Qu’est-ce que le scanneur d’étiquetage unifié Azure Information Protection ?

Utilisez les informations de cette section pour en savoir plus sur le scanneur d’étiquetage unifié Azure Information Protection, puis sur l’installation, la configuration, l’exécution et le cas échéant, la résolution des problèmes.

Le scanneur AIP s’exécute en tant que service sur Windows Server et vous permet de découvrir, classifier et protéger des fichiers sur les magasins de données suivants :

  • Chemins UNC pour les partages réseau qui utilisent les protocoles SMB ou NFS (préversion).

  • Bibliothèques de documents et dossiers SharePoint pour SharePoint Server 2019 via SharePoint Server 2013.

Pour classifier et protéger vos fichiers, le scanneur utilise des étiquettes de confidentialité configurées dans le portail de conformité Microsoft Purview.

Vue d’ensemble du scanneur d’étiquetage unifié Azure Information Protection

Le scanneur AIP peut inspecter tous les fichiers que Windows peut indexer. Si vous avez configuré des étiquettes de confidentialité pour appliquer la classification automatique, le scanneur peut étiqueter les fichiers découverts pour appliquer cette classification, et éventuellement appliquer ou supprimer la protection.

L’image suivante montre l’architecture du scanneur AIP, où le scanneur découvre des fichiers sur vos serveurs locaux et SharePoint.

Architecture du scanneur d’étiquetage unifié Azure Information Protection

Pour inspecter vos fichiers, le scanneur utilise des IFilters installés sur l’ordinateur. Pour déterminer si les fichiers ont besoin d’étiquetage, le scanneur utilise les modèles d’informations de confidentialité intégrés de protection contre la perte de données (DLP) Microsoft 365 ou microsoft 365 regex.

Le scanneur utilise le client Azure Information Protection et peut classifier et protéger les mêmes types de fichiers que le client. Pour plus d’informations, consultez Types de fichiers pris en charge par le client d’étiquetage unifié Azure Information Protection.

Effectuez l’une des opérations suivantes pour configurer vos analyses en fonction des besoins :

  • Exécutez le scanneur en mode découverte uniquement pour créer des rapports qui vérifient ce qui se passe lorsque vos fichiers sont étiquetés.
  • Exécutez le scanneur pour découvrir des fichiers avec des informations sensibles, sans configurer les étiquettes qui appliquent la classification automatique.
  • Exécutez automatiquement le scanneur pour appliquer des étiquettes comme configuré.
  • Définissez une liste de types de fichiers pour spécifier des fichiers spécifiques à analyser ou à exclure.

Notes

Le scanneur ne découvre pas et n’étiquette pas en temps réel. Il analyse systématiquement les fichiers sur les magasins de données que vous spécifiez. Configurez ce cycle pour qu’il s’exécute une fois ou plusieurs fois.

Conseil

Le scanneur d’étiquetage unifié prend en charge les clusters de scanneur avec plusieurs nœuds, ce qui permet à votre organisation de monter en puissance, d’atteindre des temps d’analyse plus rapides et d’une étendue plus large.

Déployez plusieurs nœuds directement à partir du début ou commencez avec un cluster à nœud unique et ajoutez des nœuds supplémentaires ultérieurement à mesure que vous développez. Déployez plusieurs nœuds à l’aide du même nom de cluster et de la même base de données pour l’applet de commande Install-AIPScanner .

Processus d’analyse AIP

Lors de l’analyse des fichiers, le scanneur AIP s’exécute dans les étapes suivantes :

1. Déterminer si les fichiers sont inclus ou exclus pour l’analyse

2. Inspecter et étiqueter les fichiers

3. Étiqueter les fichiers qui ne peuvent pas être inspectés

Pour plus d’informations, consultez Fichiers non étiquetés par le scanneur.

1. Déterminer si les fichiers sont inclus ou exclus pour l’analyse

Le scanneur ignore automatiquement les fichiers qui sont exclus de la classification et de la protection, comme les fichiers exécutables et les fichiers système. Pour plus d’informations, consultez Types de fichiers exclus de la classification et de la protection.

Le scanneur considère également les listes de fichiers explicitement définies pour analyser ou exclure de l’analyse. Les listes de fichiers s’appliquent à tous les référentiels de données par défaut et peuvent également être définies pour des référentiels spécifiques uniquement.

Pour définir des listes de fichiers pour l’analyse ou l’exclusion, utilisez les types de fichiers pour analyser le paramètre dans le travail d’analyse de contenu. Par exemple :

Configurer les types de fichiers à analyser pour le scanneur Azure Information Protection

Pour plus d’informations, consultez Déploiement du scanneur Azure Information Protection pour classifier et protéger automatiquement les fichiers.

2. Inspecter et étiqueter les fichiers

Après avoir identifié les fichiers exclus, le scanneur filtre à nouveau pour identifier les fichiers pris en charge pour l’inspection.

Ces filtres sont les mêmes que ceux utilisés par le système d’exploitation pour Windows Search et l’indexation, et ne nécessitent aucune configuration supplémentaire. Windows IFilter est également utilisé pour analyser les types de fichiers utilisés par Word, Excel et PowerPoint, ainsi que pour les documents PDF et les fichiers texte.

Pour obtenir la liste complète des types de fichiers pris en charge pour l’inspection et d’autres instructions pour configurer des filtres pour inclure des fichiers .zip et .tiff, consultez Types de fichiers pris en charge pour l’inspection.

Après inspection, les types de fichiers pris en charge sont étiquetés à l’aide des conditions spécifiées pour vos étiquettes. Si vous utilisez le mode de découverte, ces fichiers peuvent être signalés pour contenir les conditions spécifiées pour vos étiquettes, ou signalées pour contenir tous les types d’informations sensibles connus.

Processus de scanneur arrêtés

Si le scanneur s’arrête et ne effectue pas d’analyse pour un grand nombre de fichiers dans votre référentiel, vous devrez peut-être augmenter le nombre de ports dynamiques pour le système d’exploitation hébergeant les fichiers.

Par exemple, le renforcement du serveur pour SharePoint est une raison pour laquelle le scanneur dépasse le nombre de connexions réseau autorisées et s’arrête donc.

Pour vérifier si le renforcement du serveur pour SharePoint est la cause de l’arrêt du scanneur, vérifiez le message d’erreur suivant dans les journaux d’activité du scanneur dans %localappdata%\Microsoft\MSIP\Logs\MSIPScanner.iplog (plusieurs journaux sont compressés dans un fichier zip) :

Unable to connect to the remote server ---> System.Net.Sockets.SocketException: Only one usage of each socket address (protocol/network address/port) is normally permitted IP:port

Pour plus d’informations sur la façon d’afficher la plage de ports actuelle et l’augmenter si nécessaire, consultez Paramètres qui peuvent être modifiés pour améliorer les performances réseau.

Conseil

Pour les batteries de serveurs SharePoint volumineuses, vous devrez peut-être augmenter le seuil d’affichage de liste, qui a une valeur par défaut de 5 000.

Pour plus d’informations, consultez la section Gérer les grandes listes et les bibliothèques dans SharePoint.

3. Étiqueter les fichiers qui ne peuvent pas être inspectés

Pour tous les types de fichiers qui ne peuvent pas être inspectés, le scanneur AIP applique l’étiquette par défaut dans la stratégie Azure Information Protection ou l’étiquette par défaut configurée pour le scanneur.

Fichiers non étiquetés par le scanneur

Le scanneur AIP ne peut pas étiqueter les fichiers dans les circonstances suivantes :

  • Lorsque l’étiquette applique la classification, mais pas la protection, et que le type de fichier ne prend pas en charge la classification uniquement par le client. Pour plus d’informations, consultez Types de fichiers clients d’étiquetage unifiés.

  • Lorsque l’étiquette applique la classification et la protection, mais que le scanneur ne prend pas en charge le type de fichier.

    Par défaut, le scanneur protège uniquement les types de fichiers Office et PDF (si ces derniers sont protégés à l’aide de la norme ISO pour le chiffrement PDF).

    D’autres types de fichiers peuvent être ajoutés pour la protection lorsque vous modifiez les types de fichiers à protéger.

Exemple : après avoir inspecté .txt fichiers, le scanneur ne peut pas appliquer une étiquette configurée uniquement pour la classification, car le type de fichier .txt ne prend pas en charge la classification uniquement.

Toutefois, si l’étiquette est configurée pour la classification et la protection, et que le type de fichier .txt est inclus pour le scanneur à protéger, le scanneur peut étiqueter le fichier.

Étapes suivantes

Pour plus d’informations sur le déploiement du scanneur, consultez les articles suivants :

Plus d’informations :