Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
La funzionalità utente con privilegi avanzati del servizio Azure Rights Management di Microsoft Purview Information Protection garantisce che gli utenti e i servizi autorizzati possano sempre leggere e ispezionare i dati crittografati da Azure Rights Management per l'organizzazione. Se necessario, la protezione di crittografia può essere rimossa o modificata.
Un utente con privilegi avanzati dispone sempre del diritto di utilizzo Controllo completo dei diritti per i documenti e i messaggi di posta elettronica crittografati dal tenant dell'organizzazione. Questa capacità viene talvolta definita "ragionamento sui dati" ed è un elemento cruciale per mantenere il controllo dei dati dell'organizzazione. Ad esempio, è possibile utilizzare questa funzionalità per uno degli scenari seguenti:
Un dipendente lascia l'organizzazione ed è necessario leggere i file che ha crittografato.
Un amministratore IT deve rimuovere le impostazioni di crittografia correnti configurate per i file e applicare nuove impostazioni di crittografia.
Exchange Server deve indicizzare le cassette postali per le operazioni di ricerca.
Sono disponibili servizi IT per soluzioni di prevenzione della perdita dei dati (DLP), gateway di crittografia dei contenuti (CEG) e prodotti antimalware che devono ispezionare i file già crittografati.
È necessario decrittografare in blocco i file per motivi di controllo, legali o di altro tipo.
Configurazione per la funzionalità utente con privilegi avanzati
Per impostazione predefinita, la funzionalità utente con privilegi avanzati non è abilitata e nessun utente è assegnato a questo ruolo. Viene abilitato automaticamente se si configura il connettore Rights Management per Exchange e non è necessario per i servizi standard che eseguono Exchange Online, Microsoft Server SharePoint o SharePoint in Microsoft 365.
Se è necessario abilitare manualmente la funzionalità utente con privilegi avanzati, usare il cmdlet di PowerShell Enable-AipServiceSuperUserFeature, quindi assegnare gli utenti (o gli account di servizio) in base alle esigenze usando il cmdlet Add-AipServiceSuperUser o il cmdlet Set-AipServiceSuperUserGroup e aggiungere utenti (o altri gruppi) in base alle esigenze a questo gruppo.
Anche se l'uso di un gruppo per gli utenti con privilegi avanzati è più semplice da gestire, per motivi di prestazioni il servizio Azure Rights Management memorizza nella cache l'appartenenza al gruppo. Pertanto, se è necessario assegnare un nuovo utente come utente con privilegi avanzati per decrittografare immediatamente il contenuto, aggiungere tale utente usando Add-AipServiceSuperUser, anziché aggiungere l'utente a un gruppo esistente configurato usando Set-AipServiceSuperUserGroup.
Nota
Quando si aggiunge un utente con il cmdlet Add-AipServiceSuperUser , è necessario aggiungere al gruppo anche l'indirizzo di posta principale o il nome dell'entità utente. Gli alias di Email non vengono valutati.
Se non è ancora stato installato il modulo PowerShell per il servizio Azure Rights Management, vedere Installare il modulo AIPService PowerShell per il servizio Azure Rights Management.
Non importa quando si abilita la funzionalità utente con privilegi avanzati o quando si aggiungono utenti come utenti con privilegi avanzati. Ad esempio, se si abilita la funzionalità il giovedì e si aggiunge un utente il venerdì, tale utente può aprire immediatamente il contenuto protetto all'inizio della settimana.
Procedure consigliate di sicurezza per la funzionalità utente con privilegi avanzati
Segui queste procedure di sicurezza consigliate quando usi la funzionalità utente con privilegi avanzati:
Limitare e monitorare gli amministratori a cui è assegnato un amministratore globale per il tenant o a cui è assegnato il ruolo GlobalAdministrator utilizzando il cmdlet Add-AipServiceRoleBasedAdministrator . Questi utenti possono abilitare la funzionalità utente con privilegi avanzati e assegnare utenti (e se stessi) come utenti con privilegi avanzati e potenzialmente decrittografare tutti i file crittografati dall'organizzazione.
Per vedere quali utenti e account di servizio sono assegnati singolarmente come utenti con privilegi avanzati, usare il cmdlet Get-AipServiceSuperUser .
Per verificare se è configurato un gruppo di utenti con privilegi avanzati, usare il cmdlet Get-AipServiceSuperUserGroup e gli strumenti di gestione utenti standard per verificare quali utenti sono membri di questo gruppo.
Come tutte le azioni di amministrazione, l'abilitazione o la disabilitazione della super funzionalità e l'aggiunta o la rimozione di utenti con privilegi avanzati vengono registrate e possono essere controllate utilizzando il comando Get-AipServiceAdminLog . Ad esempio, vedere Esempio di controllo per la funzionalità utente con privilegi avanzati.
Quando gli utenti con privilegi avanzati decrittografano i file, la decrittografia dei file viene registrata e può essere controllata con la registrazione dell'utilizzo.
Nota
Anche se i log includono dettagli sulla decrittografia, incluso l'utente che ha decrittografato il file, non specificano quando l'utente è un utente con privilegi avanzati.
Utilizzare i log insieme a Get-AipServiceSuperUser e Get-AipServiceSuperUserGroup per raccogliere prima un elenco di utenti con privilegi avanzati che è possibile identificare nei log.
Se la funzionalità utente con privilegi avanzati non è necessaria per i servizi quotidiani, abilita la funzionalità solo quando è necessaria e disabilitala di nuovo usando il cmdlet Disable-AipServiceSuperUserFeature .
Esempio di controllo per la funzionalità utente con privilegi avanzati
L'estratto di log seguente mostra alcune voci di esempio dall'uso del cmdlet Get-AipServiceAdminLog .
In questo esempio, l'amministratore di Contoso Ltd conferma che la funzionalità utente con privilegi avanzati è disabilitata, aggiunge Richard Simone come utente con privilegi avanzati, verifica che Richard sia l'unico utente con privilegi avanzati configurato per il servizio Azure Rights Management e quindi abilita la funzionalità utente con privilegi avanzati in modo che Richard possa ora decrittografare alcuni file protetti da un dipendente che ha lasciato la società.
2015-08-01T18:58:20 admin@contoso.com GetSuperUserFeatureState Passed Disabled
2015-08-01T18:59:44 admin@contoso.com AddSuperUser -id rsimone@contoso.com Passed True
2015-08-01T19:00:51 admin@contoso.com GetSuperUser Passed rsimone@contoso.com
2015-08-01T19:01:45 admin@contoso.com SetSuperUserFeatureState -state Enabled Passed True
Opzioni di scripting per gli utenti con privilegi avanzati
Spesso, a un utente assegnato a un utente con privilegi avanzati per il servizio Azure Rights Management è necessario rimuovere la crittografia da più file, in più posizioni. Anche se è possibile eseguire questa attività manualmente, è più efficiente (e spesso più affidabile) creare uno script usando il cmdlet Set-FileLabel .
È anche possibile usare questo cmdlet per applicare una nuova etichetta che non applica la crittografia o rimuovere l'etichetta che ha applicato la crittografia.
Per altre informazioni su questi cmdlet, vedere Usare PowerShell con il client Microsoft Purview Information Protection dalla documentazione di PowerShell PurviewInformationProtection.
Nota
Il modulo PurviewInformationProtection è diverso e integra il modulo AIPService PowerShell che gestisce il servizio Azure Rights Management per Microsoft Purview Information Protection.
Rimozione della crittografia dai file PST
Per rimuovere la crittografia dai file PST, è consigliabile usare eDiscovery da Microsoft Purview per cercare ed estrarre messaggi di posta elettronica e allegati crittografati nei messaggi di posta elettronica.
La funzionalità utente con privilegi avanzati viene integrata automaticamente con Exchange Online in modo che eDiscovery nel portale Microsoft Purview possa cercare elementi crittografati prima dell'esportazione o decrittografare la posta elettronica crittografata durante l'esportazione.
Se non è possibile usare Microsoft Purview eDiscovery, potrebbe essere disponibile un'altra soluzione di eDiscovery che si integra con il servizio Azure Rights Management per analizzare i dati in modo analogo.
In alternativa, se la soluzione di eDiscovery non è in grado di leggere e decrittografare automaticamente il contenuto protetto, è comunque possibile utilizzarla in un processo in più passaggi insieme al cmdlet Set-FileLabel :
Esportare il messaggio in questione in un file PST da Exchange Online o Exchange Server oppure dalla workstation in cui l'utente ha archiviato la posta elettronica.
Importare il file PST nello strumento di eDiscovery. Poiché lo strumento non è in grado di leggere il contenuto crittografato, questi elementi dovrebbero generare errori.
Da tutti gli elementi che lo strumento non è riuscito ad aprire, genera un nuovo file PST che questa volta contiene solo elementi crittografati. Questo secondo file PST sarà probabilmente molto più piccolo del file PST originale.
Eseguire Set-FileLabel in questo secondo file PST per decrittografare il contenuto di questo file molto più piccolo. Dall'output, importa il file PST ora decrittografato nello strumento di individuazione.
Per informazioni e indicazioni più dettagliate per l'esecuzione di eDiscovery tra cassette postali e file PST, vedere il post di blog seguente: Azure Information Protection e processi di eDiscovery.