Condividi tramite

Risoluzione dei problemi relativi alle etichette di riservatezza

Licenze e requisiti

Di quali licenze è necessario disporre per poter visualizzare e applicare etichette di riservatezza?

  • È necessaria una licenza Azure Information Protection Premium P1 o Premium P2 per applicare o visualizzare etichette di riservatezza da Microsoft Purview Information Protection in Power BI.
  • Per poter applicare etichette al contenuto e ai file di Power BI, un utente deve avere una licenza Power BI Pro o Premium per utente (PPU), oltre a una delle licenze di Azure Information Protection indicate in precedenza.
  • Le app di Office hanno requisiti di licenza specifici per la visualizzazione e l'applicazione di etichette di riservatezza.

Quali requisiti e prerequisiti sono disponibili per abilitare le etichette di riservatezza nel tenant?

  • Se l'organizzazione usa etichette di riservatezza di Azure Information Protection, è necessario eseguirne la migrazione alla piattaforma di etichettatura unificata di Microsoft Purview Information Protection per poterle usare in Power BI. Scopri di più sulla migrazione delle etichette di riservatezza.
  • Prima di abilitare le etichette di riservatezza nel tenant, assicurarsi che le etichette di riservatezza siano state definite e pubblicate per utenti e gruppi pertinenti. Per informazioni dettagliate, vedere Creare e configurare le etichette di riservatezza e i relativi criteri.
  • I clienti in Cina devono abilitare la gestione dei diritti per il tenant e aggiungere il principio del servizio di sincronizzazione di Microsoft Purview Information Protection, come descritto nei passaggi 1 e 2 in Configurare Azure Information Protection per i clienti in Cina.
  • L'uso delle etichette di riservatezza in Desktop richiede la versione Desktop di dicembre 2020 e le versioni successive.

Problemi generali relativi alle etichette di riservatezza

Non riesco ad abilitare le etichette di riservatezza nel mio tenant

Power BI usa le etichette di riservatezza di Microsoft Purview Information Protection. Pertanto, se si verifica un messaggio di errore quando si tenta di abilitare le etichette di riservatezza, potrebbe essere dovuto a uno dei seguenti:

  • Non si ha una licenza di Azure Information Protection.
  • Le etichette di riservatezza non sono state migrate alla versione di Microsoft Purview Information Protection supportata da Power BI.
  • Nell'organizzazione non sono state definite etichette di riservatezza di Microsoft Purview Information Protection.

Non è possibile applicare etichette di riservatezza

Per poter applicare o modificare un'etichetta di riservatezza, devi

  • Avere una licenza Power BI Pro o Premium per utente (PPU).
  • Disporre delle autorizzazioni di creazione e modifica per l'elemento a cui si vuole applicare l'etichetta.
  • Appartenere a un gruppo di sicurezza con autorizzazioni per applicare etichette di riservatezza, come descritto in Abilitare le etichette di riservatezza in Power BI.

L'etichetta di riservatezza da applicare è disattivata

Se una determinata etichetta che si desidera modificare è disattivata, è possibile che non si disponga dei diritti di utilizzo corretti per modificare tale etichetta. Se è necessario modificare un'etichetta di riservatezza e non può, chiedere all'utente che ha applicato l'etichetta al primo posto di modificarla oppure contattare l'amministratore della sicurezza di Microsoft 365/Office e richiedere i diritti di utilizzo necessari per l'etichetta.

Il pulsante di riservatezza in Desktop è disattivato

Se il pulsante di riservatezza è disattivato, può indicare che non si dispone di una licenza appropriata o che non si appartiene a un gruppo di sicurezza che dispone delle autorizzazioni per applicare etichette di riservatezza, come descritto in Abilitare le etichette di riservatezza in Power BI.

L'etichetta di riservatezza non protegge un file esportato

Le etichette di riservatezza e la crittografia dei file proteggono i dati solo quando escono da Power BI tramite percorsi di esportazione supportati. I dati che lasciano Power BI tramite percorsi di esportazione non supportati non ereditano l'etichetta di riservatezza e non verranno crittografati.

Per evitare la perdita di dati sensibili, l'amministratore di Power BI può bloccare l'esportazione da percorsi di esportazione non supportati usando le impostazioni di esportazione e condivisione di Power BI.

Problemi diversi con le etichette di riservatezza

  • Non usare le etichette genitore. Un'etichetta principale è un'etichetta con etichette secondarie. Non è possibile applicare etichette padre, ma un'etichetta già applicata può diventare un'etichetta padre se acquisisce etichette secondarie. Se si incontra un elemento con un'etichetta principale, applicare l'etichetta secondaria appropriata. Per modificare un'etichetta principale, è necessario disporre di diritti di utilizzo sufficienti per l'etichetta.

    Se un elemento ha un'etichetta padre, tenete presente il seguente comportamento:

    • Le etichette padre non verranno ereditate.
    • Le politiche di etichettatura obbligatorie non verranno applicate agli elementi con un'etichetta principale. Ciò significa che gli utenti non dovranno applicare un'etichetta significativa per salvare l'elemento e l'elemento sfuggirà ai criteri di etichettatura obbligatori progettati per promuovere la copertura completa.
    • Se si tenta di esportare dati da un elemento con un'etichetta padre, l'esportazione avrà esito negativo.
    • È possibile pubblicare un file con estensione pbix con etichetta padre, ma se l'etichetta padre è protetta, la pubblicazione avrà esito negativo. La soluzione consiste nell'applicare un'etichetta secondaria appropriata.

  • Nel servizio Power BI, se un modello semantico ha un'etichetta eliminata dall'interfaccia di amministrazione dell'etichetta, non sarà possibile esportare o scaricare i dati. In Analizza in Excel verrà generato un avviso e i dati verranno esportati in un file con estensione odc senza etichetta di riservatezza. In Desktop, se un file con estensione pbix ha un'etichetta di questo tipo non valida, non sarà possibile salvare il file.

  • Power BI non supporta le etichette di riservatezza dei tipi di protezione Do Not Forward, definiti dall'utente e HYOK . I tipi di protezione Non inoltrare e definiti dall'utente fanno riferimento alle etichette definite nel portale di conformità di Purview.

  • Sono supportati gli scenari di recupero e aggiornamento dei dati dai file di Excel crittografati (.xlsx), a meno che il file non sia archiviato dietro un gateway, nel qual caso l'azione Recupera dati/aggiornamento avrà esito negativo. Recuperare dati e azioni di aggiornamento da un file di Excel archiviato dietro un gateway e con un'etichetta di riservatezza non protetta avrà esito positivo, ma l'etichetta di riservatezza non verrà ereditata. Vedi Ereditarietà delle etichette di riservatezza dalle origini dati per maggiori dettagli.

Problemi con i file PBIX

L'esportazione dal servizio Power BI in un file con estensione pbix non riesce quando si tenta di esportare un report con un'etichetta di riservatezza protetta

Quando si esporta un report con un'etichetta di riservatezza protetta dal servizio Power BI in un file pbix, se le dimensioni del file pbix superano i 6 GB, l'etichetta protetta non può essere applicata (a causa di una limitazione di Microsoft Purview Information Protection) e l'esportazione non riesce.

È possibile visualizzare un report e un modello semantico nel servizio Power BI, ma quando li si scarica in pbix viene visualizzato un messaggio che indica che non si dispone di autorizzazioni sufficienti per aprire il file

Nel servizio Power BI l'etichettatura di riservatezza non influisce sull'accesso al contenuto. L'accesso al contenuto nel servizio viene determinato esclusivamente dalle autorizzazioni che un utente ha sul contenuto. Mentre le etichette sono visibili nel servizio, le impostazioni di crittografia associate (configurate nel portale di Microsoft Purview) non vengono applicate. Vengono applicati solo ai dati che lasciano il servizio tramite percorsi di esportazione supportati.

In Power BI Desktop le etichette di riservatezza con le impostazioni di crittografia influiscono sull'accesso al contenuto. Se un utente non dispone di autorizzazioni sufficienti in base alle impostazioni di crittografia dell'etichetta di riservatezza nel file con estensione pbix , non sarà in grado di aprire il file. Inoltre, in Desktop, quando si salva il lavoro, qualsiasi etichetta di riservatezza aggiunta e le impostazioni di crittografia associate verranno applicate al file con estensione pbix salvato.

Impossibile aprire il file con estensione pbix protetto in Desktop

L'uso delle etichette di riservatezza in Desktop richiede la versione Desktop di dicembre 2020 e le versioni successive. Se si tenta di aprire un file con estensione pbix protetto con una versione desktop precedente a dicembre 2020, l'operazione avrà esito negativo e verrà richiesto di aggiornare la versione desktop.

Gli utenti con licenza gratuita non possono aprire file con estensione pbix protetti.

I file con estensione pbix protetti possono essere aperti solo da un utente che dispone di una licenza appropriata e di controllo completo e/o diritti di utilizzo di esportazione per l'etichetta pertinente. L'utente che imposta l'etichetta ha anche controllo completo e non può mai essere bloccato. Per altri dettagli, vedere

In rari casi, può verificarsi che nessuno disponga dei diritti di utilizzo necessari per l'etichetta pertinente, ad eccezione della persona che ha impostato l'etichetta. Quindi, se una persona lascia l'organizzazione o modifica gli alias all'interno dell'organizzazione, tutti gli accessi al file con estensione pbix andranno persi. La soluzione per ottenere nuovamente l'accesso al file in questi casi consiste nel modificare o rimuovere l'etichetta di riservatezza nel file usando le API diamministrazione dell'etichetta di riservatezza impostata/. Contattare l'amministratore di Power BI per assistenza (solo gli amministratori possono eseguire le API di amministrazione).

Impossibile salvare in Desktop un file .pbix con etichetta

Gli utenti di Power BI Desktop possono riscontrare problemi durante il salvataggio del lavoro quando la connettività Internet viene persa, ad esempio dopo la modalità offline. Senza connessione Internet, alcune azioni correlate alle etichette di riservatezza e a Rights Management potrebbero non essere completate correttamente. In questi casi è consigliabile tornare online e riprovare a salvare.

In generale, quando si protegge un file con un'etichetta di riservatezza che applica la crittografia, è consigliabile usare anche un altro metodo di crittografia, ad esempio crittografia file di paging, crittografia NTFS, istanze di BitLocker, antimalware e così via.

Non è possibile pubblicare o ottenere dati di un file con estensione pbix protetto

"Pubblica" o "Recupera dati" di un file con estensione pbix protetto richiede che l'etichetta nel file con estensione pbix sia presente nei criteri di etichetta dell'utente. Se l'etichetta non è presente nei criteri di etichetta dell'utente, l'azione Pubblica o Recupera dati avrà esito negativo.

Non è possibile pubblicare o importare un file .pbix con un'etichetta di riservatezza nel servizio usando le API in esecuzione sotto un principal di servizio

La pubblicazione o l'importazione di un file con estensione pbix con un'etichetta di riservatezza protetta al servizio tramite LE API in esecuzione in un'entità servizio non è supportata e avrà esito negativo. Per attenuare il problema, gli utenti possono rimuovere l'etichetta e quindi pubblicare usando le entità servizio.

Non è possibile caricare un file protetto in Desktop tramite Recupera dati

L'importazione di file con estensione pbix con etichetta di riservatezza (protetti e non protetti) archiviati in OneDrive o SharePoint Online, nonché l'aggiornamento semantico automatico e su richiesta da tali file, è supportato, ad eccezione degli scenari seguenti:

  • File con estensione pbix protetti connessi al tempo reale e file con estensione pbix di Azure Analysis Services protetti: l'aggiornamento avrà esito negativo. Né il contenuto del report né l'etichetta verranno aggiornati.
  • File non protetti con etichetta di Live Connect .pbix: i contenuti del report verranno aggiornati, ma l'etichetta non verrà aggiornata.
  • Quando al file con estensione .pbix è stata applicata una nuova etichetta di riservatezza alla quale il proprietario del modello semantico non ha diritti di utilizzo. In questo caso, l'aggiornamento avrà esito negativo. Né il contenuto del report né l'etichetta verranno aggiornati.
  • Se il token di accesso del proprietario del modello semantico per OneDrive/SharePoint è scaduto. In questo caso, l'aggiornamento avrà esito negativo. Né il contenuto del report né l'etichetta verranno aggiornati.

Impossibile aprire il file .pbix protetto in Power BI Desktop per il server di report di Power BI

Power BI Desktop per il server di report di Power BI non supporta la protezione delle informazioni. Se si tenta di aprire un file con estensione pbix protetto, il file non verrà aperto e verrà visualizzato un messaggio di errore. I file con estensione pbix con etichetta di riservatezza non crittografati possono essere aperti normalmente.

Connessione alle origini dati

Per connettersi correttamente da Fabric o Power BI (incluso Power BI Desktop) a un'origine dati (ad esempio un file di Excel) con un'etichetta di riservatezza che applica la crittografia dei file, è necessario abilitare la protezione delle informazioni in Fabric/Power BI, ovvero l'impostazione del tenant Consentire agli utenti di applicare etichette di riservatezza per il contenuto deve essere impostata su Abilitato.

Nuvole sovrane

Le etichette di riservatezza sono supportate nei cloud sovrani seguenti:

Supporto delle etichette di riservatezza nelle app modello

Le etichette di riservatezza dei dati non sono supportate per le app modello. Le etichette di riservatezza impostate dall'autore dell'app modello vengono rimosse quando l'app viene estratta e installata e le etichette di riservatezza aggiunte agli artefatti in un'app modello installata dal consumer dell'app vengono perse (reimpostate su nulla) quando l'app viene aggiornata.

Etichettatura predefinita

Al nuovo contenuto creato nel servizio Power BI non viene applicata alcuna etichetta predefinita.

L'etichettatura predefinita in Power BI riguarda gli scenari più comuni, ma potrebbero esserci alcuni flussi meno comuni che consentono comunque agli utenti di aprire o creare file con estensione pbix senza etichetta o artefatti di Power BI.

L'etichettatura predefinita in Power BI non è supportata per le entità servizio e le API. Le entità servizio e le API non sono soggette ai criteri di etichetta predefiniti.

I criteri di etichetta predefiniti in Power BI non sono supportati per gli utenti guest esterni (Microsoft Entra B2B). Quando un utente B2B apre o crea un file con estensione pbix senza etichetta in Power BI Desktop o in un artefatto di Power BI nel servizio Power BI, non viene applicata automaticamente alcuna etichetta predefinita.

Il file pbix creato non ha avuto l'etichetta predefinita, anche se l'etichettatura predefinita è abilitata nel tenant

L'etichettatura predefinita in Power BI riguarda gli scenari più comuni, ma potrebbero esserci alcuni flussi meno comuni che consentono comunque agli utenti di aprire o creare file con estensione pbix senza etichetta o artefatti di Power BI.

L'etichetta predefinita applicata al contenuto di Power BI non corrisponde all'etichetta applicata ai messaggi di posta elettronica e ai file personali

Le impostazioni predefinite dei criteri di etichetta per Power BI sono indipendenti dalle impostazioni predefinite dei criteri di etichetta per i file e la posta elettronica.

Gli utenti B2B riescono ad aprire e creare file con estensione pbix senza etichetta, anche se l'etichettatura predefinita è attivata.

I criteri di etichetta predefiniti in Power BI non sono supportati per gli utenti guest esterni (utenti B2B). Quando un utente B2B apre o crea un file senza etichetta in Power BI Desktop, nessuna etichetta predefinita verrà applicata automaticamente al file.

Etichettatura obbligatoria

L'etichettatura obbligatoria per Power BI è abilitata, ma alcuni artefatti vengono creati o salvati senza che sia necessario applicare un'etichetta.

L'etichettatura obbligatoria in Power BI non è supportata per le entità servizio e le API. Le entità servizio e le API non sono soggette a criteri di etichetta obbligatori.

Potrebbero essere presenti flussi che consentono all'utente di creare o modificare contenuto senza etichetta.

L'etichettatura obbligatoria in Power BI non è supportata per gli utenti guest esterni (utenti B2B). Gli utenti B2B non sono soggetti a criteri di etichetta obbligatori.

Ereditarietà a valle

L'ereditarietà downstream è abilitata, ma alcuni o tutti gli elementi downstream non ereditano l'etichetta

L'ereditarietà downstream è limitata a 80 elementi. Se il numero di elementi downstream supera 80, non avviene alcuna ereditarietà. Solo l'elemento a cui è stata applicata l'etichetta riceverà l'etichetta.

L'ereditarietà downstream non sovrascrive mai le etichette che sono state applicate manualmente.

L'ereditarietà downstream non sovrascrive mai un'etichetta con un'etichetta meno restrittiva.

Le etichette di riservatezza ereditate dalle origini dati vengono propagate automaticamente a valle solo quando è abilitata la modalità di ereditarietà a valle completamente automatizzata.

Ereditarietà delle etichette di riservatezza dalle fonti di dati

Le etichette di riservatezza di un'origine dati non vengono ereditate in Power BI.

  • I dati nell'origine dati devono essere etichettati con etichette di riservatezza di Microsoft Purview Information Protection.
  • L'ambito delle etichette deve essere File e messaggi di posta elettronica e asset di Azure Purview. Vedere Estensione delle etichette di riservatezza ad Azure Purview e Creazione di nuove etichette di riservatezza o modifica delle etichette esistenti.
  • Le etichette di riservatezza devono essere abilitate in Power BI.
  • L'impostazione Applica etichette di riservatezza dalle origini dati ai dati nell'impostazione di amministrazione del tenant di Power BI (anteprima) deve essere abilitata.
  • Tutte le condizioni per l'applicazione di un'etichetta devono essere soddisfatte.
  • L'ereditarietà dalle origini dei dati non è supportata per i modelli semantici che si trovano nelle aree di lavoro classiche. Il mio spazio di lavoro e i spazi di lavoro V2 sono supportati.
  • L'ereditarietà dalle origini dati è supportata solo per i modelli semantici con metadati avanzati. Per altre informazioni, vedere Uso dei metadati del set di dati avanzato.
  • L'ereditarietà dalle origini dati è supportata solo per i modelli semantici che usano la modalità di connettività dei dati di importazione. La connessione dinamica e la connettività DirectQuery non sono supportate.
  • L'ereditarietà dalle origini dati non è supportata nelle connessioni tramite gateway o rete virtuale di Azure. Ciò significa che l'ereditarietà da un file di Excel che si trova in un computer locale non funzionerà perché richiede un gateway.

Problemi di impostazione e rimozione delle etichette di riservatezza tramite le API REST di Power BI

Non è possibile impostare o rimuovere etichette di riservatezza usando le API di amministrazione REST di Power BI

  • Gli utenti devono essere amministratori di Infrastruttura per chiamare queste API.
  • L'utente amministratore (e l'utente delegato, se specificato) deve disporre di diritti di utilizzo sufficienti per impostare o rimuovere etichette.
  • Per impostare un'etichetta di riservatezza usando l'API setLabels, l'utente amministratore (o l'utente delegato, se specificato) deve includere l'etichetta nei criteri di etichetta.
  • Le API consentono un massimo di 25 richieste all'ora. Ogni richiesta può aggiornare fino a 2000 artefatti.
  • Ambito obbligatorio: Tenant.ReadWrite.All

Defender per le app cloud

Per usare Defender for Cloud Apps con Power BI, è necessario usare e configurare i servizi di sicurezza Microsoft pertinenti, alcuni dei quali sono impostati all'esterno di Power BI. Per avere Defender for Cloud Apps nel tenant, è necessario avere una delle licenze seguenti:

  • Defender per le app cloud: fornisce le funzionalità di Defender for Cloud Apps per tutte le app supportate, incluse le suite EMS E5 e Microsoft 365 E5.
  • Office 365 Cloud App Security (un subset di Defender for Cloud Apps): fornisce funzionalità di Cloud App Security solo per Office 365, parte della famiglia di prodotti Office 365 E5.

L'uso di Defender for Cloud Apps con Power BI è stato pensato per proteggere il contenuto e i dati di un'organizzazione, con funzionalità di rilevamento che consentono di monitorare le sessioni utente e le relative attività. Quando si usa Defender per le app cloud con Power BI, è necessario tenere presenti alcune considerazioni e limitazioni:

  • Defender for Cloud Apps può operare solo su file Excel, PowerPoint e PDF.
  • Se si vogliono usare le funzionalità delle etichette di riservatezza nei criteri di sessione per Power BI, è necessario avere una licenza Azure Information Protection Premium P1 o Premium P2. È possibile acquistare una licenza di Microsoft Azure Information Protection autonoma o inclusa in uno dei gruppi di licenze Microsoft. Per i dettagli, vedere i prezzi di Azure Information Protection . È inoltre necessario che agli asset di Power BI siano state applicate etichette di riservatezza.
  • Il controllo della sessione è disponibile per qualsiasi browser su tutte le principali piattaforme in qualsiasi sistema operativo. È consigliabile usare Internet Explorer 11, Microsoft Edge (versione più recente), Google Chrome (versione più recente), Mozilla Firefox (versione più recente) o Apple Safari (versione più recente). Le chiamate API pubbliche di Power BI e altre sessioni non basate su browser non sono supportate nel controllo della sessione di Defender for Cloud Apps. Vedere altri dettagli.
  • Se si verificano problemi di accesso, ad esempio la necessità di accedere più volte, potrebbe essere correlato al modo in cui alcune app gestiscono l'autenticazione. Per altre informazioni e procedure di correzione, vedere Accesso lento nella documentazione di Defender for Cloud Apps .

Attenzione

Nella parte "Azione" dei criteri di sessione l'azione "Proteggi" funziona solo se all'elemento non è applicata alcuna etichetta. Se è già presente un'etichetta, l'azione "Proteggi" non verrà applicata. Non è possibile eseguire l'override di un'etichetta già applicata a un elemento in Power BI.

Non è possibile accedere alle informazioni di Defender for Cloud Apps.

Per accedere alle informazioni di Defender for Cloud Apps, l'organizzazione deve disporre della licenza appropriata di Defender for Cloud Apps.

Report impaginati

Il mio report paginato non eredita l'etichetta di riservatezza del modello su cui si basa.

L'ereditarietà downstream non è supportata. L'etichetta di un modello upstream non verrà propagata nei report impaginati downstream.

L'etichetta di sensibilità nel report impaginato non viene applicata al contenuto a valle del report.

L'etichetta di un report impaginato non verrà propagata al contenuto a valle del report.

È possibile creare e salvare report impaginati senza etichetta di riservatezza anche se è abilitata l'etichettatura obbligatoria.

L'etichettatura obbligatoria non si applica ai report impaginati.