Information Protection 스캐너 구성 및 설치

이 문서에서는 Microsoft Purview Information Protection 스캐너(이전의 통합 레이블 지정 스캐너) 또는 온-프레미스 스캐너Azure Information Protection 구성하고 설치하는 방법을 설명합니다.

팁

대부분의 고객은 관리 포털에서 이러한 절차를 수행하지만 PowerShell에서만 작업해야 할 수 있습니다.

예를 들어 Azure 중국 21Vianet과 같이 관리 포털에 액세스할 수 없는 환경에서 작업하는 경우 PowerShell을 사용하여 스캐너 구성의 지침을 따릅니다.

개요

시작하기 전에 시스템이 필수 필수 구성 요소를 준수하는지 확인합니다.

그런 다음, 다음 단계에 따라 스캐너를 구성하고 설치합니다.

스캐너 설정 구성
스캐너 설치
스캐너용 Microsoft Entra 토큰 가져오기
분류 및 보호를 적용하도록 스캐너 구성

그런 다음, 시스템에 필요한 다음 구성 절차를 수행합니다.

절차	설명
보호할 파일 형식 변경	기본값과 다른 파일 형식을 검색, 분류 또는 보호하려고 할 수 있습니다. 자세한 내용은 검색 프로세스를 참조하세요.
스캐너 업그레이드	스캐너를 업그레이드하여 최신 기능과 향상된 기능을 사용하세요.
데이터 리포지토리 설정 일괄 편집	가져오기 및 내보내기 옵션을 사용하여 여러 데이터 리포지토리를 대량으로 변경할 수 있습니다.
다른 구성으로 스캐너 사용	어떤 조건에서도 레이블을 구성하지 않고 스캐너 사용
성능 최적화	스캐너 성능을 최적화하기 위한 지침

Microsoft Purview 포털의 스캐너 페이지에 액세스할 수 없는 경우 PowerShell에서만 스캐너 설정을 구성합니다. 자세한 내용은 PowerShell을 사용하여 스캐너 구성 및 지원되는 PowerShell cmdlet을 참조하세요.

스캐너 설정 구성

스캐너를 설치하거나 이전 일반 가용성 버전에서 업그레이드하기 전에 스캐너 설정을 구성하거나 확인하십시오. 이 구성의 경우 Microsoft Purview 포털 중 하나를 사용할 수 있습니다.

Microsoft Purview 포털에서 스캐너를 구성하려면 다음을 수행합니다.

다음 역할 중 하나를 사용하여 로그인합니다.

준수 관리자
- 규정 준수 데이터 관리자
- 보안 관리자
- 조직 관리

Microsoft Purview 포털>에 로그인설정 카드 >Information ProtectionInformation>Protection 스캐너.
스캐너 클러스터를 만듭니다. 이 클러스터는 스캐너를 정의하고 설치, 업그레이드 및 기타 프로세스와 같이 스캐너 instance를 식별하는 데 사용됩니다.
콘텐츠 검사 작업을 만들어 검사할 저장소를 정의합니다.

스캐너 클러스터 만들기

Microsoft Purview 포털에서 스캐너 클러스터를 만들려면 다음을 수행합니다.

Information Protection 스캐너 페이지의 탭에서 클러스터를 선택합니다.
클러스터 탭에서 추가를 선택합니다.
새 클러스터 창에서 스캐너에 대한 의미 있는 이름과 설명(선택 사항)을 입력합니다.

클러스터 이름은 스캐너의 구성 및 리포지토리를 식별하는 데 사용됩니다. 예를 들어 스캔하려는 데이터 리포지토리의 지리적 위치를 식별하기 위해 유럽 을 입력할 수 있습니다.

나중에 이 이름을 사용하여 스캐너를 설치하거나 업그레이드할 위치를 식별합니다.
저장을 선택하여 변경 내용을 저장합니다.

콘텐츠 검사 작업 만들기

콘텐츠를 심층 분석하여 특정 리포지토리에서 중요한 콘텐츠를 검색합니다.

Microsoft Purview 포털에서 콘텐츠 검사 작업을 만들려면 다음을 수행합니다.

Information Protection 스캐너 페이지의 탭에서 콘텐츠 검사 작업을 선택합니다.
콘텐츠 검사 작업 창에서 추가 선택합니다.

이 초기 구성의 경우 다음 설정을 구성한 다음 저장을 선택합니다.

설정	설명
콘텐츠 검사 작업 설정	- 일정: 기본값 수동 유지 - 검색할 정보 유형: 정책만 변경
DLP 정책	데이터 손실 방지 정책을 사용하는 경우 DLP 규칙 사용을켜기로 설정합니다. 자세한 내용은 DLP 정책 사용을 참조하세요.
민감도 정책	- 민감도 레이블 지정 정책 적용: 해제 선택 - 콘텐츠에 따라 파일에 레이블 지정: 기본값 켜기를 유지합니다. - 기본 레이블: 정책 기본값 유지 - 파일의 레이블 다시 지정: 기본값 끄기 유지
파일 설정 구성	- "수정한 날짜", "마지막 수정자" 및 "수정한 사람" 유지: 기본값 켜짐 유지 - 검사할 파일 형식: 제외에 대한 기본 파일 형식 유지 - 기본 소유자: 스캐너 계정의 기본값 유지 - 리포지토리 소유자 설정: DLP 정책을 사용하는 경우에만 이 옵션을 사용합니다.

저장된 콘텐츠 검사 작업을 열고 리포지토리 탭을 선택하여 검사할 데이터 저장소를 지정합니다.

SharePoint 온-프레미스 문서 라이브러리 및 폴더에 대한 UNC 경로 및 SharePoint Server URL을 지정합니다.

참고

추가 지원에서 PU(공개 업데이트)가 있는 SharePoint Server 구독 버전(SPSE)은 SharePoint에서 지원됩니다. 자세한 내용은 SharePoint Server 지원 정책 : SharePoint Server SE에 대한 업데이트된 제품 서비스 정책을 참조하세요.

리 포지토리 탭에서 첫 번째 데이터 저장소를 추가하려면 다음을 수행합니다.

리포지토리 창에서 다음을 선택합니다.
리포지토리 창에서 데이터 리포지토리의 경로를 지정한 다음 저장을 선택합니다.
- 네트워크 공유 \\Server\Folder의 경우 .
- SharePoint 라이브러리 http://sharepoint.contoso.com/Shared%20Documents/Folder의 경우 .
- 로컬 경로의 경우: C:\Folder
- UNC 경로의 경우: \\Server\Folder

참고

와일드카드는 지원되지 않으며 WebDav 위치는 지원되지 않습니다. OneDrive 위치를 리포지토리로 검색하는 기능은 지원되지 않습니다.

공유 문서에 대한 SharePoint 경로를 추가하는 경우:

공유 문서에서 모든 문서와 모든 폴더를 검색하려는 경우 경로에 공유 문서를 지정합니다. 예: http://sp013/SharedDocuments
공유 문서 아래의 하위 폴더에서 모든 문서와 모든 폴더를 검색하려는 경우 경로에 문서를 지정합니다. 예: http://sp013/Documents/SalesReports
또는 SharePoint의 FQDN 만 지정합니다. 예를 들어 http://sp013특정 URL 아래의 모든 SharePoint 사이트 및 하위 사이트 와 이 URL 아래의 자막을 검색하고 검색합니다. 이를 활성화하기 위해 스캐너 사이트 수집기 감사자 권한을 부여합니다.

이 창의 나머지 설정의 경우 이 초기 구성에 대해 변경하지 말고 콘텐츠 검사 작업 기본값으로 유지하세요. 기본 설정은 데이터 저장소가 컨텐츠 검사 작업의 설정을 상속함을 의미합니다.

SharePoint 경로를 추가할 때 다음 구문을 사용합니다.

경로	구문
루트 경로	`http://<SharePoint server name>` 스캐너 사용자에게 허용된 사이트 모음을 포함하여 모든 사이트를 검색합니다. 루트 콘텐츠를 자동으로 검색하려면 추가 권한이 필요함
특정 SharePoint 하위 사이트 또는 컬렉션	다음 중 하나가 필요합니다. - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>` 사이트 모음 콘텐츠를 자동으로 검색하려면 추가 권한이 필요함
특정 SharePoint 라이브러리	다음 중 하나가 필요합니다. - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
특정 SharePoint 폴더	`http://<SharePoint server name>/.../<folder name>`

이전 단계를 반복하여 필요한 만큼 리포지토리를 추가합니다.

이제 생성한 콘텐츠 스캐너 작업으로 스캐너를 설치할 준비가 되었습니다. 스캐너 설치를 계속 진행합니다.

스캐너 설치

스캐너를 구성한 후 다음 단계를 수행하여 스캐너를 설치합니다. 이 절차는 PowerShell에서 완전히 수행됩니다.

스캐너를 실행할 Windows Server 컴퓨터에 로그인합니다. 로컬 관리자 권한이 있고 SQL Server master 데이터베이스에 쓸 수 있는 권한이 있는 계정을 사용합니다.

중요

스캐너를 설치하기 전에 컴퓨터에 Information Protection 클라이언트가 설치되어 있어야 합니다.

자세한 내용은 Information Protection 스캐너 설치 및 배포를 위한 필수 구성 요소를 참조하세요.
관리자 권한으로 실행 옵션을 사용하여 Windows PowerShell 세션을 엽니다.
Install-Scanner cmdlet을 실행하여 Information Protection 스캐너에 대한 데이터베이스를 만들 SQL Server instance과 이전 섹션에서 지정한 스캐너 클러스터 이름을 지정합니다.
```
Install-Scanner -SqlServerInstance <name> -Cluster <cluster name>
```
예를 들어 유럽의 스캐너 클러스터 이름을 사용하는 경우:
- 기본 instance의 경우:Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe
- 명명된 instance의 경우:Install-Scanner -SqlServerInstance SQLSERVER1\SCANNER -Cluster Europe
- SQL Server Express의 경우:Install-Scanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Cluster Europe
메시지가 표시되면 스캐너 서비스 계정에 대한 Active Directory 자격 증명을 제공합니다.

다음 구문 domain\username을 사용합니다. 예: contoso\scanneraccount

중요

이 프롬프트에서 온-프레미스 Windows ID를 형식(예: scanneraccount@contoso.comUPN이 아님)으로 DOMAIN\username 입력합니다. 설치 관리자는 SID를 resolve고, 서비스로 로그온을 부여하고, Windows 서비스 실행 계정을 구성하고, SQL 권한을 부여하기 위해 이 형식이 필요합니다. UPN을 사용하면 나중에 ID 확인 또는 서비스 시작 문제가 발생할 수 있습니다.

참고

설치 시 클러스터 수준 스캐너 기능(예: 사용자 지정 보고)을 사용하도록 설정하려면 매개 변수(미리 보기)를 -FeatureSettings 추가합니다. 예: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true} 자세한 내용은 스캐너 기능 제어(미리 보기)를 참조하세요.
관리 도구>서비스를 사용하여 서비스가 이제 설치되었는지 확인합니다.

설치된 서비스의 이름은 Microsoft Purview Information Protection 스캐너로 지정되고 사용자가 만든 스캐너 서비스 계정을 사용하여 실행되도록 구성됩니다.

이제 스캐너를 설치했으므로 스캐너가 자동으로 실행될 수 있도록 스캐너 서비스 계정을 인증할 Microsoft Entra 토큰을 가져와야 합니다.

스캐너용 Microsoft Entra 토큰 가져오기

Microsoft Entra 토큰을 사용하면 스캐너가 Microsoft Purview Information Protection 스캐너 서비스에 인증하여 스캐너를 자동으로 실행할 수 있습니다.

자세한 내용은 정보 보호 레이블 지정 cmdlet 무인 실행을 참조하세요.

참고

인증서 기반 인증에 대한 지원은 공개 미리 보기로 제공됩니다. 자세한 내용은 인증서 기반 인증을 참조하세요.

Microsoft Entra 토큰을 가져오려면:

Azure 포털로 이동하여 Microsoft Entra ID 블레이드로 진행합니다.
Microsoft Entra ID 측면 창에서 앱 등록을 클릭합니다.
맨 위에서 + 새 등록을 클릭합니다.
이름 섹션에 InformationProtectionScanner를 입력합니다.
지원되는 계정 유형을 기본값으로 둡니다.
리디렉션 URI의 경우 유형을 Web으로 유지하되 http://localhost 항목 부분에 입력하고 등록을 클릭합니다.
이 애플리케이션의 개요 페이지에서 선택한 텍스트 편집기에 애플리케이션(클라이언트) ID 및 디렉터리(테넌트) ID ID를 적어 둡니다. 나중에 Set-AIPAuthentication 명령을 설정할 때 필요합니다.
측면 창에서 인증서 및 암호로 이동합니다.
+ 새 클라이언트 암호를 클릭합니다.
표시되는 대화 상자에서 비밀에 대한 설명을 입력하고 1년 후 만료로 설정한 다음 비밀을 추가합니다.
이제 클라이언트 암호 섹션 아래에 비밀 값이 있는 항목이 있는 것을 볼 수 있습니다. 이 값을 복사하여 클라이언트 ID 및 테넌트 ID를 저장한 파일에 저장합니다. 이때만 비밀 값을 볼 수 있으며 현재 복사하지 않으면 복구할 수 없습니다.
측면 창에서 API 권한으로 이동합니다.
계속해서 권한 추가를 선택합니다.
화면이 표시되면 Azure 권한 관리 서비스를 선택합니다. 그런 다음 응용 프로그램 권한을 선택합니다.
콘텐츠에 대한 드롭다운을 클릭하고 Content.DelegatedReader 및 Content.DelegatedWriter에 대한 확인 표시를 합니다. 그런 다음 화면 하단에서 사용 권한 추가를 클릭합니다.
API 권한 섹션으로 돌아가 다른 권한을 추가합니다.
이번에는 API 선택 섹션에서 내 organization에서 사용하는 API를 클릭합니다. 검색 창에 Microsoft Information Protection Sync Service를 입력하고 선택합니다.
애플리케이션 권한을 선택한 다음 통합 정책 드롭다운에서 UnifiedPolicy.Tenant.Read 권한을 선택합니다. 그런 다음 화면 하단에서 사용 권한 추가를 클릭합니다.
API 권한 화면으로 돌아가서 관리 동의 부여를 클릭하고 작업이 성공하고 있는지 확인합니다(녹색 확인 표시로 표시).

Windows Server 컴퓨터에서 스캐너 서비스 계정에 설치를 위한 로컬 로그온 권한이 부여된 경우 이 계정으로 로그인하고 PowerShell 세션을 시작합니다.

이전 단계에서 복사한 값을 지정하여 Set-Authentication을 실행합니다.

Set-Authentication -AppId <ID of the registered app> -AppSecret <client secret sting> -TenantId <your tenant ID> -DelegatedUser <Microsoft Entra account>

예시:

$pscreds = Get-Credential CONTOSO\scanner
Set-Authentication -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -AppSecret "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2" -DelegatedUser scanner@contoso.com -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -OnBehalfOf $pscreds
Acquired application access token on behalf of CONTOSO\scanner.

팁

스캐너 서비스 계정에 설치에 대한 로컬 로그온 권한을 부여할 수 없는 경우 정보 보호 레이블 지정 cmdlet을 무인 실행에 설명된 대로 Set-Authentication과 함께 OnBehalfOf 매개 변수를 사용합니다.

이제 스캐너에 Microsoft Entra ID에 인증할 토큰이 있습니다. 이 토큰은 Microsoft Entra ID의 웹앱/API 클라이언트 암호 구성에 따라 1년, 2년 또는 절대 유효하지 않습니다. 토큰이 만료되면 이 절차를 반복해야 합니다.

Microsoft Purview 포털을 사용하여 스캐너를 구성하는지 또는 PowerShell만 구성하는지에 따라 다음 단계 중 하나를 계속 사용합니다.

관리 포털만
PowerShell만 해당

이제 검색 모드에서 첫 번째 검사를 실행할 준비가 되었습니다. 자세한 내용은 검색 주기 실행 및 스캐너에 대한 보고서 보기를 참조하세요.

초기 검색 검사를 실행한 후 분류 및 보호를 적용하도록 스캐너 구성을 계속 진행합니다.

자세한 내용은 정보 보호 레이블 지정 cmdlet 무인 실행을 참조하세요.

분류 및 보호를 적용하도록 스캐너 구성

기본 설정은 스캐너가 한 번 실행되고 보고 전용 모드로 실행되도록 구성합니다. 이러한 설정을 변경하려면 콘텐츠 검사 작업을 편집합니다.

팁

PowerShell에서만 작업하는 경우 분류 및 보호를 적용하도록 스캐너 구성 - PowerShell에만 해당을 참조하세요.

Microsoft Purview 포털에서 분류 및 보호를 적용하도록 스캐너를 구성하려면 다음을 수행합니다.

Microsoft Purview 포털의 콘텐츠 검사 작업 탭에서 특정 콘텐츠 검사 작업을 선택하여 편집합니다.
콘텐츠 검사 작업을 선택하고 다음을 변경한 다음 저장을 선택합니다.
- 콘텐츠 검사 작업 섹션에서 다음을 수행합니다. 일정을 항상으로 변경
- 민감도 레이블 지정 정책 적용 섹션에서 다음을 수행합니다. 라디오 단추를 켜짐으로 변경합니다.
콘텐츠 검사 작업의 노드가 온라인 상태인지 확인한 다음 지금 검사를 선택하여 콘텐츠 검사 작업을 다시 시작합니다. 지금 검사 단추는 선택한 콘텐츠 검사 작업의 노드가 온라인 상태일 때만 나타납니다.

이제 스캐너가 계속 실행되도록 예약되었습니다. 스캐너가 구성된 모든 파일에서 작업을 수행하면 새 파일과 변경된 파일이 검색되도록 새 주기가 자동으로 시작됩니다.

DLP 정책 사용

데이터 손실 방지 정책을 사용하면 스캐너에서 DLP 규칙을 파일 공유 및 SharePoint Server에 저장된 파일과 일치시켜 잠재적인 데이터 유출을 감지할 수 있습니다.

콘텐츠 검사 작업에서 DLP 규칙을 사용하도록 설정 하여 DLP 정책과 일치하는 파일의 노출을 줄입니다. DLP 규칙을 사용하도록 설정하면 스캐너가 데이터 소유자로만 파일 액세스를 줄이거나, 모든 사용자, 인증된 사용자 또는 도메인 사용자와 같은 네트워크 전체 그룹에 대한 노출을 줄일 수 있습니다.
Microsoft Purview 포털에서 DLP 정책을 테스트하기만 하는지 또는 규칙을 적용하고 해당 규칙에 따라 파일 권한을 변경할지 여부를 결정합니다. 자세한 내용은 데이터 손실 방지 정책 만들기 및 배포를 참조하세요.

DLP 정책은 Microsoft Purview 포털에서 구성됩니다. DLP 라이선싱에 대한 자세한 내용은 데이터 손실 방지 온-프레미스 스캐너 시작을 참조하세요.

팁

DLP 정책을 테스트하는 경우에도 파일을 검색하면 파일 사용 권한 보고서도 만들어집니다. 이러한 보고서를 쿼리하여 특정 파일 노출을 조사하거나 검사한 파일에 대한 특정 사용자의 노출을 탐색합니다.

PowerShell만 사용하려면 스캐너와 함께 DLP 정책 사용 - PowerShell에만 해당을 참조하세요.

Microsoft Purview 포털에서 스캐너와 함께 DLP 정책을 사용하려면 다음을 수행합니다.

Microsoft Purview 포털에서 콘텐츠 검사 작업 탭으로 이동하여 특정 콘텐츠 검사 작업을 선택합니다. 자세한 내용은 콘텐츠 검사 작업 만들기를 참조하세요.
DLP 정책 규칙 사용에서 라디오 단추를 켬으로 설정합니다.

중요

실제로 Microsoft 365에 DLP 정책이 구성되어 있지 않은 경우 DLP 규칙 사용을켜짐 으로 설정하지 마세요.

DLP 정책 없이 이 기능을 켜면 스캐너에서 오류가 발생합니다.
(선택 사항) 리포지토리 소유자 설정을켜기로 설정하고 특정 사용자를 리포지토리 소유자로 정의합니다.

이 옵션을 사용하면 스캐너가 정의된 리포지토리 소유자에 대한 DLP 정책과 일치하는 이 리포지토리에 있는 모든 파일의 노출을 줄일 수 있습니다.

DLP 정책 및 비공개 작업 만들기

비공개로 설정 작업과 함께 DLP 정책을 사용하고 스캐너를 사용하여 파일에 자동으로 레이블을 지정할 계획이라면 통합 레이블 지정 클라이언트의 UseCopyAndPreserveNTFSOwner 고급 설정도 정의하는 것이 좋습니다.

이 설정을 사용하면 원래 소유자가 파일에 계속 액세스할 수 있습니다.

자세한 내용은 콘텐츠 검사 작업 만들기 및 Microsoft 365 데이터에 민감도 레이블 자동 적용을 참조하세요.

보호할 파일 형식 변경

기본적으로 스캐너는 Office 파일 형식과 PDF 파일만 보호합니다.

PowerShell 명령을 사용하여 클라이언트와 마찬가지로 모든 파일 형식을 보호하도록 스캐너를 구성하거나 추가로 특정 파일 형식을 보호하는 등 필요에 따라 이 동작을 변경합니다.

스캐너의 레이블을 다운로드하는 사용자 계정에 적용되는 레이블 정책의 경우 PFileSupportedExtensions라는 PowerShell 고급 설정을 지정합니다.

인터넷에 액세스할 수 있는 스캐너의 경우 이 사용자 계정은 Set-Authentication 명령을 사용하여 DelegatedUser 매개 변수에 지정한 계정입니다.

예제 1: 모든 파일 형식을 보호하기 위한 스캐너에 대한 PowerShell 명령(여기서 레이블 정책 이름이 "스캐너"):

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

예제 2: Office 파일 및 PDF 파일 외에도 .xml 파일 및 .tiff 파일을 보호하기 위한 스캐너에 대한 PowerShell 명령(여기서 레이블 정책 이름이 "스캐너"):

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".xml", ".tiff")}

자세한 내용은 보호할 파일 형식 변경을 참조하세요.

스캐너 업그레이드

이전에 스캐너를 설치한 후 업그레이드하려면 Microsoft Purview Information Protection 스캐너 업그레이드에 설명된 지침을 사용합니다.

그런 다음 평소와 같이 스캐너를 구성하고 사용하고 스캐너 설치 단계를 건너뜁니다.

데이터 리포지토리 설정 일괄 편집

내보내기 및 가져오기 단추를 사용하여 여러 리포지토리에서 스캐너를 변경합니다.

이렇게 하면 Microsoft Purview 포털에서 수동으로 동일한 내용을 여러 번 변경할 필요가 없습니다.

예를 들어 여러 SharePoint 데이터 리포지토리에 새 파일 형식이 있는 경우 해당 리포지토리의 설정을 대량으로 업데이트할 수 있습니다.

Microsoft Purview 포털의 리포지토리 간에 대량으로 변경하려면 다음을 수행합니다.

Microsoft Purview 포털에서 특정 콘텐츠 검사 작업을 선택하고 창 내의 리포지토 리 탭으로 이동합니다. 내보내기 옵션을 선택합니다.
내보낸 파일을 수동으로 편집하여 변경합니다.
같은 페이지의 가져오기 옵션을 사용하여 리포지토리 전체에서 업데이트를 다시 가져옵니다.

다른 구성으로 스캐너 사용

스캐너는 일반적으로 콘텐츠를 필요에 따라 분류하고 보호하기 위해 레이블에 지정된 조건을 찾습니다.

다음 시나리오에서는 스캐너가 구성된 조건 없이 콘텐츠를 스캔하고 레이블을 관리할 수도 있습니다.

데이터 리포지토리의 모든 파일에 기본 레이블 적용
데이터 리포지토리의 모든 파일에서 기존 레이블 제거
모든 사용자 지정 조건 및 알려진 중요한 정보 유형을 식별합니다.

데이터 리포지토리의 모든 파일에 기본 레이블 적용

이 구성에서 저장소의 레이블이 지정되지 않은 모든 파일은 저장소 또는 컨텐츠 검사 작업에 대해 지정된 기본 레이블로 레이블이 지정됩니다. Files는 검사 없이 레이블이 지정됩니다.

다음 설정을 구성합니다.

설정	설명
콘텐츠에 따라 파일에 레이블 지정	해제로 설정
기본 레이블	사용자 지정으로 설정한 다음 사용할 레이블을 선택합니다
기본 레이블 적용	파일의 레이블 다시 지정 및 기본 레이블 적용을 켜서 이미 레이블이 지정된 경우에도 모든 파일에 기본 레이블을 적용하려면 선택합니다.

데이터 리포지토리의 모든 파일에서 기존 레이블 제거

이 구성에서는 레이블과 함께 보호가 적용된 경우 보호를 포함하여 모든 기존 레이블이 제거됩니다. 레이블과 독립적으로 적용된 보호는 유지됩니다.

다음 설정을 구성합니다.

설정	설명
콘텐츠에 따라 파일에 레이블 지정	해제로 설정
기본 레이블	없음으로 설정
파일의 레이블 다시 지정	적용 기본 레이블을 켜기로 설정하고 켜기로 설정합니다.

모든 사용자 지정 조건 및 알려진 중요한 정보 유형을 식별합니다.

이 구성을 사용하면 스캐너의 스캔 속도를 저하시키는 대신 자신이 가지고 있다는 사실을 알지 못했던 중요한 정보를 찾을 수 있습니다.

검색할 정보 유형을모두로 설정합니다.

레이블 지정 조건 및 정보 유형을 식별하기 위해 스캐너는 지정된 사용자 지정 중요한 정보 유형과 레이블 지정 관리 센터에 정의된 대로 선택할 수 있는 기본 제공 중요한 정보 유형 목록을 사용합니다.

중요

동일한 상위 레이블의 하위 레이블은 상위 레이블의 우선 순위를 공유하므로 동일한 상위 레이블 아래의 하위 레이블 간 전환은 다운그레이드로 간주되지 않습니다. 따라서 레이블 다운그레이드 허용 = 해제는파일의 레이블 다시 지정 을 사용하는 경우 우선 순위가 낮은 하위 레이블로 레이블이 다시 지정되는 파일을 차단하지 않습니다.

스캐너 성능 최적화

참고

스캐너 성능보다는 스캐너 컴퓨터의 응답성을 개선하려면 고급 클라이언트 설정을 사용하여 스캐너에서 사용하는 스레드 수를 제한합니다.

다음 옵션 및 지침을 사용하여 스캐너 성능을 최적화할 수 있습니다.

옵션	설명
스캐너 컴퓨터와 스캔한 데이터 저장소 간에 빠르고 안정적인 네트워크 연결이 있어야 합니다.	예를 들어 스캐너 컴퓨터를 검사한 데이터 저장소와 동일한 LAN 또는 가급적 동일한 네트워크 세그먼트에 배치합니다. 파일을 검사하기 위해 스캐너가 파일 내용을 스캐너 Microsoft Purview Information Protection 스캐너 서비스를 실행하는 컴퓨터로 전송하기 때문에 네트워크 연결 품질이 스캐너 성능에 영향을 미칩니다. 데이터가 이동하는 데 필요한 네트워크 홉을 줄이거나 제거하면 네트워크의 부하도 줄어듭니다.
스캐너 컴퓨터에 사용 가능한 프로세서 리소스가 있는지 확인	파일 내용을 검사하고 파일을 암호화 및 암호 해독하는 작업은 프로세서를 많이 사용하는 작업입니다. 지정된 데이터 저장소에 대한 일반적인 검사 주기를 모니터링하여 프로세서 리소스 부족이 스캐너 성능에 부정적인 영향을 미치는지 여부를 식별합니다.
스캐너의 여러 인스턴스 설치	스캐너에 대한 사용자 지정 클러스터 이름을 지정할 때 스캐너는 동일한 SQL Server instance에서 여러 구성 데이터베이스를 지원합니다. 팁: 여러 스캐너가 동일한 클러스터를 공유할 수도 있으므로 스캔 시간이 빨라집니다. 동일한 데이터베이스 instance를 사용하는 여러 시스템에 스캐너를 설치하고 스캐너를 병렬로 실행하려면 동일한 클러스터 이름을 사용하여 모든 스캐너를 설치해야 합니다.
대체 구성 사용 확인	대체 구성을 사용하여 모든 파일에 기본 레이블을 적용하면 스캐너가 더 빠르게 실행됩니다. 스캐너는 파일 내용을 검사하지 않기 때문입니다. 대체 구성을 사용하여 모든 사용자 지정 조건과 알려진 중요한 정보 유형을 식별하면 스캐너가 더 느리게 실행됩니다.

성능에 영향을 주는 추가 요소

스캐너 성능에 영향을 주는 추가 요인은 다음과 같습니다.

요인	설명
로드/응답 시간	검사할 파일이 포함된 데이터 저장소의 현재 로드 및 응답 시간도 스캐너 성능에 영향을 줍니다.
스캐너 모드 (검색/적용)	검색 모드는 일반적으로 적용 모드보다 검사 속도가 높습니다. 검색에는 단일 파일 읽기 작업이 필요한 반면 적용 모드에는 읽기 및 쓰기 작업이 필요합니다.
정책 변경	레이블 정책에서 자동 레이블 지정을 변경한 경우 스캐너 성능에 영향을 줄 수 있습니다. 스캐너가 모든 파일을 검사해야 하는 첫 번째 검사 주기는 기본적으로 새 파일과 변경된 파일만 검사하는 후속 검사 주기보다 오래 걸립니다. 조건 또는 자동 레이블 지정 설정을 변경하면 모든 파일이 다시 검색됩니다. 자세한 내용은 파일 다시 스캔을 참조하세요.
정규식 구문	스캐너 성능은 사용자 지정 조건에 대한 정규식을 구성하는 방법에 따라 영향을 받습니다. 과도한 메모리 소비와 시간 초과 위험(파일당 15분)을 방지하려면 효율적인 패턴 일치를 위해 정규식을 검토합니다. 예시: - 탐욕스러운 수량자를 피하세요 - 대신 다음과 같은 `(?:expression)` 캡처하지 않는 그룹을 사용합니다. `(expression)`
로그 수준	로그 수준 옵션에는 스캐너 보고서에 대한 디버그, 정보, 오류 및 끄기가 포함됩니다. - 꺼두면 최상의 성능이 향상됩니다. - 디버그 는 스캐너 속도를 상당히 느리게 하므로 문제 해결에만 사용해야 합니다. 자세한 내용은 Set-ScannerConfiguration cmdlet에 대한 ReportLevel 매개 변수를 참조하세요.
Files being scanning	- Excel 파일을 제외하고 Office 파일은 PDF 파일보다 더 빠르게 스캔됩니다. - 보호되지 않은 파일은 보호된 파일보다 검사가 더 빠릅니다. - 대용량 파일은 작은 파일보다 스캔하는 데 시간이 오래 걸립니다.

PowerShell을 사용하여 스캐너 구성

이 섹션에서는 Microsoft Purview 포털의 스캐너 페이지에 액세스할 수 없고 PowerShell만 사용해야 하는 경우 스캐너를 구성하고 설치하는 데 필요한 단계를 설명합니다.

중요

일부 단계에서는 Microsoft Purview 포털의 스캐너 페이지에 액세스할 수 있는지 여부에 관계없이 Powershell이 필요하며 동일합니다. 이러한 단계는 표시된 대로 이 문서의 이전 지침을 참조하세요.
Azure 중국 21Vianet용 스캐너로 작업하는 경우 여기에 자세히 설명된 지침 외에 추가 단계가 필요합니다. 자세한 내용은 21Vianet에서 운영하는 Office 365용 Microsoft Purview Information Protection을 참조하세요.

자세한 내용은 지원되는 PowerShell cmdlet을 참조하세요.

스캐너를 구성하고 설치하려면 다음과 같이 하세요.

PowerShell을 닫은 상태에서 시작합니다. 이전에 Information Protection 클라이언트 및 스캐너를 설치한 경우 Microsoft Purview Information Protection 스캐너 서비스가 중지되어 있는지 확인합니다.
관리자 권한으로 실행 옵션을 사용하여 Windows PowerShell 세션을 엽니다.
Install Scanner 명령을 실행하여 SQL Server instance에 스캐너를 설치하고 Cluster 매개 변수를 사용하여 클러스터 이름을 정의합니다.

이 단계는 Microsoft Purview 포털에서 스캐너 페이지에 액세스할 수 있는지 여부와 동일합니다. 자세한 내용은 이 문서의 이전 지침을 참조하세요. 스캐너 설치
스캐너에 사용할 Azure 토큰을 가져온 다음 다시 인증합니다.

이 단계는 Microsoft Purview 포털에서 스캐너 페이지에 액세스할 수 있는지 여부와 동일합니다. 자세한 내용은 이 문서의 이전 지침을 참조하세요. 스캐너에 대한 Microsoft Entra 토큰을 가져옵니다.
Set-ScannerConfiguration cmdlet을 실행하여 스캐너가 오프라인 모드에서 작동하도록 설정합니다. 실행:
```
Set-ScannerConfiguration -OnlineConfiguration Off
```
Set-ScannerContentScan cmdlet을 실행하여 기본 콘텐츠 검사 작업을 만듭니다.

Set-ScannerContentScan cmdlet에서 유일한 필수 매개 변수는 적용입니다. 그러나 현재 콘텐츠 검사 작업에 대한 다른 설정을 정의할 수 있습니다. 예시:
```
Set-ScannerContentScan -Schedule Manual -DiscoverInformationTypes PolicyOnly -Enforce Off -DefaultLabelType PolicyDefault -RelabelFiles Off -PreserveFileDetails On -IncludeFileTypes '' -ExcludeFileTypes '.msg,.tmp' -DefaultOwner <account running the scanner>
```
위의 구문은 구성을 계속하는 동안 다음 설정을 구성합니다.
- 스캐너 실행 일정을 수동으로 유지합니다.
- 민감도 레이블 정책에 따라 검색할 정보 유형을 설정합니다.
- 민감도 레이블 정책을 적용하지 않음
- 민감도 레이블 정책에 대해 정의된 기본 레이블을 사용하여 콘텐츠를 기반으로 파일에 자동으로 레이블을 지정합니다.
- 파일의 레이블 다시 지정을 허용하지 않음
- 스캔 및 자동 레이블 지정하는 동안 수정된 날짜, 마지막으로 수정한 날짜 및 값에 의해 수정된 날짜를 포함하여 파일 세부 정보를 유지합니다.
- 실행 시 .msg 및 .tmp 파일을 제외하도록 스캐너를 설정합니다.
- 기본 소유자를 스캐너를 실행할 때 사용하려는 계정으로 설정합니다

Add-ScannerRepository cmdlet을 사용하여 콘텐츠 검사 작업에서 검사할 리포지토리를 정의합니다. 예를 들어 다음을 실행합니다.

Add-ScannerRepository -OverrideContentScanJob Off -Path 'c:\repoToScan'

추가할 리포지토리 유형에 따라 다음 구문 중 하나를 사용합니다.

네트워크 공유 \\Server\Folder의 경우 .
SharePoint 라이브러리 http://sharepoint.contoso.com/Shared%20Documents/Folder의 경우 .
로컬 경로의 경우: C:\Folder
UNC 경로의 경우: \\Server\Folder

참고

와일드카드는 지원되지 않으며 WebDav 위치는 지원되지 않습니다.

나중에 리포지토리를 수정하려면 Set-ScannerRepository cmdlet을 대신 사용합니다.

공유 문서에 대한 SharePoint 경로를 추가하는 경우:

공유 문서에서 모든 문서와 모든 폴더를 검색하려는 경우 경로에 공유 문서를 지정합니다. 예: http://sp2013/SharedDocuments
공유 문서 아래의 하위 폴더에서 모든 문서와 모든 폴더를 검색하려는 경우 경로에 문서를 지정합니다. 예: http://sp2013/Documents/SalesReports
또는 SharePoint의 FQDN 만 지정합니다. 예를 들어 http://sp2013특정 URL 아래의 모든 SharePoint 사이트 및 하위 사이트 와 이 URL 아래의 자막을 검색하고 검색합니다. 이를 활성화하기 위해 스캐너 사이트 수집기 감사자 권한을 부여합니다.

SharePoint 경로를 추가할 때 다음 구문을 사용합니다.

경로	구문
루트 경로	`http://<SharePoint server name>` 스캐너 사용자에게 허용된 사이트 모음을 포함하여 모든 사이트를 검색합니다.
특정 SharePoint 하위 사이트 또는 컬렉션	다음 중 하나가 필요합니다. - `http://<SharePoint server name>/<subsite name>` - `http://SharePoint server name>/<site collection name>/<site name>`
특정 SharePoint 라이브러리	다음 중 하나가 필요합니다. - `http://<SharePoint server name>/<library name>` - `http://SharePoint server name>/.../<library name>`
특정 SharePoint 폴더	`http://<SharePoint server name>/.../<folder name>`

필요에 따라 다음 단계를 계속 진행합니다.

중국 고객을 위한 구성
검색 주기 실행 및 스캐너용 보고서 보기
PowerShell을 사용하여 분류 및 보호를 적용하도록 스캐너를 구성합니다.
PowerShell을 사용하여 스캐너로 DLP 정책 구성

PowerShell을 사용하여 분류 및 보호를 적용하도록 스캐너를 구성합니다.

Set-ScannerContentScan cmdlet을 실행하여 콘텐츠 검사 작업을 업데이트하여 일정을 항상으로 설정하고 민감도 정책을 적용합니다.
```
Set-ScannerContentScan -Schedule Always -Enforce On
```
팁

파일 특성 변경 여부, 스캐너가 파일의 레이블을 다시 지정할 수 있는지 여부 등 이 창의 다른 설정을 변경할 수 있습니다. 사용 가능한 설정에 대한 자세한 내용은 전체 Set-ScannerContentScan 설명서를 참조하세요.
Start-Scan cmdlet을 실행하여 콘텐츠 검사 작업을 실행합니다.
```
Start-Scan
```

PowerShell을 사용하여 스캐너로 DLP 정책 구성

-EnableDLP 매개 변수를 On으로 설정하고 특정 리포지토리 소유자를 정의한 상태에서 Set-ScannerContentScan cmdlet을 다시 실행합니다.

예시:

Set-ScannerContentScan -EnableDLP On -RepositoryOwner 'domain\user'

인증서 기반 인증(공개 미리 보기)

Information Protection 스캐너에서 인증서 기반 인증 사용

이 섹션에서는 클라이언트 암호 대신 인증서를 사용하여 인증하도록 Microsoft Purview Information Protection 스캐너를 구성하는 방법을 설명합니다.

필수 구성 요소

인증서 기반 인증을 구성하기 전에 다음이 있는지 확인합니다.

설치된 Microsoft Purview Information Protection 스캐너
스캐너를 실행하는 Windows Server에 대한 관리 액세스
스캐너에서 사용하는 Microsoft Entra 앱 등록에 대한 액세스
Windows PowerShell 5.1

1단계: 인증서 획득 또는 만들기

인증서를 받는 방법에는 두 가지가 있습니다.

CA 발급 인증서: organization의 인증 기관에 인증서를 요청합니다.
자체 서명된 인증서: 자체 서명된 인증서를 만듭니다.

옵션 A: CA 발급 인증서 사용(프로덕션)

CA 발급 인증서를 사용하면 다음을 제공합니다.

기존 PKI 인프라를 통한 자동 신뢰
중앙 집중식 인증서 수명 주기 관리
조직 보안 정책 준수
인증서 체인 유효성 검사를 건너뛸 필요가 없음

인증서 요구 사항

CA에서 인증서를 요청할 때 다음 요구 사항을 충족하는지 확인합니다.

요구 사항	값
키 알고리즘	RSA
키 길이	최소 2048비트(4096 권장)
키 사용	디지털 서명
프라이빗 키	내보내기 가능(백업용) 또는 컴퓨터용으로 표시됨
유효성	organization의 정책에 따라(일반적으로 1-2년)

이러한 매개 변수가 포함된 인증서를 요청하는 방법에 대한 구체적인 지침은 CA의 설명서를 검토하세요.

엔터프라이즈 CA에서 키를 가져온 후 스캐너를 실행하는 각 Windows Server의 로컬 컴퓨터 저장소에 인증서를 설치합니다. 로컬 컴퓨터의 개인 저장소에 인증서를 설치해야 합니다.

Microsoft Entra의 공개 키 내보내기

인증서가 발급되고 설치되면 공개 키를 내보냅니다.

# Find the certificate (adjust the subject filter as needed)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*PurviewScanner*" }
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

옵션 B: 자체 서명 인증서 사용

자체 서명된 인증서는 단일 서버에서 만든 다음 스캐너 클러스터의 서버로 가져올 수 있습니다.

# Create certificate in Local Machine store with RSA provider
$cert = New-SelfSignedCertificate `
    -Subject "CN=PurviewScanner" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -KeyAlgorithm RSA `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2) `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

# Display the certificate details
Write-Host "Certificate created successfully"
Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Subject: $($cert.Subject)"

중요

매개 변수는 -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" 필수입니다. CNG(Cryptography Next Generation) 공급자를 사용하면 스캐너가 인증을 시도할 때 "키 집합이 없습니다" 오류가 발생합니다.

공개 키 내보내기

인증서의 공개 키를 내보내 Microsoft Entra에 업로드합니다.

# Export public key certificate (.cer file)
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

2단계: 스캐너 서비스 계정에 프라이빗 키 사용 권한 부여

스캐너 서비스 계정에 인증서의 프라이빗 키를 읽을 수 있는 권한이 있어야 합니다. 이 권한이 없으면 "키 집합이 없습니다" 오류와 함께 인증이 실패합니다.

인증서 관리자 UI 사용

로컬 컴퓨터 인증서 저장소를 엽니다.
- 를 누르 Win + R고 입력 certlm.msc한 후 Enter 키를 누릅니다.
인증서 - 로컬 컴퓨터로 이동
만든 인증서(예: "PurviewScanner")를 마우스 오른쪽 단추로 클릭하고 모든 작업을> 선택합니다.개인 키 관리
추가를 클릭하고 스캐너 서비스 계정 이름(예: )을 입력합니다. CONTOSO\ScannerService
계정을 선택하고 읽기 권한이 선택되어 있는지 확인합니다.
확인을 클릭하여 저장

PowerShell 사용

또는 PowerShell을 사용하여 권한을 부여합니다. 서비스 계정 이름을 실제 스캐너 서비스 계정으로 바꿔야 합니다.

# Get the certificate
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=PurviewScanner" }

# Get the private key file path
$privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPath = $privateKey.Key.UniqueName
$fullKeyPath = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$keyPath"

# Get current ACL
$acl = Get-Acl $fullKeyPath

# Add read permission for the scanner service account
$serviceAccount = "CONTOSO\ScannerService"  # Replace with your scanner service account
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceAccount, "Read", "Allow")
$acl.AddAccessRule($accessRule)

# Apply the updated ACL
Set-Acl $fullKeyPath $acl

3단계: Microsoft Entra에 인증서 업로드

스캐너에서 사용하는 앱 등록에 인증서의 공개 키를 등록합니다.

Microsoft Entra 앱 등록에 인증서를 업로드하는 방법에 대한 자세한 지침은 Microsoft Entra에 인증서 등록을 참조하세요.

업로드한 후 포털에 표시된 인증서 지문을 기록해 둡니다. 1단계의 지문과 일치해야 합니다.

4단계: 인증서 인증을 사용하도록 스캐너 구성

매개 변수 대신 인증서 매개 변수와 함께 cmdlet을 -AppSecret 사용합니다Set-Authentication.

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate thumbprint
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateThumbprint "your-certificate-thumbprint" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

신뢰할 수 있는 CA에서 발급한 인증서에 대해 인증서 체인의 유효성이 자동으로 검사됩니다. 유효성 검사에 실패하는 경우 다음을 확인합니다.

CA의 루트 인증서가 신뢰할 수 있는 루트 인증 기관 저장소에 있습니다.
모든 중간 CA 인증서는 중간 인증 기관 저장소에 있습니다

참고

자체 서명된 인증서를 사용하는 경우 매개 변수를 추가하여 -SkipCertificateChainValidation 체인 유효성 검사를 우회합니다. 이 경우 자체 서명된 인증서에 대해 실패합니다.

인증서 주체 이름을 사용하여 인증

또는 주체 이름으로 인증서를 지정할 수 있습니다.

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate subject name
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateSubjectName "PurviewScanner" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

참고

매개 변수 참조

매개 변수	설명
`-CertificateThumbprint`	인증에 사용할 인증서의 SHA-1 지문입니다. 와 함께 사용할 수 없습니다.`-CertificateSubjectName`
`-CertificateSubjectName`	인증에 사용할 인증서의 주체 이름(CN)입니다. 와 함께 사용할 수 없습니다.`-CertificateThumbprint`
`-CertificateStoreLocation`	인증서 저장소 위치입니다. 스캐너 서비스에 사용합니다 `LocalMachine` . 유효한 값: `CurrentUser`, `LocalMachine`. 기본값: `CurrentUser`.
`-CertificateStoreName`	인증서 저장소 이름입니다. 기본값: `My` (개인 저장소).
`-SkipCertificateChainValidation`	인증서 체인 유효성 검사를 건너뜁니다. 자체 서명된 인증서에 필요합니다.

문제 해결

"키 집합이 없습니다." 오류

이 오류는 일반적으로 다음 문제 중 하나를 나타냅니다.

프라이빗 키 권한: 스캐너 서비스 계정에는 인증서의 프라이빗 키에 대한 읽기 액세스 권한이 없습니다. 사용 권한을 부여하려면 2단계를 참조하세요.
CNG 공급자: RSA 공급자가 아닌 CNG 공급자를 사용하여 인증서를 만들었습니다. 매개 변수를 사용하여 인증서를 다시 만듭니다.-Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

"인증서를 찾을 수 없음" 오류

다음 사항을 확인합니다.

지문 또는 주체 이름이 올바른지 확인합니다.
인증서가 지정된 저장소에 있습니다(LocalMachine\My 기본값).
인증서가 만료되지 않았습니다

"인증서 체인을 빌드할 수 없습니다" 오류

자체 서명된 인증서의 경우 매개 변수를 -SkipCertificateChainValidation 사용합니다. CA 발급 인증서의 경우 전체 인증서 체인(중간 CA 포함)이 서버에 설치되어 있는지 확인합니다.

401 권한 없음 또는 "invalid_client" 오류