Introducción al escáner de protección de la información

Nota:

Hay una nueva versión del escáner de protección de la información. Para obtener más información, consulta Actualizar el escáner de Microsoft Purview Information Protection.

Antes de instalar el escáner desde Microsoft Purview Information Protection, asegúrese de que el sistema cumpla con los requisitos del servicio Azure Rights Management.

Además, los siguientes requisitos son específicos para el escáner:

Si no puede cumplir todos los requisitos enumerados para el escáner porque están prohibidos por las directivas de su organización, consulte la sección configuraciones alternativas .

Al implementar el escáner en producción o probar el rendimiento de varios escáneres, consulte Requisitos de almacenamiento y planeamiento de capacidad para SQL Server.

Cuando esté listo para iniciar la instalación e implementación del escáner, continúe con la configuración e instalación del escáner de protección de la información.

Requisitos de Windows Server

Debe tener un equipo con Windows Server para ejecutar el examen, que tiene las siguientes especificaciones del sistema:

Especificación Detalles
Procesador Procesadores de 4 núcleos
RAM 8 GB
Espacio en disco 10 GB de espacio libre (promedio) para archivos temporales.

El escáner necesita suficiente espacio en disco para crear archivos temporales para cada archivo que analiza, cuatro archivos por núcleo.

El espacio en disco recomendado de 10 GB permite que 4 núcleos procesen 16 archivos con un tamaño de 625 MB cada uno.
Sistema operativo Una versión de 64 bits de Windows Server que recibe soporte en virtud de la directiva de ciclo de vida de Microsoft, incluidas las versiones con soporte extendido. Para confirmar si se admite una versión específica, consulte la información de versión de Windows Server.

Nota: Para fines de prueba o evaluación en un entorno que no sea de producción, también puede usar cualquier sistema operativo Windows compatible con el cliente de protección de la información.

Server Core y Nano Server no son compatibles.
- Conectividad de red Su computadora de escáner puede ser una computadora física o virtual con una conexión de red rápida y confiable a los almacenes de datos que se van a escanear.

Si la conectividad a Internet no es posible debido a las directivas de su organización, consulte Implementación del escáner con configuraciones alternativas.

De lo contrario, asegúrese de que el equipo tiene conectividad a Internet que permita las siguientes direcciones URL a través de HTTPS (puerto 443):

- *.aadrm.com
- *.azurerms.com
- *.informationprotection.azure.com
- informationprotection.hosting.portal.azure.net
- *.aria.microsoft.com
- *.protection.outlook.com
- *.events.data.microsoft.com
- config.edge.skype.com
Recursos compartidos de NFS Para admitir exámenes en recursos compartidos NFS, los servicios para NFS deben implementarse en el equipo del escáner.

En el equipo, vaya al cuadro de diálogo de configuración Características de Windows (Activar o desactivar las características de Windows) y seleccione los siguientes elementos: Servicios para herramientas administrativas de NFS> y Cliente para NFS.
Microsoft Office iFilter Cuando el escáner se instala en un equipo Windows Server, también debe instalar el iFilter de Microsoft Office para examinar .zip archivos en busca de tipos de información confidencial.

Para obtener más información, consulte el sitio de descargas de Microsoft.

Requisitos de la cuenta de servicio

Debe tener una cuenta de servicio para ejecutar el servicio del escáner en el equipo de Windows Server, así como autenticarse en el Microsoft Entra ID y descargar la directiva del escáner.

Su cuenta de servicio debe ser una cuenta de Active Directory y estar sincronizada con Microsoft Entra ID.

Si no puede sincronizar esta cuenta debido a las directivas de la organización, consulte Implementación del escáner con configuraciones alternativas.

Esta cuenta de servicio tiene los siguientes requisitos:

Requisito Detalles
Iniciar sesión localmente Asignación de derechos de usuario Es necesario para instalar y configurar el escáner, pero no es necesario para ejecutar análisis.

Una vez que haya confirmado que el escáner puede detectar, clasificar y proteger archivos, puede quitar este derecho de la cuenta de servicio.

Si no es posible conceder este derecho, incluso por un corto período de tiempo, debido a las políticas de su organización, consulte Implementación del escáner con configuraciones alternativas.
Asignación de derechos de usuario de inicio de sesión como servicio . Este derecho se concede automáticamente a la cuenta de servicio durante la instalación del escáner y este derecho es necesario para la instalación, la configuración y el funcionamiento del escáner.
Permisos a los repositorios de datos - Recursos compartidos de archivos o archivos locales: conceda permisos de lectura, escritura y modificación para examinar los archivos y, a continuación, aplicar la clasificación y la protección según lo configurado.

- SharePoint: Debe conceder permisos de control total para examinar los archivos y, a continuación, aplicar clasificación y protección a los archivos que cumplen las condiciones de la directiva de Azure Information Protection.

- Modo de detección: para ejecutar el escáner solo en modo de detección, el permiso de lectura es suficiente.
Para etiquetas que vuelven a proteger o quitan la protección Para asegurarse de que el escáner siempre tenga acceso a los archivos cifrados, haga de esta cuenta un superusuario del servicio Azure Rights Management y asegúrese de que la característica de superusuario está habilitada.

Además, si has implementado controles de incorporación para una implementación por fases, asegúrate de que la cuenta de servicio esté incluida en los controles de incorporación que has configurado.
Exploración de nivel de dirección URL específica Para examinar y descubrir sitios y subsitios en una dirección URL específica, conceda al auditor del recopilador de sitios derechos de auditor a la cuenta del analizador a nivel de granja de servidores.
Licencia para la protección de la información Necesario para proporcionar capacidades de clasificación, etiquetado o protección de archivos a la cuenta de servicio del analizador.

Para obtener más información, consulte la guía de Microsoft 365 para la seguridad & el cumplimiento.

Requisitos de SQL Server

Para almacenar los datos de configuración del escáner, utilice un servidor SQL con los siguientes requisitos:

  • Una instancia local o remota.

    Se recomienda hospedar el servidor SQL y el servicio de escáner en equipos diferentes, a menos que trabaje con una implementación pequeña. Además, recomendamos tener una instancia de SQL dedicada que sirva solo a la base de datos del escáner y que no se comparta con otras aplicaciones.

    Si está trabajando en un servidor compartido, asegúrese de que el número recomendado de núcleos esté libre para que funcione la base de datos del escáner.

    SQL Server 2016 es la versión mínima para las siguientes ediciones:

    • SQL Server Enterprise

    • SQL Server Standard

    • SQL Server Express (recomendado solo para entornos de prueba)

  • Una cuenta con el rol Sysadmin para instalar el escáner.

    La función Sysadmin permite que el proceso de instalación cree automáticamente la base de datos de configuración del escáner y conceda la función db_owner necesaria a la cuenta de servicio que ejecuta el análisis.

    Si no se le puede otorgar el rol de administrador del sistema o las políticas de la organización requieren que las bases de datos se creen y configuren manualmente, consulte Implementación del escáner con configuraciones alternativas.

  • Capacidad. Para obtener instrucciones sobre la capacidad, consulte Requisitos de almacenamiento y planeamiento de capacidad para SQL Server.

  • Intercalación que no distingue mayúsculas de minúsculas.

Nota:

Se admiten varias bases de datos de configuración en el mismo servidor SQL Server cuando se especifica un nombre de clúster personalizado para el escáner o cuando se utiliza la versión preliminar del escáner.

Requisitos de almacenamiento y planeamiento de capacidad para SQL Server

La cantidad de espacio en disco necesaria para la base de datos de configuración del escáner y las especificaciones del equipo que ejecuta SQL Server pueden variar para cada entorno, por lo que le recomendamos que realice sus propias pruebas. Use las instrucciones siguientes como punto de partida.

Para obtener más información, consulte Optimización del rendimiento del escáner.

El tamaño en disco de la base de datos de configuración del escáner variará para cada implementación. Use la siguiente ecuación como guía:

100 KB + <file count> *(1000 + 4* <average file name length>)

Por ejemplo, para examinar 1 millón de archivos que tienen una longitud media de nombre de archivo de 250 bytes, asigne 2 GB de espacio en disco.

Para varios escáneres:

  • Hasta 10 escáneres, utiliza:

    • Procesadores de 4 núcleos
    • Se recomiendan 8 GB de RAM

  • Más de 10 escáneres (máximo 40), utilizan:

    • 8 procesos básicos
    • Se recomiendan 16 GB de RAM

Requisitos de cliente de protección de la información

Para una red de producción, debe tener la versión de disponibilidad general actual del cliente de Microsoft Purview Information Protection instalada en el equipo de Windows Server.

Para obtener más información, vea la sección Instalar o actualizar el cliente de protección de la información.

Importante

Debe instalar el cliente completo para el análisis. No instale el cliente solo con el módulo de PowerShell.

Requisitos de configuración de etiquetas

Debe tener al menos una etiqueta de confidencialidad configurada en el portal de Microsoft Purview para la cuenta del escáner a fin de aplicar la clasificación y, opcionalmente, el cifrado.

La cuenta del escáner es la cuenta que especificará en el parámetro DelegatedUser del cmdlet Set-Authentication , que se ejecutará al configurar el escáner.

Si las etiquetas no tienen condiciones de etiquetado automático, consulta las instrucciones para configuraciones alternativas a continuación.

Para más información, vea:

Requisitos de SharePoint

Para examinar bibliotecas y carpetas de documentos de SharePoint, asegúrese de que el servidor de SharePoint cumple los siguientes requisitos:

Requisito Descripción
Versiones compatibles SharePoint Server Edición de Suscripción (SPSE) en soporte extendido. Para obtener más información, consulte la directiva de soporte técnico de SharePoint Server, la directiva de mantenimiento de productos actualizada para SharePoint Server SE.
Control de versiones Cuando se usa el control de versiones, el escáner inspecciona y etiqueta la última versión publicada.

Si el escáner etiqueta un archivo y se requiere la aprobación del contenido , ese archivo etiquetado debe ser aprobado para que esté disponible para los usuarios.
Grandes granjas de SharePoint En el caso de granjas de SharePoint grandes, compruebe si necesita aumentar el umbral de vista de lista (de forma predeterminada, 5000) para que el escáner tenga acceso a todos los archivos.

Para obtener más información, vea Administrar bibliotecas y listas grandes en SharePoint.
Rutas de acceso de archivos largas Si tiene rutas de acceso largas a archivos en SharePoint, asegúrese de que el valor de httpRuntime.maxUrlLength del servidor de SharePoint sea mayor que los 260 caracteres predeterminados.

Para obtener más información, consulte la sección siguiente, Evitar los tiempos de espera del escáner en SharePoint.

Evitar tiempos de espera del escáner en SharePoint

Si tiene rutas de acceso de archivo largas en la versión 2013 de SharePoint o posteriores, asegúrese de que el valor de httpRuntime.maxUrlLength del servidor de SharePoint sea mayor que los 260 caracteres predeterminados.

Este valor se define en la clase HttpRuntimeSection de la ASP.NET configuración.

Para actualizar la clase HttpRuntimeSection:

  1. Haga una copia de seguridad de la configuraciónweb.config .

  2. Actualice el valor maxUrlLength según sea necesario. Por ejemplo:

    <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

  3. Reinicie el servidor web de SharePoint y compruebe que se carga correctamente.

    Por ejemplo, en el Administrador de Windows Internet Information Servers (IIS), seleccione su sitio y, después, en Administrar sitio web, seleccione Reiniciar.

Requisitos de Microsoft Office

Para digitalizar documentos de Office, los documentos deben estar en uno de los siguientes formatos:

  • Microsoft Office 97-2003
  • Formatos Open XML de Office para Word, Excel y PowerPoint

Para obtener más información, consulte Tipos de archivo compatibles.

Requisitos de ruta de acceso de archivos

De forma predeterminada, para examinar archivos, las rutas de acceso de los archivos deben tener un máximo de 260 caracteres.

Para digitalizar archivos con rutas de archivo de más de 260 caracteres, instale el escáner en un equipo con una de las siguientes versiones de Windows y configure el equipo según sea necesario:

Versión de Windows Description
Windows 2016 o posterior Configure el equipo para admitir rutas de acceso largas
Windows 10 o Windows Server 2016 Defina la siguiente configuración de directiva de grupo: Directiva > de equipo localConfiguración del equipo>Plantillas> administrativasTodas las opciones de configuración>Habilite las rutas de acceso largas de Win32.

Para obtener más información sobre la compatibilidad con rutas de acceso largas de archivos en estas versiones, consulte la sección Limitación de longitud máxima de ruta de acceso de la documentación para desarrolladores de Windows 10.
Windows 10, versión 1607 o posterior Optar por la funcionalidad de MAX_PATH actualizada. Para obtener más información, consulte Habilitar rutas de acceso largas en Windows 10, versiones 1607 y posteriores.

Implementación del escáner con configuraciones alternativas

Los requisitos previos enumerados anteriormente son los requisitos predeterminados para la implementación del escáner y se recomiendan porque admiten la configuración de escáner más simple.

Los requisitos predeterminados deben ser adecuados para las pruebas iniciales, de modo que pueda comprobar las capacidades del escáner.

Sin embargo, en un entorno de producción, las directivas de la organización pueden diferir de los requisitos predeterminados. El escáner puede adaptarse a los siguientes cambios con configuraciones adicionales:

Detectar y examinar todos los sitios y subsitios de SharePoint bajo una dirección URL específica

El escáner puede detectar y examinar todos los sitios y subsitios de SharePoint bajo una dirección URL específica con la siguiente configuración:

  1. Inicie Administración central de SharePoint.

  2. En el sitio web de Administración central de SharePoint , en la sección Administración de aplicaciones , haga clic en Administrar aplicaciones web.

  3. Haga clic para resaltar la aplicación web cuyo nivel de directiva de permisos desea administrar.

  4. Elija la granja de servidores pertinente y, a continuación, seleccione Administrar niveles de directiva de permisos.

  5. Seleccione Auditor de la colección de sitios en las opciones de Permisos de la colección de sitios , otorgue Ver páginas de la aplicación en la lista de permisos y, por último, asigne al nuevo nivel de directiva el nombre Auditor y visor de colecciones de sitios del escáner.

  6. Agregue el usuario del escáner a la nueva directiva y conceda una colección de sitios en la lista Permisos.

  7. Agregue una dirección URL del SharePoint que hospeda los sitios o subsitios que se deben examinar. Para obtener más información, consulte Configurar los ajustes del escáner.

Para obtener más información sobre cómo administrar los niveles de directivas de SharePoint, consulte Administrar directivas de permisos para una aplicación web.

Restricción: el servidor del escáner no puede tener conectividad a Internet

Aunque el cliente de protección de la información no puede aplicar cifrado sin una conexión a Internet, el escáner puede aplicar etiquetas basadas en directivas importadas.

Para admitir un equipo desconectado, utilice uno de los métodos siguientes:

Usar el portal Microsoft Purview con un equipo desconectado

Para admitir un equipo que no puede conectarse al portal Microsoft Purview, realice los pasos siguientes:

  1. Configure las etiquetas en la directiva y, a continuación, use el procedimiento para admitir que los equipos desconectados habiliten la clasificación y el etiquetado sin conexión.

  2. Habilite la administración sin conexión para los trabajos de contenido de la siguiente manera:

    Habilite la administración sin conexión para trabajos de análisis de contenido:

    1. Configure el escáner para que funcione en modo sin conexión con el cmdlet Set-ScannerConfiguration .

    2. Configure el escáner en el portal de Microsoft Purview creando un clúster de escáner. Para obtener más información, consulte Configurar los ajustes del escáner.

    3. Exporte el trabajo de contenido desde el panel Protección de información: trabajos de análisis de contenido con la opción Exportar .

    4. Importe la directiva con el cmdlet Import-ScannerConfiguration .

    Los resultados de los trabajos de análisis de contenido sin conexión se encuentran en: %localappdata%\Microsoft\MSIP\Scanner\Reports

Usar PowerShell con un equipo desconectado

Realice el siguiente procedimiento para admitir un equipo desconectado solo con PowerShell.

Importante

Los administradores de servidores de escáner de Azure China 21Vianetdeben usar este procedimiento para administrar sus trabajos de análisis de contenido.

Administre los trabajos de análisis de contenido solo con PowerShell:

  1. Configure el escáner para que funcione en modo sin conexión con el cmdlet Set-ScannerConfiguration .

  2. Cree un nuevo trabajo de examen de contenido con el cmdlet Set-ScannerContentScan , asegurándose de usar el parámetro obligatorio -Enforce On .

  3. Agregue sus repositorios mediante el cmdlet Add-ScannerRepository , con la ruta de acceso al repositorio que desea agregar.

    Sugerencia

    Para evitar que el repositorio herede la configuración del trabajo de análisis de contenido, agregue el parámetro, así como los OverrideContentScanJob On valores de las configuraciones adicionales.

    Para editar los detalles de un repositorio existente, utilice el comando Set-ScannerRepository .

  4. Use los cmdlets Get-ScannerContentScan y Get-ScannerRepository para devolver información sobre la configuración actual del trabajo de análisis de contenido.

  5. Use el comando Set-ScannerRepository para actualizar los detalles de un repositorio existente.

  6. Ejecute el trabajo de análisis de contenido inmediatamente, si es necesario, mediante el cmdlet Start-Scan .

    Los resultados de los trabajos de análisis de contenido sin conexión se encuentran en: %localappdata%\Microsoft\MSIP\Scanner\Reports

  7. Si necesita quitar un repositorio o un trabajo de análisis de contenido completo, use los siguientes cmdlets:

Restricción: no se le puede conceder Sysadmin o las bases de datos deben crearse y configurarse manualmente

Use los procedimientos siguientes para crear manualmente bases de datos y conceder el rol de db_owner , según sea necesario.

Si se le puede conceder temporalmente la función sysadmin para instalar el escáner, puede quitarla cuando se complete la instalación del escáner.

Realice una de las acciones siguientes, en función de los requisitos de su organización:

Restriction Descripción
Puede tener el rol de administrador del sistema temporalmente Si tiene temporalmente el rol de administrador del sistema, la base de datos se crea automáticamente para usted y la cuenta de servicio para el escáner recibe automáticamente los permisos necesarios.

Sin embargo, la cuenta de usuario que configura el escáner sigue requiriendo el rol db_owner para la base de datos de configuración del escáner. Si solo tiene la función de administrador del sistema hasta que se complete la instalación del escáner, otorgue la función db_owner a la cuenta de usuario manualmente.
No puede tener el rol de administrador del sistema en absoluto Si no se le puede conceder el rol de administrador del sistema ni siquiera temporalmente, debe solicitar a un usuario con derechos de administrador del sistema que cree manualmente una base de datos antes de instalar el escáner.

Para esta configuración, el rol de db_owner debe asignarse a las siguientes cuentas:
- Cuenta de servicio para el escáner
- Cuenta de usuario para la instalación del escáner
- Cuenta de usuario para la configuración del escáner

Por lo general, utilizará la misma cuenta de usuario para instalar y configurar el escáner. Si usa cuentas diferentes, ambas requieren el rol db_owner para la base de datos de configuración del escáner. Cree este usuario y los derechos necesarios. Si especifica su propio nombre de clúster, la base de datos de configuración se denomina AIPScannerUL_<cluster_name>.

Además:

  • Debe ser un administrador local en el servidor que ejecutará el escáner

  • A la cuenta de servicio que ejecutará el escáner se le deben conceder permisos de control total para las siguientes claves del Registro:

    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Si, después de configurar estos permisos, ve un error al instalar el escáner, el error se puede ignorar y puede iniciar manualmente el servicio del escáner.

Crear manualmente una base de datos y un usuario para el escáner, y conceder derechos db_owner

Si necesita crear manualmente la base de datos del escáner o crear un usuario y conceder derechos db_owner sobre la base de datos, pida al administrador del sistema que realice los pasos siguientes:

  1. Crear una base de datos para el análisis:

    **CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

  2. Otorgue derechos al usuario que ejecute el comando de instalación y que se utilice para ejecutar comandos de administración del escáner. Use el siguiente script:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

  3. Conceda derechos a la cuenta del servicio del analizador. Use el siguiente script:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

Restricción: a la cuenta de servicio del escáner no se le puede conceder el derecho de inicio de sesión local

Si las directivas de la organización prohíben el inicio de sesión local correcto para las cuentas de servicio, use el parámetro OnBehalfOf con Set-Authentication.

Para obtener más información, consulte Ejecutar cmdlets de etiquetado de protección de la información desatendidos.

Restricción: La cuenta de servicio del escáner no se puede sincronizar con el Microsoft Entra ID, pero el servidor tiene conectividad a Internet

Puede tener una cuenta para ejecutar el servicio de escáner y usar otra cuenta para autenticarse en Microsoft Entra ID:

  • Para la cuenta de servicio del escáner, use una cuenta local de Windows o una cuenta de Active Directory.

  • Para la cuenta de Microsoft Entra, especifique el usuario de Microsoft Entra en el cmdlet Set-Authentication, en el parámetro DelegatedUser.

    Si está ejecutando el escaneo en cualquier usuario que no sea la cuenta del escáner, asegúrese de especificar también la cuenta del escáner en el parámetro OnBehalfOf .

    Para obtener más información, consulte Ejecutar cmdlets de etiquetado de protección de la información desatendidos.

Restricción: las etiquetas no tienen condiciones de etiquetado automático

Si sus etiquetas no tienen ninguna condición de etiquetado automático, planee utilizar una de las siguientes opciones al configurar su escáner:

Opción Description
Descubre todos los tipos de información En el trabajo de análisis de contenido, establezca la opción Tipos de información por descubrir en Todos.

Esta opción establece el trabajo de examen de contenido para examinar el contenido en busca de todos los tipos de información confidencial.
Use el etiquetado recomendado En el trabajo de examen de contenido, establezca la opción Tratar etiquetado recomendado como automático en Activado.

Esta configuración configura el escáner para aplicar automáticamente todas las etiquetas recomendadas en el contenido.
Definir una etiqueta predeterminada Defina una etiqueta predeterminada en la directiva, el trabajo de análisis de contenido o el repositorio.

En este caso, el escáner aplica la etiqueta predeterminada a todos los archivos encontrados.

Pasos siguientes

Una vez que haya confirmado que su sistema cumple con los requisitos previos del escáner, continúe con la configuración e instalación del escáner de protección de la información.

Para obtener información general sobre el escáner, consulte Obtener información sobre el escáner de protección de la información.

  • Se actualizó por última vez el