Начало работы со сканером защиты информации

Примечание.

Доступна новая версия средства проверки защиты информации. Для получения дополнительной информации см. раздел Обновление сканера Защита информации Microsoft Purview.

Перед установкой сканера из службы Защита информации Microsoft Purview убедитесь, что ваша система соответствует требованиям службы управления правами Azure.

Кроме того, к сканеру применяются следующие требования:

• Требования к Windows Server
• Требования к учетной записи службы
• Требования к SQL Server
• Требования к клиентам защиты информации
• Требования к конфигурации меток
• Требования SharePoint
• Требования к Microsoft Office
• Требования к пути к файлу

Если вы не можете выполнить все требования, перечисленные для сканера, так как они запрещены политиками вашей организации, см. раздел "Альтернативные конфигурации ".

При развертывании сканера в рабочей среде или тестировании производительности нескольких сканеров см. раздел "Требования к хранилищу и планирование емкости для SQL Server".

Когда вы будете готовы приступить к установке и развертыванию сканера, перейдите к разделу "Настройка и установка сканера защиты информации".

Требования к Windows Server

Для запуска сканера необходим компьютер с Windows Server со следующими системными спецификациями:

Технические характеристики	Сведения
Процессор	4-ядерные процессоры
ОЗУ	8 ГБ
Место на диске	10 ГБ свободного места (в среднем) для временных файлов. Сканеру требуется достаточно места на диске для создания временных файлов для каждого сканируемого файла, по четыре файла на ядро. Рекомендуемое дисковое пространство в 10 ГБ позволяет 4-ядерным процессорам сканировать 16 файлов, каждый из которых имеет размер 625 МБ.
Операционная система	64-разрядная версия Windows Server, поддерживаемая политикой жизненного цикла Майкрософт, включая версии с расширенной поддержкой. Чтобы проверить, поддерживается ли определенная версия, ознакомьтесь с информацией о выпуске Windows Server. Примечание. Для тестирования или оценки в непроизводственной среде можно также использовать любую операционную систему Windows, поддерживаемую клиентом защиты информации. Server Core и Nano Server не поддерживаются.
- Сетевое подключение	Компьютер сканера может быть физическим или виртуальным компьютером с быстрым и надежным сетевым подключением к хранилищам данных, которые необходимо сканировать. Если подключение к Интернету невозможно из-за политик организации, см. раздел Развертывание сканера с альтернативными конфигурациями. В противном случае убедитесь, что компьютер подключен к Интернету, позволяющий использовать следующие URL-адреса по протоколу HTTPS (порт 443): - *.aadrm.com - *.azurerms.com - *.informationprotection.azure.com - informationprotection.hosting.portal.azure.net - *.aria.microsoft.com - *.protection.outlook.com - *.events.data.microsoft.com - config.edge.skype.com
Акции NFS	Для поддержки сканирования на общих ресурсах NFS службы для NFS должны быть развернуты на компьютере сканера. На компьютере перейдите в диалоговое окно параметров компонентов Windows (включение или отключение компонентов Windows) и выберите следующие элементы: Службы длясредств администрированияNFS> и клиент для NFS.
Microsoft Office iFilter	Если сканер установлен на компьютере с Windows Server, необходимо также установить Microsoft Office iFilter, чтобы сканировать .zip файлы на наличие конфиденциальных типов информации. Дополнительные сведения см. на веб-сайте загрузки Майкрософт.

Требования к учетной записи службы

Необходимо иметь учетную запись службы для запуска службы сканера на компьютере с Windows Server, а также пройти проверку подлинности в Microsoft Entra ID и скачать политику сканера.

Ваша учетная запись службы должна быть учетной записью Active Directory и синхронизирована с Microsoft Entra ID.

Если вы не можете синхронизировать эту учетную запись из-за политик организации, см. раздел Развертывание сканера с альтернативными конфигурациями.

К этой учетной записи службы предъявляются следующие требования:

Требование	Сведения
Локальный вход в систему с назначением прав пользователя	Требуется для установки и настройки сканера, но не требуется для запуска сканирования. Убедившись, что сканер может обнаруживать, классифицировать и защищать файлы, вы можете удалить это право из учетной записи службы. Если предоставление этого права даже на короткий период времени невозможно из-за политики вашей организации, см. раздел Развертывание сканера с альтернативными конфигурациями.
Войдите в систему в качестве назначения прав пользователя службы.	Это право автоматически предоставляется сервисному аккаунту при установке сканера, и это право необходимо для установки, настройки и работы сканера.
Разрешения для хранилищ данных	- Файловые ресурсы или локальные файлы: предоставляет разрешения на чтение, запись и изменение для сканирования файлов с последующим применением классификации и защиты в соответствии с настройками. - SharePoint: вы должны предоставить разрешения на полный доступ для сканирования файлов с последующим применением классификации и защиты к файлам, которые соответствуют условиям политики Azure Information Protection. - Режим обнаружения: для запуска сканера только в режиме обнаружения достаточно разрешения на чтение .
Для наклеек, которые повторно защищают или снимают защиту	Чтобы средство проверки всегда имело доступ к зашифрованным файлам, сделайте эту учетную запись суперпользователем службы управления правами Azure и убедитесь, что функция суперпользователя включена. Кроме того, если вы реализовали элементы управления подключением для поэтапного развертывания, убедитесь, что учетная запись службы включена в настроенные элементы управления.
Сканирование на определенном уровне URL-адреса	Чтобы сканировать и обнаруживать сайты и дочерние сайты по определенному URL-адресу, предоставьте аудитору сборщиков сайтов права на учетную запись сканера на уровне фермы.
Лицензия на защиту информации	Необходимо для предоставления учетной записи службы сканера возможностей классификации, меток или защиты файлов. Дополнительные сведения см. в руководстве Microsoft 365 по безопасности & соответствию требованиям.

Требования к SQL Server

Для хранения данных конфигурации сканера используйте SQL-сервер со следующими требованиями:

• Локальный или удаленный экземпляр.

  Рекомендуется размещать сервер SQL и службу сканера на разных компьютерах, если только вы не работаете с небольшим развертыванием. Кроме того, рекомендуется создать выделенный экземпляр SQL, который обслуживает только базу данных сканера и не используется совместно с другими приложениями.

  Если вы работаете на общем сервере, убедитесь, что для работы базы данных сканера указано рекомендуемое количество ядер .

  SQL Server 2016 является минимальной версией для следующих выпусков:

  • SQL Server Enterprise

  • SQL Server Standard

  • SQL Server Express (рекомендуется только для тестовых сред)

• Учетная запись с ролью системного администратора для установки сканера.

  Роль Sysadmin позволяет процессу установки автоматически создавать базу данных конфигурации сканера и предоставлять необходимую роль db_owner учетной записи службы, которая запускает сканер.

  Если вам не может быть предоставлена роль системного администратора или политики вашей организации требуют создания и настройки баз данных вручную, см. раздел Развертывание сканера с альтернативными конфигурациями.

• Вместимость. Рекомендации по емкости см. в статье Требования к хранилищу и планирование мощности для SQL Server.

• Параметры сортировки без учета регистра.

Примечание.

Несколько баз данных конфигурации на одном сервере SQL поддерживаются при указании пользовательского имени кластера для сканера или при использовании предварительной версии сканера.

Требования к хранилищу и планирование емкости для SQL Server

Объем дискового пространства, необходимый для базы данных конфигурации сканера, и спецификация компьютера с SQL Server могут быть различны для каждой среды, поэтому мы рекомендуем вам провести собственное тестирование. В качестве отправной точки используйте следующие инструкции.

Дополнительные сведения см. в разделе Оптимизация производительности сканера.

Размер диска для базы данных конфигурации сканера будет разным для каждого развертывания. Используйте следующее уравнение в качестве руководства:

100 KB + <file count> *(1000 + 4* <average file name length>)

Например, чтобы проверить миллион файлов со средней длиной имени 250 байт, выделите на диске 2 ГБ.

Для нескольких сканеров:

• До 10 сканеров, используйте:

  • 4-ядерные процессоры
  • Рекомендуется 8 ГБ ОЗУ

• Более 10 сканеров (максимум 40), используйте:

  • 8 основных процессов
  • Рекомендуется 16 ГБ ОЗУ

Требования к клиентам защиты информации

Для рабочей сети на компьютере с Windows Server должна быть установлена текущая общедоступная версия клиента Защита информации Microsoft Purview.

Дополнительные сведения см. в разделе Установка или обновление клиента защиты информации.

Важно!

Необходимо установить полный клиент для сканера. Не устанавливайте клиент только с модулем PowerShell.

Требования к конфигурации меток

Для применения классификации и (необязательно) шифрования на портале Microsoft Purview необходима хотя бы одна метка конфиденциальности для учетной записи сканера.

Учетная запись сканера — это учетная запись, которую вы укажете в параметре DelegatedUser командлета Set-Authentication, запускаемого при настройке сканера.

Если для ваших наклеек не настроены автоматические условия маркировки, см. приведенные ниже инструкции по альтернативным конфигурациям .

Дополнительные сведения см. в указанных ниже статьях.

• Сведения о метках конфиденциальности
• Автоматическое применение метки конфиденциальности к данным Microsoft 365
• Ограничение доступа к контенту с помощью шифрования в метках конфиденциальности
• Настройка и установка сканера защиты информации

Требования SharePoint

Чтобы проверить библиотеки документов и папки SharePoint, убедитесь, что ваш сервер SharePoint соответствует следующим требованиям:

Требования	Описание
Поддерживаемые версии	Расширенная поддержка предоставляется SharePoint Server по подписке (SPSE). Дополнительные сведения см. в статье "Политика поддержки SharePoint Server" и "Обновленная политика обслуживания продуктов для SharePoint Server SE".
Управление версиями.	При использовании управления версиями сканер проверяет и помечает последнюю опубликованную версию. Если сканер помечает файл и требуется утверждение содержимого , этот помеченный файл должен быть доступен пользователям.
Крупные фермы SharePoint	Для крупных ферм SharePoint проверьте, нужно ли увеличить порог представления списка (по умолчанию 5000), чтобы сканер мог получить доступ ко всем файлам. Дополнительные сведения см. в статье Управление большими списками и библиотеками в SharePoint.
Длинные пути к файлам	Если у вас есть длинные пути к файлам в SharePoint, убедитесь, что значение httpRuntime.maxUrlLength сервера SharePoint превышает значение по умолчанию в 260 символов. Дополнительные сведения см. в следующем разделе "Избежание тайм-аутов сканера в SharePoint".

Предотвращение тайм-аутов сканера в SharePoint

Если в SharePoint версии 2013 или более поздней есть длинные пути к файлам, убедитесь, что значение httpRuntime.maxUrlLength сервера SharePoint превышает стандартное значение в 260 символов.

Это значение определяется в классе ASP.NETHttpRuntimeSection конфигурации.

Чтобы обновить класс HttpRuntimeSection, выполните следующие действия.

1. Создайте резервную копию конфигурации web.config .

2. При необходимости обновите значение maxUrlLength . Например, вы можете:

   <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />
   

3. Перезапустите веб-сервер SharePoint и убедитесь, что он правильно загружается.

   Например, в диспетчере серверов Windows Internet Information Server (IIS) выберите свой сайт, а затем в разделе "Управление веб-сайтом" нажмите кнопку "Перезапустить".

Требования к Microsoft Office

Для сканирования документов Office ваши документы должны быть в одном из следующих форматов:

• Microsoft Office 97-2003
• Форматы Office Open XML для Word, Excel и PowerPoint

Дополнительные сведения см. в разделе Поддерживаемые типы файлов.

Требования к пути к файлу

По умолчанию для проверки файлов пути к файлам должны содержать не более 260 символов.

Для сканирования файлов с путями к файлам длиной более 260 символов установите сканер на компьютере с одной из следующих версий Windows и настройте компьютер соответствующим образом.

Версия Windows	Описание
Windows 2016 или более поздней версии	Настройка компьютера для поддержки длинных путей
Windows 10 или Windows Server 2016	Определите следующие параметры групповой политики: Политика> локального компьютераКонфигурация> компьютераАдминистративные шаблоны>Все параметры>Включите длинные пути Win32. Дополнительные сведения о поддержке длинных путей к файлам в этих версиях см. в разделе "Ограничение максимальной длины пути" документации для разработчиков Windows 10.
Windows 10 версии 1607 или более поздней	Согласитесь на использование обновленной функциональности MAX_PATH . Дополнительные сведения см. в статье Включение длинных путей в Windows 10 версии 1607 и более поздних версиях.

Развертывание сканера с альтернативными конфигурациями

Перечисленные выше предварительные требования являются требованиями по умолчанию для развертывания сканера и рекомендуются, поскольку они поддерживают простейшую конфигурацию сканера.

Требования по умолчанию должны подходить для первичного тестирования, чтобы можно было провести проверку возможностей сканера.

Однако в производственной среде политики организации могут отличаться от требований по умолчанию. Сканер может учитывать следующие изменения с помощью дополнительной конфигурации:

• Обнаружение и сканирование всех сайтов и дочерних сайтов по определенному URL-адресу

• Ограничение: сервер сканера не может подключиться к Интернету

• Ограничение: учетную запись службы сканера невозможно синхронизировать с Microsoft Entra ID, но на сервере есть подключение к Интернету

• Ограничение: учетной записи службы сканера не может быть предоставлен локальный вход в систему

• Ограничение: Вам не может быть предоставлен системный администратор или базы данных должны быть созданы и настроены вручную

• Ограничение: у ваших наклеек нет условий автоматического присвоения меток

Обнаружение и сканирование всех сайтов и дочерних сайтов SharePoint по определенному URL-адресу

Сканер может обнаруживать и сканировать все сайты SharePoint и дочерние сайты по определенному URL-адресу со следующей конфигурацией:

1. Запустите Центр администрирования SharePoint.

2. На веб-сайте Центра администрирования SharePoint в разделе "Управление приложениями " выберите пункт "Управление веб-приложениями".

3. Щелкните, чтобы выделить веб-приложение, уровнем политики разрешений которого вы хотите управлять.

4. Выберите соответствующую ферму, а затем выберите « Управление уровнями политики разрешений».

5. Выберите "Аудитор семейства веб-сайтов" в параметрах разрешений семейства веб-сайтов, затем предоставьте разрешение на просмотр страниц приложений в списке "Разрешения" и, наконец, назовите аудитором и средством просмотра семейства веб-сайтов средства проверки нового уровня политики.

6. Добавьте пользователя сканера в новую политику и предоставьте семейство сайтов в списке разрешений.

7. Добавьте URL-адрес SharePoint, на котором размещены сайты или дочерние сайты, которые необходимо просканировать. Дополнительные сведения см. в разделе Настройка параметров сканера.

Дополнительные сведения об управлении уровнями политик SharePoint см. в статье Управление политиками разрешений для веб-приложения.

Ограничение: сервер сканера не может подключиться к Интернету

Хотя клиент защиты информации не может применять шифрование без подключения к Интернету, сканер все же может применять метки на основе импортированных политик.

Для поддержки отключенного компьютера используйте один из следующих способов:

• Используйте портал Microsoft Purview (рекомендуется, когда это возможно)

• Воспользуйтесь PowerShell

Использование портала Microsoft Purview с отключенным компьютером

Для поддержки компьютера, который не может подключиться к порталу Microsoft Purview, выполните следующие действия:

1. Настройте метки в политике, а затем используйте процедуру для поддержки отключенных компьютеров , чтобы включить автономную классификацию и присвоение меток.

2. Включите автономное управление заданиями контента следующим образом:

   Включение автономного управления заданиями сканирования содержимого:

   1. Настройте сканер на работу в автономном режиме с помощью командлета Set-ScannerConfiguration .

   2. Настройте сканер на портале Microsoft Purview, создав кластер сканера. Дополнительные сведения см. в разделе Настройка параметров сканера.

   3. Экспортируйте задание контента из области " Защита информации - задания проверки содержимого " с помощью параметра "Экспорт ".

   4. Импортируйте политику с помощью командлета Import-ScannerConfiguration .

   Результаты автономных заданий сканирования содержимого находятся по адресу: %localappdata%\Microsoft\MSIP\Scanner\Reports

Использование PowerShell с отключенным компьютером

Выполните следующую процедуру для поддержки отключенного компьютера только с помощью PowerShell.

Важно!

Администраторы серверов сканирования Azure для Китая (21Vianet)должны использовать эту процедуру для управления заданиями сканирования содержимого.

Управляйте заданиями проверки содержимого только с помощью PowerShell:

1. Настройте сканер на работу в автономном режиме с помощью командлета Set-ScannerConfiguration .

2. Создайте новое задание сканирования содержимого с помощью командлета Set-ScannerContentScan , обязательно используя обязательный -Enforce On параметр.

3. Добавьте репозитории с помощью командлета Add-ScannerRepository , указав путь к репозиторию, который вы хотите добавить.

   Совет

   Чтобы репозиторий не унаследовал настройки от задания сканирования содержимого, добавьте OverrideContentScanJob On параметр, а также значения для дополнительных параметров.

   Чтобы изменить сведения о существующем репозитории, используйте команду Set-ScannerRepository .

4. Используйте командлеты Get-ScannerContentScan и Get-ScannerRepository для возврата сведений о текущих параметрах задания сканирования содержимого.

5. Используйте команду Set-ScannerRepository для обновления сведений о существующем репозитории.

6. При необходимости немедленно запустите задание проверки содержимого с помощью командлета Start-Scan .

   Результаты автономных заданий сканирования содержимого находятся по адресу: %localappdata%\Microsoft\MSIP\Scanner\Reports

7. Если требуется удалить репозиторий или все задание сканирования содержимого, используйте следующие командлеты.

   • Remove-ScannerContentScan
   • Remove-ScannerRepository

Ограничение: Вам не может быть предоставлен системный администратор или базы данных должны быть созданы и настроены вручную

Чтобы вручную создать базы данных и при необходимости предоставить роль db_owner , используйте следующие процедуры.

• Процедура для базы данных сканера

Если вам временно предоставлена роль системного администратора для установки сканера, вы можете удалить эту роль после завершения установки сканера.

Выполните одно из следующих действий в зависимости от требований вашей организации:

Ограничение	Описание
Вы можете временно получить роль системного администратора	Если у вас временно есть роль системного администратора, база данных автоматически создается для вас, а учетной записи службы для сканера автоматически предоставляются необходимые разрешения. Однако учетной записи пользователя, которая настраивает сканер, по-прежнему требуется роль db_owner для базы данных конфигурации сканера. Если у вас есть роль системного администратора только до завершения установки сканера, предоставьте db_owner роль учетной записи пользователя вручную.
У вас вообще нет роли системного администратора	Если вам не удается предоставить роль системного администратора даже временно, необходимо попросить пользователя с правами системного администратора вручную создать базу данных перед установкой сканера. Для этой конфигурации роль db_owner должна быть назначена следующим учетным записям: - Сервисный аккаунт для сканера - Учетная запись пользователя для установки сканера - Учетная запись пользователя для настройки сканера Как правило, для установки и настройки сканера используется одна и та же учетная запись пользователя. Если вы используете разные учетные записи, им обеим потребуется db_owner роль для базы данных конфигурации сканера. Создайте этого пользователя и права при необходимости. Если указать собственное имя кластера, база данных конфигурации будет называться AIPScannerUL_<cluster_name>.

Также:

• Вы должны быть локальным администратором сервера, на котором будет запущен сканер

• Учетной записи службы, которая будет запускать сканер, должны быть предоставлены разрешения на полный доступ к следующим разделам реестра:

  • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Если после настройки этих разрешений при установке сканера возникает ошибка, ее можно проигнорировать и можно вручную запустить службу сканера.

Вручную создайте базу данных и пользователей для сканера и предоставьте права на db_owner

Если вам нужно вручную создать базу данных сканера и/или создать пользователя и предоставить db_owner права на базу данных, попросите вашего системного администратора выполнить следующие действия:

1. Создайте базу данных для сканера:

   **CREATE DATABASE AIPScannerUL_[clustername]**
   
   **ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**
   

2. Предоставьте права пользователю, который запускает команду установки и используется для выполнения команд управления сканером. Используйте следующий сценарий:

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END
   

3. Предоставить права на учетную запись службы сканера. Используйте следующий сценарий:

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   

Ограничение: учетной записи службы сканера не может быть предоставлен локальный вход в систему

Если политики вашей организации запрещают локальный вход в систему для учетных записей служб, используйте параметр OnBehalfOf с Set-Authentication.

Дополнительные сведения см. в статье "Автоматический запуск командлетов для присвоения меток Information Protection".

Ограничение: учетную запись службы сканера невозможно синхронизировать с Microsoft Entra ID, но на сервере есть подключение к Интернету

У вас может быть одна учетная запись для запуска службы сканирования, а другую — для проверки подлинности в Microsoft Entra ID:

• Для учетной записи службы сканера используйте локальную учетную запись Windows или учетную запись Active Directory.

• Для учетной записи Microsoft Entra укажите пользователя Microsoft Entra в командлете Set-Authentication в параметре DelegatedUser.

  Если вы запускаете сканирование от имени любого пользователя, отличного от учетной записи сканера, не забудьте указать учетную запись сканера в параметре OnBehalfOf .

  Дополнительные сведения см. в статье "Автоматический запуск командлетов для присвоения меток Information Protection".

Ограничение: у ваших наклеек нет условий автоматического присвоения меток

Если для ваших этикеток нет условий автоматического нанесения меток, при настройке сканера используйте один из следующих вариантов:

Вариант	Описание
Обзор всех типов данных	В задании сканирования содержимого установите для параметра Типы информации, которые необходимо обнаружить, значение Все. Этот параметр устанавливает задание сканирования содержимого для проверки вашего содержимого на наличие всех типов конфиденциальной информации.
Использование рекомендуемых меток	В задании сканирования содержимого установите параметр Обрабатывать рекомендуемые метки как автоматические в значение Вкл. Этот параметр настраивает сканер на автоматическое применение всех рекомендуемых меток к вашему содержимому.
Определение метки по умолчанию	Определите метку по умолчанию в политике, задании сканирования содержимого или репозитории. В этом случае сканер применяет метку по умолчанию ко всем найденным файлам.

Дальнейшие действия

Убедившись, что система соответствует требованиям сканера, перейдите к настройке и установке средства проверки защиты информации.

Общие сведения о сканере см. в разделе Сведения о средстве проверки защиты информации.