Condividi tramite

Come eseguire la migrazione delle etichette di Azure Information Protection alle etichette di riservatezza unificate

  • Articolo

Eseguire la migrazione delle etichette di Azure Information Protection alla piattaforma di etichettatura unificata in modo da poterle usare come etichette di riservatezza da parte di client e servizi che supportano l'etichettatura unificata.

Nota

Se la sottoscrizione di Azure Information Protection è piuttosto nuova, potrebbe non essere necessario eseguire la migrazione delle etichette perché il tenant si trova già nella piattaforma di etichettatura unificata.

Dopo la migrazione delle etichette, non si noterà alcuna differenza con il client classico di Azure Information Protection, perché questo client continua a scaricare le etichette con i criteri di Azure Information Protection dal portale di Azure. Tuttavia, è ora possibile usare le etichette con il client di etichettatura unificata di Azure Information Protection e altri client e servizi che usano etichette di riservatezza.

Prima di leggere le istruzioni per eseguire la migrazione delle etichette, è possibile trovare le domande frequenti seguenti utili:

Amministrazione istrative ruoli che supportano la piattaforma di etichettatura unificata

Se si usano i ruoli di amministratore per l'amministrazione delegata nell'organizzazione, potrebbe essere necessario apportare alcune modifiche per la piattaforma di etichettatura unificata:

Il ruolo Microsoft Entra dell'amministratore di Azure Information Protection (in precedenza amministratore di Information Protection) non è supportato dalla piattaforma di etichettatura unificata. Se questo ruolo amministrativo viene usato nell'organizzazione per gestire Azure Information Protection, aggiungere gli utenti con questo ruolo ai ruoli di amministratore della conformità, amministratore dei dati di conformità o amministratore della sicurezza. Per informazioni su questo passaggio, vedere Concedere agli utenti l'accesso al Portale di conformità di Microsoft Purview. È anche possibile assegnare questi ruoli nell'interfaccia di amministrazione di Microsoft Entra e nel Portale di conformità di Microsoft Purview.

In alternativa all'uso dei ruoli, nella Portale di conformità di Microsoft Purview, è possibile creare un nuovo gruppo di ruoli per questi utenti e aggiungere i ruoli etichetta di riservatezza Amministrazione istrator o Configurazione organizzazione a questo gruppo.

Se non si concede a questi utenti l'accesso al Portale di conformità di Microsoft Purview usando una di queste configurazioni, non sarà possibile configurare Azure Information Protection nel portale di Azure dopo la migrazione delle etichette.

Gli amministratori globali per il tenant possono continuare a gestire etichette e criteri sia nel portale di Azure che nel Portale di conformità di Microsoft Purview dopo la migrazione delle etichette.

Operazioni preliminari

La migrazione delle etichette offre molti vantaggi, ma è irreversibile. Prima di eseguire la migrazione, assicurarsi di conoscere le modifiche e le considerazioni seguenti:

Supporto client per l'etichettatura unificata

Assicurarsi di disporre di client che supportano etichette unificate e, se necessario, essere preparati per l'amministrazione in entrambi i portale di Azure (per i client che non supportano etichette unificate) e il Portale di conformità di Microsoft Purview (per il client che supportano etichette unificate).

Configurazione dei criteri

I criteri, incluse le impostazioni dei criteri e gli utenti autorizzati ad accedervi (criteri con ambito) e tutte le impostazioni client avanzate non vengono migrate. Le opzioni per configurare queste impostazioni dopo la migrazione delle etichette includono quanto segue:

Importante

Non tutte le impostazioni di un'etichetta migrata sono supportate dal Portale di conformità di Microsoft Purview. Usare la tabella nelle impostazioni etichetta non supportate nella sezione Portale di conformità di Microsoft Purview per identificare queste impostazioni e il corso consigliato.

Modelli di protezione

  • I modelli che usano una chiave basata sul cloud e che fanno parte di una configurazione di etichetta vengono migrati anche con l'etichetta. Non viene eseguita la migrazione di altri modelli di protezione.

  • Se sono presenti etichette configurate per un modello predefinito, modificare queste etichette e selezionare l'opzione Imposta autorizzazioni per configurare le stesse impostazioni di protezione presenti nel modello. Le etichette con modelli predefiniti non bloccano la migrazione delle etichette, ma questa configurazione dell'etichetta non è supportata nella Portale di conformità di Microsoft Purview.

    Suggerimento

    Per riconfigurare queste etichette, potrebbe risultare utile avere due finestre del browser: una finestra in cui si seleziona il pulsante Modifica modello per l'etichetta per visualizzare le impostazioni di protezione e l'altra finestra per configurare le stesse impostazioni quando si seleziona Imposta autorizzazioni.

  • Dopo la migrazione di un'etichetta con impostazioni di protezione basate sul cloud, l'ambito risultante del modello di protezione è l'ambito definito nella portale di Azure (o usando il modulo PowerShell AIPService) e l'ambito definito nel Portale di conformità di Microsoft Purview.

Nomi visualizzati

Per ogni etichetta, il portale di Azure visualizza solo il nome visualizzato dell'etichetta, che è possibile modificare. Gli utenti visualizzano questo nome di etichetta nelle app.

Il Portale di conformità di Microsoft Purview mostra sia questo nome visualizzato per un'etichetta che il nome dell'etichetta. Il nome dell'etichetta è il nome iniziale specificato al momento della creazione dell'etichetta e questa proprietà viene utilizzata dal servizio back-end a scopo di identificazione. Quando si esegue la migrazione delle etichette, il nome visualizzato rimane invariato e il nome dell'etichetta viene rinominato nell'ID etichetta dal portale di Azure.

Nomi visualizzati in conflitto

Prima della migrazione, assicurarsi di non avere nomi visualizzati in conflitto al termine della migrazione. I nomi visualizzati nella stessa posizione nella gerarchia di etichettatura devono essere univoci.

Si consideri ad esempio l'elenco di etichette seguente:

  • Pubblica
  • Generali
  • Riservate
    • Confidential\HR
    • Riservato\Finanza
  • Segreto
    • Secret\HR
    • Secret\Finance

In questo elenco, Public, General, Confidential e Secret sono tutte etichette padre e non possono avere nomi duplicati. Inoltre, Confidential\HR e Confidential\Finance si trovano nella stessa posizione nella gerarchia e non possono avere nomi duplicati.

Tuttavia, le etichette secondarie tra elementi padre diversi, ad esempio Confidential\HR e Secret\HR , non si trovano nella stessa posizione nella gerarchia e pertanto possono avere gli stessi nomi singoli.

Stringhe localizzate nelle etichette

Le stringhe localizzate per le etichette non vengono migrate. Definire nuove stringhe localizzate per le etichette migrate usando Security & Compliance PowerShell e il parametro Locale Impostazioni per Set-Label.

Modifica delle etichette migrate nel Portale di conformità di Microsoft Purview

Dopo la migrazione, quando si modifica un'etichetta migrata nella portale di Azure, la stessa modifica viene riflessa automaticamente nella Portale di conformità di Microsoft Purview.

Tuttavia, quando si modifica un'etichetta migrata nel Portale di conformità di Microsoft Purview, è necessario tornare al riquadro portale di Azure, Azure Information Protection - Etichettatura unificata e selezionare Pubblica.

Questa azione aggiuntiva è necessaria per consentire ai client di Azure Information Protection (versione classica) di selezionare le modifiche dell'etichetta.

Impostazioni delle etichette non supportate nel Portale di conformità di Microsoft Purview

Usare la tabella seguente per identificare le impostazioni di configurazione di un'etichetta migrata non supportate dal Portale di conformità di Microsoft Purview. Se sono presenti etichette con queste impostazioni, al termine della migrazione, usare le linee guida per l'amministrazione nella colonna finale prima di pubblicare le etichette nella Portale di conformità di Microsoft Purview.

Se non si è certi della configurazione delle etichette, visualizzare le relative impostazioni nel portale di Azure. Per informazioni su questo passaggio, vedere Configurazione dei criteri di Azure Information Protection.

I client di Azure Information Protection (versione classica) possono usare tutte le impostazioni delle etichette elencate senza problemi perché continuano a scaricare le etichette dal portale di Azure.

Configurazione delle etichette Supportato dai client di etichettatura unificata Linee guida per il Portale di conformità di Microsoft Purview
Stato abilitato o disabilitato

Questo stato non è sincronizzato con il Portale di conformità di Microsoft Purview		 Non applicabile L'equivalente è se l'etichetta viene pubblicata o meno.
Colore etichetta selezionato dall'elenco o specificato tramite codice RGB Sì Nessuna opzione di configurazione per i colori dell'etichetta. È invece possibile configurare i colori delle etichette nel portale di Azure o usare PowerShell.
Protezione basata sul cloud o protezione basata su HYOK usando un modello predefinito No Nessuna opzione di configurazione per i modelli predefiniti. Non è consigliabile pubblicare un'etichetta con questa configurazione.
Protezione basata sul cloud con autorizzazioni definite dall'utente per Word, Excel e PowerPoint Sì Il Portale di conformità di Microsoft Purview supporta un'opzione di configurazione per le autorizzazioni definite dall'utente.

Se si pubblica un'etichetta con questa configurazione, controllare i risultati dell'applicazione dell'etichetta nella tabella seguente.
Protezione basata su HYOK con autorizzazioni definite dall'utente per Outlook (Non inoltrare) No Nessuna opzione di configurazione per HYOK. Non è consigliabile pubblicare un'etichetta con questa configurazione. In tal caso, i risultati dell'applicazione dell'etichetta sono elencati nella tabella seguente.
Nome, dimensione e colore del carattere personalizzato in base al codice RGB per contrassegni visivi (intestazione, piè di pagina, filigrana) Sì La configurazione per i contrassegni visivi è limitata a un elenco di colori e dimensioni del carattere. È possibile pubblicare questa etichetta senza modifiche anche se non è possibile visualizzare i valori configurati nella Portale di conformità di Microsoft Purview.

Per modificare queste opzioni, usare il cmdlet New-Label Office 365 Security & Compliance Center. Per semplificare l'amministrazione, è consigliabile modificare il colore in una delle opzioni elencate nella Portale di conformità di Microsoft Purview.

Nota: il Portale di conformità di Microsoft Purview supporta un elenco predefinito di definizioni dei tipi di carattere. I tipi di carattere e i colori personalizzati sono supportati solo tramite il cmdlet New-Label.

Se si usa il client classico, apportare queste modifiche all'etichetta nel portale di Azure.
Variabili nei contrassegni visivi (intestazione, piè di pagina) Sì Questa configurazione dell'etichetta è supportata dai client AIP e dall'etichettatura predefinita di Office per le app selezionate.

Se si usa l'etichettatura predefinita usando un'app che non supporta questa configurazione e si pubblica questa etichetta senza modifiche, le variabili vengono visualizzate come testo nei client anziché visualizzare il valore dinamico.

Per altre informazioni, vedere la documentazione di Microsoft 365.
Contrassegni visivi per app Sì Questa configurazione dell'etichetta è supportata solo dai client AIP e non dall'etichettatura predefinita di Office.

Se si usa l'etichettatura predefinita e si pubblica questa etichetta senza modifiche, la configurazione del contrassegno visivo viene visualizzata come testo variabile anziché i contrassegni visivi configurati per la visualizzazione in ogni app.
Protezione "Solo per me" Sì Il Portale di conformità di Microsoft Purview non consente di salvare le impostazioni di crittografia applicate ora, senza specificare alcun utente. Nella portale di Azure questa configurazione restituisce un'etichetta che applica la protezione "Just for me".

In alternativa, creare un'etichetta che applica la crittografia e specificare un utente con qualsiasi autorizzazione e quindi modificare il modello di protezione associato usando PowerShell. Usare prima di tutto il cmdlet New-AipServiceRightsDefinition (vedere l'esempio 3) e quindi Set-AipServiceTemplateProperty con il parametro RightsDefinitions.
Condizioni e impostazioni associate

Include l'etichettatura automatica e consigliata e le relative descrizioni comando		 Non applicabile Riconfigurare le condizioni usando l'etichettatura automatica come configurazione separata dalle impostazioni delle etichette.

Confronto del comportamento delle impostazioni di protezione per un'etichetta

Usare la tabella seguente per identificare il comportamento della stessa impostazione di protezione per un'etichetta in modo diverso, a seconda che venga usato dal client classico di Azure Information Protection, dal client di etichettatura unificata di Azure Information Protection o da app Office che dispongono di etichette incorporate (note anche come "etichettatura nativa di Office"). Le differenze nel comportamento delle etichette possono modificare la decisione di pubblicare le etichette, soprattutto quando si dispone di una combinazione di client nell'organizzazione.

Se non si è certi della configurazione delle impostazioni di protezione, visualizzare le impostazioni nel riquadro Protezione nel portale di Azure. Per informazioni su questo passaggio, vedere Per configurare un'etichetta per le impostazioni di protezione.

Le impostazioni di protezione che si comportano allo stesso modo non sono elencate nella tabella, con le eccezioni seguenti:

  • Quando si usano app Office con l'etichettatura predefinita, le etichette non sono visibili in Esplora file a meno che non si installi anche il client di etichettatura unificata di Azure Information Protection.
  • Quando si usano app Office con l'etichettatura predefinita, se la protezione è stata applicata in precedenza indipendentemente da un'etichetta, tale protezione viene mantenuta [1].
Impostazione di protezione per un'etichetta Client classico di Azure Information Protection Client di etichettatura unificata di Azure Information Protection app Office con etichettatura predefinita
HYOK (AD RMS) con un modello: Visibile in Word, Excel, PowerPoint, Outlook e Esplora file

Quando viene applicata questa etichetta:

- La protezione HYOK viene applicata a documenti e messaggi di posta elettronica		 Visibile in Word, Excel, PowerPoint, Outlook e Esplora file

Quando viene applicata questa etichetta:

- Non viene applicata alcuna protezione e la protezione viene rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta		 Visibile in Word, Excel, PowerPoint e Outlook

Quando viene applicata questa etichetta:

- Non viene applicata alcuna protezione e la protezione viene rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta [1]
HYOK (AD RMS) con autorizzazioni definite dall'utente per Word, Excel, PowerPoint e Esplora file: Visibile in Word, Excel, PowerPoint e Esplora file

Quando viene applicata questa etichetta:

- La protezione HYOK viene applicata a documenti e messaggi di posta elettronica		 Visibile in Word, Excel e PowerPoint

Quando viene applicata questa etichetta:

- La protezione non viene applicata e la protezione viene rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta		 Visibile in Word, Excel e PowerPoint

Quando viene applicata questa etichetta:

- La protezione non viene applicata e la protezione viene rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta
HYOK (AD RMS) con autorizzazioni definite dall'utente per Outlook: Visibile in Outlook

Quando viene applicata questa etichetta:

- Non inoltrare con la protezione HYOK viene applicata ai messaggi di posta elettronica		 Visibile in Outlook

Quando viene applicata questa etichetta:

- La protezione non viene applicata e rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta		 Visibile in Outlook

Quando viene applicata questa etichetta:

- La protezione non viene applicata e rimossa [2] se è stata applicata in precedenza da un'etichetta

- Se la protezione è stata applicata in precedenza in modo indipendente da un'etichetta, tale protezione viene mantenuta [1]
Nota 1

In Outlook la protezione viene mantenuta con un'eccezione: quando un messaggio di posta elettronica è stato protetto con l'opzione di sola crittografia (Crittografa), tale protezione viene rimossa.

Nota 2

La protezione viene rimossa se l'utente ha un diritto di utilizzo o un ruolo che supporta questa azione:

Se l'utente non ha uno di questi diritti di utilizzo o ruoli, l'etichetta non viene applicata e la protezione originale viene mantenuta.

Per eseguire la migrazione delle etichette di Azure Information Protection

Usare le istruzioni seguenti per eseguire la migrazione del tenant e delle etichette di Azure Information Protection per usare l'archivio di etichettatura unificata.

Per eseguire la migrazione delle etichette, è necessario essere un amministratore dei dati di conformità, un amministratore della sicurezza o un amministratore globale.

  1. Aprire una nuova finestra del browser e accedere al portale di Azure, se questa operazione non è già stata eseguita. Passare quindi al riquadro Azure Information Protection .

    Ad esempio, nella casella di ricerca per risorse, servizi e documenti: Iniziare a digitare Informazioni e selezionare Azure Information Protection.

  2. Dall'opzione di menu Gestisci selezionare Etichettatura unificata.

  3. Nel riquadro Azure Information Protection - Etichettatura unificata selezionare Attiva e seguire le istruzioni online.

    Se l'opzione per l'attivazione non è disponibile, controllare lo stato di etichettatura unificata: se viene visualizzato Attivato, il tenant usa già l'archivio di etichettatura unificata e non è necessario eseguire la migrazione delle etichette.

Per le etichette di cui è stata eseguita la migrazione, ora possono essere usate da client e servizi che supportano l'etichettatura unificata. Tuttavia, è necessario prima pubblicare queste etichette nel Portale di conformità di Microsoft Purview.

Importante

Se si modificano le etichette all'esterno del portale di Azure, per i client di Azure Information Protection (versione classica), tornare a questo riquadro di etichettatura unificata di Azure Information Protection e selezionare Pubblica.

Copiare i criteri

Dopo aver eseguito la migrazione delle etichette, è possibile selezionare un'opzione per copiare i criteri. Se si seleziona questa opzione, al Portale di conformità di Microsoft Purview viene inviata una copia monouso dei criteri con le impostazioni dei criteri e le impostazioni client avanzate.

I criteri copiati correttamente con le impostazioni e le etichette vengono quindi pubblicati automaticamente agli utenti e ai gruppi assegnati ai criteri nella portale di Azure. Si noti che per i criteri globali questo significa tutti gli utenti. Se non si è pronti per la pubblicazione delle etichette di cui è stata eseguita la migrazione nei criteri copiati, dopo la copia dei criteri, è possibile rimuovere le etichette dai criteri di etichetta nell'interfaccia di etichettatura dell'amministratore.

Prima di selezionare l'opzione Copia criteri (anteprima) nel riquadro Azure Information Protection - Etichettatura unificata , tenere presente quanto segue:

  • L'opzione Copia criteri (anteprima) non è disponibile finché non viene attivata l'etichettatura unificata per il tenant.

  • Non è possibile scegliere in modo selettivo criteri e impostazioni da copiare. Tutti i criteri (i criteri globali e i criteri con ambito) vengono selezionati automaticamente per essere copiati e tutte le impostazioni supportate come impostazioni dei criteri di etichetta vengono copiate. Se si dispone già di un criterio di etichetta con lo stesso nome, verrà sovrascritto con le impostazioni dei criteri nella portale di Azure.

  • Alcune impostazioni client avanzate non vengono copiate perché per il client di etichettatura unificata di Azure Information Protection sono supportate come impostazioni avanzate delle etichette anziché come impostazioni dei criteri. È possibile configurare queste impostazioni avanzate per le etichette con Security & Compliance PowerShell. Impostazioni client avanzate non copiate:

  • A differenza della migrazione delle etichette in cui vengono sincronizzate le modifiche successive alle etichette, l'azione Copia criteri non sincronizza le modifiche successive ai criteri o alle impostazioni dei criteri. È possibile ripetere l'azione di copia dei criteri dopo aver apportato modifiche nel portale di Azure e tutti i criteri esistenti e le relative impostazioni verranno sovrascritti nuovamente. In alternativa, usare i cmdlet Set-LabelPolicy o Set-Label con il parametro Advanced Impostazioni da Security & Compliance PowerShell.

  • L'azione Copia criteri verifica quanto segue per ogni criterio prima di copiarlo:

    • Gli utenti e i gruppi assegnati al criterio sono attualmente in Microsoft Entra ID. Se manca uno o più account, il criterio non viene copiato. L'appartenenza al gruppo non è selezionata.

    • Il criterio globale contiene almeno un'etichetta. Poiché i centri di etichettatura dell'amministratore non supportano i criteri di etichetta senza etichette, i criteri globali senza etichette non vengono copiati.

  • Se si copiano i criteri e li si elimina dall'interfaccia di etichettatura dell'amministratore, attendere almeno due ore prima di usare di nuovo l'azione Copia criteri per garantire un tempo sufficiente per la replica dell'eliminazione.

  • I criteri copiati da Azure Information Protection non avranno lo stesso nome, ma verranno invece denominati con un prefisso di AIP_. I nomi dei criteri non possono essere modificati successivamente.

Per altre informazioni sulla configurazione delle impostazioni dei criteri, delle impostazioni client avanzate e delle impostazioni delle etichette per il client di etichettatura unificata di Azure Information Protection, vedere Configurazioni personalizzate per il client di etichettatura unificata di Azure Information Protection dalla guida dell'amministratore.

Nota

Il supporto di Azure Information Protection per la copia dei criteri è attualmente disponibile in ANTEPRIMA. Le condizioni aggiuntive per l'anteprima di Azure includono termini legali aggiuntivi che si applicano a funzionalità di Azure in versione beta, anteprima o diversamente non ancora disponibili a livello generale.

Client e servizi che supportano l'etichettatura unificata

Per verificare se i client e i servizi usati supportano l'etichettatura unificata, fare riferimento alla relativa documentazione per verificare se possono usare etichette di riservatezza pubblicate dal Portale di conformità di Microsoft Purview.

I client che attualmente supportano l'etichettatura unificata includono
I servizi che attualmente supportano l'etichettatura unificata includono

Portali di gestione da usare dopo la migrazione delle etichette

Dopo aver eseguito la migrazione delle etichette nel portale di Azure, continuare a gestirle in uno dei percorsi seguenti, a seconda dei client installati:

Client Descrizione
Solo client e servizi di etichettatura unificata Se sono installati solo client di etichettatura unificata, gestire le etichette nel Portale di conformità di Microsoft Purview, in cui i client di etichettatura unificata scaricano le etichette e le relative impostazioni dei criteri.

Per istruzioni, vedere Creare e configurare le etichette di riservatezza e i relativi criteri.
Solo client classico Se è stata eseguita la migrazione delle etichette, ma il client classico è ancora installato, continuare a usare il portale di Azure per modificare le etichette e le impostazioni dei criteri. Il client classico continua a scaricare le etichette e le impostazioni dei criteri da Azure.
Client classico AIP e client di etichettatura unificata Se sono installati entrambi i client, usare il Portale di conformità di Microsoft Purview o il portale di Azure per apportare modifiche alle etichette.

Affinché i client classici rilevino le modifiche apportate alle etichette nel Portale di conformità di Microsoft Purview, tornare al portale di Azure per pubblicarle. Nel riquadro portale di Azure >Azure Information Protection - Etichettatura unificata selezionare Pubblica.

Continuare a usare il portale di Azure per la creazione di report centralizzati e lo scanner.

Passaggi successivi

Indicazioni e suggerimenti del team customer experience:

Informazioni sulle etichette di riservatezza:

Distribuire il client di etichettatura unificata AIP:

Se non è già stato fatto, installare il client di etichettatura unificata di Azure Information Protection.

Per altre informazioni, vedi: