster_name>.

Außerdem:

  • Sie müssen ein lokaler Administrator auf dem Server sein, auf dem der Scanner ausgeführt wird

  • Dem Dienstkonto, das den Scanner ausführt, muss Vollzugriffsberechtigungen für die folgenden Registrierungsschlüssel erteilt werden:

    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Wenn nach dem Konfigurieren dieser Berechtigungen bei der Installation des Scanners ein Fehler angezeigt wird, kann dieser Fehler ignoriert werden, und Sie können den Scannerdienst manuell starten.

Erstellen Sie manuell eine Datenbank und einen Benutzer für den Scanner und erteilen Sie db_owner Rechte

Wenn Sie Ihre Scannerdatenbank manuell erstellen und/oder einen Benutzer erstellen und db_owner Rechte für die Datenbank gewähren müssen, bitten Sie Ihren Systemadministrator, die folgenden Schritte auszuführen:

  1. Erstellen Sie eine Datenbank für den Scanner:

    **CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

  2. Gewähren Sie dem Benutzer, der den Installationsbefehl ausführt und zum Ausführen von Scanner-Verwaltungsbefehlen verwendet wird, Rechte. Verwenden Sie folgendes Skript:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

  3. Erteilen Sie Rechte für das Scanner-Dienstkonto. Verwenden Sie folgendes Skript:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

Einschränkung: Dem Dienstkonto für den Scanner kann das Recht Lokal anmelden nicht erteilt werden

Wenn die Richtlinien Ihrer organization das Recht "Lokal anmelden" für Dienstkonten verbieten, verwenden Sie den Parameter OnBehalfOf zusammen mit Set-Authentication.

Weitere Informationen finden Sie unter unbeaufsichtigtes Ausführen von Cmdlets für Informationsschutzbezeichnungen.

Einschränkung: Das Scannerdienstkonto kann nicht mit Microsoft Entra ID synchronisiert werden, aber der Server verfügt über eine Internetverbindung

Sie können ein Konto zum Ausführen des Scannerdiensts verwenden und ein anderes Konto zur Authentifizierung bei Microsoft Entra ID verwenden:

Einschränkung: Für Ihre Etiketten gibt es keine Bedingungen für die automatische Bezeichnung.

Wenn für Ihre Etiketten keine Bedingungen für die automatische Beschriftung gelten, sollten Sie bei der Konfiguration des Scanners eine der folgenden Optionen verwenden:

Option Beschreibung
Alle Infotypen entdecken Legen Sie in Ihrem Inhaltsscanauftrag die Option Zu ermittelnde Informationstypen auf Alle fest.

Mit dieser Option wird der Inhaltsscanauftrag so festgelegt, dass Ihre Inhalte auf alle vertraulichen Informationstypen überprüft werden.
Verwenden Sie die empfohlene Bezeichnung Legen Sie in Ihrem Inhaltsüberprüfungsauftrag die Option Empfohlene Bezeichnung als automatisch behandeln auf Ein fest.

Mit dieser Einstellung wird der Scanner so konfiguriert, dass automatisch alle empfohlenen Bezeichnungen auf Ihren Inhalt angewendet werden.
Definieren einer Standardbezeichnung Definieren Sie eine Standardbezeichnung in Ihrer Richtlinie, Ihrem Inhaltsscanauftrag oder Ihrem Repository.

In diesem Fall wendet der Scanner die Standardbezeichnung auf alle gefundenen Dateien an.

Nächste Schritte

Nachdem Sie bestätigt haben, dass Ihr System die Scannervoraussetzungen erfüllt, fahren Sie mit Konfigurieren und Installieren des Informationsschutzscanners fort.

Eine Übersicht über den Scanner finden Sie unter Informationen zum Information Protection Scanner.

  • Zuletzt aktualisiert um