Assegnare etichette di riservatezza ai gruppi di sicurezza di Microsoft Entra (anteprima)

Applica le etichette di riservatezza ai gruppi di sicurezza cloud di Microsoft Entra per estendere la classificazione e la governance già usate per i gruppi di Microsoft 365. Le stesse etichette pubblicate nel Portale di Microsoft Purview e configurate per gruppi e siti si applicano automaticamente ai gruppi di sicurezza cloud, senza alcuna configurazione di etichetta separata richiesta.

Note

Questa funzionalità non si applica ai gruppi di sicurezza sincronizzati da Active Directory locale o da gruppi di sicurezza gestiti da Exchange. Le etichette non sono supportate anche nei gruppi di sicurezza con appartenenza dinamica. Per informazioni dettagliate, vedere Limitazioni note .

Importante

Questa funzionalità è in versione di anteprima. Alcuni comportamenti, tra cui la possibilità di modificare le etichette una volta impostate e l'applicazione per i ruoli con privilegi elevati, potrebbero cambiare prima della disponibilità generale. Per configurare questa funzionalità, deve essere presente almeno una licenza Microsoft Entra ID P1 attiva nell'organizzazione Microsoft Entra.

Differenze principali rispetto all'etichettatura dei gruppi di Microsoft 365

Le etichette di riservatezza per i gruppi di sicurezza cloud condividono la stessa infrastruttura di etichette sottostante dei gruppi di Microsoft 365, ma esistono differenze comportamentali importanti:

Behavior Gruppi di Microsoft 365 Gruppi di sicurezza cloud
Mutabilità delle etichette I proprietari e gli amministratori del gruppo possono modificare o rimuovere etichette in qualsiasi momento. Le etichette non sono modificabili dopo l'applicazione. Non è possibile modificare o rimuovere etichette.
Assegnazione di etichette Assegnare etichette durante la creazione di un gruppo o su gruppi esistenti. Assegnare etichette durante la creazione di un gruppo o su gruppi esistenti. Per etichettare un gruppo con gruppi figlio, rimuovere prima tutti i gruppi figlio, applicare l'etichetta e quindi aggiungere di nuovo i gruppi figlio.
Convalida dell'appartenenza Convalida le aggiunte ai membri in base ai criteri delle etichette. Convalida le aggiunte di membri in base ai criteri delle etichette. Convalida l'appartenenza esistente in base ai criteri guest dell'etichetta al momento della prima assegnazione dell'etichetta.
Supporto per l'annidamento I gruppi di Microsoft 365 non supportano l'annidamento. Supportato, ma i gruppi figlio devono avere etichette altrettanto o più restrittive dell'etichetta del gruppo padre. Per informazioni dettagliate, vedere Comportamento di annidamento con gruppi etichettati.
Bypass con privilegi elevati/amministratore Gli amministratori rispettano i criteri per le etichette. Durante l'anteprima, alcuni ruoli di amministratore predefiniti e app con autorizzazioni specifiche possono ignorare l'imposizione delle etichette. Per l'elenco completo, vedere Limitazioni note. Questo comportamento potrebbe cambiare prima della disponibilità generale.

Note

Le etichette di riservatezza per i gruppi di sicurezza abilitati alla posta elettronica e le liste di distribuzione non sono supportate.

Perché le etichette non sono modificabili in anteprima

Microsoft 365 gruppi sono costrutti di collaborazione che applicano l'appartenenza a contenuti e carichi di lavoro condivisi, ad esempio SharePoint, Teams e Exchange. Al contrario, i gruppi di sicurezza di Microsoft Entra ID sono primitive di autorizzazione, ovvero identità di sicurezza di cui Microsoft Entra ID e i sistemi downstream di controllo dell'accesso valutano l'appartenenza.

Quando un'etichetta di riservatezza applicata a un gruppo di sicurezza cloud impedisce l'accesso agli ospiti, Microsoft Entra ID deve convalidare l'appartenenza effettiva al momento della valutazione. L'appartenenza effettiva include sia i membri diretti del gruppo che i membri ereditati in modo transitivo tramite gruppi annidati. La verifica garantisce che non siano presenti ospiti in nessun livello della gerarchia del gruppo.

I gruppi di sicurezza vengono usati direttamente nelle decisioni di autorizzazione, ad esempio l'ambito dell'accesso condizionale, l'accesso alle applicazioni e le autorizzazioni delle risorse. L'appartenenza etichettata rappresenta un bundle di diritti. L'applicazione dipende dalla logica di risoluzione e convalida dell'appartenenza di Microsoft Entra ID, non esclusivamente dalle pratiche di governance amministrativa. I processi di convalida correnti si applicano solo alla creazione di gruppi o alla prima assegnazione di un'etichetta. L'estensione di questi processi di convalida per altri scenari è in corso.

Avvertimento

Le modifiche ai criteri delle etichette di riservatezza in Microsoft Purview si applicano immediatamente alle nuove verifiche dei criteri, ma non modificano l'appartenenza esistente ai gruppi. Ad esempio, se si modifica un'etichetta da che consente di bloccare l'accesso guest, i nuovi criteri bloccano gli utenti guest nei nuovi gruppi etichettati e bloccano le nuove aggiunte guest ai gruppi etichettati esistenti, ma gli utenti guest già in tali gruppi rimangono finché un proprietario o un amministratore non li rimuove.

Evitare di modificare o eliminare i criteri di un'etichetta dopo l'uso dell'etichetta nei gruppi di sicurezza. I proprietari scelgono un'etichetta in base alle protezioni fornite in fase di assegnazione. L'indebolimento, la stretta o la rimozione di tali protezioni possono creare una mancata corrispondenza tra i criteri correnti dell'etichetta e lo stato esistente del gruppo. Per indicazioni più generali su Purview, vedere Etichette di riservatezza in Microsoft Purview e Abilitare le etichette di riservatezza per i contenitori e sincronizzare le etichette.

Limitazioni note (anteprima)

Durante l'anteprima si applicano le limitazioni seguenti:

  • Immutabilità delle etichette: Non è possibile modificare o rimuovere un'etichetta dopo l'applicazione. Scegliere attentamente le etichette prima di applicarle.

  • Bypass con privilegi elevati: I ruoli di amministratore e le autorizzazioni dell'applicazione seguenti possono ignorare l'imposizione dei criteri di etichetta quando si aggiungono membri. Questo comportamento potrebbe cambiare prima della disponibilità generale.

    • Ruoli di amministratore: Amministratore globale, Amministratore utenti, Amministratore gruppi, Autori di directory, Amministratore di Exchange, Amministratore di SharePoint, Amministratore di gestione avanzata di SharePoint, Amministratore di Teams, Amministratore di Yammer, Amministratore helpdesk, Amministratore del supporto del servizio
    • Autorizzazioni dell'applicazione:Group.ReadWrite.All, Directory.ReadWrite.All, Directory.ReadWriteAdvanced.All, GroupMember.ReadWrite.All

  • Nessuna etichettatura per i gruppi annidati: Non è possibile assegnare un'etichetta a un gruppo di sicurezza che contiene gruppi annidati. Rimuovere prima tutti i gruppi annidati, applicare l'etichetta, etichettare i gruppi figlio singolarmente e quindi aggiungerli di nuovo. Le etichette dei gruppi figlio devono essere compatibili con l'elemento padre.

  • Gruppi di appartenenza dinamica: Non è possibile applicare etichette di riservatezza ai gruppi di sicurezza con appartenenza dinamica in questa versione. Anche se esistono alcuni casi limite in cui è possibile applicare un'etichetta a un gruppo dinamico, i criteri di etichetta associati non vengono applicati.

  • Gruppi locali e gestiti da Exchange: I gruppi di sicurezza sincronizzati da gruppi di sicurezza Active Directory locale e Exchange gestiti non sono supportati.

  • Gruppi di sicurezza abilitati alla posta elettronica e liste di distribuzione: Non supportato.

  • interfaccia di amministrazione di Microsoft 365 e Gruppi personali: L'assegnazione di etichette di riservatezza ai gruppi di sicurezza non è supportata nel interfaccia di amministrazione di Microsoft 365 o nel portale Porta gruppi personali. Usare invece il Interfaccia di amministrazione di Microsoft Entra, il portale di Azure, PowerShell o Microsoft Graph.

Prerequisiti

Prima di poter assegnare etichette di riservatezza ai gruppi di sicurezza cloud, verificare che siano soddisfatte le condizioni seguenti:

  1. L'organizzazione ha almeno una licenza attiva Microsoft Entra ID P1 o P2 (o Microsoft 365 E3/E5).
  2. L'impostazione EnableMIPLabels è impostata su True per i gruppi di sicurezza cloud nelle impostazioni della directory del tenant.
  3. Le etichette di riservatezza vengono pubblicate nel portale di Microsoft Purview con l'ambito Gruppi e siti abilitato.
  4. Le etichette vengono sincronizzate a Microsoft Entra ID utilizzando il cmdlet Execute-AzureADLabelSync. Le etichette possono diventare disponibili fino a 24 ore dopo la sincronizzazione.
  5. Il SDK PowerShell di Microsoft Graph viene installato per i cmdlet directory-settings e group-management in questo articolo.
  6. Security & Compliance PowerShell è installato e connesso. Il cmdlet Execute-AzureADLabelSync è disponibile solo in Sicurezza e PowerShell per la conformità, non nel SDK PowerShell di Microsoft Graph.

Abilitare il supporto delle etichette di riservatezza in PowerShell

Per applicare etichette di riservatezza ai gruppi di sicurezza cloud, è necessario abilitare la funzionalità creando o aggiornando le impostazioni della directory a livello di tenant. I gruppi di sicurezza cloud usano il modello di impostazioni , separato dal modello />

Note

Se sono già state abilitate le etichette di riservatezza per i gruppi di Microsoft 365, è comunque necessario completare questi passaggi per abilitarli per i gruppi di sicurezza cloud. I due tipi di gruppo usano modelli di impostazione di directory separati.

  1. Aprire un prompt di PowerShell e installare i moduli Graph necessari per eseguire i cmdlet.

    Install-Module Microsoft.Graph -Scope CurrentUser
Install-Module Microsoft.Graph.Beta -Scope CurrentUser

  2. Connetti al tenant.

    Connect-MgGraph -Scopes "Directory.ReadWrite.All"

  3. Creare le impostazioni della directory a livello di tenant per i gruppi di sicurezza cloud. Usare l'ID modello Group.Security .

    $params = @{
    templateId = "d209f6fa-3839-4d70-b83f-60b1c64d0e8f"
    values = @(
        @{
            name = "AllowToAddGuests"
            value = "True"
        }
        @{
            name = "EnableMIPLabels"
            value = "True"
        }
    )
}
New-MgBetaDirectorySetting -BodyParameter $params

  4. Verificare che le impostazioni siano state create.

    (Get-MgBetaDirectorySetting | Where-Object {
    $_.DisplayName -eq "Group.Security"
}).Values

    L'output dovrebbe mostrare EnableMIPLabels impostato su True.

Se le impostazioni esistono già ed è necessario aggiornarle:

$Setting = Get-MgBetaDirectorySetting -Search DisplayName:"Group.Security"
$params = @{
    Values = @(
        @{
            Name = "EnableMIPLabels"
            Value = "True"
        }
    )
}
Update-MgBetaDirectorySetting -DirectorySettingId $Setting.Id `
    -BodyParameter $params

Se viene visualizzato un Request_BadRequest errore, le impostazioni esistono già. Usare Get-MgBetaDirectorySetting | Format-List per trovare l'ID impostazione corretto, quindi rilasciare il Update-MgBetaDirectorySetting cmdlet con tale ID.

È anche necessario sincronizzare le etichette di riservatezza con Microsoft Entra ID. Per istruzioni, vedere Abilitare le etichette di riservatezza per i contenitori e sincronizzare le etichette nella documentazione di Purview.

Assegnare un'etichetta a un nuovo gruppo di sicurezza nel Interfaccia di amministrazione di Microsoft Entra

  1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di gruppi.

  2. Seleziona Microsoft Entra ID.

  3. Selezionare Gruppi>Tutti i gruppi>Nuovo gruppo.

  4. Nella pagina Nuovo gruppo selezionare Sicurezza come tipo di gruppo.

  5. Compilare le informazioni necessarie e selezionare un'etichetta di riservatezza dall'elenco a discesa Etichetta di riservatezza.

    Avvertimento

    Dopo aver applicato un'etichetta di riservatezza e creato il gruppo, non è possibile modificare o rimuovere l'etichetta. Verificare che l'etichetta sia allineata ai criteri di accesso e utilizzo previsti prima di procedere. Questo comportamento potrebbe cambiare prima della disponibilità generale.

  6. Aggiungere proprietari e membri in base alle esigenze. Se l'etichetta selezionata include un criterio che blocca l'accesso guest, non è possibile aggiungere membri guest.

  7. Selezionare Crea per salvare le modifiche.

Il gruppo viene creato e vengono applicate le restrizioni di appartenenza associate all'etichetta selezionata.

Assegnare un'etichetta a un gruppo di sicurezza esistente nel Interfaccia di amministrazione di Microsoft Entra

  1. Accedere all'interfaccia di amministrazione di Microsoft Entra come almeno un amministratore di gruppi.

  2. Seleziona Microsoft Entra ID.

  3. Selezionare Gruppi>Tutti i gruppi e quindi selezionare il gruppo da etichettare.

  4. Nella pagina del gruppo selezionare Proprietà.

  5. Selezionare un'etichetta di riservatezza dal menu a discesa Etichetta di riservatezza.

    Avvertimento

    Dopo aver applicato l'etichetta, non è possibile modificarla o rimuoverla. Se l'appartenenza corrente del gruppo è in conflitto con i criteri dell'etichetta selezionata, ad esempio il gruppo contiene guest e l'etichetta blocca l'accesso guest, l'operazione di salvataggio non riesce. Risolvere il conflitto prima di applicare l'etichetta.

  6. Selezionare Salva per applicare le modifiche.

Assegnare un'etichetta usando PowerShell o Microsoft Graph

Per gestire le etichette e l'appartenenza a gruppi etichettati a livello di codice, usare i frammenti di codice di PowerShell seguenti che chiamano l'endpoint beta Microsoft Graph.

Applicare un'etichetta a un nuovo gruppo di sicurezza

$param = @{
    description = "Your Group Description"
    displayName = "Your Group Name"
    mailEnabled = $false
    securityEnabled = $true
    mailNickname = "YourGroupNickName"
    assignedLabels = @(
        @{ "LabelId" = "<labelID>" }
    )
}
New-MgBetaGroup @param

Per recuperare gli ID etichetta disponibili, usare List sensitivityLabels Microsoft API Graph.

Applicare un'etichetta a un gruppo di sicurezza esistente

$assignedLabels = @(
    @{ "LabelId" = "<labelID>" }
)
Update-MgBetaGroup -GroupId <groupId> -AssignedLabels $assignedLabels

Aggiungere un membro a un gruppo di sicurezza con etichetta

$userUPN = "user1@domain.com"
$user = Get-MgBetaUser -UserId $userUPN
$odataID = "https://graph.microsoft.com/v1.0/directoryObjects/" + $user.Id
New-MgBetaGroupMemberByRef -GroupId <groupId> -OdataId $odataID

Quando si aggiungono membri a un gruppo etichettato, Microsoft Entra ID verifica che il nuovo membro soddisfi le restrizioni dell'etichetta. Se il membro non soddisfa le restrizioni( ad esempio, se si tenta di aggiungere un guest a un gruppo con criteri no-guest), l'operazione viene bloccata e viene restituito un errore.

Comportamento di annidamento con gruppi etichettati

Quando si lavora con gruppi annidati ed etichette di riservatezza, si applicano le regole seguenti:

  • Non è possibile etichettare un gruppo che contiene attualmente gruppi annidati. Per applicare un'etichetta a un gruppo padre, rimuovere prima tutti i gruppi annidati (figli), applicare l'etichetta al gruppo padre e quindi aggiungere nuovamente i gruppi figli.
  • I gruppi figli devono avere un'etichetta compatibile. Quando si aggiunge un gruppo figlio a un elemento padre etichettato, l'etichetta del gruppo figlio deve essere almeno restrittiva come l'etichetta dell'elemento padre. Non è possibile aggiungere un gruppo figlio con un'etichetta meno restrittiva (priorità inferiore) come membro di un gruppo padre più restrittivo.
  • Non è possibile annidare gruppi senza etichetta in un genitore etichettato. Se il gruppo padre ha un'etichetta, è necessario etichettare tutti i gruppi figlio con un'etichetta compatibile prima di poterli aggiungere.

Passaggi per assegnare un'etichetta a un gruppo principale con gruppi annidati

  1. Rimuovere tutti i gruppi annidati dal gruppo padre.
  2. Applica l'etichetta desiderata al gruppo principale.
  3. Applica etichette a ogni gruppo figlio (le etichette devono essere pari o più restrittive di quella del gruppo padre).
  4. Aggiungere di nuovo i gruppi figlio etichettati al gruppo padre.

Troubleshooting

Non è possibile assegnare etichette di riservatezza a un gruppo di sicurezza

L'opzione etichetta di riservatezza viene visualizzata per i gruppi di sicurezza cloud solo quando vengono soddisfatte tutte le condizioni seguenti:

  1. L'organizzazione dispone di una licenza Microsoft Entra ID P1 attiva.
  2. EnableMIPLabels è impostato su True nelle impostazioni della Group.Security directory.
  3. Le etichette di riservatezza vengono pubblicate nel portale Microsoft Purview per questa organizzazione Microsoft Entra.
  4. Le etichette vengono sincronizzate con Microsoft Entra ID tramite il cmdlet (eseguito in Security & Compliance PowerShell). Le etichette possono diventare disponibili fino a 24 ore dopo la sincronizzazione.
  5. L'ambito dell'etichetta di riservatezza è configurato per Gruppi e siti.
  6. Il gruppo è un gruppo di sicurezza cloud con tipo di appartenenza assegnato (non dinamico).
  7. L'utente connesso corrente dispone di privilegi sufficienti per assegnare etichette di riservatezza (proprietario del gruppo o almeno un amministratore dei gruppi) e rientra nell'ambito dei criteri di pubblicazione delle etichette di riservatezza.

L'assegnazione di etichette non riesce a causa di un conflitto di appartenenza

Se si tenta di applicare un'etichetta i cui criteri sono in conflitto con l'appartenenza corrente del gruppo, l'operazione ha esito negativo con un errore. Gli scenari comuni includono:

  • Applicare un'etichetta che blocca l'accesso degli ospiti a un gruppo che contiene membri ospiti. Soluzione: rimuovere i membri guest, quindi applicare l'etichetta.
  • Applicazione di qualsiasi etichetta a un gruppo che contiene gruppi annidati. Soluzione: rimuovere tutti i gruppi annidati, applicare l'etichetta, etichettare i gruppi figlio e quindi aggiungerli di nuovo.

L'aggiunta del membro non è riuscita a causa di un conflitto tra etichette

Se si tenta di aggiungere un membro (ospite o gruppo annidato) a un gruppo di sicurezza cloud il cui criterio di etichettatura è in conflitto con la composizione attuale del gruppo, l’operazione ha esito negativo e viene restituito un errore. Gli scenari comuni includono:

  • Aggiungere un membro ospite a un gruppo con un'etichetta che blocca l'accesso degli ospiti. Soluzione: non è possibile aggiungere ospiti a un gruppo la cui etichetta non consente l'accesso agli ospiti.
  • Aggiunta di un gruppo annidato senza etichetta all'interno di un gruppo principale etichettato. Soluzione: applicare un'etichetta al gruppo annidato che è ugualmente o più restrittivo dell'etichetta del gruppo padre, quindi aggiungere il gruppo annidato.
  • Aggiunta di un gruppo annidato con un'etichetta meno restrittiva a un gruppo principale. Soluzione: il gruppo annidato deve avere un'etichetta ugualmente o più restrittiva dell'etichetta del gruppo padre. Se il gruppo annidato ha un'etichetta meno restrittiva, non è possibile aggiungerla.

Non è possibile modificare o rimuovere l'etichetta

Durante l'anteprima non è possibile modificare le etichette di riservatezza nei gruppi di sicurezza cloud. Dopo aver applicato un'etichetta, non è possibile modificarla o rimuoverla. Per modificare un'etichetta, creare un nuovo gruppo di sicurezza con l'etichetta corretta e quindi aggiungere nuovamente i membri al nuovo gruppo.

Problema noto: assignedLabels non viene restituito in PowerShell

Si è verificato un problema noto per cui la assignedLabels proprietà potrebbe non essere popolata quando si esegue una query su un gruppo tramite PowerShell. Come soluzione alternativa, usare Microsoft Graph Explorer o direttamente il API Graph:

GET https://graph.microsoft.com/v1.0/groups/{groupId}?$select=assignedLabels

O

GET https://graph.microsoft.com/v1.0/groups/{groupId}/assignedlabels

Contenuti correlati

  • Ultimo aggiornamento: