Configurer et installer le scanner Information Protection

Cet article explique comment configurer et installer le scanner Protection des données Microsoft Purview, anciennement appelé scanner Azure Information Protection’étiquetage unifié ou le scanner local.

Conseil

Bien que la plupart des clients effectuent ces procédures dans le portail d’administration, il se peut que vous deviez travailler uniquement dans PowerShell.

Par exemple, si vous travaillez dans un environnement sans accès au portail d’administration, tel qu’Azure China 21Vianet, suivez les instructions de la section Utiliser PowerShell pour configurer l’analyseur.

Vue d’ensemble

Avant de commencer, vérifiez que votre système est conforme aux conditions préalables requises.

Ensuite, procédez comme suit pour configurer et installer le scanner :

Configurer les paramètres du scanner
Installer le scanner
Obtenir un jeton Microsoft Entra pour le scanner
Configurer l’analyseur pour appliquer la classification et la protection

Ensuite, effectuez les procédures de configuration suivantes selon vos besoins pour votre système :

Procedure	Description
Modifier les types de fichiers à protéger	Vous souhaitez analyser, classer ou protéger des types de fichiers différents de ceux par défaut. Pour plus d’informations, voir Le processus d’analyse.
Mise à niveau de votre scanner	Mettez à niveau votre scanner pour utiliser les dernières fonctionnalités et améliorations.
Modification des paramètres d’un référentiel de données en bloc	Utilisez les options d’importation et d’exportation pour apporter des modifications en bloc pour plusieurs référentiels de données.
Utilisation du scanner avec d’autres configurations	Utiliser le scanner sans configurer d’étiquettes avec des conditions
Optimiser les performances	Conseils pour optimiser les performances de votre scanner

Si vous n’avez pas accès aux pages du scanner dans le portail Microsoft Purview, configurez les paramètres du scanner dans PowerShell uniquement. Pour plus d’informations, consultez Utiliser PowerShell pour configurer l’analyseur et les applets de commande PowerShell prises en charge.

Configurer les paramètres du scanner

Avant d’installer le scanner ou de le mettre à niveau à partir d’une ancienne version de disponibilité générale, configurez ou vérifiez les paramètres de votre scanner. Pour cette configuration, vous pouvez utiliser le portail Microsoft Purview.

Pour configurer votre scanner dans le portail Microsoft Purview :

Connectez-vous à l’aide de l’un des rôles suivants :

Administrateur de conformité
- Administrateur des données de conformité
- Administrateur de la sécurité
- Gestion de l'organisation

Connectez-vous au portail> Microsoft PurviewParamètres carte >Information Protection>Scanner de protection des informations.
Créez un cluster de scanneurs. Ce cluster définit votre analyseur et est utilisé pour identifier l’instance de l’analyseur, par exemple pendant l’installation, les mises à niveau et d’autres processus.
Créez un travail d’analyse de contenu pour définir les référentiels que vous souhaitez analyser.

Créer un cluster de scanneurs

Pour créer un cluster d’analyseurs dans le portail Microsoft Purview :

Dans les onglets de la page Analyseur de protection des informations , sélectionnez Clusters.
Sous l’onglet Clusters, sélectionnez Ajouter une .
Dans le volet Nouveau cluster , entrez un nom significatif pour l’analyseur et une description facultative.

Le nom du cluster est utilisé pour identifier les configurations et les référentiels de l’analyseur. Par exemple, vous pouvez entrer l’Europe pour identifier les emplacements géographiques des référentiels de données que vous souhaitez analyser.

Vous utiliserez ce nom ultérieurement pour identifier l’emplacement où vous souhaitez installer ou mettre à niveau votre scanner.
Sélectionnez Enregistrer pour enregistrer vos modifications.

Créer un travail d’analyse de contenu

Plongez dans votre contenu pour analyser des référentiels spécifiques à la recherche de contenu sensible.

Pour créer votre tâche d’analyse de contenu sur le portail Microsoft Purview :

Dans les onglets de la page Analyseur de protection des informations , sélectionnez Tâches d’analyse de contenu.
Dans le volet Tâches d’analyse de contenu , sélectionnez Ajouter.

Pour cette configuration initiale, configurez les paramètres suivants, puis sélectionnez Enregistrer.

Setting	Description
Paramètres de tâche d’analyse de contenu	- Planification : Conservez la valeur par défaut de Manuel - Types d’informations à découvrir : Passer à la stratégie uniquement
Stratégie DLP	Si vous utilisez une stratégie de protection contre la perte de données, définissez Activer les règles DLP sur Activé. Pour plus d’informations, consultez Utiliser une stratégie DLP.
Stratégie de sensibilité	- Appliquer la stratégie d’étiquetage de sensibilité : Sélectionner Désactivé - Étiqueter les fichiers en fonction du contenu : Conservez la valeur par défaut Sur - Étiquette par défaut : Conserver la valeur par défaut de la stratégie par défaut - Réétiqueter les fichiers : conservez la valeur par défaut de Désactivé
Configurer les paramètres de fichier	- Conserver la « Date de modification », la « Dernière modification » et « Modifié par » : Conservez la valeur par défaut de On - Types de fichiers à analyser : Conservez les types de fichiers par défaut pour Exclure - Propriétaire par défaut : conserver la valeur par défaut du compte scanner - Définir le propriétaire du référentiel : utilisez cette option uniquement lorsque vous utilisez une stratégie DLP.

Ouvrez la tâche d’analyse de contenu qui a été enregistrée, puis sélectionnez l’onglet Dépôts pour spécifier les magasins de données à analyser.

Spécifiez les chemins d’accès UNC et les URL SharePoint Server pour les bibliothèques de documents et les dossiers SharePoint en local.

Remarque

SharePoint Server Édition d’abonnement (SPSE) avec une mise à jour publique (PU) en support étendu sont pris en charge pour SharePoint. Pour plus d’informations, voir la stratégie de support de SharePoint Server mise à jour de la stratégie de maintenance de produit pour SharePoint Server SE.

Pour ajouter votre premier magasin de données, sous l’onglet Dépôts :

Dans le volet Dépôts , sélectionnez Ajouter :
Dans le volet Référentiel , spécifiez le chemin du référentiel de données, puis sélectionnez Enregistrer.
- Pour un partage réseau, utilisez \\Server\Folder.
- Pour une bibliothèque SharePoint, utilisez http://sharepoint.contoso.com/Shared%20Documents/Folder.
- Pour un chemin d’accès local : C:\Folder
- Pour un chemin d’accès UNC : \\Server\Folder

Remarque

Les caractères génériques ne sont pas pris en charge et les emplacements WebDav ne sont pas pris en charge. L’analyse d’emplacements OneDrive en tant que référentiels n’est pas prise en charge.

Si vous ajoutez un chemin d’accès SharePoint pour les documents partagés :

Spécifiez Documents partagés dans le chemin d’accès lorsque vous souhaitez analyser tous les documents et tous les dossiers à partir de Documents partagés. Par exemple : http://sp013/SharedDocuments
Spécifiez les documents dans le chemin d’accès lorsque vous souhaitez analyser tous les documents et tous les dossiers à partir d’un sous-dossier sous Documents partagés. Par exemple : http://sp013/Documents/SalesReports
Vous pouvez également spécifier uniquement la FQDN de votre SharePoint, par exemple http://sp013 pour découvrir et analyser tous les sites et sous-sites SharePoint sous une URL spécifique et des sous-titres sous cette URL. Accordez des droits d’auditeur de collecteur de site au scanner pour l’activer.

Pour les autres paramètres de ce volet, ne les modifiez pas pour cette configuration initiale, mais conservez-les comme contenu par défaut du travail d’analyse. Le paramètre par défaut signifie que le référentiel de données hérite des paramètres de la tâche d’analyse de contenu.

Utilisez la syntaxe suivante lors de l’ajout de chemins d’accès SharePoint :

Chemin	Syntaxe
Chemin racine	`http://<SharePoint server name>` Analyse tous les sites, y compris les collections de sites autorisées pour l’utilisateur du scanneur. Nécessite des autorisations supplémentaires pour découvrir automatiquement le contenu racine
Sous-site ou collection SharePoint spécifique	Un des éléments suivants : - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>` Nécessite des autorisations supplémentaires pour découvrir automatiquement le contenu de la collection de sites
Bibliothèque SharePoint spécifique	Un des éléments suivants : - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
Dossier SharePoint spécifique	`http://<SharePoint server name>/.../<folder name>`

Répétez les étapes précédentes pour ajouter autant de référentiels que nécessaire.

Vous êtes maintenant prêt à installer le scanner avec le travail du scanner de contenu que vous avez créé. Continuez avec Installer le scanner.

Installer le scanner

Une fois que vous avez configuré le scanneur, effectuez les étapes suivantes pour l’installer. Cette procédure est entièrement exécutée dans PowerShell.

Connectez-vous à l’ordinateur Windows Server qui exécutera l’analyseur. Utilisez un compte disposant des droits d’administrateur local et des autorisations nécessaires pour écrire dans la base de données SQL Server master.

Importante

Vous devez avoir installé le client de protection des informations sur votre ordinateur avant d’installer le scanner.

Pour plus d’informations, consultez l’article Conditions préalables à l’installation et au déploiement du scanner Information Protection.
Ouvrez une session Windows PowerShell avec l’option Exécuter en tant qu’administrateur.
Exécutez l’applet de commande Install-Scanner en spécifiant votre SQL Server instance sur laquelle créer une base de données pour l’analyse de protection des informations et le nom du cluster de l’analyseur que vous avez spécifié dans la section précédente :
```
Install-Scanner -SqlServerInstance <name> -Cluster <cluster name>
```
Exemples, en utilisant le nom du cluster de scanners de l’Europe :
- Pour une instance par défaut :Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe
- Pour une instance nommée :Install-Scanner -SqlServerInstance SQLSERVER1\SCANNER -Cluster Europe
- Pour SQL Server Express :Install-Scanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Cluster Europe
Lorsque vous y êtes invité, indiquez les informations d’identification Active Directory pour le compte de service du scanner.

Utilisez la syntaxe suivante : domain\username. Par exemple : contoso\scanneraccount

Importante

À cette invite, entrez l’identité Windows locale au DOMAIN\username format (pas un UPN tel que scanneraccount@contoso.com). Le programme d’installation a besoin de ce format pour résoudre le SID, accorder l’ouverture de session en tant que service, configurer le compte d’identification du service Windows et accorder des autorisations SQL ; l’utilisation d’un UPN peut entraîner des problèmes ultérieurs de résolution d’identité ou de démarrage de service.

Remarque

Pour activer les fonctionnalités de l’analyseur au niveau du cluster (telles que Custom Reporting) au moment de l’installation, ajoutez le -FeatureSettings paramètre (préversion). Par exemple : Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true}. Pour plus d’informations, voir Contrôle des fonctionnalités du scanner (préversion).
Vérifiez que le service est maintenant installé à l’aide des services Outils>d’administration.

Le service installé est nommé Analyseur de Protection des données Protection des données Microsoft Purview et est configuré pour s’exécuter à l’aide du compte de service de scanneur que vous avez créé.

Maintenant que vous avez installé l’analyseur, vous devez obtenir un jeton Microsoft Entra pour que le compte de service de l’analyseur s’authentifie, afin que l’analyseur puisse s’exécuter sans assistance.

Obtenir un jeton Microsoft Entra pour le scanner

Un jeton Microsoft Entra permet au scanneur de s’authentifier auprès du service de scanneur de protection des données Microsoft Purview, ce qui permet à l’analyseur de s’exécuter sans assistance.

Pour plus d’informations, voir Exécuter les applets de commande d’étiquetage de la protection des informations sans assistance.

Remarque

La prise en charge de l’authentification basée sur les certificats est en préversion publique. Pour plus d’informations, consultez Authentification basée sur les certificats

Pour obtenir un jeton Microsoft Entra :

Accédez au portail Azure, puis accédez au panneau Microsoft Entra ID.
Dans le volet latéral de Microsoft Entra ID, cliquez sur Inscriptions d’applications.
Dans la partie supérieure, cliquez sur + Nouvelle inscription.
Dans la section Nom, tapez InformationProtectionScanner.
Laissez les types de compte pris en charge par défaut.
Pour l’URI de redirection, laissez le type Web, mais tapez http://localhost la partie entrée, puis cliquez sur Enregistrer.
Dans la page Vue d’ensemble de cette application, notez dans l’éditeur de texte de votre choix les ID suivants : ID d’application (client) et ID d’annuaire (locataire). Vous en aurez besoin plus tard lors de la configuration de la commande Set-AIPAuthentication.
Dans le volet latéral, accédez à Certificats et secrets.
Cliquez sur + Nouveau secret client.
Dans la boîte de dialogue qui s’affiche, entrez une description pour votre secret et définissez-le sur Expirer dans 1 an , puis ajoutez le secret.
Vous devriez voir maintenant sous la section des clés secrètes client qu’il existe une entrée avec la valeur secrète. Copiez cette valeur et stockez-la dans le fichier où vous avez enregistré l’ID client et l’ID client. C’est la seule fois où vous pourrez voir la valeur secrète, elle ne sera pas récupérable si vous ne la copiez pas à ce moment-là.
Dans le volet latéral, accédez à Autorisations API.
Continuez et sélectionnez Ajouter une autorisation.
Lorsque l’écran s’affiche, sélectionnez Service Azure Rights Management. Sélectionnez ensuite Autorisations de l’application.
Cliquez sur la liste déroulante pour Contenu et cochez Content.DelegatedReader et Content.DelegatedWriter. Ensuite, en bas de l’écran, cliquez sur Ajouter des autorisations.
Revenez à la section Autorisations de l’API et ajoutez une autre autorisation.
Cette fois, pour la section Sélectionner une API, cliquez sur API utilisées par mon organisation. Dans la barre de recherche, tapez Service de synchronisation Microsoft Information Protection, puis sélectionnez-le.
Sélectionnez Autorisations de l’application , puis, dans la liste déroulante Stratégie unifiée , cochez l’autorisation UnifiedPolicy.Tenant.Read. Ensuite, en bas de l’écran, cliquez sur Ajouter des autorisations.
Retournez sur l’écran Autorisations de l’API, cliquez sur Accorder le consentement Administration et recherchez la réussite de l’opération (indiquée par une coche verte).

Sur l’ordinateur Windows Server, si votre compte de service Scanner dispose du droit Se connecter localement pour l’installation, connectez-vous avec ce compte et démarrez une session PowerShell.

Exécutez set-Authentication, en spécifiant les valeurs que vous avez copiées à partir de l’étape précédente :

Set-Authentication -AppId <ID of the registered app> -AppSecret <client secret sting> -TenantId <your tenant ID> -DelegatedUser <Microsoft Entra account>

Par exemple :

$pscreds = Get-Credential CONTOSO\scanner
Set-Authentication -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -AppSecret "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2" -DelegatedUser scanner@contoso.com -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -OnBehalfOf $pscreds
Acquired application access token on behalf of CONTOSO\scanner.

Conseil

Si votre compte de service du scanner ne peut pas obtenir le droit d’ouverture de session locale pour l’installation, utilisez le paramètre OnBehalfOf avec Set-Authentication, comme décrit dans Exécuter les applets de commande d’étiquetage de la protection des informations sans assistance.

Le scanner dispose maintenant d’un jeton pour s’authentifier auprès de Microsoft Entra ID. Ce jeton est valide pendant un an, deux ans ou jamais, selon votre configuration de la clé secrète client de l’application Web/API dans Microsoft Entra ID. Lorsque le jeton expire, vous devez répéter cette procédure.

Continuez à utiliser l’une des étapes suivantes, selon que vous utilisez le portail Microsoft Purview pour configurer votre scanneur, ou PowerShell uniquement :

Portail d’Administration uniquement
PowerShell uniquement

Vous êtes maintenant prêt à exécuter votre première analyse en mode découverte. Pour plus d’informations, voir Exécuter un cycle de découverte et afficher des rapports pour l’analyseur.

Une fois que vous avez exécuté votre analyse de découverte initiale, passez à Configurer l’analyseur pour appliquer la classification et la protection.

Pour plus d’informations, voir Exécuter les applets de commande d’étiquetage de la protection des informations sans assistance.

Configurer l’analyseur pour appliquer la classification et la protection

Les paramètres par défaut configurent le scanneur pour qu’il s’exécute une seule fois et en mode de rapport uniquement. Pour modifier ces paramètres, modifiez le travail d’analyse de contenu.

Conseil

Si vous travaillez uniquement avec PowerShell, voir Configurer l’analyseur pour appliquer la classification et la protection - PowerShell uniquement.

Pour configurer l’analyseur afin qu’il applique la classification et la protection dans le portail Microsoft Purview :

Dans le portail Microsoft Purview, dans l’onglet Tâches d’analyse de contenu , sélectionnez une tâche d’analyse de contenu spécifique pour la modifier.
Sélectionnez la tâche d’analyse de contenu, modifiez les éléments suivants, puis sélectionnez Enregistrer :
- Dans la section Travail d’analyse de contenu : Changez la planification en Toujours
- Dans la section Appliquer la stratégie d’étiquetage de sensibilité : Définissez la case d’option sur Activé
Assurez-vous qu’un nœud pour la tâche d’analyse de contenu est en ligne, puis redémarrez la tâche d’analyse de contenu en sélectionnant Analyser maintenant. Le bouton Analyser maintenant n’apparaît que lorsqu’un nœud pour la tâche d’analyse de contenu sélectionnée est en ligne.

L’exécution du scanneur est désormais planifiée en continu. Lorsque le scanner parcourt tous les fichiers configurés, il démarre automatiquement un nouveau cycle afin que tous les fichiers nouveaux et modifiés soient découverts.

Utiliser une stratégie DLP

L’utilisation d’une stratégie de protection contre la perte de données permet au scanneur de détecter les fuites de données potentielles en faisant correspondre les règles DLP aux fichiers stockés dans des partages de fichiers et SharePoint Server.

Activez les règles DLP dans votre tâche d’analyse de contenu pour réduire l’exposition de tous les fichiers qui correspondent à vos stratégies DLP. Lorsque vos règles DLP sont activées, l’analyseur peut réduire l’accès aux fichiers aux propriétaires de données uniquement ou réduire l’exposition aux groupes à l’échelle du réseau, tels que Tout le monde, Utilisateurs authentifiés ou Utilisateurs de domaine.
Dans le portail Microsoft Purview, déterminez si vous testez simplement votre stratégie DLP ou si vous souhaitez que vos règles soient appliquées et que vos autorisations de fichier soient modifiées conformément à ces règles. Pour plus d’informations, consultez Créer et déployer des stratégies de protection contre la perte de données

Les stratégies DLP sont configurées dans le portail Microsoft Purview. Pour plus d’informations sur les licences DLP, consultez Prise en main de l’analyseur local de protection contre la perte de données.

Conseil

L’analyse de vos fichiers, même lorsque vous testez simplement la stratégie DLP, crée également des rapports d’autorisations de fichiers. Interrogez ces rapports pour examiner les expositions de fichiers spécifiques ou explorer l’exposition d’un utilisateur spécifique aux fichiers analysés.

Pour utiliser PowerShell uniquement, voir Utiliser une stratégie DLP avec l’analyseur - PowerShell uniquement.

Pour utiliser une stratégie DLP avec le scanner dans le portail Microsoft Purview :

Dans le portail Microsoft Purview, accédez à l’onglet Tâches d’analyse de contenu et sélectionnez une tâche d’analyse de contenu spécifique. Pour plus d’informations, voir Créer une tâche d’analyse de contenu.
Sous Activer les règles de stratégie DLP, définissez la case d’option sur Activé.

Importante

Ne définissez pas Activer lesrègles DLP sauf si vous avez réellement configuré une stratégie DLP dans Microsoft 365.

L’activation de cette fonctionnalité sans stratégie DLP entraîne la génération d’erreurs par le scanneur.
(Facultatif) Définissez Définir le propriétaire du référentiel sur Activé et définissez un utilisateur spécifique comme propriétaire du référentiel.

Cette option permet au scanneur de réduire l’exposition de tous les fichiers trouvés dans ce référentiel, qui correspondent à la stratégie DLP, au propriétaire du référentiel défini.

Stratégies DLP et actions privées

Si vous utilisez une stratégie DLP avec une action de création privée et que vous envisagez également d’utiliser l’analyseur pour étiqueter automatiquement vos fichiers, nous vous recommandons de définir également le paramètre avancé UseCopyAndPreserveNTFSOwner du client d’étiquetage unifié.

Ce paramètre garantit que les propriétaires d’origine conservent l’accès à leurs fichiers.

Pour plus d’informations, voir Créer une tâche d’analyse de contenu et Appliquer automatiquement une étiquette de confidentialité aux données Microsoft 365.

Modifier les types de fichiers à protéger

Par défaut, le scanneur protège uniquement les types de fichiers Office et PDF.

Utilisez les commandes PowerShell pour modifier ce comportement en fonction des besoins, par exemple pour configurer l’analyseur afin qu’il protège tous les types de fichiers, comme le fait le client, ou pour protéger des types de fichiers supplémentaires spécifiques.

Pour une stratégie d’étiquette qui s’applique au compte d’utilisateur téléchargeant des étiquettes pour l’analyseur, spécifiez un paramètre avancé PowerShell nommé PFileSupportedExtensions.

Pour un scanneur qui a accès à Internet, ce compte d’utilisateur est le compte que vous spécifiez pour le paramètre DelegatedUser avec la commande Set-Authentication.

Exemple 1 : commande PowerShell pour que le scanneur protège tous les types de fichiers, où votre stratégie d’étiquette est nommée « Scanner » :

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

Exemple 2 : commande PowerShell pour que l’analyseur protège les fichiers .xml et .tiff en plus des fichiers Office et des fichiers PDF, où votre stratégie d’étiquette est nommée « Scanner » :

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".xml", ".tiff")}

Pour plus d’informations, consultez Modifier les types de fichiers à protéger.

Mettre à niveau votre scanner

Si vous avez déjà installé le scanner et que vous souhaitez le mettre à niveau, suivez les instructions décrites dans Mettre à niveau le scanner de protection des données Microsoft Purview.

Ensuite, configurez et utilisez votre scanner comme d’habitude, en sautant les étapes d’installation de votre scanner.

Modifier les paramètres du référentiel de données en bloc

Utilisez les boutons Exporter et Importer pour apporter des modifications à votre scanner dans plusieurs référentiels.

De cette façon, vous n’avez pas besoin d’apporter les mêmes modifications plusieurs fois, manuellement, dans le portail Microsoft Purview.

Par exemple, si vous avez un nouveau type de fichier sur plusieurs référentiels de données SharePoint, vous souhaiterez peut-être mettre à jour les paramètres de ces référentiels en bloc.

Pour apporter des modifications en bloc entre les référentiels du portail Microsoft Purview :

Dans le portail Microsoft Purview, sélectionnez une tâche d’analyse de contenu spécifique et accédez à l’onglet Référentiels dans le volet. Sélectionnez l’option Exporter .
Modifiez manuellement le fichier exporté pour effectuer votre modification.
Utilisez l’option Importer sur la même page pour réimporter les mises à jour dans vos référentiels.

Utilisation du scanner avec d’autres configurations

L’analyseur recherche généralement les conditions spécifiées pour vos étiquettes afin de classer et de protéger votre contenu en fonction des besoins.

Dans les scénarios suivants, le scanner est également capable de numériser votre contenu et de gérer les étiquettes, sans aucune condition configurée :

Appliquer une étiquette par défaut à tous les fichiers d’un référentiel de données
Supprimer les étiquettes existantes de tous les fichiers dans un référentiel de données
Identifier toutes les conditions personnalisées et les types d’informations sensibles connus

Appliquer une étiquette par défaut à tous les fichiers d’un référentiel de données

Dans cette configuration, tous les fichiers non étiquetés dans le référentiel sont étiquetés avec l’étiquette par défaut spécifiée pour le référentiel ou le travail d’analyse de contenu. Files est étiqueté sans inspection.

Configurez les paramètres suivants :

Setting	Description
Étiqueter les fichiers en fonction du contenu	Définir sur Désactivé
Étiquette par défaut	Définir sur Personnalisé, puis sélectionner l’étiquette à utiliser
Appliquer l’étiquette par défaut	Sélectionnez cette option pour que l’étiquette par défaut soit appliquée à tous les fichiers, même s’ils sont déjà étiquetés, en activant l’option Réétiqueter les fichiers et Appliquer l’étiquette par défaut

Supprimer les étiquettes existantes de tous les fichiers dans un référentiel de données

Dans cette configuration, toutes les étiquettes existantes sont supprimées, y compris la protection, si la protection a été appliquée avec l’étiquette. La protection appliquée indépendamment d’une étiquette est conservée.

Configurez les paramètres suivants :

Setting	Description
Étiqueter les fichiers en fonction du contenu	Définir sur Désactivé
Étiquette par défaut	Définir sur Aucun
Renommer des fichiers	Activé, avec l’étiquette Appliquer par défaut définie sur Activé

Identifier toutes les conditions personnalisées et les types d’informations sensibles connus

Cette configuration vous permet de trouver des informations sensibles dont vous n’auriez peut-être pas conscience, au détriment des taux d’analyse du scanner.

Définissez les types d’informations à découvrir sur Tous.

Pour identifier les conditions et les types d’informations pour l’étiquetage, l’analyseur utilise les types d’informations sensibles personnalisés spécifiés et la liste des types d’informations sensibles intégrés qui peuvent être sélectionnés, comme défini dans votre centre de gestion de l’étiquetage.

Importante

Les sous-étiquettes sous le même parent partagent la priorité de l’étiquette parente. Le basculement entre les sous-étiquettes sous la même étiquette parent n’est pas considéré comme un déclassement. Par conséquent, l’option Autoriser le passage à une version antérieure d’étiquette = Désactivé n’empêche pas les fichiers d’être réétiquetés avec des sous-étiquettes de priorité inférieure lorsque l’option Réétiqueter les fichiers est activée.

Optimiser les performances du scanner

Remarque

Si vous cherchez à améliorer la réactivité de l’ordinateur de l’analyseur plutôt que les performances de l’analyseur, utilisez un paramètre client avancé pour limiter le nombre de threads utilisés par l’analyseur.

Utilisez les options et les conseils suivants pour optimiser les performances du scanner :

Option	Description
Disposer d’une connexion réseau fiable et à haut débit entre l’ordinateur du scanner et le magasin de données numérisées	Par exemple, placez l’ordinateur de l’analyseur dans le même réseau local ou, de préférence, dans le même segment réseau que le magasin de données analysées. La qualité de la connexion réseau affecte les performances de l’analyseur car, pour inspecter les fichiers, l’analyseur transfère le contenu des fichiers à l’ordinateur exécutant le service Analyseur de Protection des données Microsoft Purview. La réduction ou l’élimination des sauts réseau nécessaires au déplacement des données permet également de réduire la charge sur votre réseau.
Assurez-vous que l’ordinateur de l’analyseur dispose de ressources de processeur disponibles	L’inspection du contenu des fichiers et le chiffrement et le déchiffrement des fichiers sont des actions gourmandes en processeur. Surveillez les cycles d’analyse classiques pour vos magasins de données spécifiés afin de déterminer si le manque de ressources processeur affecte négativement les performances de l’analyseur.
Installer plusieurs instances du scanner	Le scanneur prend en charge plusieurs bases de données de configuration sur la même instance SQL Server lorsque vous spécifiez un nom de cluster personnalisé pour le scanneur. Conseil : plusieurs scanners peuvent également partager le même cluster, ce qui permet des temps de numérisation plus rapides. Si vous envisagez d’installer le scanneur sur plusieurs machines avec la même instance de base de données et que vous souhaitez que vos scanneurs s’exécutent en parallèle, vous devez installer tous vos scans à l’aide du même nom de cluster.
Vérifier l’utilisation de votre autre configuration	Le scanneur s’exécute plus rapidement lorsque vous utilisez l’autre configuration pour appliquer une étiquette par défaut à tous les fichiers, car le scanneur n’inspecte pas le contenu du fichier. L’exécution du scanneur est plus lente lorsque vous utilisez l’autre configuration pour identifier toutes les conditions personnalisées et les types d’informations sensibles connus.

Autres facteurs qui affectent les performances

Voici d’autres facteurs qui affectent les performances du scanner :

Facteur	Description
Temps de chargement/de réponse	Les temps de chargement et de réponse actuels des magasins de données qui contiennent les fichiers à analyser affecteront également les performances de l’analyseur.
Mode scanner (Détection/Appliquer)	Le mode découverte a généralement une vitesse d’analyse plus élevée que le mode Appliquer. La découverte nécessite une action de lecture de fichier unique, tandis que le mode Appliquer nécessite des actions de lecture et d’écriture.
Modifications de stratégie	Les performances de votre scanner peuvent être affectées si vous avez apporté des modifications à l’étiquetage automatique dans la stratégie d’étiquetage. Votre premier cycle d’analyse, au cours duquel le scanneur doit inspecter chaque fichier, prendra plus de temps que les cycles d’analyse suivants qui, par défaut, n’inspectent que les fichiers nouveaux et modifiés. Si vous modifiez les conditions ou les paramètres d’étiquetage automatique, tous les fichiers sont à nouveau analysés. Pour plus d’informations, consultez Nouvelle analyse des fichiers.
Constructions Regex	Les performances du scanner sont affectées par la façon dont vos expressions d’expression régulière pour les conditions personnalisées sont construites. Pour éviter une consommation élevée de mémoire et le risque de délais d’attente (15 minutes par fichier), passez en revue vos expressions d’expression régulière pour une correspondance de modèle efficace. Par exemple : - Évitez les quantificateurs gourmands - Utilisez des groupes non capturés tels que `(?:expression)` au lieu de `(expression)`
Niveau de journal	Les options au niveau du journal incluent Débogage,Info, Erreur et Désactivé pour les rapports de l’analyseur. - Résultat off dans les meilleures performances - Le débogage ralentit considérablement l’analyseur et ne doit être utilisé que dans le cadre du dépannage. Pour plus d’informations, consultez le paramètre ReportLevel pour l’applet de commande Set-ScannerConfiguration .
Files en cours d’analyse	- À l’exception des fichiers Excel, les fichiers Office sont numérisés plus rapidement que les fichiers PDF. - Les fichiers non protégés sont plus rapides à analyser que les fichiers protégés. - Les gros fichiers prennent évidemment plus de temps à analyser que les petits fichiers.

Utiliser PowerShell pour configurer l’analyseur

Cette section décrit les étapes nécessaires pour configurer et installer le scanner lorsque vous n’avez pas accès aux pages du scanner dans le portail Microsoft Purview et que vous devez utiliser PowerShell uniquement.

Importante

Certaines étapes nécessitent PowerShell, que vous puissiez ou non accéder aux pages de l’analyseur dans le portail Microsoft Purview et qu’elles soient identiques. Pour ces étapes, reportez-vous aux instructions précédentes de cet article, comme indiqué.
Si vous utilisez le scanner pour Azure China 21Vianet, des étapes supplémentaires sont nécessaires en plus des instructions détaillées ici. Pour plus d’informations, voir Protection des données Microsoft Purview pour Office 365 géré par 21Vianet.

Pour plus d’informations, consultez Applets de commande PowerShell prises en charge.

Pour configurer et installer votre scanner :

Commencez avec PowerShell fermé. Si vous avez déjà installé le client et le scanner de protection des informations, assurez-vous que le service de scanner de protection des données Microsoft Purview est arrêté.
Ouvrez une session Windows PowerShell avec l’option Exécuter en tant qu’administrateur.
Exécutez la commande Install-Scanner pour installer votre scanner sur votre instance SQL Server, avec le paramètre Cluster pour définir le nom de votre cluster.

Cette étape est identique, que vous puissiez ou non accéder aux pages du scanner dans le portail Microsoft Purview. Pour plus d’informations, consultez les instructions précédentes de cet article : Installer le scanner
Obtenez un jeton Azure à utiliser avec votre scanneur, puis authentifiez-vous à nouveau.

Cette étape est identique, que vous puissiez ou non accéder aux pages du scanner dans le portail Microsoft Purview. Pour plus d’informations, consultez les instructions précédentes de cet article : Obtenez un jeton Microsoft Entra pour le scanner.
Exécutez l’applet de commande Set-ScannerConfiguration pour que le scanner fonctionne en mode hors connexion. Exécuter :
```
Set-ScannerConfiguration -OnlineConfiguration Off
```
Exécutez l’applet de commande Set-ScannerContentScan pour créer une tâche d’analyse de contenu par défaut.

Le seul paramètre requis dans l’applet de commande Set-ScannerContentScan est Appliquer. Toutefois, vous souhaiterez peut-être définir d’autres paramètres pour votre tâche d’analyse de contenu à ce stade. Par exemple :
```
Set-ScannerContentScan -Schedule Manual -DiscoverInformationTypes PolicyOnly -Enforce Off -DefaultLabelType PolicyDefault -RelabelFiles Off -PreserveFileDetails On -IncludeFileTypes '' -ExcludeFileTypes '.msg,.tmp' -DefaultOwner <account running the scanner>
```
La syntaxe ci-dessus configure les paramètres suivants pendant que vous poursuivez la configuration :
- Maintient la planification des exécutions du scanneur sur manuel
- Définit les types d’informations à découvrir en fonction de la stratégie d’étiquette de confidentialité
- N’applique pas de politique d’étiquette de confidentialité
- Étiquette automatiquement les fichiers en fonction de leur contenu, à l’aide de l’étiquette par défaut définie pour la stratégie d’étiquette de confidentialité
- Ne permet pas de réétiqueter les fichiers
- Conserve les détails du fichier lors de la numérisation et de l’étiquetage automatique, y compris la date de modification, la dernière modification et la modification par les valeurs
- Définit l’analyseur pour exclure les fichiers .msg et .tmp lors de son exécution
- Définit le propriétaire par défaut sur le compte que vous souhaitez utiliser lors de l’exécution du scanneur

Utilisez l’applet de commande Add-ScannerRepository pour définir les référentiels que vous souhaitez analyser dans votre tâche d’analyse de contenu. Par exemple, exécutez :

Add-ScannerRepository -OverrideContentScanJob Off -Path 'c:\repoToScan'

Utilisez l’une des syntaxes suivantes, en fonction du type de dépôt que vous ajoutez :

Pour un partage réseau, utilisez \\Server\Folder.
Pour une bibliothèque SharePoint, utilisez http://sharepoint.contoso.com/Shared%20Documents/Folder.
Pour un chemin d’accès local : C:\Folder
Pour un chemin d’accès UNC : \\Server\Folder

Remarque

Les caractères génériques ne sont pas pris en charge et les emplacements WebDav ne sont pas pris en charge.

Pour modifier le référentiel ultérieurement, utilisez plutôt l’applet de commande Set-ScannerRepository .

Si vous ajoutez un chemin d’accès SharePoint pour les documents partagés :

Spécifiez Documents partagés dans le chemin d’accès lorsque vous souhaitez analyser tous les documents et tous les dossiers à partir de Documents partagés. Par exemple : http://sp2013/SharedDocuments
Spécifiez les documents dans le chemin d’accès lorsque vous souhaitez analyser tous les documents et tous les dossiers à partir d’un sous-dossier sous Documents partagés. Par exemple : http://sp2013/Documents/SalesReports
Vous pouvez également spécifier uniquement la FQDN de votre SharePoint, par exemple http://sp2013 pour découvrir et analyser tous les sites et sous-sites SharePoint sous une URL spécifique et des sous-titres sous cette URL. Accordez des droits d’auditeur de collecteur de site au scanner pour l’activer.

Utilisez la syntaxe suivante lors de l’ajout de chemins d’accès SharePoint :

Chemin	Syntaxe
Chemin racine	`http://<SharePoint server name>` Analyse tous les sites, y compris les collections de sites autorisées pour l’utilisateur du scanneur.
Sous-site ou collection SharePoint spécifique	Un des éléments suivants : - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>`
Bibliothèque SharePoint spécifique	Un des éléments suivants : - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
Dossier SharePoint spécifique	`http://<SharePoint server name>/.../<folder name>`

Passez aux étapes suivantes si nécessaire :

Configuration pour les clients en Chine
Exécuter un cycle de découverte et afficher les rapports pour le scanneur
Utiliser PowerShell pour configurer le scanneur afin d’appliquer la classification et la protection
Utiliser PowerShell pour configurer une stratégie DLP avec l’analyseur

Utiliser PowerShell pour configurer le scanneur afin d’appliquer la classification et la protection

Exécutez l’applet de commande Set-ScannerContentScan pour mettre à jour votre tâche d’analyse de contenu afin de définir votre planification sur Toujours et appliquer votre stratégie de sensibilité.
```
Set-ScannerContentScan -Schedule Always -Enforce On
```
Conseil

Vous souhaiterez peut-être modifier d’autres paramètres de ce volet, par exemple si les attributs de fichier sont modifiés et si le scanneur peut réétiqueter les fichiers. Pour plus d’informations sur les paramètres disponibles, consultez la documentation complète de Set-ScannerContentScan.
Exécutez l’applet de commande Start-Scan pour exécuter votre tâche d’analyse de contenu :
```
Start-Scan
```

Utiliser PowerShell pour configurer une stratégie DLP avec l’analyseur

Exécutez à nouveau l’applet de commande Set-ScannerContentScan avec le paramètre -EnableDLP défini sur On et avec un propriétaire de référentiel spécifique défini.

Par exemple :

Set-ScannerContentScan -EnableDLP On -RepositoryOwner 'domain\user'

Authentification basée sur les certificats (préversion publique)

Utilisation de l’authentification basée sur les certificats avec l’analyseur Information Protection

Cette section décrit comment configurer le scanner de Protection des données Microsoft Purview pour l’authentification à l’aide d’un certificat au lieu d’un secret client.

Configuration requise

Avant de configurer l’authentification basée sur les certificats, assurez-vous d’avoir les éléments suivants :

Le scanner de Protection des données Microsoft Purview installé
Accès administratif au serveur Windows Server exécutant le scanneur
Accès à l’inscription de l’application Microsoft Entra utilisée par l’analyseur
Windows PowerShell 5.1

Étape 1 : Obtenir ou créer un certificat

Vous avez deux possibilités pour obtenir un certificat :

Certificat émis par l’autorité de certification : demandez un certificat à l’autorité de certification de votre organization.
Certificat auto-signé : créez un certificat auto-signé.

Option A : Utilisation d’un certificat délivré par l’autorité de certification (production)

L’utilisation d’un certificat émis par l’autorité de certification fournit :

Approbation automatique via l’infrastructure PKI existante
Gestion centralisée du cycle de vie des certificats
Respect des stratégies de sécurité organisationnelles
Il n’est pas nécessaire d’ignorer la validation de la chaîne de certificats

Spécifications des certificats

Lorsque vous demandez un certificat à votre autorité de certification, assurez-vous qu’il répond aux exigences suivantes :

Conditions requises	Valeur
Algorithme de clé	RSA
Longueur de la clé	2048 bits minimum (4096 recommandés)
L’utilisation de la clé	Signature numérique
Clé privée	Exportable (pour la sauvegarde) ou marqué pour la machine
Validité	Selon la politique de votre organisation (généralement 1 à 2 ans)

Consultez la documentation de votre autorité de certification pour obtenir des instructions spécifiques sur la demande d’un certificat avec ces paramètres.

Après avoir obtenu la clé auprès de votre autorité de certification d’entreprise, installez le certificat dans le magasin de l’ordinateur local sur chaque serveur Windows Server exécutant l’analyseur. Assurez-vous d’installer le certificat dans le magasin personnel de l’ordinateur local.

Exportation de la clé publique pour Microsoft Entra

Une fois le certificat émis et installé, exportez la clé publique :

# Find the certificate (adjust the subject filter as needed)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*PurviewScanner*" }
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Option B : Utilisation d’un certificat auto-signé

Un certificat auto-signé peut être créé sur un serveur unique, puis importé vers les serveurs du cluster de scanner.

# Create certificate in Local Machine store with RSA provider
$cert = New-SelfSignedCertificate `
    -Subject "CN=PurviewScanner" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -KeyAlgorithm RSA `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2) `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

# Display the certificate details
Write-Host "Certificate created successfully"
Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Subject: $($cert.Subject)"

Importante

Ce -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" paramètre est obligatoire. L’utilisation de fournisseurs CNG (Cryptography Next Generation) entraîne des erreurs du type « Le jeu de clés n’existe pas » lorsque le scanneur tente de s’authentifier.

Exporter la clé publique

Exporter la clé publique du certificat pour le télécharger dans Microsoft Entra :

# Export public key certificate (.cer file)
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Étape 2 : Accorder des autorisations de clé privée au compte de service de l’analyseur

Le compte de service de l’analyseur doit être autorisé à lire la clé privée du certificat. Sans cette autorisation, l’authentification échoue avec des erreurs du type « Le jeu de clés n’existe pas ».

Utilisation de l’interface utilisateur du Gestionnaire de certificats

Ouvrez le magasin de certificats de l’ordinateur local :
- Appuyez sur Win + R, tapez certlm.msc, puis appuyez sur Entrée
Accédez à Certificats - Ordinateur local
Cliquez avec le bouton droit sur le certificat que vous avez créé (par exemple, « PurviewScanner ») et sélectionnez Toutes les tâches>Gérer les clés privées
Cliquez sur Ajouter et entrez le nom du compte de service du scanner (par exemple, CONTOSO\ScannerService)
Sélectionnez le compte et vérifiez que l’autorisation de lecture est cochée
Cliquez sur OK pour enregistrer

Utiliser PowerShell

Vous pouvez également accorder des autorisations à l’aide de PowerShell. Assurez-vous de remplacer le nom du compte de service par celui du scanneur.

# Get the certificate
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=PurviewScanner" }

# Get the private key file path
$privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPath = $privateKey.Key.UniqueName
$fullKeyPath = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$keyPath"

# Get current ACL
$acl = Get-Acl $fullKeyPath

# Add read permission for the scanner service account
$serviceAccount = "CONTOSO\ScannerService"  # Replace with your scanner service account
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceAccount, "Read", "Allow")
$acl.AddAccessRule($accessRule)

# Apply the updated ACL
Set-Acl $fullKeyPath $acl

Étape 3 : Télécharger le certificat sur Microsoft Entra

Inscrivez la clé publique du certificat avec l’inscription d’application utilisée par l’analyseur.

Pour obtenir des instructions détaillées sur le chargement d’un certificat pour une inscription d’application Microsoft Entra, consultez Enregistrer un certificat auprès de Microsoft Entra.

Après le chargement, notez l’empreinte du certificat affichée dans le portail : elle doit correspondre à l’empreinte de l’étape 1.

Étape 4 : Configurer le scanneur pour utiliser l’authentification par certificat

Utilisez l’applet de commande avec des Set-Authentication paramètres de certificat au lieu du -AppSecret paramètre.

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate thumbprint
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateThumbprint "your-certificate-thumbprint" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

La chaîne de certificats est validée automatiquement pour les certificats émis par une autorité de certification approuvée. En cas d’échec de la validation, vérifiez les points suivants :

Le certificat racine de l’autorité de certification se trouve dans le magasin des autorités de certification racines de confiance
Tous les certificats d’autorité de certification intermédiaires se trouvent dans le magasin des autorités de certification intermédiaires

Remarque

Si vous utilisez un certificat auto-signé, ajoutez le paramètre pour contourner la -SkipCertificateChainValidation validation de la chaîne, ce qui échouera pour les certificats auto-signés.

Authentifier à l’aide du nom de l’objet du certificat

Vous pouvez également spécifier le certificat par son nom d’objet :

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate subject name
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateSubjectName "PurviewScanner" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

Remarque

Si vous utilisez un certificat auto-signé, ajoutez le paramètre pour contourner la -SkipCertificateChainValidation validation de la chaîne, ce qui échouera pour les certificats auto-signés.

Référence du paramètre

Paramètre	Description
`-CertificateThumbprint`	L’empreinte SHA-1 du certificat à utiliser pour l’authentification. Ne peut pas être utilisé avec `-CertificateSubjectName`.
`-CertificateSubjectName`	Nom de l’objet (CN) du certificat à utiliser pour l’authentification. Ne peut pas être utilisé avec `-CertificateThumbprint`.
`-CertificateStoreLocation`	Emplacement du magasin de certificats. Utilisez `LocalMachine` pour le service scanner. Valeurs valides : `CurrentUser`, `LocalMachine`. La valeur par défaut est `CurrentUser`.
`-CertificateStoreName`	Nom du magasin de certificats. Par défaut : `My` (Magasin personnel).
`-SkipCertificateChainValidation`	Ignore la validation de la chaîne de certificats. Obligatoire pour les certificats auto-signés.

Résolution des problèmes

Erreur « Le jeu de clés n’existe pas »

Cette erreur indique généralement l’un des problèmes suivants :

Autorisations de clé privée : le compte de service Analyseur ne dispose pas d’un accès en lecture à la clé privée du certificat. Consultez l’étape 2 pour accorder des autorisations.
Fournisseur CNG : le certificat a été créé avec un fournisseur CNG au lieu d’un fournisseur RSA. Recréez le certificat à l’aide du -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" paramètre.

Erreur « Certificat introuvable »

Vérifiez que :

L’empreinte ou le nom du sujet est correct
Le certificat se trouve dans le magasin spécifié (LocalMachine\My par défaut)
Le certificat n’a pas expiré

Erreur « Impossible de créer une chaîne de certificats »

Pour les certificats auto-signés, utilisez le -SkipCertificateChainValidation paramètre. Pour les certificats émis par une autorité de certification, assurez-vous que toute la chaîne de certificats (y compris les autorités de certification intermédiaires) est installée sur le serveur.

Erreur 401 Non autorisé ou « invalid_client »

Vérifiez que :

La clé publique du certificat est chargée à l’enregistrement correct de l’application Microsoft Entra
L’ID d’inscription de l’application correspond au -AppId paramètre
Le certificat n’a pas expiré
L’ID de locataire est correct

Migration de l’authentification secrète vers l’authentification par certificat

Pour migrer un analyseur existant d’une authentification basée sur des secrets vers une authentification basée sur un certificat, procédez comme suit :

Créez et configurez le certificat comme décrit ci-dessus
Exécuter Set-Authentication avec les paramètres du certificat
La nouvelle configuration d’authentification remplace la configuration précédente basée sur des secrets
Redémarrez le service de scanneur

# Restart the scanner service after changing authentication
Restart-Service -Name "Microsoft Purview Information Protection Scanner"

Voir aussi

Applets de commande PowerShell prises en charge

Cette section répertorie les applets de commande PowerShell prises en charge pour l’analyseur de protection des informations, ainsi que les instructions de configuration et d’installation de l’analyseur avec PowerShell uniquement.

Les applets de commande prises en charge pour l’analyseur sont les suivantes :

Étapes suivantes

Une fois que vous avez installé et configuré votre scanner, commencez à analyser vos fichiers.

Commentaires

Est-ce que cette page vous a été utile?

Dernière mise à jour : 2026-10-09

Configurer et installer le scanner Information Protection

Vue d’ensemble

Configurer les paramètres du scanner

Créer un cluster de scanneurs

Créer un travail d’analyse de contenu

Installer le scanner

Obtenir un jeton Microsoft Entra pour le scanner

Configurer l’analyseur pour appliquer la classification et la protection

Utiliser une stratégie DLP

Stratégies DLP et actions privées

Modifier les types de fichiers à protéger

Mettre à niveau votre scanner

Modifier les paramètres du référentiel de données en bloc

Utilisation du scanner avec d’autres configurations

Appliquer une étiquette par défaut à tous les fichiers d’un référentiel de données

Supprimer les étiquettes existantes de tous les fichiers dans un référentiel de données

Identifier toutes les conditions personnalisées et les types d’informations sensibles connus

Optimiser les performances du scanner

Autres facteurs qui affectent les performances

Utiliser PowerShell pour configurer l’analyseur

Utiliser PowerShell pour configurer le scanneur afin d’appliquer la classification et la protection

Utiliser PowerShell pour configurer une stratégie DLP avec l’analyseur

Authentification basée sur les certificats (préversion publique)

Utilisation de l’authentification basée sur les certificats avec l’analyseur Information Protection

Configuration requise

Étape 1 : Obtenir ou créer un certificat

Option A : Utilisation d’un certificat délivré par l’autorité de certification (production)

Spécifications des certificats

Exportation de la clé publique pour Microsoft Entra

Option B : Utilisation d’un certificat auto-signé

Exporter la clé publique

Étape 2 : Accorder des autorisations de clé privée au compte de service de l’analyseur

Utilisation de l’interface utilisateur du Gestionnaire de certificats

Utiliser PowerShell

Étape 3 : Télécharger le certificat sur Microsoft Entra

Étape 4 : Configurer le scanneur pour utiliser l’authentification par certificat

Authentifier à l’aide du nom de l’objet du certificat

Référence du paramètre

Résolution des problèmes

Erreur « Le jeu de clés n’existe pas »

Erreur « Certificat introuvable »

Erreur « Impossible de créer une chaîne de certificats »

Erreur 401 Non autorisé ou « invalid_client »

Migration de l’authentification secrète vers l’authentification par certificat

Voir aussi

Applets de commande PowerShell prises en charge

Étapes suivantes

Commentaires

Ressources supplémentaires