Управление персональными данными для Azure Information Protection
Примечание.
Ищете информацию о Microsoft Purview Information Protection (прежнее название — Microsoft Information Protection, MIP)?
Надстройка Azure Information Protection отменяется и заменяется метками, встроенными в приложения и службы Microsoft 365. Дополнительные сведения о состоянии поддержки других компонентов Azure Information Protection.
Новый клиент Microsoft Information Protection (без надстройки) в настоящее время находится в предварительной версии и планируется для общедоступной доступности.
При настройке и использовании Azure Information Protection адреса электронной почты и IP-адреса хранятся и используются службой Azure Information Protection. Эти персональные данные можно найти в следующих элементах:
Суперпользователей и делегированных администраторов для службы защиты
журналы Администратор istration для службы защиты
Журналы использования для службы защиты
Журналы использования для клиентов Azure Information Protection и клиента RMS
Примечание.
В этой статье приведены пошаговые инструкции по удалению персональных данных с устройства или из службы. Эти сведения можно использовать для соблюдения обязательств согласно Общему регламенту по защите данных (GDPR). Если вы ищете общие сведения о GDPR, см. раздел о GDPR на Service Trust Portal.
Просмотр персональных данных, которые использует Azure Information Protection
Клиент унифицированных меток:
Для клиента унифицированных меток метки метки и политики меток настраиваются в Портал соответствия требованиям Microsoft Purview. Дополнительные сведения см. в документации по Microsoft 365.
Примечание.
Если Azure Information Protection используется для классификации и защиты документов и электронной почты, адресов электронной почты и IP-адресов пользователей, могут быть сохранены в файлах журнала.
Суперпользователей и делегированных администраторов для службы защиты
Запустите командлет Get-AipServiceSuperUser и командлет get-aipservicerolebasedadministrator, чтобы узнать, какие пользователи назначены роли суперпользователя или глобального администратора для службы защиты (Azure Rights Management) из Azure Information Protection. Для пользователей, которым назначена любая из этих ролей, отображаются их адреса электронной почты.
журналы Администратор istration для службы защиты
Запустите командлет Get-AipService Администратор Log, чтобы получить журнал действий администратора для службы защиты (Azure Rights Management) из Azure Information Protection. Этот журнал содержит персональные данные в виде адресов электронной почты и IP-адресов. Журнал находится в виде открытого текста и после скачивания сведения о конкретном администраторе можно искать в автономном режиме.
Например:
PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.
Журналы использования для службы защиты
Выполните командлет Get-AipServiceUserLog, чтобы получить журнал действий конечных пользователей, использующих службу защиты из Azure Information Protection. Журнал может содержать персональные данные в виде адресов электронной почты и IP-адресов. Журнал находится в виде открытого текста и после скачивания сведения о конкретном администраторе можно искать в автономном режиме.
Например:
PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.
Журналы использования для клиентов Azure Information Protection и клиента RMS
Когда метки и защита применяются к документам и электронной почте, адреса электронной почты и IP-адреса могут храниться в файлах журнала на компьютере пользователя в следующих расположениях:
Для клиента унифицированных меток Azure Information Protection: %localappdata%\Microsoft\MSIP\Logs
Для клиента RMS: %localappdata%\Microsoft\MSIPC\msip\Logs
Кроме того, клиент Azure Information Protection записывает эти персональные данные в локальные журналы событий Windows Application and Services Logs>Azure Information Protection.
Когда клиент Azure Information Protection запускает сканер, персональные данные сохраняются в %localappdata%\Microsoft\MSIP\Сканер\Отчеты на компьютере Windows Server, на котором запущен сканер.
Вы можете отключить ведение журнала для клиента Azure Information Protection и сканера с помощью следующих конфигураций:
Для клиента Azure Information Protection: создайте расширенный параметр клиента, который настраивает LogLevel на off.
Для сканера Azure Information Protection используйте командлет Set-AIPScannerConfiguration , чтобы задать для параметра ReportLevel значение Off.
Примечание.
Если вы заинтересованы в просмотре или удалении персональных данных, ознакомьтесь с руководством Майкрософт в диспетчере соответствия требованиям Microsoft Purview и в разделе GDPR сайта Microsoft 365 корпоративный соответствия требованиям. Если вам требуются общие сведения о GDPR, см. раздел, посвященный GDPR, на портале Service Trust Portal.
Журналы отслеживания документов
Применимо: защита службы Rights Management только с помощью устаревшего портала отслеживания
Запустите командлет Get-AipServiceDocumentLog, чтобы получить сведения из сайта отслеживания документов о конкретном пользователе. Чтобы получить сведения об отслеживании, связанные с журналами документов, используйте командлет Get-AipServiceTrackingLog .
Например:
PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"
ContentId : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer : admin@aip500.onmicrosoft.com
Owner : admin@aip500.onmicrosoft.com
ContentName :
CreatedTime : 3/6/2018 10:24:00 PM
Recipients : {
PrimaryEmail: johndoe@contoso.com
DisplayName: JOHNDOE@CONTOSO.COM
UserType: External,
PrimaryEmail: alice@contoso0110.onmicrosoft.com
DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
UserType: External
}
TemplateId :
PolicyExpires :
EULDuration :
SendRegistrationEmail : True
NotificationInfo : Enabled: False
DeniedOnly: False
Culture:
TimeZoneId:
TimeZoneOffset: 0
TimeZoneDaylightName:
TimeZoneStandardName:
RevocationInfo : Revoked: False
RevokedTime:
RevokedBy:
PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"
ContentId : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer : admin@aip500.onmicrosoft.com
RequestTime : 3/6/2018 10:45:57 PM
RequesterType : External
RequesterEmail : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation : IP: 167.220.1.54
Country: US
City: redmond
Position: 47.6812453974602,-122.120736471666
Rights : {VIEW,OBJMODEL}
Successful : False
IsHiddenInfo : False
Поиск по ObjectID отсутствует. Однако вы не ограничены параметром -UserEmail , и указанный адрес электронной почты не должен быть частью вашего клиента. Если указанный адрес электронной почты хранится в любом месте журналов отслеживания документов, запись отслеживания документов возвращается в выходных данных командлета.
Безопасный и контролируемый доступ к личным данным
Персональные данные, которые вы просматриваете и указываете в портал Azure, доступны только пользователям, которым назначена одна из следующих ролей администратора из идентификатора Microsoft Entra ID:
Администратор Azure Information Protection
Администратор соответствия
Администратор данных соответствия
Администратор безопасности
Средство чтения безопасности
Глобальный администратор
Глобальный читатель
Персональные данные, которые вы просматриваете и задаете с помощью модуля AIPService (или более старого модуля, AADRM), доступны только пользователям, которым назначен администратор Azure Information Protection, администратор соответствия требованиям, администратор данных соответствия или роли глобального Администратор istrator из идентификатора Microsoft Entra ID или роль глобального администратора для службы защиты.
Обновление персональных данных
Метки конфиденциальности и политики меток настраиваются в Портал соответствия требованиям Microsoft Purview. Дополнительные сведения см. в документации по Microsoft 365.
Для параметров защиты можно обновить те же сведения с помощью командлетов PowerShell из модуля AIPService.
Невозможно обновить адреса электронной почты для суперпользователей и делегированных администраторов. Вместо этого удалите указанную учетную запись пользователя и добавьте учетную запись пользователя с обновленным адресом электронной почты.
Суперпользователей и делегированных администраторов для службы защиты
Если вам потребуется обновить адрес электронной почты для суперпользовающего пользователя:
Удалите пользователя и старый адрес электронной почты с помощью Remove-AipServiceSuperUser .
Используйте Add-AipServiceSuperUser, чтобы добавить пользователя и новый адрес электронной почты.
При необходимости обновить адрес электронной почты для делегированного администратора:
Удалите пользователя и старый адрес электронной почты с помощью Remove-AipServiceRoleBased Администратор istrator.
Используйте Add-AipServiceRoleBased Администратор istrator, чтобы добавить пользователя и новый адрес электронной почты.
Удаление личных данных
Метки конфиденциальности и политики меток настраиваются в Портал соответствия требованиям Microsoft Purview. Дополнительные сведения см. в документации по Microsoft 365.
Для параметров защиты можно удалить те же сведения с помощью командлетов PowerShell из модуля AIPService.
Чтобы удалить адреса электронной почты для суперпользователей и делегированных администраторов, удалите этих пользователей с помощью командлета Remove-AipServiceSuperUser и Remove-AipServiceRoleBased Администратор istrator.
Чтобы удалить персональные данные в журналах отслеживания документов, журналах администрирования или журналах использования для службы защиты, используйте следующий раздел, чтобы вызвать запрос с служба поддержки Майкрософт.
Чтобы удалить персональные данные в файлах журнала клиента и журналах сканера, хранящихся на компьютерах, используйте все стандартные средства Windows для удаления файлов или персональных данных в файлах.
Удаление персональных данных с помощью служба поддержки Майкрософт
Используйте следующие три шага, чтобы запросить удаление персональных данных в журналах отслеживания документов, журналах администрирования или журналах использования для службы защиты.
Шаг 1. Инициирование запросана удаление служба поддержки Майкрософт, чтобы открыть случай поддержки Azure Information Protection с запросом на удаление данных из клиента. Необходимо подтвердить, что вы являетесь администратором клиента Azure Information Protection и понимаете, что этот процесс занимает несколько дней. При отправке запроса необходимо предоставить дополнительные сведения в зависимости от данных, которые необходимо удалить.
- Чтобы удалить журнал администрирования, укажите дату окончания. Все журналы администраторов будут удалены до этой даты окончания.
- Чтобы удалить журналы использования, укажите дату окончания. Все журналы использования будут удалены до этой даты окончания.
- Чтобы удалить журналы отслеживания документов, укажите дату окончания и UserEmail. Все сведения об отслеживании документов, относящиеся к UserEmail до этой даты окончания, будут удалены. Поддерживается регулярное выражение (формат Perl) для UserEmail.
Удаление этих данных является постоянным действием. Нет средств для восстановления данных после обработки запроса на удаление. Рекомендуется, чтобы администраторы экспортируют необходимые данные перед отправкой запроса на удаление.
Шаг 2. Подождите, пока корпорация Майкрософт подтвердит, что запрос на удаление одного или нескольких журналов является допустимым. Этот процесс может занять до пяти рабочих дней.
Шаг 3. Получение подтверждения удаления служб поддержки клиентов Майкрософт (CSS) отправит вам сообщение электронной почты о том, что данные удалены.
Экспорт личных данных
При использовании командлетов AIPService или AADRM PowerShell персональные данные предоставляются для поиска и экспорта в виде объекта PowerShell. Объект PowerShell можно преобразовать в JSON и сохранить с помощью командлета ConvertTo-Json .
Ограничение использования персональных данных для профилирования или маркетинга без согласия
Azure Information Protection следует условиям конфиденциальности корпорации Майкрософт для профилирования или маркетинга на основе персональных данных.
Аудит и создание отчетов
Только пользователи, которым назначены разрешения администратора, могут использовать модуль AIPService или ADDRM для поиска и экспорта персональных данных. Эти операции записываются в журнал администрирования, который можно скачать.
Для действий удаления запрос на поддержку выступает в качестве следа аудита и отчетности для действий, выполняемых корпорацией Майкрософт. После удаления удаленные данные не будут доступны для поиска и экспорта, а администратор может проверить это с помощью командлетов Get из модуля AIPService.
Обратная связь
Ожидается в ближайшее время: в течение 2024 года мы постепенно откажемся от GitHub Issues как механизма обратной связи для контента и заменим его новой системой обратной связи. Дополнительные сведения см. в разделе https://aka.ms/ContentUserFeedback.
Отправить и просмотреть отзыв по