Introduzione allo scanner per la protezione delle informazioni

Nota

È disponibile una nuova versione dello scanner per la protezione delle informazioni. Per altre informazioni, vedere Aggiornare lo scanner Microsoft Purview Information Protection.

Prima di installare lo scanner da Microsoft Purview Information Protection, assicurarsi che il sistema sia conforme ai requisiti per il servizio Azure Rights Management.

Inoltre, i requisiti seguenti sono specifici per lo scanner:

Se non è possibile soddisfare tutti i requisiti elencati per lo scanner perché proibiti dai criteri dell'organizzazione, vedere la sezione configurazioni alternative .

Quando si distribuisce lo scanner in produzione o si testano le prestazioni per più scanner, vedere Requisiti di archiviazione e pianificazione della capacità per SQL Server.

Quando si è pronti per iniziare l'installazione e la distribuzione dello scanner, continuare con la Configurazione e l'installazione dello scanner per la protezione delle informazioni.

Requisiti di Windows Server

Per eseguire lo scanner è necessario un computer Windows Server, con le seguenti specifiche di sistema:

Specificazione Dettagli
Processore Processori a 4 core
RAM 8 GB
Spazio su disco 10 GB di spazio libero (in media) per i file temporanei.

Lo scanner richiede spazio su disco sufficiente per creare file temporanei per ogni file che analizza, quattro file per core.

Lo spazio su disco consigliato di 10 GB consente processori a 4 core di analizzare 16 file, ognuno con una dimensione di 625 MB.
Sistema operativo Versione a 64 bit di Windows Server supportata dai criteri relativi al ciclo di vita Microsoft, incluse le versioni con supporto esteso. Per verificare se una versione specifica è supportata, vedi le informazioni sulle versioni di Windows Server.

Nota: a scopo di test o valutazione in un ambiente non di produzione, è inoltre possibile utilizzare qualsiasi sistema operativo Windows supportato dal client di protezione delle informazioni.

Server Core e Nano Server non sono supportati.
- Connettività di rete Il computer scanner può essere un computer fisico o virtuale con una connessione di rete veloce e affidabile agli archivi dati da scansionare.

Se la connettività Internet non è possibile a causa dei criteri dell'organizzazione, vedere Distribuzione dello scanner con configurazioni alternative.

In caso contrario, assicurati che il computer disponga di una connettività Internet che consenta i seguenti URL su HTTPS (porta 443):

- *.aadrm.com
- *.azurerms.com
- *.informationprotection.azure.com
- informationprotection.hosting.portal.azure.net
- *.aria.microsoft.com
- *.protection.outlook.com
- *.events.data.microsoft.com
- config.edge.skype.com
Azioni NFS Per supportare le scansioni sulle condivisioni NFS, i servizi per NFS devono essere distribuiti sul computer dello scanner.

Sul computer, passare alla finestra di dialogo delle impostazioni Funzionalità di Windows (Attivazione o disattivazione delle funzionalità di Windows) e selezionare i seguenti elementi: Servizi perStrumenti di amministrazioneNFS> e Client per NFS.
Microsoft Office iFilter Quando lo scanner è installato su un computer Windows Server, è necessario installare anche Microsoft Office iFilter per eseguire la scansione .zip file alla ricerca di tipi di informazioni sensibili.

Per altre informazioni, vedere il sito di download di Microsoft.

Requisiti dell'account di servizio

È necessario disporre di un account di servizio per eseguire il servizio di scanner nel computer Windows Server, nonché eseguire l'autenticazione in Microsoft Entra ID e scaricare i criteri dello scanner.

L'account di servizio deve essere un account Active Directory e sincronizzato con Microsoft Entra ID.

Se non è possibile sincronizzare questo account a causa dei criteri dell'organizzazione, vedere Distribuzione dello scanner con configurazioni alternative.

Questo account di servizio ha i requisiti seguenti:

Requisito Dettagli
Accesso locale assegnazione diritti utente Necessario per installare e configurare lo scanner, ma non necessario per eseguire le scansioni.

Dopo aver confermato che lo scanner può individuare, classificare e proteggere i file, è possibile rimuovere questo diritto dall'account di servizio.

Se la concessione di questo diritto anche per un breve periodo di tempo non è possibile a causa dei criteri dell'organizzazione, vedere Distribuzione dello scanner con configurazioni alternative.
Accedi come assegnazione diritti utente di servizio . Questo diritto viene concesso automaticamente all'account del servizio durante l'installazione dello scanner ed è necessario per l'installazione, la configurazione e il funzionamento dello scanner.
Autorizzazioni per i repository di dati - Condivisioni file o file locali: concedere autorizzazioni di lettura, scrittura e modifica per analizzare i file e quindi applicare la classificazione e la protezione come configurato.

- SharePoint: è necessario concedere le autorizzazioni Controllo completo per analizzare i file e quindi applicare classificazione e protezione ai file che soddisfano le condizioni del criterio Azure Information Protection.

- Modalità di rilevamento: per eseguire lo scanner solo in modalità di rilevamento, è sufficiente l'autorizzazione di lettura .
Per etichette che riproteggono o rimuovono la protezione Per garantire che lo scanner abbia sempre accesso ai file crittografati, impostare questo account come utente con privilegi avanzati per il servizio Azure Rights Management e assicurarsi che la funzionalità utente con privilegi avanzati sia abilitata.

Inoltre, se sono stati implementati i controlli di onboarding per una distribuzione in più fasi, assicurarsi che l'account del servizio sia incluso nei controlli di onboarding configurati.
Analisi a livello di URL specifico Per analizzare e individuare siti e siti secondari con un URL specifico, concedere i diritti di revisore dell'agente di raccolta del sito all'account scanner a livello di farm.
Licenza per la protezione delle informazioni Necessario per fornire funzionalità di classificazione, etichettatura o protezione dei file all'account del servizio di analisi.

Per altre informazioni, vedere le linee guida di Microsoft 365 per la sicurezza & la conformità.

Requisiti di SQL Server

Per archiviare i dati di configurazione dello scanner, utilizzare un server SQL con i requisiti seguenti:

  • Un'istanza locale o remota.

    È consigliabile ospitare il server SQL e il servizio scanner in computer diversi, a meno che non si lavori con una distribuzione di piccole dimensioni. Inoltre, è consigliabile avere un'istanza SQL dedicata che serve solo il database dello scanner e che non è condivisa con altre applicazioni.

    Se stai lavorando su un server condiviso, assicurati che il numero di core consigliato sia libero per il funzionamento del database dello scanner.

    SQL Server 2016 è la versione minima per le edizioni seguenti:

    • SQL Server Enterprise

    • SQL Server Standard

    • SQL Server Express (consigliato solo per ambienti di test)

  • Un account con il ruolo Sysadmin per installare lo scanner.

    Il ruolo Sysadmin consente al processo di installazione di creare automaticamente il database di configurazione dello scanner e di concedere il ruolo di db_owner richiesto all'account di servizio che esegue lo scanner.

    Se non è possibile ottenere il ruolo Sysadmin o se le policy dell'organizzazione richiedono la creazione e la configurazione manuale dei database, vedere Distribuzione dello scanner con configurazioni alternative.

  • Capacità. Per indicazioni sulla capacità, vedere Requisiti di archiviazione e pianificazione della capacità per SQL Server.

  • Regole di confronto senza distinzione tra maiuscole e minuscole.

Nota

Quando si specifica un nome di cluster personalizzato per lo scanner o quando si usa la versione di anteprima dello scanner, sono supportati più database di configurazione nello stesso SQL Server.

Requisiti di archiviazione e pianificazione della capacità per SQL Server

La quantità di spazio su disco necessaria per il database di configurazione dello scanner e le specifiche del computer che esegue SQL Server possono variare per ogni ambiente, pertanto è consigliabile eseguire i propri test. Usare le indicazioni seguenti come punto di partenza.

Per ulteriori informazioni, vedere Ottimizzazione delle prestazioni dello scanner.

Le dimensioni del disco per il database di configurazione dello scanner variano per ogni distribuzione. Usare l'equazione seguente come guida:

100 KB + <file count> *(1000 + 4* <average file name length>)

Ad esempio, per analizzare 1 milione di file con una lunghezza media del nome file di 250 byte, allocare 2 GB di spazio su disco.

Per più scanner:

  • Fino a 10 scanner, utilizza:

    • Processori a 4 core
    • 8 GB di RAM consigliati

  • Più di 10 scanner (massimo 40), utilizzano:

    • 8 processi principali
    • 16 GB di RAM consigliati

Requisiti del client di protezione delle informazioni

Per una rete di produzione, è necessario che la versione di disponibilità generale corrente del client Microsoft Purview Information Protection sia installata nel computer Windows Server.

Per altre informazioni, vedere Installare o aggiornare il client di Information Protection.

Importante

È necessario installare il client completo per lo scanner. Non installare il client solo con il modulo PowerShell.

Requisiti di configurazione delle etichette

È necessario configurare almeno un'etichetta di riservatezza nel portale Microsoft Purview per l'account dello scanner, per applicare la classificazione e, facoltativamente, la crittografia.

L'account dello scanner è l'account che verrà specificato nel parametro DelegatedUser del cmdlet Set-Authentication, eseguito durante la configurazione dello scanner.

Se le etichette non hanno condizioni di etichettatura automatica, vedere le istruzioni per le configurazioni alternative riportate di seguito.

Per ulteriori informazioni, vedere:

Requisiti di SharePoint

Per analizzare le raccolte di documenti e le cartelle di SharePoint, verificare che il server SharePoint sia conforme ai requisiti seguenti:

Requisito Descrizione
Versioni supportate SharePoint Server Subscription Edition (SPSE) in supporto esteso. Per altre informazioni, vedere i criteri di manutenzione dei prodotti aggiornati dei criteri di supporto di Server SharePoint per Server SharePoint SE.
Controllo delle versioni Quando si usa il controllo delle versioni, lo scanner controlla ed etichetta l'ultima versione pubblicata.

Se lo scanner etichetta un file ed è necessaria l'approvazione del contenuto , il file etichettato deve essere approvato per essere disponibile per gli utenti.
Grandi farm di SharePoint Per le farm di SharePoint di grandi dimensioni, verificare se è necessario aumentare la soglia della visualizzazione elenco (per impostazione predefinita, 5.000) per consentire allo scanner di accedere a tutti i file.

Per altre informazioni, vedere Gestire elenchi e raccolte di grandi dimensioni in SharePoint.
Percorsi di file lunghi Se in SharePoint sono presenti percorsi di file lunghi, verificare che il valore httpRuntime.maxUrlLength del server SharePoint sia maggiore dei 260 caratteri predefiniti.

Per altre informazioni, vedere la sezione successiva, Evitare i timeout dello scanner in SharePoint.

Evitare i timeout dello scanner in SharePoint

Se in SharePoint versione 2013 o successiva sono presenti percorsi di file lunghi, verificare che il valore httpRuntime.maxUrlLength del server SharePoint sia maggiore dei 260 caratteri predefiniti.

Questo valore è definito nella classe HttpRuntimeSection della ASP.NET configurazione.

Per aggiornare la classe HttpRuntimeSection:

  1. Eseguire il backup della configurazioneweb.config .

  2. Aggiornare il valore di maxUrlLength in base alle esigenze. Ad esempio:

    <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

  3. Riavviare il server Web SharePoint e verificare che venga caricato correttamente.

    Ad esempio, in Gestione server Internet Information (IIS) di Windows selezionare il sito e quindi in Gestisci sito Web selezionare Riavvia.

Requisiti di Microsoft Office

Per digitalizzare i documenti di Office, i documenti devono essere in uno dei formati seguenti:

  • Microsoft Office 97-2003
  • Formati Office Open XML per Word, Excel e PowerPoint

Per ulteriori informazioni, vedere Tipi di file supportati.

Requisiti del percorso file

Per impostazione predefinita, per analizzare i file, i percorsi dei file devono contenere al massimo 260 caratteri.

Per eseguire la scansione di file con percorsi di file superiori a 260 caratteri, installare lo scanner in un computer con una delle seguenti versioni di Windows e configurare il computer nel modo desiderato:

Versione di Windows Descrizione
Windows 2016 o versione successiva Configurare il computer per il supporto di percorsi lunghi
Windows 10 o Windows Server 2016 Definire l'impostazione di Criteri di gruppo seguente: Criteri> del computer localeConfigurazione> computerModelli> amministrativiTutte le impostazioni>abilitano i percorsi lunghi Win32.

Per altre informazioni sul supporto di percorsi di file lunghi in queste versioni, vedi la sezione Limitazione della lunghezza massima dei percorsi dalla documentazione per sviluppatori di Windows 10.
Windows 10 versione 1607 o successiva Acconsenti esplicitamente alla funzionalità di MAX_PATH aggiornata. Per altre informazioni, vedi Abilitare i percorsi lunghi in Windows 10 versione 1607 e successive.

Distribuzione dello scanner con configurazioni alternative

I prerequisiti elencati sopra sono i requisiti predefiniti per la distribuzione dello scanner e sono consigliati perché supportano la configurazione dello scanner più semplice.

I requisiti predefiniti devono essere adatti per i test iniziali, in modo da poter verificare le capacità dello scanner.

Tuttavia, in un ambiente di produzione, i criteri dell'organizzazione possono essere diversi dai requisiti predefiniti. Lo scanner può adattarsi alle seguenti modifiche con una configurazione aggiuntiva:

Individuare ed analizzare tutti i siti e i siti secondari di SharePoint con un URL specifico

Lo scanner può individuare e analizzare tutti i siti e i siti secondari di SharePoint con un URL specifico con la configurazione seguente:

  1. Avviare Amministrazione centrale SharePoint.

  2. Nella sezione Gestione applicazioni del sito Web Amministrazione centrale SharePoint fare clic su Gestisci applicazioni Web.

  3. Fare clic per evidenziare l'applicazione Web di cui si vuole gestire il livello di criteri di autorizzazione.

  4. Scegliere la farm pertinente e quindi selezionare Livelli di criteri per la gestione delle autorizzazioni.

  5. Selezionare Revisore della raccolta siti nelle opzioni relative alle autorizzazioni della raccolta siti , quindi concedere Visualizza pagine applicazioni nell'elenco Autorizzazioni e infine assegnare al nuovo livello di criteri il nome di Revisore e visualizzatore della raccolta siti dello scanner.

  6. Aggiungere l'utente dello scanner al nuovo criterio e concedere la raccolta siti nell'elenco Autorizzazioni.

  7. Aggiungere un URL di SharePoint che ospita i siti o i siti secondari da analizzare. Per ulteriori informazioni, vedere Configurare le impostazioni dello scanner.

Per altre informazioni su come gestire i livelli dei criteri di SharePoint, vedere Gestire i criteri di autorizzazione per un'applicazione Web.

Restrizione: il server dello scanner non può avere connettività Internet

Anche se il client di protezione delle informazioni non può applicare la crittografia senza una connessione Internet, lo scanner può comunque applicare etichette in base ai criteri importati.

Per supportare un computer disconnesso, usare uno dei metodi seguenti:

Usare il portale di Microsoft Purview con un computer disconnesso

Per supportare un computer che non può connettersi al portale di Microsoft Purview, eseguire la procedura seguente:

  1. Configurare le etichette nei criteri e quindi usare la procedura per supportare i computer disconnessi e abilitare la classificazione e l'etichettatura offline.

  2. Abilita la gestione offline per i processi di contenuto come indicato di seguito:

    Abilita la gestione offline per i processi di analisi del contenuto:

    1. Impostare lo scanner in modo che funzioni in modalità offline , usando il cmdlet Set-ScannerConfiguration .

    2. Configurare lo scanner nel portale di Microsoft Purview creando un cluster di scanner. Per ulteriori informazioni, vedere Configurare le impostazioni dello scanner.

    3. Esportare il processo di contenuto dal riquadro Protezione delle informazioni - Processi di analisi del contenuto utilizzando l'opzione Esporta .

    4. Importare il criterio usando il cmdlet Import-ScannerConfiguration .

    I risultati per i processi di analisi del contenuto offline si trovano in: %localappdata%\Microsoft\MSIP\Scanner\Reports

Usare PowerShell con un computer disconnesso

Esegui la procedura seguente per supportare un computer disconnesso usando solo PowerShell.

Importante

Gli amministratori dei server scanner 21Vianet di Azure Cinadevono usare questa procedura per gestire i processi di analisi del contenuto.

Gestire i processi di analisi del contenuto usando solo PowerShell:

  1. Impostare lo scanner in modo che funzioni in modalità offline , usando il cmdlet Set-ScannerConfiguration .

  2. Creare un nuovo processo di analisi del contenuto usando il cmdlet Set-ScannerContentScan , assicurandosi di usare il parametro obbligatorio -Enforce On .

  3. Aggiungi i tuoi repository usando il cmdlet Add-ScannerRepository , con il percorso del repository che vuoi aggiungere.

    Consiglio

    Per evitare che l'archivio erediti le impostazioni dal processo di analisi del contenuto, aggiungi il parametro e i OverrideContentScanJob On valori per le impostazioni aggiuntive.

    Per modificare i dettagli per un repository esistente, usa il comando Set-ScannerRepository .

  4. Usare i cmdlet Get-ScannerContentScan e Get-ScannerRepository per restituire informazioni sulle impostazioni correnti del processo di analisi del contenuto.

  5. Utilizzare il comando Set-ScannerRepository per aggiornare i dettagli per un repository esistente.

  6. Se necessario, esegui immediatamente il processo di analisi del contenuto, usando il cmdlet Start-Scan .

    I risultati per i processi di analisi del contenuto offline si trovano in: %localappdata%\Microsoft\MSIP\Scanner\Reports

  7. Se è necessario rimuovere un repository o un intero processo di analisi del contenuto, utilizzare i seguenti cmdlet:

Restrizione: non è possibile concedere l'amministratore di sistema o i database devono essere creati e configurati manualmente

Usare le procedure seguenti per creare manualmente i database e concedere il ruolo db_owner in base alle esigenze.

Se è possibile ottenere temporaneamente il ruolo di amministratore di sistema per installare lo scanner, è possibile rimuovere questo ruolo al termine dell'installazione dello scanner.

Eseguire una delle operazioni seguenti, a seconda dei requisiti dell'organizzazione:

Restrizione Descrizione
È possibile assumere temporaneamente il ruolo di amministratore di sistema Se si dispone temporaneamente del ruolo Sysadmin, il database viene creato automaticamente e all'account di servizio per lo scanner vengono automaticamente concesse le autorizzazioni necessarie.

Tuttavia, l'account utente che configura lo scanner richiede ancora il ruolo db_owner per il database di configurazione dello scanner. Se si dispone del ruolo di amministratore di sistema solo fino al completamento dell'installazione dello scanner, concedere manualmente il ruolo di db_owner all'account utente.
Non puoi avere affatto il ruolo di amministratore di sistema Se non è possibile ottenere il ruolo di amministratore di sistema nemmeno temporaneamente, è necessario chiedere a un utente con diritti di amministratore di sistema di creare manualmente un database prima di installare lo scanner.

Per questa configurazione, il ruolo db_owner deve essere assegnato ai seguenti account:
- Account di servizio per lo scanner
- Account utente per l'installazione dello scanner
- Account utente per la configurazione dello scanner

In genere, si utilizza lo stesso account utente per installare e configurare lo scanner. Se si utilizzano account diversi, entrambi richiedono il ruolo db_owner per il database di configurazione dello scanner. Crea questo utente e i diritti in base alle esigenze. Se si specifica il nome del cluster, il database di configurazione viene denominato AIPScannerUL_<cluster_name>.

Inoltre:

  • È necessario essere un amministratore locale sul server che eseguirà lo scanner

  • All'account di servizio che eseguirà lo scanner devono essere concesse autorizzazioni Controllo completo per le seguenti chiavi del Registro di sistema:

    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Se, dopo aver configurato queste autorizzazioni, viene visualizzato un errore durante l'installazione dello scanner, l'errore può essere ignorato ed è possibile avviare manualmente il servizio scanner.

Creare manualmente un database e un utente per lo scanner e concedere i diritti di db_owner

Se è necessario creare manualmente il database dello scanner e/o creare un utente e concedere db_owner diritti sul database, chiedere all'amministratore di sistema di eseguire i seguenti passaggi:

  1. Creare un database per lo scanner:

    **CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

  2. Concedere i diritti all'utente che esegue il comando di installazione e viene utilizzato per eseguire i comandi di gestione dello scanner. Usa lo script seguente:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

  3. Concedere i diritti all'account del servizio scanner. Usa lo script seguente:

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

Restrizione: all'account del servizio per lo scanner è impossibile concedere il diritto di accesso locale

Se i criteri dell'organizzazione impediscono il diritto di accesso locale per gli account di servizio, usare il parametro OnBehalfOf con Set-Authentication.

Per ulteriori informazioni, vedere Eseguire i cmdlet di etichettatura di Information Protection non presidiati.

Restrizione: l'account del servizio scanner non può essere sincronizzato con Microsoft Entra ID ma il server è connesso a Internet

È possibile disporre di un account per eseguire il servizio scanner e utilizzare un altro account per eseguire l'autenticazione in Microsoft Entra ID:

  • Per l'account del servizio scanner, utilizzare un account Windows locale o un account Active Directory.

  • Per l'account Microsoft Entra, specificare l'utente di Microsoft Entra nel cmdlet Set-Authentication, nel parametro DelegatedUser.

    Se l'analisi viene eseguita con un utente diverso dall'account dello scanner, assicurarsi di specificare l'account dello scanner anche nel parametro OnBehalfOf .

    Per ulteriori informazioni, vedere Eseguire i cmdlet di etichettatura di Information Protection non presidiati.

Restrizione: le etichette non hanno condizioni di etichettatura automatica

Se le etichette non hanno alcuna condizione di etichettatura automatica, pianifica di utilizzare una delle seguenti opzioni durante la configurazione dello scanner:

Opzione Descrizione
Scopri tutti i tipi di info Nel processo di analisi del contenuto, imposta l'opzione Tipi di informazioni da individuare su Tutti.

Questa opzione imposta il processo di analisi del contenuto per analizzare il contenuto alla ricerca di tutti i tipi di informazioni sensibili.
Usare l'etichettatura consigliata Nel processo di analisi del contenuto, imposta l'opzione Etichetta consigliata Tratta come automatica su Attivato.

Questa impostazione configura lo scanner per applicare automaticamente tutte le etichette consigliate al contenuto.
Definire un'etichetta predefinita Definire un'etichetta predefinita nei criteri, nel processo di analisi del contenuto o nell'archivio.

In questo caso lo scanner applica l'etichetta predefinita a tutti i file trovati.

Passaggi successivi

Dopo aver confermato che il sistema è conforme ai prerequisiti dello scanner, continua con la configurazione e l'installazione dello scanner per la protezione delle informazioni.

Per una panoramica dello scanner, vedere Informazioni sullo scanner per la protezione delle informazioni.

  • Ultimo aggiornamento: