Configurar e instalar el escáner de Information Protection

En este artículo se describe cómo configurar e instalar el escáner de Microsoft Purview Information Protection, anteriormente denominado Azure Information Protection escáner de etiquetado unificado, o el escáner local.

Sugerencia

Aunque la mayoría de los clientes realizarán estos procedimientos en el portal de administración, es posible que tenga que trabajar solo en PowerShell.

Por ejemplo, si está trabajando en un entorno sin acceso al portal de administración, como Azure China 21Vianet, siga las instrucciones de Usar PowerShell para configurar el análisis.

Información general

Antes de empezar, compruebe que el sistema cumple con los requisitos previos requeridos.

A continuación, siga estos pasos para configurar e instalar el escáner:

  1. Configurar los ajustes del escáner

  2. Instalar el escáner

  3. Obtener un token de Microsoft Entra para el escáner

  4. Configurar el escáner para aplicar clasificación y protección

A continuación, realice los siguientes procedimientos de configuración según sea necesario para su sistema:

Procedure Description
Cambiar los tipos de archivo que se deben proteger Es posible que desee examinar, clasificar o proteger tipos de archivo distintos del predeterminado. Para obtener más información, consulte El proceso de análisis.
Actualizar el escáner Actualice el escáner para utilizar las características y mejoras más recientes.
Editar la configuración del repositorio de datos en masa Usa las opciones de importación y exportación para realizar cambios en masa para varios repositorios de datos.
Utilice el escáner con configuraciones alternativas Utilice el escáner sin configurar etiquetas con ninguna condición
Optimizar el rendimiento Instrucciones para optimizar el rendimiento del escáner

Si no tiene acceso a las páginas del escáner en el portal de Microsoft Purview, configure las opciones del escáner solo en PowerShell. Para obtener más información, consulte Uso de PowerShell para configurar el analizador y loscmdlets de PowerShell compatibles.

Configurar los ajustes del escáner

Antes de instalar el escáner o actualizarlo desde una versión anterior de disponibilidad general, configure o compruebe los ajustes del escáner. Para esta configuración, puede usar el portal de Microsoft Purview.

Para configurar el escáner en el portal Microsoft Purview:

  1. Inicia sesión con uno de los siguientes roles:
  • Administrador de cumplimiento
    • Administrador de datos de cumplimiento
    • Administrador de seguridad
    • Administración de organizaciones

  1. Iniciar sesión en el portal> Microsoft PurviewTarjeta >de configuraciónInformation ProtectionEscáner>de Information Protection.

  2. Cree un clúster de escáner. Este clúster define el escáner y se utiliza para identificar la instancia del escáner, por ejemplo, durante la instalación, las actualizaciones y otros procesos.

  3. Cree un trabajo de examen de contenido para definir los repositorios que quiere examinar.

Crear un clúster de escáner

Para crear un clúster de escáneres en el portal Microsoft Purview:

  1. En las pestañas de la página del escáner de Information Protection , seleccione Clústeres.

  2. En la pestaña Clústeres , seleccione Agregaricono Agregar.

  3. En el panel Nuevo clúster , escriba un nombre significativo para el analizador y una descripción opcional.

    El nombre del clúster se utiliza para identificar las configuraciones y los repositorios del escáner. Por ejemplo, puede introducir Europa para identificar las ubicaciones geográficas de los repositorios de datos que desea examinar.

    Usará este nombre más adelante para identificar dónde desea instalar o actualizar el escáner.

  4. Seleccione Guardar para guardar los cambios.

Crear un trabajo de examen de contenido

Sumérjase en el contenido para examinar repositorios específicos en busca de contenido confidencial.

Para crear el trabajo de análisis de contenido en el portal Microsoft Purview:

  1. En las pestañas de la página Analizador de protección de la información , seleccione Trabajos de análisis de contenido.

  2. En el panel Trabajos de análisis de contenido , seleccione Agregaricono.

  3. Para esta configuración inicial, configure las siguientes opciones y luego seleccione Guardar.

    Configuración Descripción
    Configuración del trabajo de examen de contenido - Programación: mantener el valor predeterminado de Manual
    - Tipos de información por descubrir: Cambiar solo a la directiva
    Directiva DLP Si usa una directiva de prevención de pérdida de datos, establezca Habilitar reglas DLP en Activado. Para obtener más información, consulte Usar una directiva DLP.
    Directiva de confidencialidad - Aplicar directiva de etiquetado de confidencialidad: Seleccione Desactivado
    - Etiquetar archivos según el contenido: Mantenga el valor predeterminado de Activado
    - Etiqueta predeterminada: mantener el valor predeterminado de la directiva predeterminada
    - Volver a etiquetar archivos: mantener el valor predeterminado de Desactivado
    Configurar los ajustes de archivo - Conservar "Fecha de modificación", "Última modificación" y "Modificado por": mantener el valor predeterminado de Activado
    - Tipos de archivo que se van a examinar: mantenga los tipos de archivo predeterminados para Excluir
    - Propietario predeterminado: mantener el valor predeterminado de la cuenta del escáner
    - Establecer propietario del repositorio: use esta opción solo cuando use una directiva DLP.

  4. Abra el trabajo de examen de contenido guardado y seleccione la pestaña Repositorios para especificar los almacenes de datos que se analizarán.

    Especifique las rutas de acceso UNC y las direcciones URL de SharePoint Server para las bibliotecas y carpetas de documentos locales de SharePoint.

    Nota:

    SharePoint Server Edición de Suscripción (SPSE) con una actualización pública (PU) en soporte extendido son compatibles con SharePoint. Para obtener más información, consulte la directiva de soporte técnico de SharePoint Server, la directiva de mantenimiento de productos actualizada para SharePoint Server SE.

    Para agregar el primer almacén de datos, en la pestaña Repositorios :

    1. En el panel Repositorios , seleccione Agregar:

    2. En el panel Repositorio , especifique la ruta de acceso para el repositorio de datos y, a continuación, seleccione Guardar.

      • Para un recurso compartido de red, use \\Server\Folder.
      • Para una biblioteca de SharePoint, use http://sharepoint.contoso.com/Shared%20Documents/Folder.
      • Para obtener una ruta de acceso local: C:\Folder
      • Para una ruta UNC: \\Server\Folder

    Nota:

    No se admiten los caracteres comodín y las ubicaciones de WebDav no se admiten. No se admite el examen de ubicaciones de OneDrive como repositorios.

    Si agrega una ruta de acceso de SharePoint para los documentos compartidos:

    • Especifique Documentos compartidos en la ruta de acceso cuando desee digitalizar todos los documentos y todas las carpetas de Documentos compartidos. Por ejemplo: http://sp013/SharedDocuments
    • Especifique Documentos en la ruta de acceso cuando desee digitalizar todos los documentos y todas las carpetas de una subcarpeta en Documentos compartidos. Por ejemplo: http://sp013/Documents/SalesReports
    • O bien, especifique solo el FQDN de su SharePoint, por ejemplo http://sp013 , para detectar y examinar todos los sitios y subsitios de SharePoint bajo una dirección URL específica y los subtítulos bajo esta dirección URL. Otorgue derechos de auditor de recopilador de sitio al escáner para habilitar esto.

    Para el resto de la configuración de este panel, no la cambie para esta configuración inicial, pero manténgala como el valor predeterminado del trabajo de análisis de contenido. La configuración predeterminada significa que el repositorio de datos hereda la configuración del trabajo de examen de contenido.

    Use la sintaxis siguiente al agregar rutas de acceso de SharePoint:

    Ruta de acceso Sintaxis
    Ruta de acceso raíz http://<SharePoint server name>

    Examina todos los sitios, incluidas las colecciones de sitios permitidas para el usuario del análisis.
    Requiere permisos adicionales para detectar automáticamente el contenido raíz
    Subsitio o colección específicos de SharePoint Uno de los siguientes:
    - http://<SharePoint server name>/<subsite name>
    - http://SharePoint server name>/<site collection name>/<site name>

    Requiere permisos adicionales para detectar automáticamente el contenido de la colección de sitios
    Biblioteca específica de SharePoint Uno de los siguientes:
    - http://<SharePoint server name>/<library name>
    - http://SharePoint server name>/.../<library name>
    Carpeta específica de SharePoint http://<SharePoint server name>/.../<folder name>

  5. Repita los pasos anteriores para agregar tantos repositorios como sea necesario.

Ahora está listo para instalar el escáner con el trabajo de escáner de contenido que ha creado. Continúe con Instalar el escáner.

Instalar el escáner

Después de configurar el escáner, realice los siguientes pasos para instalarlo. Este procedimiento se realiza completamente en PowerShell.

  1. Inicie sesión en el equipo con Windows Server que ejecutará el examen. Utilice una cuenta que tenga derechos de administrador local y que tenga permisos para escribir en la base de datos maestra de SQL Server.

    Importante

    Debe tener instalado el cliente de protección de la información en el equipo antes de instalar el escáner.

    Para obtener más información, consulte Requisitos previos para instalar e implementar el escáner de protección de la información.

  2. Abra una sesión de Windows PowerShell con la opción Ejecutar como administrador.

  3. Ejecute el cmdlet Install-Scanner, especificando la instancia de SQL Server en la que se creará una base de datos para el examen de Information Protection y el nombre del clúster del analizador que especificó en la sección anterior:

    Install-Scanner -SqlServerInstance <name> -Cluster <cluster name>

    Ejemplos, utilizando el nombre del clúster del escáner de Europa:

    • Para una instancia predeterminada: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe

    • Para una instancia con nombre: Install-Scanner -SqlServerInstance SQLSERVER1\SCANNER -Cluster Europe

    • Para SQL Server Express:Install-Scanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Cluster Europe

    Cuando se le solicite, proporcione las credenciales de Active Directory para la cuenta de servicio del analizador.

    Use la sintaxis siguiente: domain\username. Por ejemplo: contoso\scanneraccount

    Importante

    En este aviso, escriba la identidad de Windows local en formato (no en DOMAIN\username un UPN como scanneraccount@contoso.com). El instalador necesita este formato para resolver el SID, conceder Iniciar sesión como servicio, configurar la cuenta Ejecutar como servicio del servicio de Windows y conceder permisos SQL; El uso de un UPN puede dar lugar a problemas posteriores de resolución de identidad o de inicio del servicio.

    Nota:

    Para habilitar las características del escáner de nivel de clúster (como los informes personalizados) en el momento de la instalación, agregue el -FeatureSettings parámetro (versión preliminar). Por ejemplo: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true}. Para obtener más información, consulte Control de características del escáner (versión preliminar).

  4. Compruebe que el servicio está instalado mediante los Servicios de herramientas>administrativas.

    El servicio instalado se denomina Escáner de Microsoft Purview Information Protection y está configurado para ejecutarse mediante la cuenta de servicio del escáner que creó.

Ahora que ha instalado el escáner, debe obtener un token de Microsoft Entra para que la cuenta de servicio del escáner se autentique, de modo que el escáner pueda ejecutarse sin supervisión.

Obtener un token de Microsoft Entra para el escáner

Un token de Microsoft Entra permite que el analizador se autentique en el servicio de examen de Microsoft Purview Information Protection, lo que permite que el examen se ejecute desatendido.

Para obtener más información, consulte Ejecutar cmdlets de etiquetado de protección de la información desatendidos.

Nota:

La compatibilidad con la autenticación basada en certificados está en versión preliminar pública. Para obtener más información, consulte Autenticación basada en certificado

Para obtener un token de Microsoft Entra:

  1. Vaya a Azure Portal y continúe con la hoja de Microsoft Entra ID.

  2. En el panel lateral de Microsoft Entra ID, haga clic en Registros de aplicaciones.

  3. En la parte superior, siga adelante y haga clic en + Nuevo registro.

  4. En la sección Nombre, escriba InformationProtectionScanner.

  5. Deje los tipos de cuenta compatibles como predeterminados.

  6. Para el URI de redireccionamiento, deje el tipo como Web, pero escriba para la parte de entrada y haga clic en http://localhostRegistrar.

  7. En la página Información general de esta aplicación, anote en el editor de texto de su elección los siguientes ID: ID de aplicación (cliente) e ID de directorio (inquilino). Lo necesitará más adelante al configurar el comando Set-AIPAuthentication.

  8. En el panel lateral, vaya a Certificados y secretos.

  9. Haga clic en + Nuevo secreto de cliente.

  10. En el cuadro de diálogo que aparece, escriba una descripción para el secreto y establézcala en Expirar en 1 año y, a continuación, agregue el secreto.

  11. Ahora debería ver en la sección secretos de cliente que hay una entrada con el valor secreto. Continúe y copie este valor y guárdelo en el archivo donde guardó el identificador de cliente y el identificador de inquilino. Esta es la única vez que podrá ver el valor del secreto, no será recuperable si no lo copia en este momento.

  12. En el panel lateral, vaya a Permisos de API.

  13. Prosiga y seleccione Agregar un permiso.

  14. Cuando se muestre la pantalla, seleccione Servicio de Azure Rights Management. A continuación, seleccione Permisos de aplicación.

  15. Haga clic en la lista desplegable de Contenido y coloque marcas de verificación para Content.DelegatedReader y Content.DelegatedWriter. Luego, en la parte inferior de la pantalla, haga clic en Agregar permisos.

  16. Vuelva a la sección Permisos de API y agregue otro permiso.

  17. Esta vez, en la sección Seleccionar una API, haga clic en las API que usa mi organización. En la barra de búsqueda, escriba Microsoft Information Protection Sync Service y selecciónelo.

  18. Seleccione Permisos de aplicación y, a continuación, en el menú desplegable de directivas unificadas , marque el permiso UnifiedPolicy.Tenant.Read. Luego, en la parte inferior de la pantalla, haga clic en Agregar permisos.

  19. De nuevo en la pantalla Permisos de API, haga clic en Conceder consentimiento del Administrador y busque que la operación se haya realizado correctamente (lo indica una marca de verificación verde).

  20. Desde el equipo de Windows Server, si a la cuenta de servicio del escáner se le ha concedido el derecho de inicio de sesión local para la instalación, inicie sesión con esta cuenta e inicie una sesión de PowerShell.

    Ejecute Set-Authentication, especificando los valores que copió del paso anterior:

    Set-Authentication -AppId <ID of the registered app> -AppSecret <client secret sting> -TenantId <your tenant ID> -DelegatedUser <Microsoft Entra account>

    Por ejemplo:

    $pscreds = Get-Credential CONTOSO\scanner
Set-Authentication -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -AppSecret "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2" -DelegatedUser scanner@contoso.com -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -OnBehalfOf $pscreds
Acquired application access token on behalf of CONTOSO\scanner.

Sugerencia

Si no se puede conceder a la cuenta de servicio del escáner el derecho de inicio de sesión local para la instalación, use el parámetro OnBehalfOf con Set-Authentication, como se describe en Ejecutar cmdlets de etiquetado de protección de la información desatendidos.

El escáner ahora tiene un token para autenticarse en Microsoft Entra ID. Este token es válido durante un año, dos años o nunca, según la configuración del secreto de cliente de la aplicación web/API en Microsoft Entra ID. Cuando el token expire, debe repetir este procedimiento.

Siga usando uno de los pasos siguientes, dependiendo de si usa el portal Microsoft Purview para configurar el escáner o solo PowerShell:

Ya estás listo para ejecutar tu primer análisis en el modo de detección. Para obtener más información, consulte Ejecutar un ciclo de detección y ver los informes del escáner.

Una vez que haya ejecutado el examen de detección inicial, continúe con Configurar el escáner para aplicar clasificación y protección.

Para obtener más información, consulte Ejecutar cmdlets de etiquetado de protección de la información desatendidos.

Configurar el escáner para aplicar clasificación y protección

La configuración predeterminada configura el escáner para que se ejecute una vez y en modo de solo informe. Para cambiar esta configuración, edite el trabajo de examen de contenido.

Sugerencia

Si solo está trabajando en PowerShell, consulte Configurar el escáner para aplicar clasificación y protección: solo PowerShell.

Para configurar el escáner para aplicar clasificación y protección en el portal Microsoft Purview:

  1. En el portal Microsoft Purview, en la pestaña Trabajos de análisis de contenido , seleccione un trabajo de análisis de contenido específico para editarlo.

  2. Seleccione el trabajo de examen de contenido, cambie lo siguiente y, a continuación, seleccione Guardar:

    • En la sección Trabajo de análisis de contenido : cambie la programación a Siempre
    • En la sección Aplicar directiva de etiquetado de confidencialidad : Cambie el botón de radio a Activado

  3. Asegúrese de que haya un nodo para el trabajo de examen de contenido en línea y, a continuación, vuelva a iniciar el trabajo de examen de contenido seleccionando Examinar ahora. El botón Examinar ahora solo aparece cuando un nodo para el trabajo de examen de contenido seleccionado está en línea.

Ahora se ha programado que el escáner funcione de forma continua. Cuando el escáner se abre camino a través de todos los archivos configurados, inicia automáticamente un nuevo ciclo para que se descubran los archivos nuevos y modificados.

Usar una directiva DLP

El uso de una directiva de prevención de pérdida de datos permite al escáner detectar posibles pérdidas de datos al hacer coincidir las reglas DLP con los archivos almacenados en recursos compartidos de archivos y SharePoint Server.

  • Habilite las reglas DLP en el trabajo de análisis de contenido para reducir la exposición de los archivos que coincidan con las directivas DLP. Cuando las reglas DLP están habilitadas, el escáner puede reducir el acceso a los archivos solo a los propietarios de datos o reducir la exposición a grupos de toda la red, como Todos, Usuarios autenticados o Usuarios del dominio.

  • En el portal Microsoft Purview, determine si solo está probando la directiva DLP o si quiere que se apliquen las reglas y que los permisos de archivo cambien de acuerdo con esas reglas. Para obtener más información, consulte Creación e implementación de directivas de prevención de pérdida de datos

Las directivas de DLP se configuran en el portal de Microsoft Purview. Para obtener más información sobre las licencias DLP, consulte Introducción al escáner local de prevención de pérdida de datos.

Sugerencia

El examen de los archivos, incluso cuando se acaba de probar la directiva DLP, también crea informes de permisos de archivo. Consulte estos informes para investigar exposiciones de archivos específicos o explorar la exposición de un usuario específico a los archivos examinados.

Para usar solo PowerShell, consulte Uso de una directiva DLP con el escáner: solo PowerShell.

Para usar una directiva DLP con el escáner en el portal Microsoft Purview:

  1. En el portal de Microsoft Purview, vaya a la pestaña Trabajos de análisis de contenido y seleccione un trabajo de análisis de contenido específico. Para obtener más información, consulte Crear un trabajo de examen de contenido.

  2. En Habilitar reglas de directiva DLP, establezca el botón de radio en Activado.

    Importante

    No establezca Habilitar reglas DLP en Activado a menos que realmente tenga una directiva DLP configurada en Microsoft 365.

    Activar esta característica sin una directiva DLP hará que el escáner genere errores.

  3. (Opcional) Establezca Establecer propietario del repositorio en Activado y defina un usuario específico como propietario del repositorio.

    Esta opción permite al escáner reducir la exposición de los archivos encontrados en este repositorio, que coincidan con la directiva DLP, al propietario del repositorio definido.

Directivas DLP y realizar acciones privadas

Si usa una directiva DLP con una acción privada y también planea usar el escáner para etiquetar automáticamente los archivos, se recomienda que también defina la configuración avanzada UseCopyAndPreserveNTFSOwner del cliente de etiquetado unificado.

Esta configuración garantiza que los propietarios originales conserven el acceso a sus archivos.

Para obtener más información, consulte Crear un trabajo de examen de contenido y Aplicar automáticamente una etiqueta de confidencialidad a los datos de Microsoft 365.

Cambiar los tipos de archivo que se deben proteger

De forma predeterminada, el escáner protege solo los tipos de archivo de Office y los archivos PDF.

Use comandos de PowerShell para cambiar este comportamiento según sea necesario, como, por ejemplo, configurar el escáner para proteger todos los tipos de archivo, tal como lo hace el cliente, o para proteger otros tipos de archivo específicos.

Para obtener una directiva de etiquetas que se aplique a la cuenta de usuario que descarga etiquetas para el escáner, especifique una configuración avanzada de PowerShell denominada PFileSupportedExtensions.

Para un escáner que tiene acceso a Internet, esta cuenta de usuario es la cuenta que especifica para el parámetro DelegatedUser con el comando Set-Authentication.

Ejemplo 1: Comando de PowerShell para que el escáner proteja todos los tipos de archivo, donde la directiva de etiqueta se denomina "Escáner":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

Ejemplo 2: Comando de PowerShell para que el escáner proteja los archivos .xml y .tiff, además de los archivos de Office y los archivos PDF, donde la directiva de etiqueta se denomina "Escáner":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".xml", ".tiff")}

Para obtener más información, consulte Cambiar los tipos de archivo que se van a proteger.

Actualice el escáner

Si ya instaló el escáner y desea actualizarlo, siga las instrucciones que se describen en Actualizar el escáner de Microsoft Purview Information Protection.

A continuación, configure y utilice el escáner como de costumbre, omitiendo los pasos para instalarlo.

Editar la configuración del repositorio de datos en masa

Utilice los botones Exportar e Importar para realizar cambios para su escáner en varios repositorios.

De esta forma, no es necesario realizar los mismos cambios varias veces, manualmente, en el portal de Microsoft Purview.

Por ejemplo, si tiene un nuevo tipo de archivo en varios repositorios de datos de SharePoint, es posible que quiera actualizar la configuración de esos repositorios de forma masiva.

Para realizar cambios de forma masiva entre repositorios en el portal de Microsoft Purview:

  1. En el portal de Microsoft Purview, selecciona un trabajo de examen de contenido específico y navega hasta la pestaña Repositorios del panel. Seleccione la opción Exportar .

  2. Edite manualmente el archivo exportado para realizar el cambio.

  3. Use la opción Importar de la misma página para importar las actualizaciones de nuevo en los repositorios.

Utilice el escáner con configuraciones alternativas

El escáner generalmente busca las condiciones especificadas para sus etiquetas con el fin de clasificar y proteger su contenido según sea necesario.

En los siguientes escenarios, el escáner también puede escanear su contenido y administrar etiquetas, sin ninguna condición configurada:

Aplicar una etiqueta predeterminada a todos los archivos de un repositorio de datos

En esta configuración, todos los archivos sin etiquetar del repositorio se etiquetan con la etiqueta predeterminada especificada para el repositorio o el trabajo de análisis de contenido. Files se etiquetan sin inspección.

Configure las siguientes opciones:

Configuración Descripción
Etiquetar archivos según el contenido Establecer en Desactivado
Etiqueta predeterminada Establézcalo en Personalizado y, a continuación, seleccione la etiqueta que quiere usar
Aplicar etiqueta predeterminada Seleccione para que la etiqueta predeterminada se aplique a todos los archivos, incluso si ya están etiquetados. Para ello, active Volver a etiquetar archivos y Exigir la etiqueta predeterminada

Quitar etiquetas existentes de todos los archivos en un repositorio de datos

En esta configuración, se quitan todas las etiquetas existentes, incluida la protección, si la protección se aplicó con la etiqueta. Se conserva la protección aplicada independientemente de una etiqueta.

Configure las siguientes opciones:

Configuración Descripción
Etiquetar archivos según el contenido Establecer en Desactivado
Etiqueta predeterminada Establecer en Ninguno
Volver a etiquetar archivos Se establece en Activado, con la etiqueta predeterminada Exigir establecida en Activado

Identificar todas las condiciones personalizadas y los tipos de información confidencial conocidos

Esta configuración le permite buscar información confidencial que quizás no se diera cuenta de que tenía, a expensas de las velocidades de análisis del escáner.

Establezca los tipos de información que se detectarán en Todos.

Para identificar las condiciones y los tipos de información para el etiquetado, el escáner utiliza cualquier tipo de información confidencial personalizado especificado y la lista de tipos de información confidencial integrados que están disponibles para seleccionar, tal como se define en el centro de administración de etiquetado.

Importante

Las subetiquetas del mismo elemento primario comparten la prioridad de la etiqueta principal; cambiar entre subetiquetas del mismo sello primario no se considera una degradación de audiencia. Por lo tanto, Permitir degradación de etiquetas = Activado no bloqueará el reetiquetado de archivos con subetiquetas de menor prioridad cuando esté habilitado Volver a etiquetar archivos .

Optimizar el rendimiento del escáner

Nota:

Si desea mejorar la capacidad de respuesta del equipo del escáner en lugar del rendimiento del escáner, use una configuración avanzada de cliente para limitar el número de subprocesos que usa el análisis.

Utilice las siguientes opciones e instrucciones para ayudarle a optimizar el rendimiento del análisis:

Opción Description
Tener una conexión de red confiable y de alta velocidad entre la computadora del escáner y el almacén de datos escaneados Por ejemplo, coloque la computadora del escáner en la misma LAN o, preferiblemente, en el mismo segmento de red que el almacén de datos escaneado.

La calidad de la conexión de red afecta al rendimiento del escáner porque, para inspeccionar los archivos, el escáner transfiere su contenido al equipo que ejecuta el servicio de examen de Microsoft Purview Information Protection del escáner.

La reducción o eliminación de los saltos de red necesarios para que los datos viajen también reduce la carga en la red.
Asegúrese de que el equipo del escáner tenga disponibles recursos de procesador La inspección del contenido de los archivos y el cifrado y descifrado de archivos son acciones que requieren un uso intensivo del procesador.

Supervise los ciclos de análisis típicos de los almacenes de datos especificados para identificar si la falta de recursos del procesador está afectando negativamente al rendimiento del escáner.
Instalar varias instancias del escáner El escáner admite varias bases de datos de configuración en la misma instancia de SQL Server cuando se especifica un nombre de clúster personalizado para el análisis.

Consejo: varios escáneres también pueden compartir el mismo clúster, lo que se traduce en tiempos de escaneo más rápidos. Si tiene previsto instalar el escáner en varios equipos con la misma instancia de base de datos y desea que los escáneres se ejecuten en paralelo, debe instalar todos los escáneres con el mismo nombre de clúster.
Comprobar el uso de la configuración alternativa El examen se ejecuta más rápidamente cuando se usa la configuración alternativa para aplicar una etiqueta predeterminada a todos los archivos, ya que el examen no inspecciona su contenido.

El examen se ejecuta más lentamente cuando se usa la configuración alternativa para identificar todas las condiciones personalizadas y los tipos de información confidencial conocidos.

Factores adicionales que afectan al rendimiento

Entre los factores adicionales que afectan al rendimiento del escáner se incluyen:

Factor Description
Tiempos de carga/respuesta Los tiempos de carga y respuesta actuales de los almacenes de datos que contienen los archivos que se van a examinar también afectarán al rendimiento del escáner.
Modo de examen (detección/cumplimiento) El modo de detección suele tener una mayor velocidad de análisis que el modo de aplicación.

La detección requiere una sola acción de lectura de archivo, mientras que el modo de aplicación requiere acciones de lectura y escritura.
Cambios de directivas El rendimiento del escáner puede verse afectado si ha realizado cambios en el etiquetado automático de la directiva de etiquetas.

El primer ciclo de análisis, en el que el escáner debe inspeccionar todos los archivos, llevará más tiempo que los ciclos de análisis posteriores que, de forma predeterminada, solo inspeccionan los archivos nuevos y modificados.

Si cambia las condiciones o la configuración de etiquetado automático, todos los archivos se escanean de nuevo. Para obtener más información, vea Volver a escanear archivos.
Construcciones Regex El rendimiento del escáner se ve afectado por cómo se construyen las expresiones Regex para las condiciones personalizadas.

Para evitar un consumo excesivo de memoria y el riesgo de tiempos de espera (15 minutos por archivo), revise las expresiones Regex para una coincidencia de patrones eficaz.

Por ejemplo:
- Evite cuantificadores codiciosos
- Use grupos que no capturen, como (?:expression) en lugar de (expression)
Nivel de registro Las opciones de nivel de registro incluyen Depurar, Información, Error y Desactivado para los informes del escáner.

- Desactivado da como resultado el mejor rendimiento
- La depuración ralentiza considerablemente el escáner y debe usarse solo para solucionar problemas.

Para obtener más información, consulte el parámetro ReportLevel para el cmdlet Set-ScannerConfiguration .
Files being swatching - Con la excepción de los archivos de Excel, los archivos de Office se analizan más rápidamente que los archivos PDF.

- Los archivos no protegidos son más rápidos de analizar que los archivos protegidos.

- Los archivos grandes obviamente tardan más en escanearse que los archivos pequeños.

Usar PowerShell para configurar el escáner

En esta sección se describen los pasos necesarios para configurar e instalar el escáner cuando no tiene acceso a las páginas del escáner en el portal Microsoft Purview y solo debe usar PowerShell.

Importante

  • Algunos pasos requieren Powershell, independientemente de si puede o no acceder a las páginas del escáner en el portal de Microsoft Purview, y son idénticos. Para estos pasos, consulte las instrucciones anteriores de este artículo como se indica.

  • Si está trabajando con el escáner para Azure China 21Vianet, se requieren pasos adicionales además de las instrucciones que se detallan aquí. Para obtener más información, consulte Microsoft Purview Information Protection para Office 365 operado por 21Vianet.

Para obtener más información, consulte Cmdlets de PowerShell compatibles.

Para configurar e instalar el escáner:

  1. Comience con PowerShell cerrado. Si instaló previamente el cliente y el escáner de Information Protection, asegúrese de que el servicio de examen de Microsoft Purview Information Protection se haya detenido.

  2. Abra una sesión de Windows PowerShell con la opción Ejecutar como administrador.

  3. Ejecute el comando Install-Scanner para instalar el escáner en la instancia de SQL Server, con el parámetro Cluster para definir el nombre del clúster.

    Este paso es idéntico independientemente de si puede o no tener acceso a las páginas del escáner en el portal de Microsoft Purview. Para obtener más información, consulte las instrucciones anteriores de este artículo: Instalar el escáner

  4. Obtenga un token de Azure para usarlo con el escáner y, a continuación, vuelva a autenticarlo.

    Este paso es idéntico independientemente de si puede o no tener acceso a las páginas del escáner en el portal de Microsoft Purview. Para obtener más información, consulte las instrucciones anteriores en este artículo: Obtenga un token de Microsoft Entra para el análisis.

  5. Ejecute el cmdlet Set-ScannerConfiguration para configurar el escáner para que funcione en modo sin conexión. Ejecutar:

    Set-ScannerConfiguration -OnlineConfiguration Off

  6. Ejecute el cmdlet Set-ScannerContentScan para crear un trabajo de examen de contenido predeterminado.

    El único parámetro necesario del cmdlet Set-ScannerContentScan es Enforce. Sin embargo, es posible que desee definir otras opciones de configuración para el trabajo de análisis de contenido en este momento. Por ejemplo:

    Set-ScannerContentScan -Schedule Manual -DiscoverInformationTypes PolicyOnly -Enforce Off -DefaultLabelType PolicyDefault -RelabelFiles Off -PreserveFileDetails On -IncludeFileTypes '' -ExcludeFileTypes '.msg,.tmp' -DefaultOwner <account running the scanner>

    La sintaxis anterior configura las siguientes opciones mientras continúa con la configuración:

    • Mantiene la programación de ejecución del escáner de forma manual
    • Establece los tipos de información que se detectarán en función de la directiva de etiquetas de confidencialidad
    • No aplica una directiva de etiquetas de confidencialidad
    • Etiqueta automáticamente los archivos en función del contenido, con la etiqueta predeterminada definida para la directiva de etiquetas de confidencialidad
    • No permite volver a etiquetar archivos
    • Conserva los detalles del archivo durante el escaneo y el etiquetado automático, incluida la fecha de modificación, última modificación y modificación por valores
    • Configura el escáner para excluir los archivos .msg y .tmp al ejecutarse
    • Establece el propietario predeterminado en la cuenta que desea usar al ejecutar el escáner

  7. Use el cmdlet Add-ScannerRepository para definir los repositorios que desea examinar en el trabajo de examen de contenido. Por ejemplo, ejecute:

    Add-ScannerRepository -OverrideContentScanJob Off -Path 'c:\repoToScan'

    Use una de las sintaxis siguientes, dependiendo del tipo de repositorio que vaya a agregar:

    • Para un recurso compartido de red, use \\Server\Folder.
    • Para una biblioteca de SharePoint, use http://sharepoint.contoso.com/Shared%20Documents/Folder.
    • Para obtener una ruta de acceso local: C:\Folder
    • Para una ruta UNC: \\Server\Folder

    Nota:

    No se admiten los caracteres comodín y las ubicaciones de WebDav no se admiten.

    Para modificar el repositorio más adelante, use el cmdlet Set-ScannerRepository en su lugar.

    Si agrega una ruta de acceso de SharePoint para los documentos compartidos:

    • Especifique Documentos compartidos en la ruta de acceso cuando desee digitalizar todos los documentos y todas las carpetas de Documentos compartidos. Por ejemplo: http://sp2013/SharedDocuments
    • Especifique Documentos en la ruta de acceso cuando desee digitalizar todos los documentos y todas las carpetas de una subcarpeta en Documentos compartidos. Por ejemplo: http://sp2013/Documents/SalesReports
    • O bien, especifique solo el FQDN de su SharePoint, por ejemplo http://sp2013 , para detectar y examinar todos los sitios y subsitios de SharePoint bajo una dirección URL específica y los subtítulos bajo esta dirección URL. Otorgue derechos de auditor de recopilador de sitio al escáner para habilitar esto.

    Use la sintaxis siguiente al agregar rutas de acceso de SharePoint:

    Ruta de acceso Sintaxis
    Ruta de acceso raíz http://<SharePoint server name>

    Examina todos los sitios, incluidas las colecciones de sitios permitidas para el usuario del análisis.
    Subsitio o colección específicos de SharePoint Uno de los siguientes:
    - http://<SharePoint server name>/<subsite name>
    - http://SharePoint server name>/<site collection name>/<site name>
    Biblioteca específica de SharePoint Uno de los siguientes:
    - http://<SharePoint server name>/<library name>
    - http://SharePoint server name>/.../<library name>
    Carpeta específica de SharePoint http://<SharePoint server name>/.../<folder name>

Continúe con los pasos siguientes, según sea necesario:

Use PowerShell para configurar el escáner para aplicar clasificación y protección

  1. Ejecute el cmdlet Set-ScannerContentScan para actualizar el trabajo de examen de contenido para establecer la programación en Siempre y aplicar la Directiva de confidencialidad.

    Set-ScannerContentScan -Schedule Always -Enforce On

    Sugerencia

    Es posible que desee cambiar otras opciones de configuración en este panel, como si se cambian los atributos de archivo y si el escáner puede volver a etiquetar los archivos. Para obtener más información sobre las configuraciones disponibles, consulte la documentación completa de Set-ScannerContentScan.

  2. Ejecute el cmdlet Start-Scan para ejecutar el trabajo de análisis de contenido:

    Start-Scan

Ahora se ha programado que el escáner funcione de forma continua. Cuando el escáner se abre camino a través de todos los archivos configurados, inicia automáticamente un nuevo ciclo para que se descubran los archivos nuevos y modificados.

Usar PowerShell para configurar una directiva DLP con el escáner

Vuelva a ejecutar el cmdlet Set-ScannerContentScan con el parámetro -EnableDLP establecido en Activado y con un propietario de repositorio específico definido.

Por ejemplo:

Set-ScannerContentScan -EnableDLP On -RepositoryOwner 'domain\user'

Autenticación basada en certificados (versión preliminar pública)

Uso de la autenticación basada en certificados con el analizador de Information Protection

En esta sección se describe cómo configurar el escáner de Microsoft Purview Information Protection para autenticarse mediante un certificado en lugar de un secreto de cliente.

Requisitos previos

Antes de configurar la autenticación basada en certificados, asegúrese de que tiene:

  • El escáner de Microsoft Purview Information Protection instalado
  • Acceso administrativo al Windows Server en el que se ejecuta el examen
  • Acceso al registro de la aplicación Microsoft Entra utilizado por el escáner
  • Windows PowerShell 5.1

Paso 1: Obtener o crear un certificado

Tiene dos opciones para obtener un certificado:

  1. Certificado emitido por una CA: solicita un certificado de la entidad de certificación de tu organización.
  2. Certificado autofirmado: cree un certificado autofirmado.

Opción A: Usar un certificado emitido por una CA (producción)

El uso de un certificado emitido por una CA proporciona:

  • Confianza automática a través de la infraestructura PKI existente
  • Administración centralizada del ciclo de vida de los certificados
  • Cumplimiento de las directivas de seguridad de la organización
  • No es necesario omitir la validación de la cadena de certificados
Requisitos de certificado

Cuando solicite un certificado de la CA, asegúrese de que cumple estos requisitos:

Requirement Valor
Algoritmo de clave RSA
Longitud de la clave Mínimo de 2048 bits (se recomienda 4096)
Uso de la clave Firma digital
Clave privada Exportable (para copia de seguridad) o marcado para la máquina
Validez Según la directiva de su organización (normalmente de 1 a 2 años)

Revise la documentación de la CA para obtener instrucciones específicas sobre cómo solicitar un certificado con estos parámetros.

Después de obtener la clave de la CA empresarial, instale el certificado en el almacén del equipo local en cada Windows Server que ejecute el escáner. Asegúrese de instalar el certificado en el almacén personal del equipo local.

Exportar la clave pública para Microsoft Entra

Una vez emitido e instalado el certificado, exporte la clave pública:

# Find the certificate (adjust the subject filter as needed)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*PurviewScanner*" }
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Opción B: Usar un certificado autofirmado

Se puede crear un certificado autofirmado en un único servidor y, a continuación, importarlo a los servidores del clúster del escáner.

# Create certificate in Local Machine store with RSA provider
$cert = New-SelfSignedCertificate `
    -Subject "CN=PurviewScanner" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -KeyAlgorithm RSA `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2) `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

# Display the certificate details
Write-Host "Certificate created successfully"
Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Subject: $($cert.Subject)"

Importante

El -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" parámetro es obligatorio. El uso de proveedores CNG (criptografía de próxima generación) producirá errores de "El conjunto de claves no existe" cuando el escáner intente autenticarse.

Exportar la clave pública

Exporte la clave pública del certificado para cargarla en Microsoft Entra:

# Export public key certificate (.cer file)
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Paso 2: Conceder permisos de clave privada a la cuenta de servicio del analizador

La cuenta de servicio del escáner debe tener permiso para leer la clave privada del certificado. Sin este permiso, se producirá un error de autenticación con los errores "El conjunto de claves no existe".

Uso de la interfaz de usuario del Administrador de certificados

  1. Abra el almacén de certificados del equipo local:

    • Presione Win + R, escriba certlm.mscy presione Entrar

  2. Navegar a Certificados: equipo local

  3. Haz clic con el botón derecho en el certificado que has creado (por ejemplo, "PurviewScanner") y selecciona Todas las tareas>Administrar claves privadas

  4. Haga clic en Agregar e introduzca el nombre de la cuenta del servicio del escáner (por ejemplo, CONTOSO\ScannerService)

  5. Seleccione la cuenta y asegúrese de que esté activada la opción Permiso de lectura

  6. Haga clic en Aceptar para guardar

Con PowerShell

Como alternativa, conceda permisos mediante PowerShell. Asegúrese de reemplazar el nombre de la cuenta de servicio por la cuenta de servicio real del escáner.

# Get the certificate
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=PurviewScanner" }

# Get the private key file path
$privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPath = $privateKey.Key.UniqueName
$fullKeyPath = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$keyPath"

# Get current ACL
$acl = Get-Acl $fullKeyPath

# Add read permission for the scanner service account
$serviceAccount = "CONTOSO\ScannerService"  # Replace with your scanner service account
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceAccount, "Read", "Allow")
$acl.AddAccessRule($accessRule)

# Apply the updated ACL
Set-Acl $fullKeyPath $acl

Paso 3: Cargar el certificado en Microsoft Entra

Registre la clave pública del certificado con el registro de la aplicación que usa el escáner.

Para obtener instrucciones detalladas sobre cómo cargar un certificado en un registro de la aplicación Microsoft Entra, consulte Registro de un certificado con Microsoft Entra.

Después de cargar, anote la huella digital del certificado que se muestra en el portal: debe coincidir con la huella digital del paso 1.

Paso 4: Configurar el escáner para utilizar la autenticación de certificados

Use el Set-Authentication cmdlet con parámetros de certificado en lugar del -AppSecret parámetro.

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate thumbprint
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateThumbprint "your-certificate-thumbprint" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

La cadena de certificados se valida automáticamente para los certificados emitidos por una CA de confianza. Si se produce un error en la validación, asegúrese de lo siguiente:

  • El certificado raíz de la entidad de certificación se encuentra en el almacén de entidades de certificación raíz de confianza
  • Los certificados de CA intermedios se encuentran en el almacén de Entidades de certificación intermedias

Nota:

Si usa un certificado autofirmado, agregue el parámetro para omitir la validación en cadena, que producirá un error en los -SkipCertificateChainValidation certificados autofirmados.

Autenticarse con el nombre del firmante del certificado

Como alternativa, puede especificar el certificado por su nombre de firmante:

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate subject name
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateSubjectName "PurviewScanner" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

Nota:

Si usa un certificado autofirmado, agregue el parámetro para omitir la validación en cadena, que producirá un error en los -SkipCertificateChainValidation certificados autofirmados.

Referencia de parámetros

Parámetro Description
-CertificateThumbprint Huella digital SHA-1 del certificado que se va a usar para la autenticación. No se puede usar con -CertificateSubjectName.
-CertificateSubjectName Nombre del firmante (CN) del certificado que se va a usar para la autenticación. No se puede usar con -CertificateThumbprint.
-CertificateStoreLocation La ubicación del almacén de certificados. Utilícelo LocalMachine para el servicio de análisis. Valores válidos: CurrentUser, LocalMachine. Valor predeterminado: CurrentUser.
-CertificateStoreName Nombre del almacén de certificados. Valor predeterminado: My (Almacén personal).
-SkipCertificateChainValidation Omite la validación de la cadena de certificados. Necesario para certificados autofirmados.

Solución de problemas

Error "El conjunto de claves no existe"

Este error suele indicar uno de los siguientes problemas:

  1. Permisos de clave privada: la cuenta de servicio del escáner no tiene acceso de lectura a la clave privada del certificado. Consulte el Paso 2 para conceder permisos.

  2. Proveedor de CNG: el certificado se creó con un proveedor de CNG en lugar de un proveedor RSA. Vuelva a crear el certificado con el -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" parámetro.

Error "Certificado no encontrado"

Compruebe que:

  • La huella digital o el nombre del asunto son correctos
  • El certificado está en el almacén especificado (LocalMachine\My de forma predeterminada)
  • El certificado no ha caducado

Error "No se pudo crear una cadena de certificados"

Para certificados autofirmados, use el -SkipCertificateChainValidation parámetro. En el caso de los certificados emitidos por las CA, asegúrese de que la cadena de certificados completa (incluidas las CA intermedias) está instalada en el servidor.

401 Error no autorizado o "invalid_client"

Compruebe que:

  • La clave pública del certificado se carga en el registro correcto de la aplicación Microsoft Entra
  • El identificador de registro de la aplicación coincide con el -AppId parámetro
  • El certificado no ha caducado
  • El id. del inquilino es correcto

Migración de la autenticación de secretos a la autenticación de certificados

Para migrar un escáner existente de la autenticación basada en secretos a la basada en certificados:

  1. Cree y configure el certificado como se ha descrito anteriormente
  2. Ejecutar Set-Authentication con los parámetros de certificado
  3. La nueva configuración de autenticación sobrescribirá la configuración anterior basada en secretos
  4. Reinicie el servicio del escáner
# Restart the scanner service after changing authentication
Restart-Service -Name "Microsoft Purview Information Protection Scanner"

Vea también

Cmdlets de PowerShell admitidos

En esta sección se enumeran los cmdlets de PowerShell compatibles con el examen de protección de la información y las instrucciones para configurar e instalar el examen solo con PowerShell.

Entre los cmdlets admitidos para el escáner se incluyen:

Pasos siguientes

Una vez que haya instalado y configurado el escáner, empiece a analizar los archivos.

  • Última actualización el