Поделиться через

Конфиденциальность пользователей и сквозная аутентификация Microsoft Entra

Заметка

В этой статье содержатся инструкции по удалению персональных данных с устройства или службы и их использование для поддержки ваших обязательств в соответствии с GDPR. Общие сведения о GDPR см. в разделе GDPR Центра управления безопасностью Майкрософт и в разделе GDPR портала управления безопасностью служб.

Обзор

Сквозная проверка подлинности Microsoft Entra создает следующий тип журнала, который может содержать персональные данные:

  • Файлы журнала трассировки Microsoft Entra Connect.
  • Файлы журнала трассировки агента аутентификации.
  • Файлы журнала событий Windows.

Улучшить конфиденциальность пользователей для сквозной проверки подлинности двумя способами:

  1. По запросу извлеките данные о человеке и удалите их из установок.
  2. Убедитесь, что данные не сохраняются дольше 48 часов.

Настоятельно рекомендуется использовать второй вариант, так как проще реализовать и поддерживать. Ниже приведены инструкции для каждого типа журнала.

Удалите файлы журнала трассировки Microsoft Entra Connect

Проверьте содержимое папки %ProgramData%\AADConnect и удалите содержимое журнала трассировки (файлах trace-*.log) этой папки в течение 48 часов после установки или обновления Microsoft Entra Connect или изменения конфигурации сквозной проверки подлинности, так как это действие может создавать данные, охватываемые GDPR.

Важно

Не удаляйте файл PersistedState.xml в этой папке, так как этот файл используется для поддержания состояния предыдущей установки Microsoft Entra Connect и используется при установке обновления. Этот файл никогда не будет содержать никаких данных о человеке и никогда не должен удаляться.

Вы можете просматривать и удалять эти файлы журнала трассировки с помощью проводника Windows или использовать следующий скрипт PowerShell для выполнения необходимых действий:

$Files = ((Get-Item -Path "$env:programdata\aadconnect\trace-*.log").VersionInfo).FileName 
 
Foreach ($file in $Files) { 
    {Remove-Item -Path $File -Force} 
}

Сохраните скрипт в файле с расширением PS1. Запустите этот скрипт по мере необходимости.

Дополнительные сведения о связанных требованиях Microsoft Entra Connect GDPR см. в этой статье.

Удаление журналов событий агента проверки подлинности

Этот продукт также может создавать журналы событий Windows. Дополнительные сведения см. в этой статье.

Чтобы просмотреть журналы, связанные с агентом сквозной проверки подлинности, откройте приложение средства просмотра событий на сервере и проверьте журналы приложений и служб\Microsoft\AzureAdConnect\AuthenticationAgent\Admin.

Удалите файлы журнала трассировки агента проверки подлинности

Следует регулярно проверять содержимое %ProgramData%\Microsoft\Azure AD Connect Authentication Agent\Trace и удалять содержимое этой папки каждые 48 часов.

Важно

Если служба агента проверки подлинности запущена, вы не сможете удалить текущий файл журнала в папке. Остановите службу, прежде чем повторить попытку. Чтобы избежать сбоев входа в систему, необходимо уже настроить сквозную аутентификацию для высокой доступности.

Вы можете просматривать и удалять эти файлы с помощью проводника Windows или использовать следующий скрипт для выполнения необходимых действий:

$Files = ((Get-ChildItem -Path "$env:programdata\microsoft\azure ad connect authentication agent\trace" -Recurse).VersionInfo).FileName 
 
Foreach ($file in $files) { 
    {Remove-Item -Path $File -Force} 
}

Чтобы запланировать выполнение этого скрипта каждые 48 часов, выполните следующие действия:

  1. Сохраните скрипт в файле с расширением PS1.
  2. Откройте панели управления и щелкните по система и безопасность.
  3. В заголовке Административные инструменты щелкните "Запланировать задачи".
  4. В Планировщике задачщелкните правой кнопкой мыши на "Библиотека расписаний задач" и выберите "Создать базовую задачу...".
  5. Введите имя новой задачи и нажмите кнопку Далее.
  6. Выберите "Ежедневно" для триггера задач и нажмите Далее.
  7. Задайте для повторения два дня и нажмите кнопку Далее.
  8. Выберите "Запустить программу" в качестве действия и нажмите кнопку Далее.
  9. Введите "PowerShell" в поле для программы или скрипта и в поле "Добавить аргументы (необязательно)", введите полный путь к созданному ранее скрипту, а затем нажмите кнопку Далее.
  10. На следующем экране показана сводка по создаваемой задаче. Проверьте значения и нажмите кнопку Готово, чтобы создать задачу:

Примечание о журналах контроллера домена

Если ведение журнала аудита включено, этот продукт может создавать журналы безопасности для контроллеров домена. Дополнительные сведения о настройке политик аудита см. в этой статье .

Дальнейшие действия