Настройка и установка средства проверки защиты информации

В этой статье описано, как настроить и установить сканер Защита информации Microsoft Purview, ранее называвшийся Azure Information Protection унифицированным сканером маркировки, или локальный сканер.

Совет

Хотя большинство пользователей выполняют эти процедуры на портале администрирования, вам, возможно, придется работать только в PowerShell.

Например, если вы работаете в среде без доступа к порталу администрирования, такой как Azure для Китая (21Vianet), следуйте инструкциям в статье "Использование PowerShell для настройки сканера".

Обзор

Перед началом убедитесь, что ваша система соответствует необходимым требованиям.

Затем выполните следующие действия по настройке и установке сканера:

1. Настройка параметров сканера

2. Установка сканера

3. Получение маркера Microsoft Entra для сканера

4. Настройка сканера для применения классификации и защиты

Затем выполните следующие процедуры настройки, необходимые для вашей системы:

Procedure	Описание
Изменение типов файлов для защиты	Может потребоваться сканировать, классифицировать или защищать файлы различных типов, чем те, которые используются по умолчанию. Дополнительные сведения см. в разделе "Процесс сканирования".
Модернизация сканера	Обновите сканер, чтобы использовать новейшие функции и улучшения.
Массовое изменение параметров репозитория данных	Используйте параметры импорта и экспорта для массового внесения изменений для нескольких репозиториев данных.
Использование сканера с альтернативными конфигурациями	Используйте сканер без настройки этикеток с какими-либо условиями
Оптимизация производительности	Инструкции по оптимизации производительности сканера

Если у вас нет доступа к страницам сканера на портале Microsoft Purview, настройте параметры сканера только в PowerShell. Дополнительные сведения см. в статье Использование PowerShell для настройки сканера и поддерживаемых командлетов PowerShell.

Настройка параметров сканера

Прежде чем устанавливать сканер или обновлять его с более старой общедоступной версии, настройте или проверьте параметры сканера. Для этой конфигурации можно использовать портал Microsoft Purview.

Чтобы настроить сканер на портале Microsoft Purview:

1. Войдите в систему, используя одну из следующих ролей:

• Администратор соответствия
  • Администратор данных соответствия требованиям
  • Администратор безопасности
  • Управление организацией

1. Войдите на портал> Microsoft PurviewКарта >параметровInformation Protection>Сканер защиты информации.

2. Создание кластера сканеров. Этот кластер определяет ваш сканер и используется для идентификации экземпляра сканера, например, во время установки, обновления и других процессов.

3. Создайте задание сканирования содержимого , чтобы определить репозитории, которые вы хотите сканировать.

Создание кластера сканеров

Чтобы создать кластер сканеров на портале Microsoft Purview, выполните следующие действия.

1. На вкладках на странице средства проверки защиты информации выберите Кластеры.

2. На вкладке "Кластеры" нажмите кнопку "Добавить", ".

3. В области Новый кластер введите понятное имя сканера и необязательное описание.

   Имя кластера используется для идентификации конфигураций и репозиториев сканера. Например, можно ввести Европу , чтобы определить географическое расположение хранилищ данных, которые вы хотите сканировать.

   Это имя будет использоваться позже, чтобы определить, где вы хотите установить или обновить сканер.

4. Нажмите кнопку Сохранить, чтобы сохранить изменения.

Создание задания сканирования содержимого

Погрузитесь в содержимое, чтобы проверить определенные репозитории на наличие конфиденциального содержимого.

Чтобы создать задание сканирования содержимого на портале Microsoft Purview:

1. На вкладках страницы "Сканер защиты информации " выберите "Задания сканирования содержимого".

2. На панели заданий проверки содержимого выберите значок "Добавить", .

3. Для этой начальной конфигурации настройте следующие параметры, а затем выберите Сохранить.

   Setting	Описание
   Параметры задания проверки содержимого	- Запланировать: сохранить значение по умолчанию для ручного управления - Типы сведений, которые необходимо обнаружить: Переход на "Только политика"
   Политика защиты от потери данных	Если вы используете политику защиты от потери данных, установите параметр "Включение правил DLP " в положение "Вкл". Дополнительные сведения см. в статье "Использование политики защиты от потери данных".
   Политика конфиденциальности	- Применение политики меток конфиденциальности: выберите «Выкл.» - Маркировка файлов на основе содержимого: оставьте значение по умолчанию "Вкл" - Метка по умолчанию: Сохранить значение политики по умолчанию - Переименование файлов: оставьте значение по умолчанию "Выкл."
   Настройка параметров файла	- Сохранить параметры "Дата изменения", "Последнее изменение" и "Автор изменений": оставьте значение по умолчанию "Вкл." - Типы файлов для сканирования: оставьте типы файлов по умолчанию для исключения - Владелец по умолчанию: сохранить учетную запись сканера по умолчанию - Установить владельца репозитория: используйте этот параметр только при использовании политики защиты от потери данных.

4. Откройте сохраненное задание сканирования содержимого и выберите вкладку Репозитории , чтобы указать хранилища данных для сканирования.

   Укажите UNC-пути и URL-адреса SharePoint Server для локальных библиотек документов и папок SharePoint.

   Примечание.

   SharePoint поддерживает SharePoint Server по подписке (SPSE) с общедоступным обновлением (PU) в расширенной поддержке. Дополнительные сведения см. в статье "Политика поддержки SharePoint Server" и "Обновленная политика обслуживания продуктов для SharePoint Server SE".

   Чтобы добавить первое хранилище данных, на вкладке "Репозитории ":

   1. В области "Репозитории " выберите "Добавить":

   2. В области "Хранилище " укажите путь к хранилищу данных и нажмите "Сохранить".

      • Для создания общей сетевой папки используйте \\Server\Folder.
      • Для библиотеки SharePoint используйте http://sharepoint.contoso.com/Shared%20Documents/Folder.
      • Для локального пути: C:\Folder
      • Для пути UNC: \\Server\Folder

   Примечание.

   Подстановочные знаки не поддерживаются, а расположения WebDav не поддерживаются. Сканирование расположений OneDrive в качестве репозиториев не поддерживается.

   При добавлении пути SharePoint для общих документов:

   • Укажите общие документы в пути, если вы хотите сканировать все документы и все папки из общих документов. Пример: http://sp013/SharedDocuments
   • Укажите документы в пути, если вы хотите отсканировать все документы и все папки из вложенной папки в разделе "Общие документы". Пример: http://sp013/Documents/SalesReports
   • Или укажите только полное доменное имя SharePoint, например http://sp013 , для обнаружения и сканирования всех сайтов и дочерних сайтов SharePoint по определенному URL-адресу и субтитров в этом URL-адресе. Предоставить права аудитора сборщика сайтов сканера для включения этой функции.

   Что касается остальных параметров в этой области, не изменяйте их для этой начальной конфигурации, но оставьте их в качестве задания сканирования содержимого по умолчанию. Параметр по умолчанию означает, что хранилище данных наследует настройки задания сканирования содержимого.

   При добавлении путей SharePoint используйте следующий синтаксис:

   Path	Синтаксис
   Корневой путь	http://<SharePoint server name> Сканирует все сайты, включая все семейства сайтов, разрешенные пользователю сканера. Требуются дополнительные разрешения для автоматического обнаружения корневого содержимого
   Определенный дочерний сайт или семейство SharePoint	Один из следующих продуктов: - http://<SharePoint server name>/<subsite name> - http://SharePoint server name>/<site collection name>/<site name> Требуются дополнительные разрешения для автоматического обнаружения контента семейства веб-сайтов
   Определенная библиотека SharePoint	Один из следующих продуктов: - http://<SharePoint server name>/<library name> - http://SharePoint server name>/.../<library name>
   Определенная папка SharePoint	http://<SharePoint server name>/.../<folder name>

5. Повторите предыдущие шаги, чтобы добавить необходимое количество репозиториев.

Теперь вы готовы установить сканер с помощью созданного задания сканера содержимого. Продолжите установку сканера.

Установка сканера

После настройки сканера выполните следующие действия, чтобы установить его. Эта процедура полностью выполняется в PowerShell.

1. Войдите на компьютер с Windows Server, на котором будет запущен сканер. Используйте учетную запись с правами локального администратора и разрешениями на запись в базу данных SQL Server master.

   Важно!

   Перед установкой сканера на компьютере должен быть установлен клиент защиты информации.

   Дополнительные сведения см. в разделе Необходимые условия для установки и развертывания сканера защиты информации.

2. Откройте сеанс Windows PowerShell с параметром "Запуск от имени администратора".

3. Запустите командлет Install-Scanner, указав экземпляр SQL Server, на котором будет создана база данных для средства проверки защиты информации, а также имя кластера сканера, указанное в предыдущем разделе.

   Install-Scanner -SqlServerInstance <name> -Cluster <cluster name>
   

   Примеры с использованием имени кластера сканера Europe:

   • Для экземпляра по умолчанию: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe

   • Для именованного экземпляра: Install-Scanner -SqlServerInstance SQLSERVER1\SCANNER -Cluster Europe

   • Для SQL Server Express:Install-Scanner -SqlServerInstance SQLSERVER1\SQLEXPRESS -Cluster Europe

   При появлении запроса введите учетные данные Active Directory для учетной записи службы сканера.

   Используйте следующий синтаксис. domain\username Пример: contoso\scanneraccount

   Важно!

   В этом запросе введите локальное удостоверение Windows в DOMAIN\username формате (не имя участника-пользователя, такое как scanneraccount@contoso.com). Этот формат требуется установщику для разрешения SID, предоставления входа в качестве службы, настройки учетной записи "Запуск от имени" службы Windows и предоставления разрешений SQL; Использование имени участника-пользователя может в дальнейшем привести к проблемам с разрешением удостоверений или запуском службы.

   Примечание.

   Чтобы включить функции сканера на уровне кластера (например, настраиваемые отчеты) во время установки, добавьте -FeatureSettings параметр (предварительная версия). Пример: Install-Scanner -SqlServerInstance SQLSERVER1 -Cluster Europe -FeatureSettings @{CustomReporting=$true}. Дополнительные сведения см. в разделе Управление функциями сканера (предварительная версия).

4. Убедитесь, что служба установлена с помощьюслужбыадминистрирования>.

   Установленная служба называется "Средство проверки защиты информации Microsoft Purview" и настроена для запуска с использованием созданной учетной записи службы сканера.

Теперь, когда вы установили сканер, вам требуется получить маркер Microsoft Entra для учетной записи службы сканера для проверки подлинности, чтобы сканер мог работать без надзора.

Получение маркера Microsoft Entra для сканера

Маркер Microsoft Entra позволяет сканеру пройти проверку подлинности в службе сканера Защита информации Microsoft Purview, что позволяет сканеру запускать его автоматически.

Дополнительные сведения см. в статье "Автоматический запуск командлетов для присвоения меток Information Protection".

Примечание.

Поддержка проверки подлинности на основе сертификатов представлена в общедоступной предварительной версии. Дополнительные сведения см. в статье Проверка подлинности на основе сертификатов

Чтобы получить маркер Microsoft Entra:

1. Перейдите на портал Azure и перейдите к колонке Microsoft Entra ID.

2. На боковой панели Microsoft Entra ID нажмите «Регистрация приложений».

3. Вверху нажмите «+ Новая регистрация».

4. В разделе Имя введите InformationProtectionScanner.

5. Оставьте поддерживаемые типы учетных записей по умолчанию.

6. Для URI перенаправления оставьте тип Web, но введите http://localhost часть ввода и нажмите Register.

7. На странице "Обзор" этого приложения запишите в текстовом редакторе следующие идентификаторы: идентификатор приложения (клиента) и идентификатор каталога (клиента). Оно понадобится позже при настройке команды Set-AIPAuthentication.

8. На боковой панели перейдите в раздел "Сертификаты и секреты".

9. Нажмите " + Новый секрет клиента".

10. В открывшемся диалоговом окне введите описание секрета и задайте для него значение "Срок действия через 1 год ", а затем добавьте секрет.

11. Теперь в разделе "Секреты клиента" вы должны увидеть, что есть запись со значением секрета. Скопируйте это значение и сохраните его в файле, в котором сохранены идентификаторы клиента и идентификатора клиента. Это единственный раз, когда вы сможете увидеть секретное значение, его нельзя будет восстановить, если вы не скопируете его сейчас.

12. На боковой панели перейдите в раздел "Разрешения API".

13. Выберите "Добавить разрешение".

14. Когда появится экран, выберите службу управления правами Azure. Затем выберите "Разрешения приложения".

15. Щелкните раскрывающийся список для Content и установите флажки для Content.DelegatedReader и Content.DelegatedWriter. Затем в нижней части экрана нажмите кнопку "Добавить разрешения".

16. Вернитесь в раздел "Разрешения API" и добавьте еще одно разрешение.

17. На этот раз в разделе "Выбор API" нажмите на API, используемые моей организацией. В поле поиска введите службу синхронизации Microsoft Information Protection и выберите ее.

18. Выберите "Разрешения приложений", а затем в раскрывающемся списке единой политики отметьте разрешение UnifiedPolicy.Tenant.Read. Затем в нижней части экрана нажмите кнопку "Добавить разрешения".

19. Вернувшись на экран разрешений API, щелкните Предоставить согласие администратора и проверьте выполнение операции (обозначено зеленой галочкой).

20. Если вашей учетной записи службы сканера был предоставлен локальный вход на компьютере с Windows Server прямо для установки, войдите с этой учетной записью и начните сеанс PowerShell.

    Запустите Set-Authentication, указав значения, которые вы скопировали с предыдущего шага:

    Set-Authentication -AppId <ID of the registered app> -AppSecret <client secret sting> -TenantId <your tenant ID> -DelegatedUser <Microsoft Entra account>
    

    Например, вы можете:

    $pscreds = Get-Credential CONTOSO\scanner
    Set-Authentication -AppId "00001111-aaaa-2222-bbbb-3333cccc4444" -AppSecret "Aa1Bb~2Cc3.-Dd4Ee5Ff6Gg7Hh8Ii9_Jj0Kk1Ll2" -DelegatedUser scanner@contoso.com -TenantId "aaaabbbb-0000-cccc-1111-dddd2222eeee" -OnBehalfOf $pscreds
    Acquired application access token on behalf of CONTOSO\scanner.
    

Совет

Если вашей учетной записи службы сканера не удается предоставить локальный вход прямо для установки, используйте параметр OnBehalfOf с аутентификацией Set-Authentication, как описано в статье Автоматический запуск командлетов маркировки защиты информации.

Теперь у сканера есть маркер для проверки подлинности в Microsoft Entra ID. Этот маркер действителен в течение одного года, двух лет или никогда, в соответствии с вашей конфигурацией секрета клиента веб-приложения / API в Microsoft Entra ID. После истечения срока действия маркера необходимо повторить эту процедуру.

Продолжайте выполнять одно из следующих действий в зависимости от того, используете ли вы портал Microsoft Purview для настройки сканера или только PowerShell:

Только портал администраторов

Теперь вы готовы к запуску первой проверки в режиме обнаружения. Дополнительные сведения см. в разделе Запуск цикла обнаружения и просмотр отчетов для сканера.

После запуска первоначального сканирования обнаружения перейдите к разделу Настройка сканера для применения классификации и защиты.

Только PowerShell

Если вы настраиваете и устанавливаете сканер с помощью PowerShell, а не со страниц сканера на портале Microsoft Purview, перейдите к шагу 5 из статьи "Использование PowerShell для настройки сканера".

Затем:

• Запуск цикла обнаружения и просмотр отчетов для сканера
• Используйте PowerShell для настройки сканера для применения классификации и защиты
• Настройка политики защиты от потери данных с помощью сканера с помощью PowerShell

Дополнительные сведения см. в статье "Автоматический запуск командлетов для присвоения меток Information Protection".

Настройка сканера для применения классификации и защиты

Параметры по умолчанию настраивают сканер на однократный запуск в режиме только отчетов. Чтобы изменить эти параметры, измените задание сканирования содержимого.

Совет

Если вы работаете только с помощью PowerShell, см. Настройка сканера для применения классификации и защиты — только PowerShell.

Чтобы настроить сканер для применения классификации и защиты на портале Microsoft Purview, выполните следующие действия.

1. На портале Microsoft Purview на вкладке Задания проверки содержимого выберите конкретное задание проверки содержимого, чтобы изменить его.

2. Выберите задание сканирования содержимого, измените следующее, а затем нажмите кнопку Сохранить:

   • В разделе "Задание проверки содержимого": Измените расписание на "Всегда"
   • Из раздела "Применение политики присвоения меток конфиденциальности ": Установите переключатель в положение "Вкл"

3. Убедитесь, что узел задания сканирования содержимого подключен к сети, а затем снова запустите задание сканирования, выбрав "Проверить сейчас". Кнопка "Проверить сейчас " отображается только в том случае, если узел выбранного задания сканирования содержимого подключен к сети.

Теперь работа сканера запланирована на непрерывный. Когда сканер работает со всеми настроенными файлами, он автоматически запускает новый цикл, чтобы обнаружить все новые и измененные файлы.

Использование политики защиты от потери данных

Использование политики защиты от потери данных позволяет сканеру обнаруживать потенциальные утечки данных, сопоставляя правила DLP с файлами, хранящимися в общих папках и SharePoint Server.

• Включите правила DLP в задание проверки содержимого , чтобы снизить уязвимость всех файлов, соответствующих политикам DLP. Если правила DLP включены, средство сканирования может ограничить доступ к файлам только для владельцев данных или уменьшить доступ к общесетевым группам, таким как "Все", "Прошедшие проверку пользователи" или "Пользователи домена".

• На портале Microsoft Purview определите, пытаетесь ли вы просто протестировать свою политику защиты от потери данных или же хотите, чтобы ваши правила применялись, а разрешения на доступ к файлам изменялись в соответствии с этими правилами. Дополнительные сведения см. в статье Создание и развертывание политик защиты от потери данных

Политики защиты от потери данных настраиваются на портале Microsoft Purview. Дополнительные сведения о лицензировании защиты от потери данных см. в статье Начало работы с локальным сканером защиты от потери данных.

Совет

При сканировании файлов, даже при простое тестирование политики защиты от потери данных, также создаются отчеты о разрешениях файлов. Запросите эти отчеты, чтобы изучить определенные риски доступа к файлам или доступ проверенных файлов к конкретному пользователю.

Инструкции по использованию только PowerShell см. в статье "Использование политики защиты от потери данных со сканером — только PowerShell".

Чтобы использовать политику защиты от потери данных со сканером на портале Microsoft Purview:

1. На портале Microsoft Purview перейдите на вкладку Задания проверки содержимого и выберите определенное задание сканирования содержимого. Дополнительные сведения см. в разделе Создание задания сканирования содержимого.

2. В разделе "Включить правила политики DLP" установите переключатель в положение "Вкл".

   Важно!

   Не устанавливайте для параметра "Включить правила DLP" значение "Вкл.", если в Microsoft 365 не настроена политика DLP.

   Включение этой функции без политики защиты от потери данных приведет к тому, что сканер будет генерировать ошибки.

3. (Необязательно) Установите для параметра "Задать владельца репозитория " значение "Вкл" и определите конкретного пользователя в качестве владельца репозитория.

   Эта опция позволяет сканеру уменьшить доступность любых файлов, найденных в этом репозитории, которые соответствуют политике DLP, определенному владельцем репозитория.

Политики защиты от потери данных и создание приватных действий

Если вы используете политику защиты от потери данных с действием "сделать приватным ", а также планируете использовать сканер для автоматического помечания файлов, рекомендуется также определить дополнительный параметр UseCopyAndPreserveNTFSOwner клиента единой маркировки.

Этот параметр гарантирует, что исходные владельцы сохранят доступ к своим файлам.

Дополнительные сведения см. в статьях Создание задания сканирования содержимого и Автоматическое применение метки конфиденциальности к данным Microsoft 365.

Изменение типов файлов для защиты

По умолчанию средство проверки защищает только типы файлов Office и PDF-файлы.

Используйте команды PowerShell для изменения этого поведения по мере необходимости, например чтобы настроить сканер для защиты всех типов файлов, как это делает клиент, или для защиты дополнительных определенных типов файлов.

Для политики меток, которая применяется к учетной записи пользователя, скачивающей метки для сканера, укажите дополнительный параметр PowerShell с именем PFileSupportedExtensions.

Для средства проверки, имеющего доступ к Интернету, этой учетной записью пользователя является учетная запись, указанная для параметра DelegatedUser с помощью команды Set-Authentication.

Пример 1. Команда PowerShell для сканера для защиты всех типов файлов, где ваша политика меток называется "Сканер":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

Пример 2. Команда PowerShell для сканера для защиты файлов .xml и .tiff в дополнение к файлам Office и PDF, для которых ваша политика меток называется "Сканер":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".xml", ".tiff")}

Дополнительные сведения см. в статье "Изменение типов защищаемых файлов".

Модернизация сканера

Если вы уже установили сканер и хотите выполнить обновление, следуйте инструкциям в разделе Обновление сканера защиты информации Защита информации Microsoft Purview.

Затем настройтесканер и используйте его в обычном режиме, пропуская этапы установки.

Массовое изменение параметров репозитория данных

Используйте кнопки Export (Экспорт ) и Import ( Импорт ) для внесения изменений для сканера в нескольких репозиториях.

Таким образом, вам не нужно будет несколько раз вносить одни и те же изменения вручную на портале Microsoft Purview.

Например, если в нескольких репозиториях SharePoint используется новый тип файлов, может потребоваться обновить параметры этих репозиториев в массовом порядке.

Чтобы массово внести изменения между репозиториями на портале Microsoft Purview:

1. На портале Microsoft Purview выберите определенное задание сканирования содержимого и перейдите на вкладку "Репозитории " в панели. Выберите параметр "Экспорт ".

2. Вручную отредактируйте экспортированный файл, чтобы внести изменения.

3. Используйте параметр импорта на той же странице, чтобы импортировать обновления обратно в репозитории.

Использование сканера с альтернативными конфигурациями

Сканер обычно ищет условия, заданные для ваших меток, чтобы классифицировать и защитить ваш контент в соответствии с потребностями.

В следующих сценариях сканер также может сканировать ваше содержимое и управлять метками без каких-либо настроенных условий:

• Применение метки по умолчанию ко всем файлам в хранилище данных
• Удаление существующих меток из всех файлов в хранилище данных
• Определите все настраиваемые условия и известные типы конфиденциальной информации

Применение метки по умолчанию ко всем файлам в хранилище данных

В этой конфигурации все непомеченные файлы в репозитории помечаются меткой по умолчанию, указанной для репозитория или задания сканирования содержимого. Files маркируются без проверки.

Настройте указанные ниже параметры.

Setting	Описание
Маркировка файлов на основе содержимого	Установите значение "Выкл."
Подпись по умолчанию	Установите значение "Настраиваемый", а затем выберите метку для использования
Применение метки по умолчанию	Выберите этот параметр, чтобы стандартная метка применялась ко всем файлам, даже если они уже помечены. Для этого включите параметры " Переименовать файлы " и "Принудительно применить метку по умолчанию "

Удаление существующих меток из всех файлов в хранилище данных

В этой конфигурации удаляются все существующие метки, включая защиту, если защита была применена к ней. Защита, применяемая независимо от метки, сохраняется.

Настройте указанные ниже параметры.

Setting	Описание
Маркировка файлов на основе содержимого	Установите значение "Выкл."
Подпись по умолчанию	Выберите значение "Нет"
Переименование файлов	Установите значение "Вкл." и "Применить метку по умолчанию" в положение "Вкл."

Определите все настраиваемые условия и известные типы конфиденциальной информации

Такая конфигурация позволяет найти конфиденциальную информацию, о которой вы, возможно, даже не подозревали, за счет снижения скорости сканирования сканером.

Задайте типы информации, которые должны быть обнаружены , значение "Все".

Чтобы определить условия и типы информации для маркировки, сканер использует все указанные пользовательские типы конфиденциальной информации, а также список встроенных типов конфиденциальной информации, которые можно выбрать, как определено в вашем центре управления маркировкой.

Важно!

Подметки под одной родительской меткой имеют общий приоритет родительской метки, переключение между субподписями под одной родительской меткой не считается понижением версии. Таким образом, параметр Разрешить понижение меток = Выкл не будет блокировать файлы, переименованные с субметками с более низким приоритетом, если включено переименование файлов .

Оптимизация производительности сканера

Примечание.

Если требуется повысить скорость отклика компьютера-сканера, а не производительность сканера, используйте расширенные параметры клиента, чтобы ограничить количество потоков, используемых сканером.

Используйте следующие параметры и рекомендации для оптимизации производительности сканера:

Вариант	Описание
Имеют высокоскоростное и надежное сетевое соединение между компьютером сканера и отсканированным хранилищем данных	Например, поместите компьютер сканера в ту же локальную сеть или, что предпочтительнее, в тот же сегмент сети, что и сканируемое хранилище данных. Качество сетевого подключения влияет на производительность сканера, так как для проверки файлов сканер передает содержимое файлов на компьютер, на котором запущена служба сканера Защита информации Microsoft Purview. Уменьшение или устранение сетевых прыжков, необходимых для передачи данных, также снижает нагрузку на сеть.
Убедитесь, что на компьютере сканера есть доступные ресурсы процессора	Проверка содержимого файла, а также шифрование и расшифровка файлов являются действиями, интенсивно использующими процессор. Отслеживайте типичные циклы сканирования для указанных хранилищ данных, чтобы определить, влияет ли нехватка ресурсов процессора негативно на производительность сканера.
Установка нескольких экземпляров сканера	Сканер поддерживает несколько баз данных конфигурации в одном экземпляре SQL Server, если указать имя пользовательского кластера для сканера. Совет: Несколько сканеров также могут использовать один и тот же кластер, что сокращает время сканирования. Если вы планируете установить сканер на нескольких компьютерах с одним экземпляром базы данных и хотите, чтобы сканеры работали параллельно, необходимо установить все сканеры, используя одно имя кластера.
Проверка использования альтернативной конфигурации	Сканер работает быстрее при использовании альтернативной конфигурации для применения метки по умолчанию ко всем файлам, так как он не проверяет содержимое файла. Сканер работает медленнее, если вы используете альтернативную конфигурацию для идентификации всех пользовательских условий и известных типов конфиденциальной информации.

Дополнительные факторы, влияющие на производительность

Дополнительные факторы, влияющие на производительность сканера:

Множитель	Описание
Время загрузки и отклика	Текущая загрузка и время отклика хранилищ данных, содержащих сканируемые файлы, также влияют на производительность сканера.
Режим сканера (обнаружение/принудительное применение)	Как правило, в режиме обнаружения скорость сканирования выше, чем в принудительном режиме. Для обнаружения требуется одно действие чтения файла, в то время как в принудительном режиме требуются действия чтения и записи.
Изменения в политике	Если вы изменили автоматическое присвоение меток в политике наклеек, производительность сканера может пострадать. Первый цикл сканирования, когда сканер должен проверить каждый файл, займет больше времени, чем последующие циклы сканирования, которые по умолчанию проверяют только новые и измененные файлы. Если изменить условия или параметры автоматического присвоения меток, все файлы будут проверены повторно. Дополнительные сведения см. в разделе Повторное сканирование файлов.
Конструкции регулярных выражений	Производительность сканера зависит от того, как формируются выражения регулярных выражений для пользовательских условий. Чтобы избежать чрезмерного потребления памяти и риска тайм-аутов (15 минут на файл), проверьте выражения регулярных выражений на предмет эффективного сопоставления шаблонов. Например, вы можете: - Избегайте жадных квантификаторов - Используйте группы без захвата, такие как (?:expression) вместо (expression)
Уровень журнала	Параметры уровня журнала: "Отладка", "Сведения", "Ошибка " и "Выкл" для отчетов сканера. - Отключение обеспечивает наилучшую производительность - Отладка значительно замедляет работу сканера и должна использоваться только для устранения неполадок. Дополнительные сведения см. в параметре ReportLevel для командлета Set-ScannerConfiguration .
Files сканирование	- За исключением файлов Excel, файлы Office сканируются быстрее, чем PDF-файлы. - Незащищенные файлы проверяются быстрее, чем защищенные. - Очевидно, что большие файлы проверяются дольше, чем маленькие.

Использование PowerShell для настройки сканера

В этом разделе описаны действия, необходимые для настройки и установки сканера, если у вас нет доступа к страницам сканера на портале Microsoft Purview и необходимо использовать только PowerShell.

Важно!

• Некоторые действия требуют использования Powershell независимо от того, можете ли вы получить доступ к страницам сканера на портале Microsoft Purview, и являются идентичными. Эти действия см. в инструкциях предыдущей статьи, как указано.

• При работе со сканером для Azure для Китая (21Vianet) в дополнение к инструкциям, описанным здесь, потребуются дополнительные действия. Дополнительные сведения см. в статье Защита информации Microsoft Purview для Office 365, предоставляемого 21Vianet.

Дополнительные сведения см. в разделе "Поддерживаемые командлеты PowerShell".

Настройка и установка сканера:

1. Запустите с закрытой программой PowerShell. Если вы ранее установили клиент и сканер защиты информации, убедитесь, что служба сканера Защита информации Microsoft Purview остановлена.

2. Откройте сеанс Windows PowerShell с параметром "Запуск от имени администратора".

3. Запустите команду Install-Scanner , чтобы установить сканер на экземпляре SQL Server, с параметром Cluster , чтобы определить имя кластера.

   Этот шаг идентичен независимо от того, есть ли у вас доступ к страницам сканера на портале Microsoft Purview. Дополнительные сведения см. в предыдущих инструкциях в этой статье: Установка сканера

4. Получите маркер Azure для использования со сканером, а затем пройдите повторную проверку подлинности.

   Этот шаг идентичен независимо от того, есть ли у вас доступ к страницам сканера на портале Microsoft Purview. Дополнительные сведения см. в предыдущих инструкциях в этой статье: Получите маркер Microsoft Entra для сканера.

5. Запустите командлет Set-ScannerConfiguration , чтобы настроить сканер для работы в автономном режиме. Выполните следующие действия.

   Set-ScannerConfiguration -OnlineConfiguration Off
   

6. Запустите командлет Set-ScannerContentScan , чтобы создать задание сканирования содержимого по умолчанию.

   Единственный обязательный параметр в командлете Set-ScannerContentScan — Enforce. Однако в настоящее время может потребоваться определить другие параметры для задания сканирования содержимого. Например, вы можете:

   Set-ScannerContentScan -Schedule Manual -DiscoverInformationTypes PolicyOnly -Enforce Off -DefaultLabelType PolicyDefault -RelabelFiles Off -PreserveFileDetails On -IncludeFileTypes '' -ExcludeFileTypes '.msg,.tmp' -DefaultOwner <account running the scanner>
   

   Приведенный выше синтаксис настраивает следующие параметры во время продолжения настройки:

   • Устанавливает ручное планирование запуска сканера
   • Устанавливает типы информации, которые необходимо обнаружить, на основе политики меток конфиденциальности
   • Не применяет политику меток конфиденциальности
   • Автоматически помечает файлы на основе содержимого, используя стандартную метку, определенную для политики меток конфиденциальности
   • Не позволяет переименовывать файлы
   • Сохраняет сведения о файле при сканировании и автоматическом присвоении меток, включая дату изменения, дату последнего изменения и изменения по значениям
   • Настраивает сканер на исключение файлов .msg и .tmp при запуске
   • Задает владельца по умолчанию учетную запись, которую вы хотите использовать при запуске сканера

7. Используйте командлет Add-ScannerRepository , чтобы определить репозитории, которые вы хотите сканировать в своем задании сканирования содержимого. Например, выполните команду:

   Add-ScannerRepository -OverrideContentScanJob Off -Path 'c:\repoToScan'
   

   Используйте один из следующих синтаксисов в зависимости от типа добавляемого репозитория:

   • Для создания общей сетевой папки используйте \\Server\Folder.
   • Для библиотеки SharePoint используйте http://sharepoint.contoso.com/Shared%20Documents/Folder.
   • Для локального пути: C:\Folder
   • Для пути UNC: \\Server\Folder

   Примечание.

   Подстановочные знаки не поддерживаются, а расположения WebDav не поддерживаются.

   Чтобы изменить репозиторий позже, используйте командлет Set-ScannerRepository .

   При добавлении пути SharePoint для общих документов:

   • Укажите общие документы в пути, если вы хотите сканировать все документы и все папки из общих документов. Пример: http://sp2013/SharedDocuments
   • Укажите документы в пути, если вы хотите отсканировать все документы и все папки из вложенной папки в разделе "Общие документы". Пример: http://sp2013/Documents/SalesReports
   • Или укажите только полное доменное имя SharePoint, например http://sp2013 , для обнаружения и сканирования всех сайтов и дочерних сайтов SharePoint по определенному URL-адресу и субтитров в этом URL-адресе. Предоставить права аудитора сборщика сайтов сканера для включения этой функции.

   При добавлении путей SharePoint используйте следующий синтаксис:

   Path	Синтаксис
   Корневой путь	http://<SharePoint server name> Сканирует все сайты, включая все семейства сайтов, разрешенные пользователю сканера.
   Определенный дочерний сайт или семейство SharePoint	Один из следующих продуктов: - http://<SharePoint server name>/<subsite name> - http://SharePoint server name>/<site collection name>/<site name>
   Определенная библиотека SharePoint	Один из следующих продуктов: - http://<SharePoint server name>/<library name> - http://SharePoint server name>/.../<library name>
   Определенная папка SharePoint	http://<SharePoint server name>/.../<folder name>

При необходимости продолжите выполнять следующие действия:

• Конфигурация для клиентов в Китае
• Запуск цикла обнаружения и просмотр отчетов для сканера
• Используйте PowerShell для настройки сканера для применения классификации и защиты
• Настройка политики защиты от потери данных с помощью сканера с помощью PowerShell

Используйте PowerShell для настройки сканера для применения классификации и защиты

1. Запустите командлет Set-ScannerContentScan , чтобы обновить задание проверки содержимого, настроить расписание на постоянное и применить политику конфиденциальности.

   Set-ScannerContentScan -Schedule Always -Enforce On
   

   Совет

   Вы можете изменить другие параметры в этой области, например указать, будут ли изменены атрибуты файла и может ли сканер переименовать файлы. Для получения дополнительной информации о доступных настройках см. полную документацию Set-ScannerContentScan.

2. Запустите командлет Start-Scan , чтобы выполнить задание сканирования содержимого:

   Start-Scan
   

Теперь работа сканера запланирована на непрерывный. Когда сканер работает со всеми настроенными файлами, он автоматически запускает новый цикл, чтобы обнаружить все новые и измененные файлы.

Настройка политики защиты от потери данных с помощью сканера с помощью PowerShell

Снова запустите командлет Set-ScannerContentScan с параметром -EnableDLP , установленным в значение On, и определенным владельцем репозитория.

Например, вы можете:

Set-ScannerContentScan -EnableDLP On -RepositoryOwner 'domain\user'

Проверка подлинности на основе сертификатов (общедоступная предварительная версия)

Использование проверки подлинности на основе сертификатов со сканером защиты информации

В этом разделе описано, как настроить сканер защиты информации Защита информации Microsoft Purview для проверки подлинности с помощью сертификата вместо секрета клиента.

Предварительные условия

Перед настройкой проверки подлинности на основе сертификатов убедитесь, что у вас есть:

• Установлен сканер защиты информации Microsoft Purview
• Административный доступ к серверу Windows Server, на котором запущен сканер
• Доступ к регистрации приложения Microsoft Entra, используемой сканером
• Windows PowerShell 5.1

Шаг 1. Получение или создание сертификата

У вас есть два варианта получения сертификата:

1. Сертификат, выданный центром сертификации: запросите сертификат в центре сертификации вашей организации.
2. Самозаверяющий сертификат: создайте самозаверяющий сертификат.

Вариант A. Использование сертификата, выданного центром сертификации (рабочий)

Использование сертификата, выданного центром сертификации, обеспечивает:

• Автоматическое доверие через существующую инфраструктуру PKI
• Централизованное управление жизненным циклом сертификатов
• Соответствие политикам безопасности организации
• Нет необходимости пропускать проверку цепочки сертификатов

Требования к сертификатам

При запросе сертификата из центра сертификации убедитесь, что он соответствует следующим требованиям:

Требование	Значение
Ключевой алгоритм	ЮАР
Длина ключа	Минимум 2048 бит (рекомендуется 4096)
Использование ключа	Цифровые подписи
Закрытый ключ	Экспортируемый (для резервного копирования) или помеченный для компьютера
Срок действия	В соответствии с политикой вашей организации (обычно 1–2 года)

Конкретные инструкции по запросу сертификата с этими параметрами можно найти в документации центра сертификации.

После получения ключа из корпоративного центра сертификации установите сертификат в хранилище локального компьютера на каждом сервере Windows Server, на котором запущен сканер. Обязательно установите сертификат в личном хранилище локального компьютера.

Экспорт открытого ключа для Microsoft Entra

После выдачи и установки сертификата экспортируйте открытый ключ:

# Find the certificate (adjust the subject filter as needed)
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*PurviewScanner*" }
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Вариант Б. Использование самозаверяющего сертификата

Можно создать самозаверяющий сертификат на одном сервере, а затем импортировать его на серверы в кластере сканера.

# Create certificate in Local Machine store with RSA provider
$cert = New-SelfSignedCertificate `
    -Subject "CN=PurviewScanner" `
    -CertStoreLocation Cert:\LocalMachine\My `
    -KeyExportPolicy Exportable `
    -KeySpec Signature `
    -KeyLength 2048 `
    -KeyAlgorithm RSA `
    -HashAlgorithm SHA256 `
    -NotAfter (Get-Date).AddYears(2) `
    -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider"

# Display the certificate details
Write-Host "Certificate created successfully"
Write-Host "Thumbprint: $($cert.Thumbprint)"
Write-Host "Subject: $($cert.Subject)"

Важно!

Этот -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" параметр является обязательным. Использование поставщиков CNG (криптография следующего поколения) приведет к появлению ошибки «Набор ключей не существует» при попытке сканера пройти аутентификацию.

Экспорт открытого ключа

Экспортируйте открытый ключ сертификата для отправки в Microsoft Entra:

# Export public key certificate (.cer file)
Export-Certificate -Cert $cert -FilePath "C:\temp\PurviewScanner.cer"

Шаг 2. Предоставление разрешений на закрытый ключ учетной записи службы сканера

Учетная запись службы сканера должна иметь разрешение на чтение закрытого ключа сертификата. Без этого разрешения проверка подлинности завершится сбоем с ошибкой "Набор ключей не существует".

Использование пользовательского интерфейса диспетчера сертификатов

1. Откройте хранилище сертификатов локального компьютера:

   • Нажмите клавишу Win + R, введите certlm.msc, затем нажмите клавишу ВВОД

2. Перейдите в раздел "Сертификаты — локальный компьютер"

3. Щелкните правой кнопкой мыши созданный сертификат (например, "PurviewScanner") и выберите "Все задачи>""Управление закрытыми ключами"

4. Нажмите кнопку Add (Добавить ) и введите имя учетной записи службы сканера (например, CONTOSO\ScannerService)

5. Выберите учетную запись и убедитесь, что установлен флажок разрешения на чтение

6. Нажмите " ОК ", чтобы сохранить

С помощью PowerShell

Также можно предоставить разрешения с помощью PowerShell. Обязательно замените имя учетной записи службы на фактическую учетную запись службы сканера.

# Get the certificate
$cert = Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -eq "CN=PurviewScanner" }

# Get the private key file path
$privateKey = [System.Security.Cryptography.X509Certificates.RSACertificateExtensions]::GetRSAPrivateKey($cert)
$keyPath = $privateKey.Key.UniqueName
$fullKeyPath = "$env:ALLUSERSPROFILE\Microsoft\Crypto\RSA\MachineKeys\$keyPath"

# Get current ACL
$acl = Get-Acl $fullKeyPath

# Add read permission for the scanner service account
$serviceAccount = "CONTOSO\ScannerService"  # Replace with your scanner service account
$accessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($serviceAccount, "Read", "Allow")
$acl.AddAccessRule($accessRule)

# Apply the updated ACL
Set-Acl $fullKeyPath $acl

Шаг 3. Загрузите сертификат в Microsoft Entra

Зарегистрируйте открытый ключ сертификата в регистрации приложения, используемой сканером.

Подробные инструкции по отправке сертификата в приложение регистрации Microsoft Entra см. в разделе Регистрация сертификата в Microsoft Entra.

После отправки обратите внимание на отпечаток сертификата, отображаемый на портале: он должен совпадать с отпечатком из шага 1.

Шаг 4. Настройка сканера для использования проверки подлинности на основе сертификатов

Используйте Set-Authentication командлет с параметрами сертификата вместо параметра -AppSecret .

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate thumbprint
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateThumbprint "your-certificate-thumbprint" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

Цепочка сертификатов проверяется автоматически для сертификатов, выданных доверенным центром сертификации. Если проверка не пройдена, убедитесь, что:

• Корневой сертификат ЦС находится в хранилище доверенных корневых центров сертификации
• Все сертификаты промежуточного центра сертификации находятся в хранилище промежуточных центров сертификации

Примечание.

Если вы используете самозаверяющий сертификат, добавьте -SkipCertificateChainValidation параметр для обхода проверки цепочки сертификатов, которая не работает для самозаверяющих сертификатов.

Проверка подлинности с помощью имени субъекта сертификата

Кроме того, сертификат можно указать по имени его субъекта:

# Get credentials for the scanner service account
$pscreds = Get-Credential CONTOSO\ScannerService

# Set authentication using certificate subject name
Set-Authentication `
    -AppId "your-app-id-guid" `
    -TenantId "your-tenant-id-guid" `
    -DelegatedUser "scanner@contoso.com" `
    -CertificateSubjectName "PurviewScanner" `
    -CertificateStoreLocation LocalMachine `
    -CertificateStoreName My `
    -OnBehalfOf $pscreds

Примечание.

Если вы используете самозаверяющий сертификат, добавьте -SkipCertificateChainValidation параметр для обхода проверки цепочки сертификатов, которая не работает для самозаверяющих сертификатов.

Справочник по параметрам

Параметр	Описание
-CertificateThumbprint	Отпечаток сертификата SHA-1, который используется для проверки подлинности. Нельзя использовать с -CertificateSubjectName.
-CertificateSubjectName	Имя субъекта (CN) сертификата, используемого для проверки подлинности. Нельзя использовать с -CertificateThumbprint.
-CertificateStoreLocation	Расположение хранилища сертификатов. Используется LocalMachine для службы сканера. Допустимые значения: CurrentUser, LocalMachine. Значение по умолчанию: CurrentUser.
-CertificateStoreName	Имя хранилища сертификатов. По умолчанию: My (Личный магазин).
-SkipCertificateChainValidation	Пропускает проверку цепочки сертификатов. Требуется для самозаверяющих сертификатов.

Устранение неполадок

Ошибка "Набор ключей не существует"

Эта ошибка обычно указывает на одну из следующих проблем:

1. Разрешения закрытых ключей: учетная запись службы сканера не имеет доступа на чтение к закрытому ключу сертификата. Чтобы предоставить разрешения, см. шаг 2 .

2. Поставщик CNG: сертификат был создан с поставщиком CNG, а не поставщиком RSA. Повторно создайте сертификат с помощью -Provider "Microsoft Enhanced RSA and AES Cryptographic Provider" этого параметра.

Ошибка "Сертификат не найден"

Проверьте, что:

• Правильный отпечаток пальца или имя темы
• Сертификат находится в указанном хранилище (LocalMachine\My по умолчанию)
• Срок действия сертификата не истек

Ошибка "Не удалось построить цепочку сертификатов"

Для самозаверяющих сертификатов используйте параметр.-SkipCertificateChainValidation Для сертификатов, выданных центром сертификации, убедитесь, что на сервере установлена вся цепочка сертификатов (включая промежуточные центры сертификации).

401 Несанкционированная ошибка или ошибка "invalid_client"

Проверьте, что:

• Открытый ключ сертификата загружается для правильной регистрации приложения Microsoft Entra
• Идентификатор регистрации приложения совпадает с параметром -AppId
• Срок действия сертификата не истек
• Идентификатор клиента правильный

Переход от секретной проверки подлинности к проверке подлинности на основе сертификата

Чтобы перевести существующий сканер с проверки подлинности по секретам на проверку подлинности на основе сертификатов:

1. Создайте и настройте сертификат, как описано выше
2. Запуск Set-Authentication с параметрами сертификата
3. Новая конфигурация проверки подлинности переопределит предыдущую конфигурацию на основе секретов
4. Перезапустите службу сканера

# Restart the scanner service after changing authentication
Restart-Service -Name "Microsoft Purview Information Protection Scanner"

См. также

• Автоматический запуск командлетов для работы с метками защиты информации
• Регистрация сертификата в Microsoft Entra

Поддерживаемые командлеты PowerShell

В этом разделе перечислены командлеты PowerShell, поддерживаемые для сканера защиты информации, и инструкции по настройке и установке сканера только с помощью PowerShell.

Поддерживаемые командлеты для сканера:

• Add-ScannerRepository

• Clear-Authentication

• Export-DebugLogs

• Get-FileStatus

• Get-ScannerConfiguration

• Get-ScannerContentScan

• Get-ScannerRepository

• Get-ScanStatus

• Import-ScannerConfiguration

• Сканер установки

• New-CustomPermissions

• Remove-FileLabel

• Remove-ScannerContentScan

• Remove-ScannerRepository

• Проверка подлинности Set

• Set-FileLabel

• Set-ScannerConfiguration

• Set-ScannerContentScan

• Set-ScannerDatabase

• Set-ScannerRepository

• Запуск сканирования

• Start-ScannerDiagnostics

• Стоп-сканирование

• Сканер удалений

• Update-ScannerDatabase

Дальнейшие действия

После установки и настройки сканера приступайте к сканированию файлов.