Prise en main du scanner Information Protection

Remarque

Il existe une nouvelle version du scanner de protection des informations. Pour plus d’informations, consultez Mettre à niveau le scanner Protection des données Microsoft Purview.

Avant d’installer le scanner à partir de la Protection des données Microsoft Purview, assurez-vous que votre système est conforme à la configuration requise pour le service Azure Rights Management.

De plus, les exigences suivantes sont spécifiques au scanner :

Si vous ne pouvez pas répondre à toutes les exigences répertoriées pour le scanner car elles sont interdites par les stratégies de votre organization, consultez la section Configurations alternatives.

Lors du déploiement du scanner en production ou du test des performances de plusieurs scanners, consultez Configuration requise pour le stockage et planification de la capacité pour SQL Server.

Lorsque vous êtes prêt à commencer à installer et à déployer votre scanner, passez à la section Configuration et installation du scanner de protection des informations.

Configuration requise pour Windows Server

Vous devez disposer d’un ordinateur Windows Server pour exécuter l’analyseur, qui a les spécifications système suivantes :

Spécification Détails
Processeur Processeurs 4 cœurs
Mémoire RAM 8 Go
Espace disque 10 Go d’espace libre (en moyenne) pour les fichiers temporaires.

Le scanneur a besoin d’un espace disque suffisant pour créer des fichiers temporaires pour chaque fichier qu’il analyse, quatre fichiers par cœur.

L’espace disque recommandé de 10 Go permet à 4 processeurs principaux d’analyser 16 fichiers d’une taille de fichier de 625 Mo chacun.
Système d’exploitation Version 64 bits de Windows Server prise en charge dans le cadre de la politique de cycle de vie Microsoft, y compris les versions en support étendu. Pour vérifier si une version spécifique est prise en charge, consultez les informations de version de Windows Server.

Remarque : Pour les tests ou l’évaluation dans un environnement hors production, vous pouvez également utiliser n’importe quel système d’exploitation Windows pris en charge par le client Information Protection.

Server Core et Nano Server ne sont pas pris en charge.
- Connectivité réseau Votre ordinateur de numérisation peut être un ordinateur physique ou virtuel avec une connexion réseau rapide et fiable aux magasins de données à analyser.

Si la connectivité Internet n’est pas possible en raison des stratégies de votre organisation, consultez Déploiement du scanner avec d’autres configurations.

Sinon, assurez-vous que cet ordinateur dispose d’une connectivité Internet qui autorise les URL suivantes sur HTTPS (port 443) :

- *.aadrm.com
- *.azurerms.com
- *.informationprotection.azure.com
- informationprotection.hosting.portal.azure.net
- *.aria.microsoft.com
- *.protection.outlook.com
- *.events.data.microsoft.com
- config.edge.skype.com
Partages NFS Pour prendre en charge les analyses sur des partages NFS, les services pour NFS doivent être déployés sur l’ordinateur de scanneur.

Sur votre ordinateur, accédez à la boîte de dialogue de paramètres des fonctionnalités Windows (activer ou désactiver des fonctionnalités Windows), puis sélectionnez les éléments suivants : Services pouroutils administratifsNFS> et Client pour NFS.
Microsoft Office iFilter Lorsque votre scanner est installé sur un ordinateur Windows Server, vous devez également installer Microsoft Office iFilter afin d’analyser .zip fichiers afin d’identifier les types d’informations sensibles.

Pour plus d’informations, consultez le site de téléchargement de Microsoft.

Configuration requise pour les comptes de service

Vous devez disposer d’un compte de service pour exécuter le service du scanner sur l’ordinateur Windows Server, ainsi que vous authentifier auprès de Microsoft Entra ID et télécharger la stratégie du scanner.

Votre compte de service doit être un compte Active Directory et synchronisé avec Microsoft Entra ID.

Si vous ne pouvez pas synchroniser ce compte en raison de vos stratégies organization, consultez Déploiement de l’analyseur avec d’autres configurations.

Ce compte de service a les exigences suivantes :

Conditions requises Détails
Ouvrir une session localement Attribution des droits d’utilisateur Nécessaire pour installer et configurer l’analyseur, mais pas pour exécuter des analyses.

Une fois que vous avez confirmé que le scanneur peut découvrir, classer et protéger des fichiers, vous pouvez supprimer ce droit du compte de service.

Si l’octroi de ce droit, même pour une courte période, n’est pas possible en raison de vos stratégies de organization, consultez Déploiement de l’analyseur avec d’autres configurations.
Ouvrir une session en tant qu’attribution des droits d’utilisateur de service. Ce droit est automatiquement accordé au compte de service pendant l’installation du scanner. Ce droit est requis pour l’installation, la configuration et le fonctionnement du scanner.
Autorisations sur les référentiels de données - Partages de fichiers ou fichiers locaux : accordez les autorisations de lecture, d’écriture et de modification pour analyser les fichiers, puis appliquer la classification et la protection configurées.

- SharePoint : vous devez accorder les autorisations Contrôle total pour l’analyse des fichiers, puis l’application de la classification et de la protection aux fichiers qui répondent aux conditions de la stratégie Azure Information Protection.

- Mode découverte : pour exécuter le scanner en mode découverte uniquement, l’autorisation de lecture est suffisante.
Pour les étiquettes qui reprotègent ou suppriment la protection Pour vous assurer que le scanneur a toujours accès aux fichiers chiffrés, faites de ce compte un super utilisateur pour le service Azure Rights Management et assurez-vous que la fonctionnalité de super utilisateur est activée.

En outre, si vous avez implémenté des contrôles d’intégration pour un déploiement par phases, assurez-vous que le compte de service est inclus dans les contrôles d’intégration que vous avez configurés.
Analyse au niveau de l’URL spécifique Pour analyser et découvrir des sites et sous-sites sous une URL spécifique, accordez des droits d’auditeur de collecteur de site au compte d’analyseur au niveau de la batterie de serveurs.
Licence pour la protection des informations Obligatoire pour fournir des fonctionnalités de classification, d’étiquetage ou de protection de fichier au compte de service scanneur.

Pour plus d’informations, consultez les instructions de Microsoft 365 relatives à la sécurité & à la conformité.

Configuration requise pour SQL Server

Pour stocker les données de configuration du scanneur, utilisez un serveur SQL ayant les exigences suivantes :

  • Une instance locale ou distante.

    Nous vous recommandons d’héberger SQL Server et le service de scanneur sur différents ordinateurs, sauf si vous travaillez avec un petit déploiement. En outre, nous vous recommandons de disposer d’une instance SQL dédiée qui sert uniquement la base de données du scanner et qui n’est pas partagée avec d’autres applications.

    Si vous travaillez sur un serveur partagé, assurez-vous que le nombre recommandé de cœurs est disponible pour que la base de données de l’analyseur fonctionne.

    SQL Server 2016 est la version minimale pour les éditions suivantes :

    • SQL Server Enterprise

    • SQL Server Standard

    • SQL Server Express (recommandé pour les environnements de test uniquement)

  • Un compte avec le rôle Sysadmin pour installer l’analyseur.

    Le rôle Sysadmin permet au processus d’installation de créer automatiquement la base de données de configuration de l’analyseur et d’accorder le rôle db_owner requis au compte de service qui exécute l’analyseur.

    Si le rôle Sysadmin ne peut pas vous être accordé ou si les stratégies de votre organisation nécessitent la création et la configuration manuelles des bases de données, consultez Déploiement de l’analyseur avec d’autres configurations.

  • Capacité. Pour obtenir des instructions sur la capacité, consultez Configuration requise pour le stockage et planification de la capacité pour SQL Server.

  • Classement non respect de la casse.

Remarque

Plusieurs bases de données de configuration sur le même serveur SQL Server sont prises en charge lorsque vous spécifiez un nom de cluster personnalisé pour le scanneur ou lorsque vous utilisez la préversion du scanneur.

Configuration requise et planification de la capacité de stockage pour SQL Server

La quantité d’espace disque requise pour la base de données de configuration du scanneur et les spécifications de l’ordinateur exécutant SQL Server peuvent varier pour chaque environnement. Nous vous encourageons donc à effectuer vos propres tests. Utilisez les conseils suivants comme point de départ.

Pour plus d’informations, voir Optimisation des performances du scanner.

La taille du disque pour la base de données de configuration du scanner varie en fonction de chaque déploiement. Utilisez l’équation suivante comme guide :

100 KB + <file count> *(1000 + 4* <average file name length>)

Par exemple, pour analyser 1 million de fichiers dont la longueur moyenne des noms de fichiers est de 250 octets, allouez 2 Go d’espace disque.

Pour plusieurs scanners :

  • Jusqu’à 10 scanners, utilisez :

    • Processeurs 4 cœurs
    • 8 Go de RAM recommandés

  • Plus de 10 scanners (maximum 40), utilisez :

    • 8 processus de base
    • 16 Go de RAM recommandés

Configuration requise pour le client Protection des informations

Pour un réseau de production, la version de disponibilité générale actuelle du client Protection des données Microsoft Purview doit être installée sur l’ordinateur Windows Server.

Pour plus d’informations, reportez-vous à la section Installer ou mettre à niveau le client Information Protection.

Importante

Vous devez installer le client complet pour le scanner. N’installez pas le client avec le module PowerShell uniquement.

Exigences de configuration des étiquettes

Vous devez avoir au moins une étiquette de confidentialité configurée dans le portail Microsoft Purview pour le compte du scanner, afin d’appliquer la classification et, éventuellement, le chiffrement.

Le compte du scanner est le compte que vous spécifiez dans le paramètre DelegatedUser de l’applet de commande Set-Authentication , exécuté lors de la configuration de votre scanner.

Si vos étiquettes n’ont pas de conditions d’étiquetage automatique, consultez les instructions sur les configurations alternatives ci-dessous.

Pour plus d’informations, reportez-vous aux rubriques suivantes :

Configuration requise pour SharePoint

Pour analyser des bibliothèques de documents et des dossiers SharePoint, assurez-vous que votre serveur SharePoint respecte les exigences suivantes :

Conditions requises Description
Versions prises en charge SharePoint Server Édition d’abonnement (SPSE) en support étendu. Pour plus d’informations, voir la stratégie de support de SharePoint Server mise à jour de la stratégie de maintenance de produit pour SharePoint Server SE.
Contrôle de version Lorsque vous utilisez le contrôle de version, le scanneur inspecte et étiquette la dernière version publiée.

Si le scanneur étiquette un fichier et que l’approbation du contenu est requise, ce fichier étiqueté doit être approuvé pour être disponible pour les utilisateurs.
Batteries de serveurs SharePoint volumineuses Pour les batteries de serveurs SharePoint de grande taille, faites en case activée si vous devez augmenter le seuil d’affichage de liste (par défaut, 5 000) pour que le scanneur accède à tous les fichiers.

Pour plus d’informations, voir Gérer des listes et des bibliothèques volumineuses dans SharePoint.
Chemins d’accès aux fichiers longs Si vous avez de longs chemins d’accès aux fichiers dans SharePoint, assurez-vous que la valeur httpRuntime.maxUrlLength de votre serveur SharePoint est supérieure aux 260 caractères par défaut.

Pour plus d’informations, consultez la section suivante, Éviter les délais d’expiration du scanner dans SharePoint.

Éviter les délais d’attente du scanner dans SharePoint

Si vous avez des longs chemins d’accès aux fichiers dans SharePoint version 2013 ou ultérieure, assurez-vous que la valeur httpRuntime.maxUrlLength de votre serveur SharePoint est supérieure aux 260 caractères par défaut.

Cette valeur est définie dans la classe HttpRuntimeSection de la ASP.NET configuration.

Pour mettre à jour la classe HttpRuntimeSection :

  1. Sauvegardez la configuration de votreweb.config .

  2. Mettez à jour la valeur maxUrlLength selon vos besoins. Par exemple :

    <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

  3. Redémarrez votre serveur web SharePoint et vérifiez qu’il se charge correctement.

    Par exemple, dans le Gestionnaire des Serveurs Internet (IIS) de Windows, sélectionnez votre site, puis sous Gérer le site Web, sélectionnez Redémarrer.

Configuration requise pour Microsoft Office

Pour numériser des documents Office, ceux-ci doivent être dans l’un des formats suivants :

  • Microsoft Office 97-2003
  • Formats Office Open XML pour Word, Excel et PowerPoint

Pour plus d’informations, consultez Types de fichiers pris en charge.

Exigences relatives au chemin d’accès au fichier

Par défaut, pour analyser des fichiers, vos chemins d’accès aux fichiers doivent comporter un maximum de 260 caractères.

Pour analyser des fichiers dont le chemin des fichiers comporte plus de 260 caractères, installez le scanner sur un ordinateur doté de l’une des versions suivantes de Windows et configurez l’ordinateur en fonction des besoins :

Version de Windows Description
Windows 2016 ou version ultérieure Configurer l’ordinateur pour qu’il prenne en charge les longs chemins
Windows 10 ou Windows Server 2016 Définissez le paramètre de stratégie de groupe suivant : Stratégie> de l’ordinateur localConfiguration de l’ordinateur Modèles>>d’administrationTous les paramètres>Activez les chemins longs Win32.

Pour plus d’informations sur la prise en charge des chemins d’accès longs dans ces versions, consultez la section Limitation de la longueur maximale du chemin d’accès dans la documentation du développeur Windows 10.
Windows 10, version 1607 ou ultérieure Activez la fonctionnalité MAX_PATH mise à jour. Pour plus d’informations, voir Activer les chemins longs dans Windows 10 versions 1607 et ultérieures.

Déploiement de l’analyseur avec d’autres configurations

Les conditions préalables répertoriées ci-dessus sont les exigences par défaut pour le déploiement de l’analyseur et sont recommandées car elles prennent en charge la configuration la plus simple de l’analyseur.

Les exigences par défaut doivent être adaptées aux tests initiaux, afin que vous puissiez vérifier les capacités du scanner dans une case activée.

Toutefois, dans un environnement de production, les stratégies de votre organisation peuvent être différentes des exigences par défaut. Le scanner peut prendre en charge les modifications suivantes avec une configuration supplémentaire :

Découvrez et analysez tous les sites et sous-sites SharePoint sous une URL spécifique

Le scanneur peut détecter et analyser tous les sites et sous-sites SharePoint sous une URL spécifique avec la configuration suivante :

  1. Démarrez l’Administration centrale de SharePoint.

  2. Sur le site Web Administration centrale de SharePoint , dans la section Gestion des applications , cliquez sur Gérer les applications web.

  3. Cliquez pour mettre en surbrillance l’application web dont vous souhaitez gérer le niveau de stratégie d’autorisation.

  4. Choisissez la batterie appropriée, puis sélectionnez Gérer les niveaux de stratégie d’autorisations.

  5. Sélectionnez Vérificateur de collection de sites dans les options Autorisations de la collection de sites , puis accordez Afficher les pages de l’application dans la liste Autorisations, et enfin, nommez le nouveau niveau de stratégie Analyseur de collection de sites Auditeur et visionneuse.

  6. Ajoutez l’utilisateur de votre scanneur à la nouvelle stratégie et accordez la collection de sites dans la liste Autorisations.

  7. Ajoutez une URL de SharePoint qui héberge les sites ou sous-sites à analyser. Pour plus d’informations, consultez Configurer les paramètres du scanner.

Pour en savoir plus sur la gestion de vos niveaux de stratégie SharePoint, consultez Gérer les stratégies d’autorisation pour une application web.

Restriction : le serveur de scanneur ne peut pas avoir de connectivité Internet

Bien que le client Information Protection ne puisse pas appliquer le chiffrement sans connexion Internet, le scanneur peut toujours appliquer des étiquettes basées sur les stratégies importées.

Pour prendre en charge un ordinateur déconnecté, appliquez l’une des méthodes suivantes :

Utiliser le portail Microsoft Purview avec un ordinateur déconnecté

Pour prendre en charge un ordinateur qui ne peut pas se connecter au portail Microsoft Purview, procédez comme suit :

  1. Configurez des étiquettes dans votre stratégie, puis utilisez la procédure pour prendre en charge les ordinateurs déconnectés afin d’activer la classification et l’étiquetage hors ligne.

  2. Activez la gestion hors connexion pour les travaux de contenu comme suit :

    Activez la gestion hors connexion pour les tâches d’analyse de contenu :

    1. Configurez le scanner pour qu’il fonctionne en mode hors connexion , à l’aide de l’applet de commande Set-ScannerConfiguration .

    2. Configurez le scanner dans le portail Microsoft Purview en créant un cluster de scanner. Pour plus d’informations, consultez Configurer les paramètres du scanner.

    3. Exportez votre tâche de contenu depuis le volet Protection des informations - Tâches d’analyse de contenu à l’aide de l’option Exporter .

    4. Importez la stratégie à l’aide de l’applet de commande Import-ScannerConfiguration .

    Les résultats des tâches d’analyse de contenu hors connexion se trouvent dans : %localappdata %\Microsoft\MSIP\Scanner\Reports

Utiliser PowerShell avec un ordinateur déconnecté

Effectuez la procédure suivante pour prendre en charge un ordinateur déconnecté à l’aide de PowerShell uniquement.

Importante

Les administrateurs des scanneurs Azure China 21Vianetdoivent utiliser cette procédure afin de gérer leurs tâches d’analyse de contenu.

Gérez vos tâches d’analyse de contenu à l’aide de PowerShell uniquement :

  1. Configurez le scanner pour qu’il fonctionne en mode hors connexion , à l’aide de l’applet de commande Set-ScannerConfiguration .

  2. Créez une tâche d’analyse de contenu à l’aide de l’applet de commande Set-ScannerContentScan , en veillant à utiliser le paramètre obligatoire -Enforce On .

  3. Ajoutez vos référentiels à l’aide de l’applet de commande Add-ScannerRepository , avec le chemin d’accès au référentiel que vous souhaitez ajouter.

    Conseil

    Pour empêcher le référentiel d’hériter des paramètres de votre tâche d’analyse de contenu, ajoutez le paramètre, ainsi que les OverrideContentScanJob On valeurs des paramètres supplémentaires.

    Pour modifier les détails d’un référentiel existant, utilisez la commande Set-ScannerRepository .

  4. Utilisez les applets de commande Get-ScannerContentScan et Get-ScannerRepository pour renvoyer des informations sur les paramètres actuels de votre tâche d’analyse de contenu.

  5. Utilisez la commande Set-ScannerRepository pour mettre à jour les détails d’un référentiel existant.

  6. Exécutez votre tâche d’analyse de contenu immédiatement si nécessaire, à l’aide de l’applet de commande Start-Scan .

    Les résultats des tâches d’analyse de contenu hors connexion se trouvent dans : %localappdata %\Microsoft\MSIP\Scanner\Reports

  7. Si vous devez supprimer un référentiel ou une tâche d’analyse de contenu entière, utilisez les applets de commande suivantes :

Restriction : Vous ne pouvez pas être accordé Sysadmin ou les bases de données doivent être créées et configurées manuellement

Suivez les procédures suivantes pour créer manuellement des bases de données et octroyer le rôle db_owner , le cas échéant.

Si vous pouvez obtenir temporairement le rôle Sysadmin pour installer le scanneur, vous pouvez le supprimer une fois l’installation du scanneur terminée.

Selon les besoins de votre organisation, effectuez l’une des opérations suivantes :

Restriction Description
Vous pouvez avoir le rôle Sysadmin temporairement Si vous disposez temporairement du rôle Sysadmin, la base de données est automatiquement créée pour vous et le compte de service de l’analyseur reçoit automatiquement les autorisations requises.

Toutefois, le compte d’utilisateur qui configure le scanner a besoin du rôle db_owner pour la base de données de configuration du scanner. Si vous n’avez le rôle Sysadmin que jusqu’à la fin de l’installation du scanneur, accordez manuellement le rôle db_owner au compte utilisateur.
Vous ne pouvez pas du tout avoir le rôle d’administrateur système Si vous ne pouvez pas obtenir le rôle d’administrateur système, même temporairement, vous devez demander à un utilisateur disposant des droits d’administrateur système de créer manuellement une base de données avant d’installer l’analyseur.

Pour cette configuration, le rôle de db_owner doit être attribué aux comptes suivants :
- Compte de service pour le scanner
- Compte utilisateur pour l’installation du scanner
- Compte utilisateur pour la configuration du scanner

En règle générale, vous utilisez le même compte d’utilisateur pour installer et configurer le scanner. Si vous utilisez différents comptes, ils nécessitent tous les deux le rôle db_owner pour la base de données de configuration de l’analyseur. Créez cet utilisateur et les droits nécessaires. Si vous spécifiez votre propre nom de cluster, la base de données de configuration est nommée AIPScannerUL_<cluster_name>.

De plus :

  • Vous devez être un administrateur local sur le serveur qui exécutera le scanneur

  • Le compte de service qui exécutera l’analyseur doit disposer des autorisations Contrôle total pour les clés de Registre suivantes :

    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Si, après avoir configuré ces autorisations, une erreur se produit lors de l’installation de l’analyseur, l’erreur peut être ignorée et vous pouvez démarrer manuellement le service de scanneur.

Création manuelle d’une base de données et d’un utilisateur pour l’analyseur, et octroi de droits db_owner

Si vous devez créer manuellement votre base de données de scanneur et/ou créer un utilisateur et accorder des droits db_owner sur la base de données, demandez à votre administrateur système d’effectuer les étapes suivantes :

  1. Créez une base de données pour le scanner :

    **CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

  2. Accordez des droits à l’utilisateur qui exécute la commande d’installation et qui est utilisé pour exécuter les commandes de gestion de l’analyseur. Utilisez le script suivant :

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

  3. Accorder des droits au compte de service de scanner. Utilisez le script suivant :

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

Restriction : le compte de service pour le scanner ne peut pas se voir accorder le droit Ouvrir une session localement

Si les stratégies de votre organisation interdisent le droit d’ouverture de session locale pour les comptes de service, utilisez le paramètre OnBehalfOf avec Set-Authentication.

Pour plus d’informations, voir Exécuter les applets de commande d’étiquetage de la protection des informations sans assistance.

Restriction : le compte de service du scanner ne peut pas être synchronisé avec Microsoft Entra ID, mais le serveur dispose d’une connectivité Internet

Vous pouvez avoir un compte pour exécuter le service scanner et utiliser un autre compte pour vous authentifier auprès de Microsoft Entra ID :

Restriction : vos étiquettes n’ont pas de conditions d’étiquetage automatique

Si vos étiquettes n’ont pas de conditions d’étiquetage automatique, prévoyez d’utiliser l’une des options suivantes lors de la configuration de votre scanner :

Option Description
Découvrir tous les types d’informations Dans votre tâche d’analyse de contenu, définissez l’option Types d’informations à découvrir sur Tous.

Cette option définit le travail d’analyse de contenu pour analyser votre contenu pour tous les types d’informations sensibles.
Utiliser l’étiquetage recommandé Dans votre tâche d’analyse de contenu, définissez l’option Traiter l’étiquetage recommandé comme automatique sur Activé.

Ce paramètre configure le scanneur pour appliquer automatiquement toutes les étiquettes recommandées à votre contenu.
Définir une étiquette par défaut Définissez une étiquette par défaut dans votre stratégie, votre tâche d’analyse de contenu ou votre référentiel.

Dans ce cas, le scanneur applique l’étiquette par défaut sur tous les fichiers trouvés.

Étapes suivantes

Une fois que vous avez confirmé que votre système est conforme aux conditions préalables de l’analyseur, passez à la section Configuration et installation de l’analyseur de protection des informations.

Pour une vue d’ensemble du scanner, consultez En savoir plus sur le scanner de protection des informations.

  • Dernière mise à jour :