Estendere l'etichettatura di riservatezza in Windows

Il client di Microsoft Purview Information Protection estende le etichette di riservatezza oltre a quelle integrate nelle app e nei servizi di Microsoft 365 e supporta una gamma più ampia di tipi di file.

Questo client viene eseguito solo in Windows e sostituisce il client di etichettatura unificata Azure Information Protection (AIP). Sono disponibili i componenti seguenti:

Componente Descrizione
Scanner per la protezione delle informazioni Usato per individuare, etichettare e crittografare i file negli archivi dati, ad esempio condivisioni di rete e raccolte di Server SharePoint.
Etichettatore di file di protezione delle informazioni Usato per applicare etichette di riservatezza e crittografia con Esplora file.
Visualizzatore di Information Protection Utilizzato per visualizzare i file crittografati.
Modulo PowerShell di Microsoft Purview Information Protection Usato per regolare le etichette di riservatezza sui file e installare e configurare lo scanner Microsoft Purview Information Protection.

Non è disponibile alcun componente aggiuntivo per Office con il client Microsoft Purview Information Protection perché questa funzionalità viene sostituita con etichette di riservatezza incorporate in Office.

Per le informazioni più recenti sui rilasci e le tempistiche di supporto per ogni versione del client, vedere Client Microsoft Purview Information Protection - Gestione dei rilasci e supportabilità.

Requisiti per la distribuzione del client di protezione delle informazioni

Per usare il client Microsoft Purview Information Protection, installare questo client nei computer Windows in cui si vogliono usare i componenti client.

Devi anche soddisfare i seguenti requisiti:

Il client Microsoft Purview Information Protection supporta le versioni a 64 bit di Windows e Windows Server supportate in base ai criteri relativi al ciclo di vita Microsoft, incluse le versioni con supporto esteso:

  • Windows, incluso Windows Enterprise multisessione. La scrittura manuale non è supportata in Windows 10 RS4 e versioni successive.
  • Windows Server.

Per verificare se è supportata una versione specifica, vedi le domande frequenti sul ciclo di vita di Windows e le informazioni sulle versioni di Windows Server.

ARM64 è supportato per il visualizzatore e l'etichettatore di file, ma non è supportato per lo scanner o PowerShell.

Installare o aggiornare il client di Information Protection

Se si installa il client Microsoft Purview Information in modo interattivo e viene rilevato il client di etichettatura unificata Azure Information Protection (AIP), è possibile aggiornare il client precedente dopo aver confermato che il componente aggiuntivo AIP per Office verrà rimosso.

Nota

Gli aggiornamenti tramite Microsoft Update Catalog o qualsiasi altra installazione non interattiva richiedono la configurazione di una chiave del Registro di sistema, se nel computer locale sono presenti versioni Azure Information Protection client.

Sono disponibili due opzioni per l'installazione del client di Information Protection:

  • Installazione del client di protezione delle informazioni tramite il programma di installazione di.exe
  • Installazione del client di protezione delle informazioni tramite il programma di installazione di.msi

Se si esegue l'aggiornamento dello scanner di protezione delle informazioni, dal client di etichettatura unificata Azure Information Protection (AIP) o da una versione precedente del client di protezione delle informazioni, vedere Aggiornare lo scanner Microsoft Purview Information Protection prima di utilizzare queste istruzioni di installazione del client.

Per installare il client di Information Protection con il file .exe:

  1. Scaricare la versione eseguibile del client Microsoft Purview Information Protection dall'Area download Microsoft. Ad esempio, PurviewInfoProtection.exe.

    Importante

    Se è disponibile una versione di anteprima, usala solo per i test. Non è destinato agli utenti finali in un ambiente di produzione.

  2. Per un'installazione predefinita, è sufficiente eseguire il file eseguibile. Per visualizzare tutte le opzioni di installazione, esegui prima il file eseguibile con /help. Ad esempio:
    PurviewInfoProtection.exe **/help**

    1. Per installare automaticamente il client, esegui:
      PurviewInfoProtection.exe /quiet
    2. Per installare automaticamente solo i cmdlet di PowerShell, eseguire:
      PurviewInfoProtection.exe PowerShellOnly=true /quiet

    Nota

    Per impostazione predefinita, l'opzione per l'invio di statistiche di utilizzo a Microsoft è abilitata. Per disabilitare questa opzione, eseguire una delle operazioni seguenti:

    • Durante l'installazione, specificare AllowTelemetry=0
    • Dopo l'installazione, aggiornare la chiave del Registro di sistema come indicato di seguito: EnableTelemetry=0.

  3. Per completare l'installazione, riavviare tutte le istanze di Esplora file.

  4. Verificare che l'installazione sia riuscita controllando il file di registro dell'installazione, che viene creato nella cartella %temp% per impostazione predefinita.

    Il file di registro di installazione ha il seguente formato di denominazione: Microsoft_Azure_Information_Protection_<number>_<number>_MSIP.Setup.Main.msi.log

    Ad esempio: Microsoft_Azure_Information_Protection_20161201093652_000_MSIP.Setup.Main.msi.log

    Nel file di log cercare la stringa seguente: Prodotto: Microsoft Purview Information Protection - Installazione completata correttamente. Se l'installazione non è riuscita, questo file di registro contiene dettagli che consentono di identificare e risolvere eventuali problemi.

    Consiglio

    È possibile modificare il percorso del file di registro dell'installazione con il parametro di installazione /log .

Percorsi dei file di registro

I file di log del client e dello scanner si trovano nelle posizioni seguenti nel computer Windows:

  • \ProgramFiles (x86)\Microsoft Purview Information Protection (solo sistemi operativi a 64 bit)
  • \Program Files\Microsoft Purview Information Protection (solo sistemi operativi a 32 bit)
  • %localappdata%\Microsoft\MSIP

Lingue supportate

Il client di protezione delle informazioni supporta le stesse lingue supportate da Office 365. Per un elenco di queste lingue, vedere la pagina della disponibilità internazionale di Office.

Per queste lingue, le opzioni di menu, le finestre di dialogo e i messaggi del client Microsoft Purview Information Protection vengono visualizzati nella lingua dell'utente. È disponibile un unico programma di installazione che rileva la lingua, quindi non è necessaria alcuna configurazione aggiuntiva per installare il client di protezione delle informazioni per lingue diverse.

Tuttavia, i nomi e le descrizioni delle etichette specificati non vengono tradotti automaticamente quando si configurano le etichette nel portale di amministrazione. Per consentire agli utenti di visualizzare le etichette nella lingua preferita, fornire le proprie traduzioni e configurarle per le etichette usando PowerShell e il parametro LocaleSettings per Set-Label. Per altre informazioni, vedi Configurazione di esempio per configurare un'etichetta di riservatezza per lingue diverse.

Tipi di file supportati

In questa sezione vengono elencati i tipi di file supportati dal client Microsoft Purview Information Protection. Per i tipi di file elencati, i percorsi WebDav non sono supportati.

Consiglio

Quando crittografi tipi di file che non hanno un supporto incorporato per la crittografia e quindi usi la crittografia generica, è consigliabile assegnare l'autorizzazione di comproprietario a questi file.

I tipi di file seguenti possono essere etichettati senza crittografia.

  • Adobe Portable Document Formato: .pdf

  • Microsoft Project: .mpp, .mpt

  • Microsoft Publisher: .pub

  • Microsoft XPS: .xps .oxps

  • Immagini: .jpg, .jpe, .jpeg, .jif, .jfif, .jfi. png, .tif, .tiff

  • Autodesk Design Review 2013: .dwfx

  • Adobe Photoshop: .psd

  • Negativo digitale: .dng

  • Microsoft Office: I tipi di file seguenti, inclusi i formati di file 97-2003 e i formati Office Open XML per Word, Excel e PowerPoint.

    Word Excel PowerPoint Visio
    .doc .xls .potm .vdw
    .docm .xlsb .potx .vsd
    .docx .xlsm .pps .vsdm
    .dot .xlsx .ppsm .vsdx
    .dotx .xltm .ppsx .vss
    .xltx .ppt .vssm
    .pptx .vst
    .vstm
    .vssx
    .vstx

Cartelle e tipi di file esclusi

Per impedire agli utenti di modificare i file critici per il funzionamento del computer, alcuni tipi di file e alcune cartelle vengono automaticamente esclusi dalla classificazione e dall'etichettatura. Se gli utenti tentano di etichettare questi file usando il client di protezione delle informazioni, visualizzano un messaggio che indica che tali file sono esclusi.

Le cartelle seguenti sono escluse dalla classificazione e dall'etichettatura da parte del client di protezione delle informazioni:

  • Windows
  • Program Files (\Program Files and \Program Files (x86))
  • \ProgramData
  • \AppData (per tutti gli utenti)

Tipi di file che non possono essere crittografati per impostazione predefinita

Qualsiasi file protetto da password non può essere crittografato in modo nativo dal client a meno che il file non sia attualmente aperto nell'applicazione che applica la crittografia. I file PDF sono protetti da password, ma anche altre applicazioni, ad esempio le app di Office, offrono questa funzionalità.

Tipi di file supportati per il controllo

Il client di protezione delle informazioni usa Windows IFilter per controllare il contenuto dei documenti. Windows IFilter viene utilizzato da Windows Search per l'indicizzazione. Di conseguenza, quando si utilizza il comando di PowerShell Set-FileLabel -Autolabel , è possibile esaminare i tipi di file seguenti.

Tipo di applicazione Tipo di file
Word .doc, .docx, docm, dot, dotx
Excel .xls, .xlt, .xlsx, .xlsm, .xlsb
PowerPoint .ppt, .pps, .pot .pptx
PDF .pdf
Testo .txt, .xml .csv

Scansione .ZIP file

È possibile usare lo scanner di protezione delle informazioni o il comando di PowerShell Set-FileLabel per esaminare .zip file.

Nota

Quando lo scanner di protezione delle informazioni è installato in un computer Windows server, è necessario installare anche Microsoft Office iFilter per eseguire la scansione .zip file alla ricerca di tipi di informazioni sensibili. Per altre informazioni, vedere il sito di download di Microsoft.

Dopo aver trovato le informazioni sensibili, se il file .zip deve essere etichettato e crittografato con un'etichetta, dalle istruzioni di distribuzione dello scanner specificare l'estensione .zip file con l'impostazione avanzata PowerShell PFileSupportedExtensions .

Scenario di esempio:

Un file denominato accounts.zip contiene fogli di calcolo di Excel con numeri di carta di credito. Si dispone di un'etichetta di riservatezza denominata Riservato \ Finanza, configurata per individuare i numeri di carta di credito e applicare automaticamente l'etichetta con crittografia che limita l'accesso al gruppo Finanza.

Dopo aver ispezionato il file, il client della sessione di PowerShell etichetta il file come Riservato \ Finanza. Successivamente, il client applica la crittografia generica al file in modo che solo i membri dei gruppi Finance possano decomprimerlo e rinomina il file accounts.zip.pfile.

Integrazione con la prevenzione della perdita dei dati di Endpoint

Impostazione di prevenzione della perdita dei dati degli endpoint (DLP) La protezione avanzata basata su etichette per tutti i file nei dispositivi migliora la produttività per gli utenti che etichettano e crittografano tipi di file diversi da quelli di Office e PDF.

Per questi file, anche se l'accesso e le eventuali restrizioni all'uso derivanti dalle impostazioni di crittografia vengono applicate dalla prevenzione della perdita dei dati quando viene applicata l'etichetta, la crittografia viene applicata quando i file lasciano il computer. Di conseguenza, l'estensione dei file locali non cambia e gli utenti possono continuare a visualizzare e modificare i file nella loro applicazione standard.

Per altre informazioni, vedere Informazioni sulla protezione avanzata basata su etichette.

Supporto per i computer disconnessi

Per impostazione predefinita, il client di protezione delle informazioni tenta automaticamente di connettersi a Internet per scaricare le etichette di riservatezza e le impostazioni dei criteri di riservatezza da Microsoft Purview.

Se si dispone di computer che non possono connettersi a Internet per un certo periodo di tempo, è possibile esportare e copiare i file che gestiscono manualmente i criteri per il client di Information Protection.

Per supportare i computer disconnessi dal client di Information Protection:

  1. Scegli o crea un account utente in Microsoft Entra ID che userai per scaricare le etichette e le impostazioni dei criteri che desideri utilizzare sul tuo computer disconnesso.

  2. Come impostazione aggiuntiva dei criteri di etichetta per questo account, disattivare l'invio di dati di controllo a Microsoft Purview usando l'impostazione avanzata EnableAudit PowerShell con Set-LabelPolicy da Security & Compliance PowerShell.

    È consigliabile eseguire questo passaggio perché se il computer disconnesso dispone di connettività Internet periodica, invierà informazioni di registrazione a Microsoft Purview che includono il nome utente del passaggio 1. L'account utente potrebbe essere diverso dall'account locale in uso nel computer disconnesso.

  3. In un computer con connettività Internet in cui è installato il client di protezione delle informazioni ed è stato eseguito l'accesso con l'account utente del passaggio 1, scaricare le etichette e le impostazioni dei criteri.

  4. Da questo computer, esportare i file di log.

    Ad esempio, esegui il cmdlet Export-DebugLogs o utilizza l'opzione Esporta log dalla finestra di dialogo Guida e feedback del client dall'etichettatore di file.

    I file di log vengono esportati come singolo file compresso.

  5. Aprire il file compresso e dalla cartella MSIP copiare tutti i file con estensione .xml file.

  6. Incollare questi file nella cartella %localappdata%\Microsoft\MSIP nel computer disconnesso.

  7. Se l'account utente scelto è uno che si connette in genere a Internet, abilitare nuovamente l'invio dei dati di controllo impostando il valore EnableAudit su True.

Tenere presente che se un utente del computer seleziona l'opzione Reimposta impostazioni dalla Guida e dal feedback nell'etichettatore di file, questa azione elimina i file dei criteri e lascia il client inutilizzabile finché non si sostituiscono manualmente i file o il client non si connette a Internet in modo da poter scaricare i file necessari.

Il client di Information Protection richiede una connessione Internet attiva per applicare la crittografia. Pertanto, la soluzione Computer disconnessi è supportata solo per le etichette che non applicano la crittografia.

Se il computer disconnesso esegue lo scanner di protezione delle informazioni, è necessario eseguire ulteriori passaggi di configurazione. Per ulteriori informazioni, vedere Restrizione: Il server dello scanner non può avere connettività Internet dalle istruzioni di distribuzione dello scanner.

Personalizzazioni supportate

Il client di protezione delle informazioni supporta le impostazioni avanzate di PowerShell e alcune impostazioni del Registro di sistema che potrebbero essere necessarie per scenari o utenti specifici.

Per le impostazioni avanzate di PowerShell supportate con New-Label o Set-Label e New-LabelPolicy o Set-LabelPolicy da Security & Compliance PowerShell, vedere Impostazioni avanzate per Microsoft Purview Information Protection client.

Utilizzare le sezioni seguenti per configurare il Registro di sistema per le personalizzazioni supportate.

Abilitare l'aggiornamento non interattivo dal client Azure Information Protection

Se si installa il client Microsoft Purview Information Protection e viene rilevato il client di etichettatura unificata Azure Information Protection, un'installazione interattiva del client richiede che l'utente riconosca che il componente aggiuntivo AIP per Office del client precedente verrà rimosso.

Per usare un'installazione non interattiva per il client, ad esempio Microsoft Update Catalog, Criteri di gruppo o scripting, è necessario prima disinstallare il client Azure Information Protection oppure creare e configurare la chiave del Registro di sistema seguente per il computer locale:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Impostare il valore su 1 per consentire automaticamente l'aggiornamento e la disinstallazione del componente aggiuntivo AIP di Office; 0 blocca l'aggiornamento se è installato il client Azure Information Protection.

Modificare il livello di registrazione locale

Per impostazione predefinita, il client Purview Information Protection scrive i file di log client nella cartella %localappdata%\Microsoft\MSIP. Questi file sono destinati alla risoluzione dei problemi da parte del supporto tecnico Microsoft.

Per modificare il livello di registrazione per questi file, individuare il nome del valore seguente nel Registro di sistema e impostare i dati del valore sul livello di registrazione richiesto:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Imposta il livello di registrazione su uno dei valori seguenti:

  • Disattivato: nessuna registrazione locale.

  • Errore: solo errori.

  • Avviso: errori e avvisi.

  • Info: Registrazione minima, che non include ID evento (l'impostazione predefinita per lo scanner).

  • Debug: informazioni complete.

  • Traccia: registrazione dettagliata (impostazione predefinita per i client).

Questa impostazione del Registro di sistema non modifica le informazioni inviate al controllo di Microsoft Purview.

Abilita le impostazioni dei limiti dei dati

A seguito dell'impegno di Microsoft per il limite dei dati dell'UE, i clienti dell'UE che usano il client Microsoft Purview Information Protection possono inviare i propri dati nell'UE per essere archiviati ed elaborati.

Attivare questa funzionalità nel client di Information Protection modificando la chiave del Registro di sistema seguente che specifica il percorso di invio degli eventi:

  • Chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
  • Valori:
    • Default = 0
    • North_America = 1
    • European_Union = 2

Abilita il browser predefinito del sistema per l'autenticazione

Utilizzare il browser predefinito di sistema per l'autenticazione nel client Microsoft Purview Information Protection. Per impostazione predefinita, il client di protezione delle informazioni apre Microsoft Edge per l'autenticazione.

Attivare questa funzionalità nel client di Information Protection abilitando la seguente chiave del Registro di sistema:

  • Chiave del Registro di sistema: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
  • Valori:
    • Disabled = 0
    • Enabled = 1

Nascondere l'opzione di menu "Applica etichetta di riservatezza con Microsoft Purview" in Esplora file

Per nascondere l'opzione di menu di scelta rapida Applica etichetta di riservatezza con Microsoft Purview in Esplora file, creare la chiave del Registro di sistema DWORD seguente con il nome valore LegacyDisable e qualsiasi valore dati:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Come applicare le etichette di riservatezza con il client di protezione delle informazioni

Dopo aver installato il client di Microsoft Purview Information Protection, è possibile applicare le etichette di riservatezza create e pubblicate usando:

Per visualizzare i documenti crittografati, vedere Visualizzare i file protetti con il visualizzatore di Microsoft Purview Information Protection.

  • Ultimo aggiornamento: