Verwendungsprotokollierung für den Azure Rights Management-Dienst

Der Azure Rights Management-Dienst ist eine cloudbasierte Verschlüsselungstechnologie, die von Microsoft Purview Information Protection verwendet wird. Es schützt Dateien und E-Mails geräteübergreifend, indem Nutzungsrechte und Verschlüsselungsrichtlinien angewendet werden.

Verwenden Sie diese Informationen, um zu verstehen, wie Sie die Verwendungsprotokollierung für den Verschlüsselungsdienst Azure Rights Management von Microsoft Purview Information Protection verwenden können. Dieser Verschlüsselungsdienst bietet zusätzlichen Datenschutz für die Elemente Ihrer Organization wie Dokumente und E-Mails und kann jede Anforderung protokollieren. Zu diesen Anforderungen gehören:

• Wenn Benutzer Elemente verschlüsseln, um sie zu schützen, und entschlüsseln, um sie zu lesen oder die Verschlüsselung zu entfernen.
• Aktionen, die von Ihren Administratoren zum Verwalten des Azure Rights Management-Diensts ausgeführt wurden, und Aktionen, die von Microsoft-Operatoren zur Unterstützung des Diensts ausgeführt wurden.

Sie können diese Nutzungsprotokolle dann zur Unterstützung der folgenden Geschäftsszenarien verwenden:

• Für Geschäftseinblicke analysieren

  Die von Azure Rights Management generierten Protokolle können in ein Repository Ihrer Wahl importiert werden (z. B. eine Datenbank, ein OLAP-System (Online Analytical Processing) oder ein Map-Reduce-System), um die Informationen zu analysieren und Berichte zu erstellen. Beispielsweise könnten Sie ermitteln, wer auf Ihre verschlüsselten Daten zugreift. Sie können bestimmen, auf welche verschlüsselten Daten Personen zugreifen und von welchen Geräten und von wo aus. Sie können herausfinden, ob Personen verschlüsselte Inhalte erfolgreich lesen können. Sie können auch identifizieren, welche Personen ein wichtiges Dokument gelesen haben, das verschlüsselt wurde.

• um auf Updates zu prüfen

  Protokollinformationen zur Verwendung des Azure Rights Management-Diensts stehen Ihnen nahezu in Echtzeit zur Verfügung, sodass Sie die Nutzung des Diensts durch Ihr Unternehmen kontinuierlich überwachen können. 99,9 % der Protokolle sind innerhalb von 15 Minuten nach einer initiierten Aktion für den Dienst verfügbar.

  Sie möchten zum Beispiel gewarnt werden, wenn es einen plötzlichen Anstieg von Personen gibt, die verschlüsselte Daten außerhalb der Standardarbeitszeiten lesen, was darauf hindeuten könnte, dass ein böswilliger Benutzer Informationen sammelt, um sie an Wettbewerber zu verkaufen. Oder wenn derselbe Benutzer innerhalb eines kurzen Zeitraums auf Daten von zwei verschiedenen IP-Adressen zugreift, könnte dies darauf hindeuten, dass ein Benutzerkonto kompromittiert wurde.

• um forensische Analysen durchzuführen

  Wenn Sie ein Informationsleck haben, werden Sie wahrscheinlich gefragt, wer kürzlich auf bestimmte Dokumente zugegriffen hat und auf welche Informationen eine verdächtige Person kürzlich zugegriffen hat. Sie können diese Art von Fragen beantworten, wenn Sie die Verwendungsprotokollierung von Azure Rights Management verwenden, da Personen, die verschlüsselte Inhalte verwenden, immer eine Rights Management-Nutzungslizenz erhalten müssen, um von Azure Rights Management verschlüsselte Elemente zu öffnen, selbst wenn diese Elemente per E-Mail verschoben oder auf USB-Laufwerke oder andere Speichergeräte kopiert werden. Dies bedeutet, dass Sie diese Protokolle als endgültige Informationsquelle für forensische Analysen verwenden können, wenn Sie Ihre Daten mithilfe des Azure Rights Management-Diensts schützen.

Zusätzliche Protokollierungsoptionen für den Azure Rights Management-Dienst:

Protokollierungsoption	Beschreibung
Admin-Protokoll	Protokolliert Verwaltungsaufgaben für den Azure Rights Management-Dienst. Dies kann beispielsweise der Fall sein, wenn der Dienst deaktiviert ist, wenn die Funktion "Superuser" aktiviert ist und wenn Benutzern Administratorberechtigungen für den Dienst delegiert werden. Weitere Informationen finden Sie im PowerShell-Cmdlet Get-AipServiceAdminLog.
Dokumentenverfolgung	Ermöglicht Benutzern das Nachverfolgen und Widerrufen ihrer Dokumente, die sie mit dem Microsoft Purview Information Protection-Client verschlüsselt haben. Die Rolle "Compliancedatenadministrator" kann diese Dokumente auch im Namen von Benutzern nachverfolgen. Weitere Informationen finden Sie unter Nachverfolgen und Widerrufen des Dokumentzugriffs.

Im restlichen Teil dieses Artikels wird erläutert, wie Sie Azure Rights Management-Nutzungsprotokolle herunterladen und interpretieren, einschließlich Details zum Protokollformat und einer PowerShell-Referenz.

Zugreifen und Verwenden Ihrer Azure Rights Management-Nutzungsprotokolle

Die Nutzungsprotokollierung von Azure Rights Management ist standardmäßig für alle Kunden aktiviert. Es fallen keine zusätzlichen Kosten für die Protokollspeicherung oder die Protokollierungsfunktion an.

Der Azure Rights Management-Dienst schreibt Protokolle als eine Reihe von Blobs in ein Azure-Speicherkonto, das er automatisch für Ihren Mandanten erstellt. Jedes Blob enthält einen oder mehrere Protokolldatensätze im erweiterten W3C-Protokollformat. Die Blobnamen sind Zahlen in der Reihenfolge, in der sie erstellt wurden. Weitere Informationen zu Protokollinhalten und deren Erstellung finden Sie unter Interpretieren Ihrer Azure Rights Management-Nutzungsprotokolle.

Es kann eine Weile dauern, bis nach einer Azure Rights Management-Aktion Protokolle in Ihrem Speicherkonto angezeigt werden. Die meisten Protokolle werden innerhalb von 15 Minuten angezeigt. Verwendungsprotokolle sind nur verfügbar, wenn der Feldname "Datum" einen Wert eines früheren Datums (in UTC-Zeit) enthält. Verwendungsprotokolle vom aktuellen Datum sind nicht verfügbar. Es wird empfohlen, die Protokolle in einen lokalen Speicher herunterzuladen, z. B. in einen lokalen Ordner, eine Datenbank oder ein Big-Data-Verarbeitungssystem.

Zum Herunterladen Ihrer Nutzungsprotokolle verwenden Sie das AIPService PowerShell-Modul für Microsoft Purview Information Protection. Installationsanweisungen finden Sie unter Installieren des PowerShell-Moduls AIPService für den Azure Right Management-Dienst.

So laden Sie Ihre Nutzungsprotokolle mithilfe von PowerShell herunter

Führen Sie die folgenden Schritte aus, um eine Verbindung mit dem Azure Rights Management-Dienst herzustellen und Ihre Nutzungsprotokolle mithilfe von PowerShell herunterzuladen.

1. Starten Sie PowerShell mit der Option "Als Administrator ausführen", und verwenden Sie das Cmdlet "Connect-AipService", um eine Verbindung mit dem Azure Rights Management-Dienst herzustellen:

   Connect-AipService
   

2. Führen Sie den folgenden Befehl aus, um die Protokolle für ein bestimmtes Datum herunterzuladen:

   Get-AipServiceUserLog -Path <location> -fordate <date>
   

   Nachdem Sie beispielsweise einen Ordner namens "Protokolle" auf dem Laufwerk E: erstellt haben:

   • Führen Sie den folgenden Befehl aus, um Protokolle für ein bestimmtes Datum (z. B. den 01.02.2025) herunterzuladen: Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2025

   • Führen Sie den folgenden Befehl aus, um Protokolle für einen Datumsbereich herunterzuladen (z. B. vom 1.02.2025 bis zum 14.02.2025): Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025

Wenn Sie, wie in unseren Beispielen, nur den Tag angeben, wird davon ausgegangen, dass die Uhrzeit 00:00:00 in Ihrer Ortszeit entspricht und dann in UTC konvertiert wird. Wenn Sie mit den Parametern -fromdate oder -todate eine Uhrzeit angeben (z. B. -fordate "2/1/2025 15:00:00"), werden Datum und Uhrzeit in UTC konvertiert. Der Befehl Get-AipServiceUserLog ruft dann die Protokolle für diesen UTC-Zeitraum ab.

Sie können nicht weniger als einen ganzen Tag für den Download angeben.

Standardmäßig werden in diesem Cmdlet drei Threads zum Herunterladen der Protokolle verwendet. Wenn Sie über genügend Netzwerkbandbreite verfügen und die zum Herunterladen der Protokolle erforderliche Zeit verringern möchten, verwenden Sie den Parameter -NumberOfThreads, der einen Wert von 1 bis 32 unterstützt. Wenn Sie beispielsweise den folgenden Befehl ausführen, erzeugt das Cmdlet zehn Threads, um die Protokolle herunterzuladen: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025 -numberofthreads 10

Tipp

Sie können alle heruntergeladenen Protokolldateien in einem CSV-Format aggregieren, indem Sie den Protokollparser von Microsoft verwenden, ein Tool zum Konvertieren zwischen verschiedenen bekannten Protokollformaten. Sie können dieses Tool auch verwenden, um Daten in das SYSLOG-Format zu konvertieren oder in eine Datenbank zu importieren. Nachdem Sie das Tool installiert haben, führen Sie die Kampagne LogParser.exe /? aus, um Hilfe und Informationen zur Verwendung dieses Tools zu erhalten.

Sie können beispielsweise den folgenden Befehl ausführen, um alle Informationen in ein .log Dateiformat zu importieren: logparser –i:w3c –o:csv "SELECT * INTO AllLogs.csv FROM *.log"

So interpretieren Sie Ihre Verwendungsprotokolle

In diesem Abschnitt werden die Protokollsequenz von Azure Rights Management, das BLOB-Format, die Protokolldatensatzfelder und allgemeine Anforderungstypen erläutert, damit Sie Ihre Nutzungsprotokolle analysieren und analysieren können.

Die Protokollsequenz

Der Azure Rights Management-Dienst schreibt die Protokolle als eine Reihe von Blobs.

Jeder Eintrag im Protokoll hat einen UTC-Zeitstempel. Da der Dienst auf mehreren Servern in mehreren Rechenzentren ausgeführt wird, scheinen die Protokolle manchmal nicht in der richtigen Reihenfolge zu sein, selbst wenn sie nach ihrem Zeitstempel sortiert sind. Der Unterschied ist jedoch gering und dauert normalerweise eine Minute. In den meisten Fällen ist dies kein Problem, das für die Protokollanalyse ein Problem darstellen würde.

Das Blobformat

Jedes Blob liegt im erweiterten W3C-Protokollformat vor. Er beginnt mit den folgenden zwei Zeilen:

#Software: RMS

#Version: 1,1

In der ersten Zeile wird angegeben, dass es sich um Nutzungsprotokolle von Azure Rights Management handelt. In der zweiten Zeile wird angegeben, dass der Rest des Blobs der Spezifikation von Version 1.1 entspricht. Es wird empfohlen, dass alle Anwendungen, die diese Protokolle analysieren, diese beiden Zeilen überprüfen, bevor sie mit der Analyse des restlichen Blobs fortfahren.

In der dritten Zeile wird eine Liste von Feldnamen aufgelistet, die durch Tabulatoren getrennt sind:

#Fields: Datum Uhrzeit Zeilen-ID Anforderungstyp Benutzer-ID Ergebnis Korrelations-ID Inhalts-ID Eigentümer-E-Mail Aussteller Vorlage-ID Dateiname Veröffentlichungsdatum c-info c-ip admin-action als Benutzer handeln

Jede der folgenden Zeilen ist ein Protokolldatensatz. Die Werte der Felder sind in der gleichen Reihenfolge wie in der vorhergehenden Zeile und durch Tabstopps getrennt. Verwenden Sie die folgende Tabelle, um die Felder zu interpretieren.

Feldname	W3C-Datentyp	Beschreibung	Beispielwert
date	Datum	UTC-Datum, an dem die Anforderung verarbeitet wurde. Die Quelle ist die lokale Uhr auf dem Server, der die Anforderung verarbeitet hat.	2013-06-25
time	Time	UTC-Zeit im 24-Stunden-Format, als die Anforderung verarbeitet wurde. Die Quelle ist die lokale Uhr auf dem Server, der die Anforderung verarbeitet hat.	21:59:28
Zeilen-ID	Text	Eindeutige GUID für diesen Protokolleintrag. Wenn kein Wert vorhanden ist, verwenden Sie den Korrelations-ID-Wert zur Identifizierung des Eintrags. Dieser Wert ist nützlich, wenn Sie Protokolle aggregieren oder in ein anderes Format kopieren.	aaaa0000-bb11-2222-33cc-444444dddddd
Anforderungstyp	Name	Der Name der RMS-API, die angefordert wurde.	AcquireLicense
Benutzer-ID	Zeichenfolge	Der Benutzer, der die Anforderung gestellt hat. Der Wert wird in einfache Anführungszeichen eingeschlossen. Aufrufe von einem Azure Rights Management-Mandantenschlüssel, der von Ihnen verwaltet wird (BYOK), haben den Wert "", der auch gilt, wenn die Anforderungstypen anonym sind.	‘joe@contoso.com’
result	Zeichenfolge	"Erfolgreich", wenn die Anforderung erfolgreich verarbeitet wurde. Der Fehlertyp in einfachen Anführungszeichen, wenn die Anforderung fehlgeschlagen ist.	"Erfolg"
Korrelations-ID	Text	GUID, die zwischen dem entsprechenden Clientprotokoll und dem Serverprotokoll für eine bestimmte Anforderung üblich ist. Dieser Wert kann bei der Behebung von Clientproblemen hilfreich sein.	bbbb1111-cc22-3333-44dd-555555eeeeee
content-id	Text	GUID in geschweiften Klammern, die den verschlüsselten Inhalt (z. B. ein Dokument) identifiziert. Dieses Feld hat nur dann einen Wert, wenn der Anforderungstyp "AcquireLicense" und für alle anderen Anforderungstypen leer ist.	{bb4af47b-cfed-4719-831d-71b98191a4f2}
owner-email	Zeichenfolge	E-Mail-Adresse des Besitzers des Dokuments. Dieses Feld ist leer, wenn der Anforderungstyp "RevokeAccess" lautet.	alice@contoso.com
Aussteller	Zeichenfolge	E-Mail-Adresse des Dokumentausstellers. Dieses Feld ist leer, wenn der Anforderungstyp "RevokeAccess" lautet.	alice@contoso.com (oder) FederatedEmail.4c1f4d-93bf-00a95fa1e042@contoso.onmicrosoft.com'
template-id	Zeichenfolge	ID der Vorlage für die Rechteverwaltung, die zum Verschlüsseln des Dokuments verwendet wird. Dieses Feld ist leer, wenn der Anforderungstyp "RevokeAccess" lautet.	{6d9371a6-4e2d-4e97-9a38-202233fed26e}
Dateiname	Zeichenfolge	Dateiname eines verschlüsselten Dokuments, das mithilfe des Microsoft Purview Information Protection-Clients nachverfolgt wird. Derzeit werden einige Dateien (z. B. Office-Dokumente) als GUIDs anstelle des tatsächlichen Dateinamens angezeigt. Dieses Feld ist leer, wenn der Anforderungstyp "RevokeAccess" lautet.	TopSecretDocument.docx
Veröffentlichungsdatum	Datum	Datum, an dem das Dokument verschlüsselt wurde. Dieses Feld ist leer, wenn der Anforderungstyp "RevokeAccess" lautet.	2015-10-15T21:37:00
c-info	Zeichenfolge	Informationen über die Clientplattform, die die Anforderung stellt. Die jeweilige Zeichenfolge variiert je nach Anwendung (z. B. Betriebssystem oder Browser).	"MSIPC; version=1.0.623.47; AppName=WINWORD.EXE; AppVersion=15.0.4753.1000; AppArch=x86; OSName=Windows; OSVersion=6.1.7601; OSArch=amd64'
C-IP	Adresse	IP-Adresse des Clients, der die Anforderung stellt.	64.51.202.144
admin-action	Boolescher Wert	Ob ein Administrator im Administratormodus auf die Dokumentverfolgungswebsite zugegriffen hat.	Wahr
Agieren als Benutzer	Zeichenfolge	Die E-Mail-Adresse des Benutzers, für den ein Administrator auf die Dokumentverfolgungswebsite zugreift.	'joe@contoso.com'

Ausnahmen für das Benutzer-ID-Feld

Obwohl das Feld Benutzer-ID in der Regel den Benutzer angibt, der die Anforderung gestellt hat, gibt es zwei Ausnahmen, bei denen der Wert keinem realen Benutzer zugeordnet ist:

• Der Wert "microsoftrmsonline@<YourTenantID.rms>".<region.aadrm.com>".

  Dies weist darauf hin, dass ein Microsoft 365-Dienst wie Exchange oder SharePoint die Anforderung stellt. In der Zeichenfolge ist YourTenantID> die GUID für Ihren Mandanten und Region die Region,< in der Ihr Mandant registriert ist.>< Beispielsweise steht na für Nordamerika, eu für Europa und ap für Asien.

• Wenn Sie den Rights Management-Connector verwenden.

  Anforderungen von diesem Connector werden mit dem Dienstprinzipalnamen Aadrm_S-1-7-0 protokolliert, der automatisch generiert wird, wenn Sie den Rights Management-Connector installieren.

Typische Anforderungstypen

Es gibt viele Anforderungstypen für den Azure Rights Management-Dienst, aber in der folgenden Tabelle sind einige der am häufigsten verwendeten Anforderungstypen aufgeführt.

Anforderungstyp	Beschreibung
AcquireLicense	Ein Client von einem Windows-basierten Computer fordert eine Nutzungslizenz für verschlüsselte Inhalte an.
AcquirePreLicense	Ein Kunde fordert im Namen des Benutzers eine Nutzungslizenz für verschlüsselte Inhalte an.
AcquireTemplates	Es wurde ein Aufruf zum Abrufen von Vorlagen für die Rechteverwaltung basierend auf Vorlagen-IDs getätigt
AcquireTemplateInformation	Es wurde ein Aufruf ausgeführt, um die IDs der Rechteverwaltungsvorlage vom Dienst abzurufen.
AddTemplate	Ein Aufruf erfolgt von einem Verwaltungsportal, um eine Rechteverwaltungsvorlage hinzuzufügen.
AllDocsCsv	Von der Website für die Dokumentenverfolgung wird ein Aufruf getätigt, um die CSV-Datei von der Seite "Alle Dokumente" herunterzuladen.
BECreateEndUserLicenseV1	Von einem Mobilgerät aus wird ein Aufruf getätigt, um eine Endbenutzerlizenz zu erstellen.
BEGetAllTemplatesV1	Ein Aufruf erfolgt über ein mobiles Gerät (Back-End), um alle Vorlagen für die Rechteverwaltung abzurufen.
Zertifizieren	Der Kunde zertifiziert den Benutzer für den Verbrauch und die Erstellung verschlüsselter Inhalte.
FECreateEndUserLicenseV1	Ähnlich wie die AcquireLicense-Anforderung, jedoch von mobilen Geräten.
FECreatePublishingLicenseV1	Dasselbe wie Certify und GetClientLicensorCert kombiniert, von mobilen Clients.
FEGetAllTemplates	Es wird ein Aufruf von einem mobilen Gerät (Front-End) getätigt, um die Vorlagen für die Rechteverwaltung abzurufen.
FindServiceLocationsForUser	Es erfolgt ein Aufruf zur Abfrage von URLs, der zum Aufrufen von Certify oder AcquireLicense verwendet wird.
GetClientLicensorCert	Der Client fordert ein Veröffentlichungszertifikat (das später zum Verschlüsseln von Inhalten verwendet wird) von einem Windows-basierten Computer an.
GetConfiguration	Ein PowerShell-Cmdlet wird aufgerufen, um die Konfiguration des Mandanten für den Azure Rights Management-Dienst abzurufen.
GetConnectorAuthorizations	Die Rights Management-Connectors werden aufgerufen, ihre Konfiguration aus der Cloud abzurufen.
GetRecipients	Von der Dokumentverfolgungswebsite aus wird ein Aufruf zur Listenansicht für ein einzelnes Dokument ausgeführt.
GetTenantFunctionalState	Ein Verwaltungsportal überprüft, ob der Azure Rights Management-Dienst aktiviert ist.
KeyVaultDecryptRequest	Der Client versucht, den von Rights Management verschlüsselten Inhalt zu entschlüsseln. Gilt nur für einen kundenseitig verwalteten Mandantenschlüssel (BYOK) in Azure Key Vault.
KeyVaultGetKeyInfoRequest	Es wird ein Aufruf durchgeführt, um zu überprüfen, ob der Schlüssel, der in Azure Key Vault für den Azure Rights Management-Mandantenschlüssel verwendet werden soll, zugänglich ist und nicht bereits verwendet wird.
KeyVaultSignDigest	Ein Aufruf wird ausgeführt, wenn ein kundenseitig verwalteter Schlüssel (BYOK) in Azure Key Vault zum Signieren verwendet wird. Dies wird in der Regel einmal pro AcquireLicence (oder FECreateEndUserLicenseV1), Certify und GetClientLicensorCert (oder FECreatePublishingLicenseV1) aufgerufen.
KMSPDecrypt	Der Client versucht, den von Rights Management verschlüsselten Inhalt zu entschlüsseln. Gilt nur für einen älteren kundenseitig verwalteten Mandantenschlüssel (BYOK).
KMSPSignDigest	Ein Anruf wird ausgeführt, wenn ein veralteter kundenseitig verwalteter Schlüssel (BYOK) zum Signieren verwendet wird. Dies wird in der Regel einmal pro AcquireLicence (oder FECreateEndUserLicenseV1), Certify und GetClientLicensorCert (oder FECreatePublishingLicenseV1) aufgerufen.
ServerCertify	Ein Aufruf erfolgt von einem Rights Management-fähigen Client (z. B. SharePoint), um den Server zu zertifizieren.
SetUsageLogFeatureState	Es wird ein Aufruf zur Aktivierung der Nutzungsprotokollierung vorgenommen.
SetUsageLogStorageAccount	Es wird aufgerufen, den Speicherort der Azure Rights Management-Dienstprotokolle anzugeben.
UpdateTemplate	Ein Aufruf erfolgt von einem Verwaltungsportal, um eine vorhandene Vorlage für die Rechteverwaltung zu aktualisieren.

Azure Rights Management-Nutzungsprotokolle und Microsoft Purview-Überwachung

Dateizugriffs- und verweigerte Ereignisse enthalten nicht den Dateinamen und sind im einheitlichen Microsoft Purview-Überwachungsprotokoll nicht zugänglich.

PowerShell-Referenz

Nachdem Sie eine Verbindung mit dem Azure Rights Management-Dienst hergestellt haben, benötigen Sie Get-AipServiceUserLog das einzige PowerShell-Cmdlet, das Sie für den Zugriff auf Ihre Azure Rights Management-Nutzungsprotokollierung benötigen.

Weitere Informationen zur Verwendung von PowerShell für den Azure Rights Management-Dienst finden Sie unter Verwalten des Azure Rights Management-Diensts mithilfe von PowerShell.