Azure Information Protection 클래식 스캐너 구성 및 설치

  • 아티클

Azure Information Protection 스캐너 구성 및 설치를 시작하기 전에 시스템이 필수 구성 요소를 준수하는지 확인합니다.

준비가 되면 다음 단계를 계속 진행합니다.

  1. Azure Portal에서 스캐너 구성

  2. 스캐너 설치

  3. 스캐너에 대한 Azure AD 토큰 가져오기

  4. 분류 및 보호를 적용하도록 스캐너 구성

필요에 따라 시스템에 대해 다음과 같은 추가 구성 절차를 수행합니다.

절차 Description
보호할 파일 형식 변경 기본 파일 형식과 다른 파일 형식을 검사, 분류 또는 보호할 수 있습니다. 자세한 내용은 AIP 검사 프로세스를 참조하세요.
스캐너 업그레이드 스캐너를 업그레이드하여 최신 기능 및 향상된 기능을 활용합니다.
데이터 리포지토리 설정을 대량으로 편집 가져오기 및 내보내기 옵션을 사용하여 여러 데이터 리포지토리에 대해 대량으로 변경합니다.
대체 구성으로 스캐너 사용 조건을 사용하여 레이블을 구성하지 않고 스캐너 사용
성능 최적화 스캐너 성능을 최적화하기 위한 지침

자세한 내용은 스캐너에 대한 cmdlet 목록도 참조하세요.

Azure Portal에서 스캐너 구성

스캐너를 설치하거나 이전의 스캐너 일반 가용성 버전에서 업그레이드하기 전에 Azure Portal에서 스캐너에 대한 클러스터 및 콘텐츠 검색 작업을 만듭니다.

그런 다음 검색할 스캐너 설정 및 데이터 리포지토리를 사용하여 클러스터 및 콘텐츠 검색 작업을 구성합니다.

스캐너를 구성하려면:

  1. Azure Portal에 로그인하고 Azure Information Protection 창으로 이동합니다.

    예를 들어 리소스, 서비스 및 문서에 대한 검색 상자에서 다음을 수행합니다. 정보를 입력하고 Azure Information Protection을 선택합니다.

  2. 스캐너 메뉴 옵션을 찾은 다음 클러스터를 선택합니다.

  3. Azure Information Protection - 클러스터 창에서 추가를 선택합니다.

    Add content scan job fo the Azure Information Protection scanner

  4. 새 클러스터 추가 창에서 다음을 수행합니다.

    1. 스캐너의 의미 있는 이름을 지정합니다. 이 이름은 검색할 스캐너의 구성 설정 및 데이터 리포지토리를 식별하는 데 사용됩니다.

      예를 들어 Europe을 지정하여 스캐너가 관리하는 데이터 리포지토리의 지리적 위치를 식별할 수 있습니다. 나중에 스캐너를 설치하거나 업그레이드하는 경우 동일한 클러스터 이름을 지정해야 합니다.

    2. 필요에 따라 관리 목적에 대한 설명을 지정하면 스캐너의 클러스터 이름을 식별하는 데 도움이 됩니다.

    3. 저장을 선택합니다.

  5. 스캐너 메뉴 옵션을 찾은 다음 콘텐츠 검색 작업을 선택합니다.

  6. Azure Information Protection - 콘텐츠 검색 작업 창에서 추가를 선택합니다.

  7. 이러한 초기 구성에서 다음 설정을 구성한 다음 저장을 선택하고 창을 닫지 않습니다.

    섹션 설정
    콘텐츠 검색 작업 설정 - 일정: 기본값 수동을 그대로 유지
    - 검색할 정보 유형: 정책만으로 변경
    - 리포지토리 구성: 콘텐츠 검색 작업을 먼저 저장해야 하므로 지금은 구성하지 마세요.
    민감도 정책 - 적용: 끄기 선택
    - 콘텐츠에 따라 파일에 레이블 지정: 기본값 켜기를 그대로 유지
    - 기본 레이블: 기본값 정책 기본값을 그대로 유지
    - 파일에 레이블 다시 지정: 기본값 끄기를 그대로 유지
    파일 설정 구성 - "수정한 날짜", "마지막으로 수정한 날짜" 및 "수정한 사람": 기본값 켜기
    를 그대로 유지- 검색할 파일 형식: 기본 파일 형식 제외를 그대로 유지
    - 기본 소유자: 기본값 스캐너 계정을 그대로 유지

  8. 콘텐츠 검색 작업이 생성되고 저장되었으므로 이제 리포지토리 구성 옵션으로 이동하여 검색할 데이터 저장소를 지정할 수 있습니다.

    SharePoint 온-프레미스 문서 라이브러리 및 폴더에 대한 UNC 경로 및 SharePoint Server URL을 지정합니다.

    참고

    SharePoint의 경우 SharePoint Server 2019, SharePoint Server 2016 및 SharePoint Server 2013이 지원됩니다. 이 버전의 SharePoint에 관한 추가 지원을 받는 경우 SharePoint Server 2010도 지원됩니다.

    첫 번째 데이터 저장소를 추가하려면 새 콘텐츠 검색 작업 추가 창에서 리포지토리 구성을 선택하여 리포지토리 창을 엽니다.

    Configure data repositories for the Azure Information Protection scanner

  9. 리포지토리 창에서 추가를 선택합니다.

    Add data respository for the Azure Information Protection scanner

  10. 리포지토리 창에서 데이터 리포지토리의 경로를 지정한 다음 저장을 선택합니다.

    예를 들어 다음과 같습니다.

    • 네트워크 공유에 \\Server\Folder를 사용합니다.
    • SharePoint 라이브러리에 http://sharepoint.contoso.com/Shared%20Documents/Folder를 사용합니다.

    참고

    와일드카드는 지원되지 않으며 WebDav 위치도 지원되지 않습니다.

    SharePoint 경로를 추가할 때 다음 구문을 사용합니다.

    경로 Syntax
    루트 경로 http://<SharePoint server name>

    스캐너 사용자에게 허용된 사이트 모음을 포함하여 모든 사이트를 검색합니다.
    루트 콘텐츠를 자동으로 검색하려면 추가 권한이 필요합니다.
    특정 SharePoint 하위 사이트 또는 모음 다음 중 하나:
    - http://<SharePoint server name>/<subsite name>
    - http://SharePoint server name>/<site collection name>/<site name>

    사이트 모음 콘텐츠를 자동으로 검색하려면 추가 권한이 필요합니다.
    특정 SharePoint 라이브러리 다음 중 하나:
    - http://<SharePoint server name>/<library name>
    - http://SharePoint server name>/.../<library name>
    특정 SharePoint 폴더 http://<SharePoint server name>/.../<folder name>

    이 페이지의 나머지 설정에 대해서는 이 초기 설정에서 변경하지 않고 콘텐츠 검색 작업 기본값으로 유지합니다. 기본 설정은 데이터 리포지토리가 콘텐츠 검색 작업의 설정을 상속한다는 것을 의미합니다.

  11. 다른 데이터 리포지토리를 추가하려면 8~9단계를 반복합니다.

  12. 리포지토리 창과 콘텐츠 검색 작업 창을 닫습니다.

Azure Information Protection - 콘텐츠 검색 작업 창으로 돌아가면 수동이 표시되는 일정 열과 함께 콘텐츠 검색 이름이 표시되고 적용 열은 비어 있습니다.

이제 만든 콘텐츠 검색 작업을 사용하여 스캐너를 설치할 수 있습니다. 스캐너 설치를 계속합니다.

스캐너 설치

Azure Portal에서 Azure Information Protection 스캐너를 구성한 후 아래 단계를 수행하여 스캐너를 설치합니다.

  1. 스캐너를 실행하는 Windows Server 컴퓨터에 로그인합니다. 로컬 관리자 권한이 있고 SQL Server 마스터 데이터베이스에 쓸 수 있는 권한이 있는 계정을 사용합니다.

    중요

    자세한 내용은 Azure Information Protection 스캐너 설치 및 배포를 위한 사전 요구 사항을 참조하세요.

  2. 관리자 권한으로 실행 옵션을 사용하여 Windows PowerShell 세션을 엽니다.

  3. Azure Information Protection 스캐너에 대한 데이터베이스를 만들 SQL Server 인스턴스와 이전 섹션에서 지정한 스캐너 클러스터 이름을 지정하여 Install-AIPScanner cmdlet을 실행합니다.

    Install-AIPScanner -SqlServerInstance <name> -Profile <cluster name>

    프로필 이름 Europe을 사용하는 예제:

    • 기본 인스턴스의 경우: Install-AIPScanner -SqlServerInstance SQLSERVER1 -Profile Europe

    • 명명된 인스턴스의 경우: Install-AIPScanner -SqlServerInstance SQLSERVER1\AIPSCANNER -Profile Europe

    • SQL Server Express의 경우: Install-AIPScanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Profile Europe

    메시지가 표시되면 스캐너 서비스 계정(\<domain\user name>)에 대한 자격 증명과 암호를 제공합니다.

  4. 관리 도구>서비스를 사용하여 현재 서비스가 설치되어 있는지 확인합니다.

    설치된 서비스의 이름은 Azure Information Protection Scanner이며, 만든 스캐너 서비스 계정을 사용하여 실행하도록 구성됩니다.

스캐너를 설치했으므로 스캐너가 무인으로 실행되도록 인증할 스캐너 서비스 계정에 대한 Azure AD 토큰을 가져와야 합니다.

스캐너에 대한 Azure AD 토큰 가져오기

Azure AD 토큰을 사용하면 스캐너가 Azure Information Protection 서비스에 인증할 수 있습니다.

Azure AD 토큰을 가져오려면:

  1. Azure Portal로 돌아가서 Azure AD 애플리케이션 2개를 만들고 인증에 대한 액세스 토큰을 지정합니다. 이 토큰을 사용하면 스캐너를 비대화형으로 실행할 수 있습니다.

    자세한 내용은 Azure Information Protection에 대해 비대화형으로 파일에 레이블을 지정하는 방법을 참조하세요.

  2. Windows Server 컴퓨터에서 스캐너 서비스 계정에 설치에 대한 로컬 로그온 권한이 부여된 경우 이 계정을 사용하여 로그인하고 PowerShell 세션을 시작합니다.

    Set-AIPAuthentication을 실행하고 이전 단계에서 복사한 값을 지정합니다.

    Set-AIPAuthentication -webAppId <ID of the "Web app / API" application> -webAppKey <key value generated in the "Web app / API" application> -nativeAppId <ID of the "Native" application>

    메시지가 나타나면 Azure AD의 서비스 계정 자격 증명에 대한 암호를 지정하고 허용을 클릭합니다.

    예를 들면 다음과 같습니다.

    Set-AIPAuthentication -WebAppId "57c3c1c3-abf9-404e-8b2b-4652836c8c66" -WebAppKey "+LBkMvddz?WrlNCK5v0e6_=meM59sSAn" -NativeAppId "8ef1c873-9869-4bb1-9c11-8313f9d7f76f").token | clip
Acquired application access token on behalf of the user

팁

스캐너 서비스 계정에 로컬 로그온 권한을 부여할 수 없는 경우 Set-AIPAuthentication에 대한 토큰 매개 변수를 지정하고 사용합니다.

현재 스캐너에는 Azure AD에 인증할 토큰이 있습니다. 이 토큰은 Azure AD의 웹 앱/API 구성에 따라 1년 또는 2년 동안 유효하거나 전혀 유효하지 않습니다.

토큰이 만료되면 1단계와 2단계를 반복해야 합니다.

이제 검색 모드에서 첫 번째 검색을 실행할 준비가 되었습니다. 자세한 내용은 검색 주기 실행 및 스캐너에 대한 보고서 보기를 참조하세요.

검색을 이미 실행한 경우 분류 및 보호를 적용하도록 스캐너 구성을 계속 진행합니다.

스캐너를 구성하여 분류 및 보호 적용

기본 설정은 스캐너를 한 번, 보고 전용 모드로 실행하도록 구성합니다.

이러한 설정을 변경하려면 다음과 같이 콘텐츠 검색 작업을 편집합니다.

  1. Azure Portal의 Azure Information Protection - 콘텐츠 검색 작업 창에서 클러스터 및 콘텐츠 검색 작업을 선택하여 편집합니다.

  2. 콘텐츠 검색 작업 창에서 다음을 변경한 다음 저장을 선택합니다.

    • 콘텐츠 검색 작업 섹션에서: 일정을 항상으로 변경
    • 민감도 정책 섹션에서: 적용을 켜기로 변경

    팁

    이 창에서 파일 특성이 변경되었는지 여부 및 스캐너에서 파일의 레이블을 다시 지정할 수 있는지 여부 등 다른 설정을 변경할 수 있습니다. 정보 팝업 도움말을 사용하여 각 구성 설정에 대한 자세한 정보를 확인합니다.

  3. 현재 시간을 기록해 두고 Azure Information Protection - 콘텐츠 검색 작업 창에서 스캐너를 다시 시작합니다.

    Initiate scan for the Azure Information Protection scanner

    또는 PowerShell 세션에서 다음 명령을 실행합니다.

    Start-AIPScan

  4. 레이블이 지정된 파일의 보고서, 적용된 분류 및 보호가 적용되었는지 여부를 보려면 이벤트 로그에서 정보 유형 911 및 최신 타임스탬프를 모니터링합니다.

    보고서에서 세부 정보를 확인하거나 Azure Portal을 사용하여 이 정보를 찾습니다.

이제 스캐너가 지속적으로 실행되도록 예약됩니다. 스캐너가 구성된 모든 파일에서 작동하면 자동으로 새로운 주기를 시작하므로 새 파일과 변경된 파일이 모두 검색됩니다.

보호할 파일 형식 변경

기본적으로 AIP 스캐너는 Office 파일 형식 및 PDF 파일만 보호합니다. 이 동작을 변경하려면(예: 클라이언트와 마찬가지로 모든 파일 형식을 보호하거나 추가적인 특정 파일 형식을 보호하도록 스캐너 구성) 필요에 따라 레지스트리를 편집합니다.

  • 보호할 추가 파일 형식 지정
  • 적용할 보호 형식 지정(네이티브 또는 제네릭)

개발자를 위한 이 설명서에서는 일반 보호를 "PFile"이라고 합니다.

모든 파일이 기본 또는 일반 보호로 자동으로 보호되도록 지원되는 파일 형식을 클라이언트에 맞추려면:

  1. 지정:

    • * 와일드카드를 레지스트리 키로 지정
    • Encryption을 값으로(REG_SZ) 지정
    • Default를 값 데이터로 지정

  2. MSIPC 및 FileProtection 키가 있는지 확인합니다. 이러한 키가 없는 경우 수동으로 만든 다음 각 파일 이름 확장명의 하위 키를 만듭니다.

    예를 들어 스캐너가 TIFF 이미지와 Office 파일 및 PDF를 보호하도록 하려는 경우 편집한 레지스트리는 다음과 비슷합니다.

    Editing the registry for the scanner to apply protection

    참고

    이미지 파일인 TIFF 파일은 기본 보호를 지원하며 결과 파일 이름 확장명은 .ptiff입니다.

    원시 보호를 지원하지 않는 파일의 경우 파일 이름 확장명을 새 키로 지정하고 일반 보호에 대해 PFile를 지정합니다. 보호된 파일의 결과 파일 이름 확장명은 .pfile입니다.

기본 보호를 비슷하게 지원하지만 레지스트리에 지정해야 하는 텍스트 및 이미지 파일 형식 목록은 분류 및 보호가 지원되는 파일 형식을 참조하세요.

스캐너 업그레이드

이전에 설치한 스캐너를 업그레이드하려는 경우 Azure Information Protection 스캐너 업그레이드를 참조하세요.

그런 다음 스캐너 설치 단계를 건너뛰고 평소처럼 스캐너를 구성하고 사용합니다.

참고

현재 갖고 있는 1.48.204.0 이전 버전의 스캐너를 업그레이드할 준비가 되지 않은 경우 파일을 자동으로 분류하고 보호하려면 이전 버전의 Azure Information Protection 스캐너 배포를 참조하세요.

데이터 리포지토리 설정을 대량으로 편집

내보내기 및 가져오기 단추를 사용하여 여러 리포지토리에서 스캐너를 변경합니다.

이렇게 하면 Azure Portal에서 동일한 변경을 여러 번 수동으로 수행할 필요가 없습니다.

예를 들어 여러 SharePoint 데이터 리포지토리에 새 파일 형식이 있는 경우 해당 리포지토리에 대한 설정을 대량으로 업데이트할 수 있습니다.

리포지토리에서 대량으로 변경하려면:

  1. Azure Portal의 리포지토리 창에서 내보내기 옵션을 선택합니다. 예를 들어 다음과 같습니다.

    Exporting data repository settings for the scanner

  2. 내보낸 파일을 수동으로 편집하여 변경합니다.

  3. 동일한 페이지에서 가져오기 옵션을 사용하여 리포지토리에서 업데이트를 다시 가져옵니다.

대체 구성으로 스캐너 사용

Azure Information Protection 스캐너는 일반적으로 필요에 따라 콘텐츠를 분류하고 보호하기 위해 레이블에 대해 지정된 조건을 찾습니다.

다음 시나리오에서 Azure Information Protection 스캐너는 조건을 구성하지 않고도 콘텐츠를 스캔하고 레이블을 관리할 수 있습니다.

데이터 리포지토리의 모든 파일에 기본 레이블 적용

이 구성에서는 리포지토리에서 레이블이 지정되지 않은 모든 파일에 리포지토리 또는 콘텐츠 검색 작업을 위해 지정된 기본 레이블로 레이블이 지정됩니다. 파일에 검사 없이 레이블이 지정됩니다.

다음 설정을 구성합니다.

  • 콘텐츠에 따라 파일에 레이블 지정: 끄기로 설정
  • 기본 레이블: 사용자 지정으로 설정한 다음 사용할 레이블 선택

모든 사용자 지정 조건 및 알려진 중요한 정보 유형 식별

이 구성을 사용하면 스캐너 검색 속도는 느리지만, 본인도 몰랐던 중요한 정보를 찾을 수 있습니다.

검색할 정보 유형을 모두로 설정합니다.

스캐너는 레이블 지정에 대한 조건 및 정보 유형을 식별하기 위해 Azure Information Protection 정책에 나열된 대로 레이블에 지정된 사용자 지정 조건과 레이블에 지정할 수 있는 정보 유형 목록을 사용합니다.

자세한 내용은 빠른 시작: 갖고 있는 중요한 정보 찾기를 참조하세요.

스캐너 성능 최적화

참고

스캐너 성능이 아닌 스캐너 컴퓨터의 응답성을 향상시키려면 고급 클라이언트 설정을 사용하여 스캐너에서 사용하는 스레드 수를 제한합니다.

다음 옵션과 지침을 사용하면 스캐너 성능을 최적화하는 데 도움이 됩니다.

옵션 Description
스캐너 컴퓨터와 스캔 대상 데이터 저장소 간에 안정적인 고속 네트워크 연결 확보 예를 들어 동일한 LAN 또는 가급적이면 검색된 데이터 저장소와 동일한 네트워크 세그먼트에 스캐너 컴퓨터를 배치합니다.

스캐너는 파일을 검사하기 위해 파일의 콘텐츠를 스캐너 서비스를 실행하는 컴퓨터로 전송하기 때문에 네트워크 연결 품질이 스캐너 성능에 영향을 줍니다.

데이터를 이동하는 데 필요한 네트워크 홉 수를 줄이거나 제거하면 네트워크의 부하도 줄어듭니다.
스캐너 컴퓨터에 사용 가능한 프로세서 리소스가 있는지 확인 파일 콘텐츠를 검사하고 파일을 암호화 및 암호 해독하는 작업은 프로세서를 많이 사용하는 작업입니다.

지정된 데이터 저장소에 대한 일반적인 검색 주기를 모니터링하여 프로세서 리소스 부족이 스캐너 성능을 저하시키는지 확인합니다.
스캐너의 여러 인스턴스 설치 Azure Information Protection 스캐너는 스캐너에 대한 사용자 지정 클러스터(프로필) 이름을 지정할 때 동일한 SQL 서버 인스턴스에서 여러 개의 구성 데이터베이스를 지원합니다.
특정 권한 부여 및 낮은 무결성 수준 사용 안 함 스캐너를 실행하는 서비스 계정에 서비스 계정 요구 사항에 문서화된 권한만 있는지 확인합니다.

그런 다음 스캐너에 대한 낮은 무결성 수준을 사용하지 않도록 고급 클라이언트 설정을 구성합니다.
대체 구성 사용량 확인 스캐너는 파일 콘텐츠를 검사하지 않으므로 대체 구성을 사용하여 기본 레이블을 모든 파일에 적용하면 스캐너가 더 빠르게 실행됩니다.

모든 사용자 지정 조건 및 알려진 중요한 정보 유형을 식별하는 데 대체 구성을 사용하는 경우 스캐너가 더 느리게 실행됩니다.
스캐너 제한 시간 줄이기 고급 클라이언트 설정을 사용하여 스캐너 제한 시간을 줄입니다. 스캐너 제한 시간이 줄어들면 검색 속도가 빨라지고 메모리 사용량이 줄어듭니다.

참고: 스캐너 제한 시간을 줄이면 일부 파일을 건너뛸 수 있습니다.

성능에 영향을 주는 추가 요인

스캐너 성능에 영향을 주는 추가 요인은 다음과 같습니다.

요인 설명
로드/응답 시간 검색할 파일이 포함된 데이터 저장소의 현재 로드 및 응답 시간도 스캐너 성능에 영향을 줍니다.
스캐너 모드(검색/적용) 검색 모드는 일반적으로 적용 모드보다 검색 속도가 빠릅니다.

검색 모드에는 단일 파일 읽기 작업이 필요하지만 적용 모드에는 읽기 및 쓰기 작업이 필요합니다.
정책 변경 내용 Azure Information Protection 정책에서 조건을 변경한 경우 스캐너 성능에 영향을 줄 수 있습니다.

스캐너가 모든 파일을 검사해야 하는 첫 번째 검색 주기는 기본적으로 새 파일과 변경된 파일만 검사하는 후속 검색 주기보다 오래 걸립니다.

조건을 변경하면 모든 파일을 다시 검색합니다. 자세한 내용은 파일 다시 검색을 참조하세요.
Regex 생성 사용자 지정 조건에 대한 regex 식이 생성되는 방식은 스캐너 성능에 영향을 줍니다.

과도한 메모리 사용을 방지하고 제한 시간(파일 당 15분)을 초과하지 않도록 하려면 효율적인 패턴 일치에 대한 regex 식을 검토하세요.

예:
- 탐욕적 수량자 방지
- 비 캡처링 그룹 사용((expression) 대신 (?:expression))
로그 수준 로그 수준 옵션에는 스캐너 보고서에 대한 디버그, 정보, 오류 및 끄기가 포함됩니다.

- 끄기를 사용하면 최상의 성능이 유지됩니다.
- 디버그를 사용하면 스캐너 속도가 상당히 느려지므로 문제 해결에만 사용해야 합니다.

자세한 내용은 Set-AIPScannerConfiguration cmdlet에 대한 ReportLevel 매개 변수를 참조하세요.
검색 중인 파일 - Excel 파일을 제외한 Office 파일은 PDF 파일보다 더 빠르게 검색됩니다.

- 보호되지 않은 파일은 보호된 파일보다 빠르게 검색됩니다.

- 큰 파일은 작은 파일보다 분명히 검색하는 데 더 오랜 시간이 걸립니다.

스캐너에 대한 cmdlet 목록

이 섹션에서는 Azure Information Protection 스캐너에 지원되는 PowerShell cmdlet을 제공합니다.

참고

Azure Information Protection 스캐너는 Azure Portal에서 구성됩니다. 따라서 이전 버전에서 데이터 리포지토리 및 스캔한 파일 형식 목록을 구성하는 데 사용된 cmdlet은 이제 더 이상 사용되지 않습니다.

스캐너에 대해 지원되는 cmdlet은 다음과 같습니다.

다음 단계

스캐너를 설치하고 구성한 후 파일 검색을 시작합니다.

Azure Information Protection 스캐너를 배포하여 자동으로 파일 분류 및 보호도 참고하세요.

자세한 정보:

Microsoft의 Core Services Engineering and Operations 팀이 이 스캐너를 구현한 방법에 관심이 있으세요? 기술 사례 연구 Automating data protection with Azure Information Protection scanner(Azure Information Protection 스캐너로 데이터 보호 자동화)를 읽으세요.

Windows Server FCI와 Azure Information Protection 스캐너의 차이점이 궁금할 것입니다.

PowerShell을 사용하여 데스크톱 컴퓨터의 파일을 대화형으로 분류하고 보호할 수도 있습니다. PowerShell을 사용하는 시나리오에 대한 자세한 내용은 Azure Information Protection 클라이언트에서 PowerShell 사용을 참조하세요.