Estender a rotulagem de confidencialidade no Windows

  • Artigo

Observação

O cliente Proteção de Informações do Microsoft Purview está atualmente em versão prévia e agendado para disponibilidade geral.

O cliente Proteção de Informações do Microsoft Purview estende rótulos de confidencialidade além de rótulos que são incorporados em aplicativos e serviços do Microsoft 365 e dá suporte a uma gama mais ampla de tipos de arquivo.

Esse cliente é executado somente no Windows e substitui o cliente de rotulagem unificada do Azure Proteção de Informações (AIP). Ele tem os seguintes componentes:

Componente Descrição
Scanner de proteção de informações Usado para descobrir, rotular e criptografar arquivos em armazenamentos de dados, como compartilhamentos de rede e bibliotecas do SharePoint Server.
Rotulador de arquivo de proteção de informações Usado para aplicar rótulos de confidencialidade e criptografia usando Explorador de Arquivos.
Visualizador de proteção de informações Usado para exibir arquivos criptografados.
Proteção de Informações do Microsoft Purview módulo do PowerShell Usado para ajustar rótulos de confidencialidade em arquivos e instalar e configurar Proteção de Informações do Microsoft Purview scanner.

Não há nenhum Suplemento do Office com o cliente Proteção de Informações do Microsoft Purview porque essa funcionalidade é substituída por rótulos de confidencialidade integrados ao Office.

Para obter as informações de versão mais recentes e os cronogramas de suporte para cada versão do cliente, consulte Proteção de Informações do Microsoft Purview cliente – Gerenciamento de versão e suporte.

Requisitos para implantar o cliente de proteção de informações

Para usar o cliente Proteção de Informações do Microsoft Purview, instale esse cliente em computadores Windows em que você deseja usar os componentes do cliente.

Você também deve atender aos seguintes requisitos:

Os seguintes sistemas operacionais dão suporte ao cliente Proteção de Informações do Microsoft Purview:

  • Windows 11
  • Windows 10 (x86, x64) (Não há suporte para letras no build RS4 Windows 10 e posterior.)
  • Windows Server 2019
  • Windows Server 2016
  • Windows Server 2012 R2 e Windows Server 2012

O ARM64 não tem suporte.

Instalar ou atualizar o cliente de proteção de informações

Para atualizar para o cliente informações do Microsoft Purview de um cliente de rotulagem unificada do Azure Proteção de Informações (AIP) existente, primeiro você deve desinstalar o cliente AIP existente de seus computadores locais e, em seguida, executar uma nova instalação do cliente de informações do Microsoft Purview.

Aviso

A instalação do cliente Proteção de Informações do Microsoft Purview falhará se alguma versão do cliente Proteção de Informações do Azure estiver presente no computador local.

Há duas opções para instalar o cliente de proteção de informações:

  • Instalando o cliente de proteção de informações usando o instalador.exe
  • Instalando o cliente de proteção de informações usando o instalador.msi

Se você estiver executando o scanner de proteção de informações no cliente de rotulagem unificada do Azure Proteção de Informações (AIP), consulte Atualizar o scanner de Proteção de Informações do Microsoft Purview do Azure Proteção de Informações cliente antes de usar essas instruções de instalação do cliente.

Para instalar o cliente de proteção de informações com o arquivo .exe:

  1. Baixe a versão executável do cliente Proteção de Informações do Microsoft Purview do Centro de Download da Microsoft. Por exemplo, PurviewInfoProtection.exe.

    Importante

    Se houver uma versão prévia disponível, use essa versão apenas para teste. Ele não se destina aos usuários finais em um ambiente de produção.

  2. Para uma instalação padrão, basta executar o executável. Para exibir todas as opções de instalação, primeiro execute o executável com /help. Por exemplo:
    PurviewInfoProtection.exe **/help**

    1. Para instalar silenciosamente o cliente, execute:
      PurviewInfoProtection.exe /quiet
    2. Para instalar silenciosamente apenas os cmdlets do PowerShell, execute:
      PurviewInfoProtection.exe PowerShellOnly=true /quiet

    Observação

    Por padrão, a opção de enviar estatísticas de uso para a Microsoft está habilitada. Para desabilitar essa opção, confira uma das seguintes etapas:

    • Durante a instalação, especifique AllowTelemetry=0
    • Após a instalação, atualize a chave do registro da seguinte maneira: EnableTelemetry=0.

  3. Para concluir a instalação, reinicie todas as instâncias de Explorador de Arquivos.

  4. Confirme se a instalação foi bem-sucedida verificando o arquivo de log de instalação, que é criado na pasta %temp% por padrão.

    O arquivo de log de instalação tem o seguinte formato de nomenclatura: Microsoft_Azure_Information_Protection_<number>_<number>_MSIP.Setup.Main.msi.log

    Por exemplo: Microsoft_Azure_Information_Protection_20161201093652_000_MSIP.Setup.Main.msi.log

    No arquivo de log, pesquise a seguinte cadeia de caracteres: Produto: Proteção de Informações do Microsoft Purview-Instalação concluída com êxito. Se a instalação falhar, este arquivo de log conterá detalhes para ajudá-lo a identificar e resolve problemas.

    Dica

    Você pode alterar o local do arquivo de log de instalação com o parâmetro de instalação /log .

Localizações do arquivo de log

Os arquivos de log do cliente e do scanner estão localizados nos seguintes locais no computador Windows:

  • \ProgramFiles (x86)\Proteção de Informações do Microsoft Purview (somente sistemas operacionais de 64 bits)
  • \Arquivos do Programa\Proteção de Informações do Microsoft Purview (somente sistemas operacionais de 32 bits)
  • %localappdata%\Microsoft\MSIP

Idiomas compatíveis

O cliente de proteção de informações dá suporte aos mesmos idiomas que Office 365 dá suporte. Para obter uma lista desses idiomas, consulte a página de disponibilidade internacional do Office.

Para esses idiomas, opções de menu, caixas de diálogo e mensagens do Proteção de Informações do Microsoft Purview exibição do cliente no idioma do usuário. Há um único instalador que detecta o idioma, portanto, nenhuma configuração adicional é necessária para instalar o cliente de proteção de informações para idiomas diferentes.

No entanto, nomes de rótulo e descrições que você especificar não são traduzidos automaticamente ao configurar rótulos no portal de administração. Para que os usuários vejam rótulos em seu idioma preferencial, forneça suas próprias traduções e configure-as para os rótulos usando o PowerShell e o parâmetro LocaleSettings para Set-Label. Para obter mais informações, consulte Configuração de exemplo para configurar um rótulo de confidencialidade para idiomas diferentes.

Tipos de arquivo compatíveis

Esta seção lista os tipos de arquivo compatíveis com o cliente Proteção de Informações do Microsoft Purview. Para os tipos de arquivo listados, não há suporte para locais WebDav.

Dica

Quando você criptografa tipos de arquivo que não têm suporte interno para criptografia e, portanto, usa criptografia genérica, recomendamos atribuir a permissão do co-proprietário a esses arquivos.

Os tipos de arquivo a seguir podem ser rotulados sem criptografia.

  • Formato de documento portátil do Adobe: .pdf

  • Microsoft Project: .mpp, .mpt

  • Microsoft Publisher: .pub

  • Microsoft XPS: .xps .oxps

  • Imagens: .jpg, .jpe, .jpeg, .jif, .jfif, .jfi. png, .tif, .tiff

  • Autodesk Design Review 2013: .dwfx

  • Adobe Photoshop: .psd

  • Digital Negative: .dng

  • Microsoft Office: Os tipos de arquivo a seguir, incluindo formatos de arquivo 97-2003 e formatos XML do Office Open para Word, Excel e PowerPoint.

    Word Excel PowerPoint Visio
    .doc .xls .Potm .vdw
    .docm .Xlsb .Potx .Vsd
    .docx .xlst .pps .vsdm
    .dot .Xlsm .Ppsm .vsdx
    .doctm .xlsx .Ppsx .Vss
    .Dotx .Xltm .vssm
    .Xltx .Vst
    .vstm
    .vssx
    .vstx

Pastas e tipos de arquivo excluídos

Para ajudar a impedir que os usuários alterem arquivos críticos para operações de computador, alguns tipos de arquivo e pastas são automaticamente excluídos da rotulagem. Se os usuários tentarem rotular esses arquivos usando o cliente de proteção de informações, eles verão uma mensagem de que esses arquivos são excluídos.

As pastas a seguir são excluídas da rotulagem pelo cliente de proteção de informações:

  • Windows
  • Arquivos do programa (\Arquivos de Programa e \Arquivos de Programa (x86))
  • \Programdata
  • \AppData (para todos os usuários)

Tipos de arquivo que não podem ser criptografados por padrão

Qualquer arquivo protegido por senha não pode ser criptografado nativamente pelo cliente, a menos que o arquivo esteja aberto no aplicativo que aplica a criptografia. Na maioria das vezes, você vê arquivos PDF protegidos por senha, mas outros aplicativos, como aplicativos do Office, também oferecem essa funcionalidade.

Tipos de arquivo com suporte para inspeção

O cliente de proteção de informações usa o Windows IFilter para inspecionar o conteúdo dos documentos. O Windows IFilter é usado pelo Windows Pesquisa para indexação. Como resultado, os seguintes tipos de arquivo podem ser inspecionados quando você usa o comando Set-FileLabel -Autolabel PowerShell.

Tipo de aplicativo Tipo de arquivo
Word .doc, .docx, .docm, .dot, .dotx
Excel .xls, .xlt, .xlsx, .xlsm, .xlsb
PowerPoint .ppt, .pps, .pot, .pptx
PDF .pdf
Texto .txt, .xml, .csv

Verificando arquivos de .ZIP

Você pode usar o scanner de proteção de informações ou o comando Set-FileLabel PowerShell para inspecionar arquivos .zip.

Observação

Quando o scanner de proteção de informações estiver instalado em um computador windows server, você também deve instalar o iFilter do Microsoft Office para verificar .zip arquivos em busca de tipos de informações confidenciais. Para obter mais informações, confira o site de download da Microsoft.

Depois de encontrar informações confidenciais, se o arquivo .zip deve ser rotulado e criptografado com um rótulo, a partir das instruções de implantação do scanner, especifique a extensão .zip nome do arquivo com a configuração avançada PFileSupportedExtensions do PowerShell.

Cenário de exemplo:

Um arquivo chamado accounts.zip contém planilhas do Excel com números de cartão de crédito. Você tem um rótulo de confidencialidade chamado Confidential \ Finance, que é configurado para descobrir números de cartão de crédito e aplicar automaticamente o rótulo com criptografia que restringe o acesso ao grupo Finanças.

Depois de inspecionar o arquivo, o cliente da sessão do PowerShell rotula esse arquivo como Confidencial \ Finanças. Em seguida, o cliente aplica criptografia genérica ao arquivo para que apenas membros dos grupos financeiros possam descompactá-lo e renomeie o arquivo accounts.zip.pfile.

Suporte para computadores desconectados

Por padrão, o cliente de proteção de informações tenta automaticamente se conectar à Internet para baixar rótulos de confidencialidade e configurações de política de rótulo de confidencialidade do Microsoft Purview.

Se você tiver computadores que não podem se conectar à Internet por um período de tempo, poderá exportar e copiar arquivos que gerenciam manualmente a política para o cliente de proteção de informações.

Para dar suporte a computadores desconectados do cliente de proteção de informações:

  1. Escolha ou crie uma conta de usuário no Microsoft Entra ID que você usará para baixar rótulos e configurações de política que deseja usar em seu computador desconectado.

  2. Como uma configuração de política de rótulo adicional para essa conta, desative o envio de dados de auditoria para o Microsoft Purview usando a configuração avançada EnableAudit PowerShell com Set-LabelPolicy do Security & Compliance PowerShell.

    Recomendamos essa etapa porque, se o computador desconectado tiver conectividade periódica com a Internet, ele enviará informações de log para o Microsoft Purview que incluem o nome de usuário da etapa 1. Essa conta de usuário pode ser diferente da conta local que você está usando no computador desconectado.

  3. De um computador com conectividade com a Internet que tem o cliente de proteção de informações instalado e conectado com a conta de usuário da etapa 1, baixe os rótulos e as configurações de política.

  4. Neste computador, exporte os arquivos de log.

    Por exemplo, execute o cmdlet Export-DebugLogs ou use a opção Exportar Logs na caixa de diálogo Ajuda e Comentários do cliente do rotulador de arquivo.

    Os arquivos de log são exportados como um único arquivo compactado.

  5. Abra o arquivo compactado e, na pasta MSIP, copie todos os arquivos que tenham uma extensão .xml nome do arquivo.

  6. Cole esses arquivos na pasta %localappdata%\Microsoft\MSIP no computador desconectado.

  7. Se sua conta de usuário escolhida for uma que geralmente se conecta à Internet, habilite o envio de dados de auditoria novamente, definindo o valor EnableAudit como True.

Lembre-se de que, se um usuário neste computador selecionar a opção Redefinir Configurações da Ajuda e comentários no rotulador de arquivo, essa ação excluirá os arquivos de política e deixará o cliente inoperável até que você substitua manualmente os arquivos ou o cliente se conecte à Internet para que ele possa baixar os arquivos necessários.

Se o computador desconectado estiver executando o scanner de proteção de informações, haverá etapas de configuração adicionais que você deve executar. Para obter mais informações, consulte Restrição: o servidor de scanner não pode ter conectividade com a Internet das instruções de implantação do scanner.

Personalizações com suporte

O cliente de proteção de informações dá suporte a configurações avançadas do PowerShell e algumas configurações de registro que podem ser necessárias para cenários ou usuários específicos.

Para as configurações avançadas do PowerShell com suporte com New-Label ou Set-Label e New-LabelPolicy ou Set-LabelPolicy do Security & Compliance PowerShell, consulte Configurações avançadas para Proteção de Informações do Microsoft Purview cliente.

Use as seções a seguir para ajudar você a configurar o registro para personalizações com suporte.

Alterar o nível de log local

Por padrão, o cliente do Purview Proteção de Informações grava arquivos de log do cliente na pasta %localappdata%\Microsoft\MSIP. Esses arquivos são destinados à solução de problemas por Suporte da Microsoft.

Para alterar o nível de log desses arquivos, localize o seguinte nome de valor no registro e defina os dados de valor para o nível de log necessário:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Defina o nível de log como um dos seguintes valores:

  • Desativado: sem registro em log local.

  • Erro: somente erros.

  • Aviso: erros e avisos.

  • Informações: registro em log mínimo, que não inclui IDs de evento (a configuração padrão para o scanner).

  • Depuração: informações completas.

  • Rastreamento: log detalhado (a configuração padrão para clientes).

Essa configuração de registro não altera as informações enviadas à auditoria do Microsoft Purview.

Habilitar configurações de limite de dados

Seguindo o compromisso da Microsoft com o limite de dados da UE, os clientes da UE que usam o Proteção de Informações do Microsoft Purview cliente podem enviar seus dados para a UE para serem armazenados e processados.

Ative esse recurso no cliente de proteção de informações alterando a seguinte chave do registro que especifica o local para enviar eventos:

  • Chave do Registro: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
  • Valores:
    • Default = 0
    • North_America = 1
    • European_Union = 2

Habilitar o navegador padrão do sistema para autenticação

Use o navegador padrão do sistema para autenticação em Proteção de Informações do Microsoft Purview cliente. Por padrão, o cliente de proteção de informações abre o Microsoft Edge para autenticação.

Ative esse recurso no cliente de proteção de informações habilitando a seguinte chave de registro:

  • Chave do Registro: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
  • Valores:
    • Disabled = 0
    • Enabled = 1

Ocultar a opção de menu "Aplicar rótulo de confidencialidade com Microsoft Purview" no Explorador de Arquivos

Para ocultar a opção Aplicar rótulo de confidencialidade com o menu do Microsoft Purview com o botão direito do mouse em Explorador de Arquivos, crie a seguinte chave de registro DWORD que tenha o nome de valor do LegacyDisable e todos os dados de valor:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Como aplicar rótulos de confidencialidade usando o cliente de proteção de informações

Depois que o cliente Proteção de Informações do Microsoft Purview for instalado, você poderá aplicar rótulos de confidencialidade que você criou e publicou usando:

Para exibir documentos criptografados, consulte Exibir arquivos protegidos com o visualizador Proteção de Informações do Microsoft Purview.