Ограничение доступа к содержимому с помощью меток конфиденциальности для применения шифрования

Описание службы Microsoft Purview

Создавая метку конфиденциальности, можно ограничить доступ к содержимому, к которому она будет применена. Например, используя параметры шифрования для метки конфиденциальности, можно защитить содержимое таким образом, чтобы:

• только пользователи организации могли открывать конфиденциальные документы или сообщения электронной почты;
• только пользователи в отделе маркетинга могли редактировать и выводить на печать документы рекламных объявлений или сообщения электронной почты, а всем остальным пользователям вашей организации они были доступны только для чтения;
• Пользователи не могли пересылать сообщения электронной почты или копировать данные из них, если в них содержатся новости о внутренней реорганизации;
• действующий прейскурант, отправляемый бизнес-партнерам, нельзя было открыть после определенной даты.
• Только пользователи, отправившие приглашение на собрание для запуска конфиденциального проекта, могут открыть его и не могут переслать его другим пользователям.

При шифровании документа, сообщения электронной почты или приглашения на собрание доступ к содержимому ограничивается, вследствие чего следующее:

• его могли расшифровать только пользователи, которым были предоставлены соответствующие права доступа с помощью параметров шифрования метки;
• оно оставалось зашифрованным независимо от того, где находится, в вашей организации или за ее пределами, даже если файл будет переименован;
• оно оставалось зашифрованным во время хранения (например, в учетной записи OneDrive) и при передаче (например, когда почта передается по Интернету).

Наконец, являясь администратором, при настройке метки конфиденциальности для применения шифрования вы можете по своему усмотрению выбрать одно из действий ниже.

• Назначить разрешения, чтобы указать конкретных пользователей и разрешения, которые они получат на содержимое с такой меткой.
• Разрешить пользователям назначать разрешения при применении метки к содержимому. Таким образом, вы обеспечите пользователям вашей организации определенную гибкость, которая может быть необходима для совместной работы и выполнения рабочих задач.

Параметры шифрования доступны при создании или изменении метки конфиденциальности на портале Microsoft Purview.

Примечание.

Метка конфиденциальности в Outlook может применять защиту S/MIME вместо шифрования и разрешений из службы управления правами Azure. Дополнительные сведения см. в разделе Настройка метки для применения защиты S/MIME в Outlook.

Как осуществляется шифрование

Если вы не используете S/MIME для Outlook, шифрование, которое применяется метками конфиденциальности к документам, электронным письмам и приглашениям на собрания, использует службу управления правами Azure из Защита информации Microsoft Purview. Это решение защиты использует политики шифрования, удостоверений и авторизации. Дополнительные сведения см. в статье Сведения о службе шифрования Управления правами Azure.

При использовании этого решения шифрования функция суперпользователей гарантирует, что авторизованные пользователи и службы всегда смогут считывать и проверять данные, зашифрованные для вашей организации. При необходимости шифрование затем можно удалить или изменить. Дополнительные сведения см. в статье Настройка суперпользователей управления правами Azure для служб обнаружения или восстановления данных.

Важно!

Метки конфиденциальности также можно использовать для применения шифрования к аудио- и видеопотокам на собраниях Teams, но при этом используется другой метод шифрования, а не служба управления правами Azure, которая используется для сообщений электронной почты, приглашений на собрания и документов. Дополнительные сведения о шифровании, используемом для собраний Teams, см. в разделе "Шифрование мультимедиа " из руководства по безопасности Teams.

Важные предварительные условия

Прежде чем вы сможете использовать шифрование, вам может понадобиться выполнить некоторые задачи настройки. При настройке параметров шифрования не выполняется проверка соответствия этим предварительным условиям.

• Активация управления правами Azure

  Чтобы метки конфиденциальности применяли шифрование с управлением правами, для вашего клиента необходимо активировать службу управления правами Azure от службы Защита информации Microsoft Purview. В новых клиентах этот параметр используется по умолчанию, но вам может потребоваться активировать службу вручную. Дополнительные сведения см. в статье Активация службы управления правами Azure.

• Проверка требований к сети

  Возможно, потребуется внести некоторые изменения на сетевых устройствах, таких как брандмауэры. Дополнительные сведения см. в разделе Брандмауэры и сетевая инфраструктура.

• Проверьте конфигурацию Microsoft Entra

  Существует несколько конфигураций Microsoft Entra, которые могут блокировать авторизованный доступ к зашифрованному содержимому. Например, параметры доступа между клиентами и политики условного доступа. Дополнительные сведения см. в разделе Конфигурация Microsoft Entra для зашифрованного содержимого.

• Настройка Exchange для службы управления правами Azure

  Exchange не нужно настраивать для работы в службе управления правами Azure, чтобы пользователи могли применять метки в Outlook для шифрования своих сообщений электронной почты. Однако пока Exchange не будет настроен для службы управления правами Azure, вы не получите полную функциональность шифрования с управлением правами.

  Например, пользователи не могут просматривать зашифрованные сообщения электронной почты или зашифрованные приглашения на собрания на мобильных телефонах или с помощью Outlook в Интернете, зашифрованные сообщения невозможно индексировать для поиска и нельзя настроить защиту управления правами в Exchange Online.

  Чтобы служба Exchange могла поддерживать такие дополнительные сценарии, выполните следующие действия.

  • Для Exchange Online см. инструкции для Exchange Online: настройка IRM.
  • Для использования Exchange в локальной среде необходимо развертывание соединителя RMS и настройка серверов Exchange.

Настройка метки для шифрования

1. Следуйте общим инструкциям по созданию или изменению метки конфиденциальности и убедитесь, что для область метки выбран параметр Files & другие ресурсы данных:

   

2. Затем на странице "Выберите параметры защиты для выбранных типов элементов " выберите " Управление доступом".

   

3. На странице управления доступом выберите один из следующих параметров.

   • Удаление параметров управления доступом, если они уже применены к элементам. При выборе этого параметра метка удаляет существующее шифрование, даже если оно применялось независимо от метки конфиденциальности.

     Важно понимать, что этот параметр может привести к метке конфиденциальности, которую пользователи не смогут применить, если у них нет достаточных разрешений на удаление существующего шифрования. Дополнительные сведения об этом сценарии см. в разделе Что происходит с существующим шифрованием при применении метки.

   • Настройка параметров управления доступом: включает шифрование с управлением правами и делает видимыми следующие параметры:

     

     Инструкции по настройке этих параметров см. в разделе Настройка параметров шифрования ниже.

Изменение меток для нового применения шифрования или изменения существующих параметров шифрования

Распространенной стратегией развертывания является начальная настройка меток конфиденциальности, не применяющих шифрование, а затем изменение некоторых существующих меток для применения шифрования. Когда изменения меток попадают в ваши приложения, измененные метки применяют это шифрование к элементам, созданным метками.

Для файлов, к которым вы обращаетесь в SharePoint и OneDrive, включив метки конфиденциальности SharePoint и OneDrive, новое состояние шифрования файлов автоматически изменяется при следующем обращении к этим файлам. Например, они открываются в Office для Интернета или скачиваются. Нет необходимости снимать метку и наклеивать ее повторно. Например, файлы, которые ранее не были зашифрованы, становятся зашифрованными.

Что касается других элементов, которые уже помечены, они сохраняют свое прежнее состояние шифрования, пока вы не удалите метку и не примените ее повторно. Например, после изменения метки конфиденциальности на применение шифрования, при открытии ранее помеченных и незашифрованных документов или электронных писем в Office для настольных ПК и Office Mobile эти элементы остаются незашифрованными, пока вы не удалите метку и не примените ее повторно. Аналогичным образом, если изменить параметры метки конфиденциальности таким образом, чтобы не применять шифрование (убрать возможность управления доступом), эти элементы останутся зашифрованными, пока вы не удалите метку и не примените ее повторно.

Для элементов, которые уже помечены шифрованием и параметром "Назначить разрешения сейчас", при изменении параметров шифрования для пользователей или разрешений новые параметры будут применены к существующим элементам при проверке подлинности пользователей в службе шифрования. В большинстве случаев нет необходимости удалять и повторно наносить метку. Однако, если пользователи уже открыли зашифрованный документ или электронное письмо, они не получат новые параметры, пока не истечет срок действия их лицензии на использование и им нужно будет повторно пройти проверку подлинности. Дополнительные сведения об этом сценарии см. в разделе "Часто задаваемые вопросы о том, как работает шифрование".

Если вы измените параметры шифрования, позволяющие пользователям назначать разрешения, это изменение применяется только к недавно помеченным или переименованным элементам. Например, вы можете:

• Вы можете изменить метку с назначения разрешений сейчас на разрешение пользователям назначать разрешения или наоборот
• Можно изменить метку с "Не пересылать" на "Только шифрование" или наоборот

Что происходит с существующим шифрованием при применении метки

Если метка конфиденциальности применяется к незашифрованному содержимому, результат для параметров шифрования, которые вы можете выбрать, не требует пояснений. Например, если вы не выбрали Управление доступом, содержимое останется незашифрованным.

Но содержимое может быть уже зашифрованным. Например, другой пользователь мог применить:

• Собственные разрешения, в том числе определяемые пользователем разрешения при запросе метки, пользовательские разрешения клиента Защита информации Microsoft Purview и защита документов с ограниченным доступом из приложений Office.
• Шаблон управления правами, шифрующий содержимое независимо от метки. В эту категорию входят правила потока обработки почты, применяющие шифрование с помощью защиты прав.
• Метку, применяющую шифрование с разрешениями, назначенными администратором.

В следующей таблице указано, что происходит с существующим шифрованием при применении к содержимому метки конфиденциальности.

	Шифрование: не выбрано	Шифрование: настроено	Шифрование: удаление
Разрешения, указанные пользователем	Исходное шифрование удаляется	Применяется новое шифрование	Исходное шифрование удаляется
Шаблон управления правами	Исходное шифрование сохраняется	Применяется новое шифрование	Исходное шифрование удаляется
Метка с разрешениями, определенными администратором	Исходное шифрование удаляется	Применяется новое шифрование	Исходное шифрование удаляется

В случаях применения нового шифрования с меткой или удаления исходного шифрования эти действия выполняются, только если у пользователя, применяющего метку, есть соответствующее право на использование или роль:

• Право на использование экспорта или полного доступа.
• Роль издателя в службе управления правами или владельца в службе управления правами или суперпользователя.

Если у пользователя нет одного из этих прав или ролей, метка не может быть применена и поэтому сохраняется исходное шифрование. Для пользователя отображается следующее сообщение: У вас нет разрешения на внесение изменений в метку конфиденциальности. Обратитесь к владельцу содержимого.

Например, пользователь, применяющий параметр "Не пересылать" к сообщению электронной почты, может изменить метку цепочки, чтобы заменить шифрование или удалить его, поскольку является владельцем в службе управления правами для электронной почты. Но получатели этого сообщения, за исключением суперпользователей, не смогут изменять его метку, так как у них нет необходимых прав на использование.

Email вложений для зашифрованных сообщений электронной почты и приглашений на собрания

Если сообщение электронной почты или приглашение на собрание шифруется любым способом, все незашифрованные документы Office, вложенные в сообщение электронной почты или приглашение, автоматически наследуют те же параметры шифрования. Наследование шифрования нельзя отключить, например, с помощью параметра или области применения метки.

Любая метка конфиденциальности из сообщения электронной почты или приглашения на собрание не наследуется вложением, но может применяться автоматически, когда пользователь в том же клиенте открывает документ. Дополнительные сведения см. в статье Сопоставление меток для документов с помощью шифрования.

Предварительно зашифрованные документы, добавленные в качестве вложений, всегда сохраняют исходное шифрование.

Настройка параметров шифрования

При выборе параметра управления доступом на странице управления доступом для создания или изменения метки конфиденциальности выберите один из следующих параметров:

• Назначить разрешения сразу, чтобы указать конкретных пользователей и разрешения, которые они получат на содержимое с примененной меткой. Дополнительные сведения см. в следующем разделе Назначение разрешений.
• Разрешить пользователям назначать разрешения, когда они применяют метку к содержимому. С помощью этого параметра вы обеспечите пользователям вашей организации определенную гибкость, которая может быть необходима для совместной работы и выполнения рабочих задач. Дополнительные сведения см. в разделе Предоставление пользователям возможности назначать разрешения на этой странице.

Например, если у вас метка конфиденциальности с именем Строго конфиденциально, которая будет применяться к данным самого высокого уровня конфиденциальности, вам может понадобиться сразу указать пользователей, которые получат разрешение на такое содержимое, а также тип разрешений.

Альтернативное решение: если у вас есть метка конфиденциальности Деловые контракты, а рабочий процесс организации требует, чтобы пользователи работали над таким содержимым совместно с разными специалистами по мере необходимости, вы можете позволить пользователям самостоятельно указывать, кто получит разрешения, при назначении метки. Такая гибкость способствует продуктивной работе пользователей и сокращает количество обращений к администраторам с просьбой обновить или создать новые метки конфиденциальности в соответствии с определенными сценариями.

Выбор, нужно ли назначать разрешения сразу или разрешить пользователям назначать разрешения:

Назначение разрешений

Используйте следующие параметры, чтобы управлять доступом пользователей к электронной почте, приглашениям на собрания (если они включены) или документам, к которым применена метка. Варианты действий:

• Разрешить доступ к контенту с метками истечение срока действия в определенную дату или через определенное количество дней после применения метки. По истечении этого времени пользователи не смогут открыть помеченный элемент. Если вы укажете дату, она будет действовать в полночь этого дня для вашего текущего часового пояса. Некоторые почтовые клиенты могут не обеспечивать принудительное окончание срока действия и отображать сообщения с истекшим сроком действия из-за используемых ими механизмов кэширования.

• Разрешать автономный доступ никогда, всегда или в течение определенного количества дней после применения метки. Используйте этот параметр, чтобы найти компромисс между требованиями безопасности и возможностью открывать зашифрованное содержимое, если у пользователя нет подключения к Интернету. Если вы ограничиваете доступ в режиме автономной работы вариантом "никогда" или "на определенное количество дней", при достижении соответствующего порогового значения пользователи должны снова пройти проверку подлинности, а сведения об их доступе записываются в журнал. Дополнительные сведения о том, как работает этот процесс, см. в следующем разделе, посвященном Управлению лицензионными правами.

Параметры управления доступом к зашифрованному содержимому:

Рекомендации для параметров срока действия и автономного доступа:

Параметр	Рекомендуемый параметр
Срок действия прав пользователей на доступ к содержимому истекает.	Никогда, если для содержимого не указано определенное требование по времени.
Разрешить автономный доступ.	Зависит от конфиденциальности содержимого: - В течение определенного числа дней = 7 для конфиденциальных бизнес-данных, передача которых неавторизованным пользователям может нанести ущерб бизнесу. Эта рекомендация обеспечивает сбалансированный компромисс между гибкостью и безопасностью. Примеры: контракты, отчеты системы безопасности, прогнозные сводки и данные о продажах клиентам. - Никогда не в случае, если этикетка настроена для динамических водяных знаков и любых очень конфиденциальных бизнес-данных, которые могут нанести ущерб бизнесу, если они будут переданы неавторизованным лицам. Эта рекомендация определяет приоритет безопасности над гибкостью и гарантирует, что при удалении доступа одного или нескольких пользователей к документу они не смогут открыть его. Примеры: информация о сотрудниках и клиентах, пароли, исходный код и финансовые отчеты, о которых объявляется заранее. - Всегдадля менее конфиденциального содержимого, если не имеет значения, могут ли пользователи продолжать открывать зашифрованное содержимое в течение 30 дней (или иного настроенного срока действия лицензии для клиента), если их доступ был отменен, но ранее они открывали зашифрованное содержимое.

Только метки, настроенные для назначения разрешений, теперь поддерживают разные значения для автономного доступа. Метки, которые позволяют пользователям назначать разрешения, автоматически используют срок действия управления лицензионными правами клиента. Например, метки, которые настроены с параметрами "Не пересылать", "Только шифрование" и просят пользователей задать собственные разрешения. Значение по умолчанию для этого параметра — 30 дней.

Служба управления правами использует лицензию для доступа в режиме автономной работы

Примечание.

Вы можете настроить параметр шифрования, чтобы разрешить автономный доступ, но некоторые приложения могут не поддерживать автономный доступ для зашифрованного содержимого. Например, помеченные и зашифрованные файлы в Power BI Desktop не будут открываться, если вы в автономном режиме.

Когда пользователь открывает элемент, защищенный шифрованием из службы управления правами Azure, пользователю предоставляется лицензия на использование этого содержимого управлением правами Azure. Эта лицензия на использование является сертификатом, содержащим права пользователя на использование документа или сообщения электронной почты, а также ключ шифрования, примененный для шифрования содержимого. Лицензия на использование также содержит дату окончания срока действия, если она установлена, и срок действия лицензии на использование.

Если дата окончания срока действия не установлена, срок действия лицензии на использование по умолчанию для клиента составляет 30 дней. В течение срока действия лицензии на использование пользователь не проходит повторную проверку подлинности или авторизацию для содержимого. Этот процесс позволяет пользователю продолжать открывать защищенный документ или электронное письмо без подключения к Интернету. По истечении срока действия лицензии на использование в следующий раз, когда пользователь получит доступ к защищенному документу или электронному письму, он должен пройти повторную проверку подлинности и повторную авторизацию.

Помимо повторной проверки подлинности переоцениваются параметры шифрования и принадлежность пользователя к группе. Это означает, что пользователи могут получать разные результаты доступа к одному и тому же элементу, если есть изменения в параметрах шифрования или членстве в группах с момента последнего доступа к содержимому.

Чтобы узнать, как изменить стандартный параметр 30-дневного срока действия, см. раздел Лицензия на использования службы Microsoft Azure AD Rights Management.

Назначение разрешений определенным пользователям или группам

Вы можете предоставить разрешения определенным людям, чтобы только они могли работать с содержимым, которому присвоена метка:

1. Сначала добавьте пользователей или группы, которым будут назначены разрешения в отношении содержимого с присвоенной меткой.

2. Затем выберите, какие разрешения должны быть у этих пользователей в отношении содержимого с присвоенной меткой.

Назначение разрешений:

Добавление пользователей или групп

Когда вы назначаете разрешения, вы можете выбрать один из приведенных ниже вариантов.

• Все в организации (все члены клиента). Этот параметр исключает гостевые учетные записи.

• Все прошедшие проверку подлинности пользователи. Изучите требования и ограничения этого параметра перед его выбором.

• Любые пользователи или группы безопасности (с поддержкой электронной почты или без нее), группы рассылки или группы Microsoft 365. В группах Microsoft 365 может быть статическое или динамическое членство. Ограничение пользователей и групп для публикации меток поддерживает дополнительные сценарии, которые не поддерживаются защитой управления правами Azure, включая группы безопасности и исключения без поддержки электронной почты. Если метка применяет защиту, эти параметры публикации не изменят, кому предоставляется доступ к защищенному контенту. Вы также не можете использовать динамическую группу рассылки, так как этот тип группы не синхронизирован с Microsoft Entra ID.

  Вы можете указать группы, содержащие почтовые контакты, в качестве удобного метода предоставления доступа нескольким людям за пределами вашей организации, но в настоящее время существует известная проблема с этой конфигурацией. Дополнительные сведения см. в разделе Контакты почты в группах с периодическим доступом к зашифрованному содержимому.

• Любой адрес электронной почты или домен. Используйте этот параметр, чтобы указать всех пользователей в другой организации, использующих Microsoft Entra ID, путем ввода любого доменного имени из этой организации. Вы также можете использовать этот вариант для поставщиков социальных служб, указав их доменное имя, например gmail.com, hotmail.com или outlook.com.

  Примечание.

  Если вы указываете домен от организации, которая использует Microsoft Entra ID, вы не можете ограничить доступ к этому конкретному домену. Вместо этого все проверенные домены в Microsoft Entra ID автоматически включаются для клиента, которому принадлежит указанное вами доменное имя.

Если вы выбираете всех пользователей и группы в своей организации или указываете каталог, пользователи или группы должны иметь адрес электронной почты.

Рекомендуется использовать группы, а не пользователей. Эта стратегия упрощает настройку.

Требования и ограничения для параметра "Добавление всех пользователей, прошедших проверку подлинности"

Этот параметр не ограничивает список пользователей, которым доступно содержимое, зашифрованное меткой, при этом он шифрует содержимое и предоставляет возможности ограничить использование содержимого (разрешения) и доступ к нему (срок действия и автономный доступ). Однако приложение, открывающее зашифрованное содержимое, должно поддерживать используемую проверку подлинности. По этой причине федеративные поставщики социальных сетей, такие как Google, и проверка подлинности с помощью одноразового секретного кода работают только для электронной почты и приглашений на собрания и только при использовании Exchange Online. Учетные записи Майкрософт можно использовать с приложениями Office 365 и средством просмотра Защита информации Microsoft Purview.

Примечание.

Рассмотрите возможность использования этого параметра с интеграцией SharePoint и OneDrive с Microsoft Entra B2B, если метки конфиденциальности включены для файлов Office в SharePoint и OneDrive.

Некоторые типичные сценарии для параметра добавления всех пользователей, прошедших проверку подлинности:

• Вы разрешаете всем пользователям просматривать содержимое, но хотите ограничить способ его использования. Например, вы не хотите, чтобы содержимое изменялось, копировалось или распечатывалось.
• Вам не нужно ограничивать получателей доступа к содержимому, но требуется возможность подтверждения тех, кто его открывает.
• Вам требуется, чтобы содержимое было зашифровано при хранении и перемещении, но нет необходимости в элементах управления доступом.

Выбор разрешений

При выборе того, какие разрешения следует предоставить определенным пользователям или группам, вы можете выбрать один из приведенных ниже вариантов.

• Предопределенный уровень разрешений с предустановленной группой прав, например "Редактор" или "Ограниченный редактор".
• Настраиваемые разрешения, в которых можно выбрать одно или несколько прав использования.

Дополнительные сведения о выборе соответствующих разрешений см. в разделе Права на использование и их описание.

Обратите внимание, что одна и та же метка может предоставлять разным пользователям разные разрешения. Например, одна метка может назначить одних пользователей ограниченным редактором, а другого — владельцем, как показано на следующем снимке экрана.

Для этого добавьте пользователей или группы, назначьте им разрешения и сохраните эти параметры. Затем повторите эти действия, добавляя пользователей и назначая им разрешения, сохраняя параметры каждый раз. Эту конфигурацию можно повторять так часто, как необходимо, чтобы определить разные разрешения для разных пользователей.

У издателя в службе управления правами (пользователь, применяющий метку конфиденциальности) всегда остается полный контроль

По умолчанию для шифрования метки конфиденциальности используется служба управления правами Azure из службы Защита информации Microsoft Purview. Когда пользователь применяет метку конфиденциальности для защиты документа или электронной почты с помощью шифрования, он становится издателем в службе управления правами для такого содержимого.

Издателю в службе управления правами всегда предоставляются разрешения на полный доступ для документа или электронной почты, а также приведенные ниже полномочия.

• Если в параметрах шифрования есть дата окончания срока действия, издатель в службе управления правами по-прежнему может открывать и редактировать документ или сообщения электронной почты после этой даты.
• Издатель в службе управления правами всегда может получить доступ к документу или электронной почте в режиме автономной работы.
• Издатель в службе управления правами по-прежнему может открывать документ после того, как тот будет отозван.

Дополнительные сведения см. в статье Издатель в службе управления правами и владелец в службе управления правами.

Динамические подложки

Определите требуемые минимальные версии приложений Office с помощью таблиц возможностей и строк для динамических подложек.

Когда пользователь получает доступ к файлу с примененной меткой конфиденциальности, по умолчанию его универсальное имя субъекта (UPN) динамически вставляется в виде водяного знака на каждой странице файла. Как правило, имя участника-пользователя совпадает с его адресом электронной почты. Если выбрать "Настроить текст (необязательно)", можно указать настраиваемую строку, которая также поддерживает добавление даты и времени.

Этот водяной знак хорошо заметен при просмотре файла на устройстве и сохраняется при печати, но не при экспорте. Этот водяной знак надежнее, чем стандартная маркировка содержимого для наклейки, так как пользователь не может легко удалить или изменить его вручную.

Подложка удаляется, когда пользователь переименовывает документ, выбирая метку конфиденциальности, применяющую другую динамическую подложку или отсутствующую динамическую подложку. Однако, как и в случае со всем зашифрованным содержимым, пользователь должен иметь право использования экспорта или полного доступа для удаления существующего шифрования.

Этот защитный водяной знак поддерживается только для меток конфиденциальности, которые применяют шифрование. Также рекомендуется установить для параметра шифрования "Разрешить автономный доступ " значение "Никогда". Как и другие параметры шифрования, динамические водяные знаки поддерживаются в клиентах. Используйте его для наиболее конфиденциальных документов в качестве визуального сдерживающего фактора от снимков экрана, сделанных открывающим документ. Однако следует учитывать следующее.

Ограничения в Office, из-за которых динамические подложки еще не поддерживаются, поэтому документ открывается без применения подложки:

• Предварительный просмотр файла для вложений в Outlook
• PowerPoint Live в Microsoft Teams

Если открытие документа не попадает в одно из ранее перечисленных исключений, для открытия документа с меткой, применяющего динамические подложки, должно выполняться одно из следующих условий:

• Пользователь является владельцем Rights Management, что в большинстве случаев означает, что он сам применил метку. Дополнительные сведения см. в статье Издатель в службе управления правами и владелец в службе управления правами.

• Пользователь открывает документ с помощью приложения, которое распознает динамические водяные знаки. Используйте таблицы возможностей и строку динамических водяных знаков для подтверждения поддерживаемых версий.

• Пользователь открывает документ в Office в Интернете.

Если ни одно из этих условий не выполняется, когда пользователь открывает документ в приложении Office, и они не входят в число перечисленных исключений, документ не открывается. Прежде чем использовать эту конфигурацию меток, убедитесь, что вы понимаете это ограничение.

Предостережение

За исключением перечисленных ограничений, приложения Microsoft Office будут либо отказывать в доступе, если они не поддерживают динамические водяные знаки, либо применять динамические водяные знаки, если поддерживают.

Рекомендации для ранее помеченных документов:

• Как и все измененные параметры шифрования, новый настроенный динамический водяной знак не применяется немедленно, если у вас уже есть действующая лицензия на использование Rights Management для документа. По истечении срока действия лицензии на использование необходимо повторно пройти проверку подлинности в службе управления правами Azure, чтобы открыть документ, после чего будет применен параметр динамической подложки.

• Автоматическое обнаружение и разрешение не выполняются, если метка конфиденциальности ранее применила стандартный водяной знак в качестве маркировки содержимого.

Шифрование с двойным ключом

Примечание.

Для встроенных меток определите требуемые минимальные версии с помощью таблиц возможностей и строки Шифрование с двойным ключом (DKE).

Выбирайте параметр метки « Шифрование с двойным ключом » только после настройки службы шифрования с двойным ключом и необходимости использовать это шифрование с двойным ключом для файлов и электронных писем, к которым будет применена эта метка. После настройки и сохранения метки ее нельзя будет редактировать.

Дополнительные сведения, предварительные требования и инструкции по настройке см. в статье Шифрование с двойным ключом (DKE).

Предоставление пользователям возможности назначать разрешения

Важно!

Не все клиенты применения меток поддерживают все параметры, разрешающие пользователям назначать собственные разрешения. Используйте этот раздел, чтобы узнать больше.

Часто называемые "определяемыми пользователем разрешениями", вы можете использовать следующие параметры, чтобы пользователи могли назначать разрешения при ручном применении метки конфиденциальности к содержимому:

• В Outlook пользователь может выбрать ограничения, эквивалентные параметру Не пересылать или Только шифрование для определенных получателей.

  Параметр "Не пересылать" поддерживается всеми почтовыми клиентами, которые поддерживают метки конфиденциальности. Однако применение параметра "Только шифрование " с меткой конфиденциальности является более поздним выпуском. В почтовых клиентах, не поддерживающих эту возможность, метка не отображается.

  Чтобы проверить минимальный номер версии приложений Outlook, использующих встроенное применение меток для поддержки применения параметра "Только шифрование" с меткой конфиденциальности, см. таблицу возможностей для Outlook и строку Предоставление пользователям возможности назначать разрешения: только шифрование.

• В Word, PowerPoint и Excel, если метка не настроена на расширение разрешений для библиотеки документов SharePoint, пользователю предлагается выбрать собственные разрешения для определенных пользователей, групп или организаций.

  Для приложений Office, которые не поддерживают эту возможность, метка либо не будет видна пользователям, либо она видна для согласованности, но ее нельзя применить с пояснительным сообщением для пользователей.

  Чтобы проверка, какие приложения Office поддерживают эту возможность, используйте таблицу возможностей для Word, Excel и PowerPoint, а также строки для параметра "Разрешить пользователям назначать разрешения".

Примечание.

Вы не сможете использовать эти конфигурации, если область метки исключает электронную почту (для запрета пересылки и только шифрования) или файлы (для запросов пользователей в Word, PowerPoint и Excel). Дополнительные сведения см. в статье Метки области применения только к файлам или электронным письмам.

Если параметры поддерживаются, используйте следующую таблицу, чтобы определить, когда пользователям будет отображаться метка конфиденциальности:

Параметр	Метка отображается в Outlook	Метка отображается в Word, Excel, PowerPoint
В Outlook применить ограничения с помощью параметра "Не пересылать" или "Только шифрование"	Да	Нет
В Word, PowerPoint и Excel предлагать пользователям задать разрешения	Нет	Да

При выборе обоих параметров метка будет отображаться как в Outlook, так и в Word, Excel и PowerPoint.

Метка конфиденциальности, позволяющая пользователям назначать разрешения, может быть рекомендована пользователям, но автоматически применяется только для параметров "Не пересылать" и "Encrypt-Only".

Настройка назначаемых пользователем разрешений:

Ограничения для Outlook

В Outlook, когда пользователь применяет метку конфиденциальности, которая позволяет ему назначать разрешения сообщению, вы можете выбрать Не пересылать или Только шифрование. Пользователь видит имя и описание метки в верхней части сообщения, что указывает на защиту содержимого. В отличие от Word, PowerPoint и Excel (см. следующий раздел), пользователям не предлагается выбрать определенные разрешения. В этой конфигурации администратор управляет разрешениями, но не тем, кто имеет доступ.

Если к сообщению электронной почты применяется любой из этих параметров, оно зашифровано, а получатели будут должны пройти проверку подлинности. После этого получателям автоматически будут присвоены ограниченные права на использование:

• Не пересылать: получатели не смогут ни пересылать, ни печатать сообщение электронной почты, ни копировать из него фрагменты. Например, в клиенте Outlook кнопка "Переслать", пункты меню "Сохранить как" и "Печать" будут недоступны, и вы не сможете ни добавить, ни изменить получателей в полях "Кому", "Копия" или "СК".

  Дополнительные сведения о том, как работает этот параметр, см. в разделе Параметр "Не пересылать" для электронной почты.

• Только шифрование: у получателей есть все права на использование, кроме "Сохранить как", "Экспорт" и "Полный доступ". Такое сочетание прав на использование означает, что у получателей нет ограничений, за исключением того, что они не могут удалить защиту. Например, получатель может копировать фрагменты из сообщения электронной почты, распечатать его, а также перенаправить.

  Дополнительные сведения о том, как работает этот параметр, см. в разделе Параметр "Только шифрование" для электронной почты.

Незашифрованные документы Office, вложенные в сообщение электронной почты или приглашение на собрание, автоматически наследуют те же ограничения. Для параметра "Не пересылать" права на использование, применяемые к таким документам: "Редактировать содержимое", "Редактировать", "Сохранить", "Просмотреть", "Открыть", "Прочесть" и "Разрешить макросы". Если пользователь хочет получить другие права использования для вложения или вложение не является документом Office, который поддерживает такую наследуемую защиту, пользователю необходимо зашифровать файл, прежде чем вложить его в сообщение электронной почты или приглашение на собрание.

Разрешения для Word, PowerPoint и Excel

В Word, PowerPoint и Excel, когда пользователь применяет метку конфиденциальности, позволяющую назначать разрешения документу, ему предлагается выбрать пользователей и разрешения для шифрования. В этой конфигурации пользователь, а не администратор, определяет, кому разрешен доступ к документу и какие у них разрешения.

Поддержка настраиваемых разрешений для всей организации.

Для присвоения меток в Windows и использования Office для Интернета пользователи могут дополнительно указать доменное имя, когда им предлагается указать своих пользователей и разрешения. Когда доменное имя введено, разрешения будут применяться ко всем пользователям организации, владеющей доменом, который находится в Microsoft Entra ID. Чтобы определить минимальные версии, поддерживающие этот параметр, используйте таблицу возможностей и строку Разрешить пользователям назначать разрешения:- Запрашивать у пользователей настраиваемые разрешения (пользователей, групп и организаций).

Примечание.

Отображаемое диалоговое окно обновляется в последних версиях приложений Microsoft 365 для Windows, но поддержка настраиваемых разрешений для всей организации сохраняется при вводе доменного имени. Информация об этой поддержке включена во всплывающее информационное окно.

Например, пользователь набирает @contoso.com (или contoso.com) и предоставляет доступ на чтение. Поскольку корпорация Contoso владеет доменом contoso.com, всем пользователям этого домена и всех других доменов, принадлежащих организации в Microsoft Entra ID, будет предоставлен доступ на чтение.

Примечание.

Указывая эти значения, не заключайте их в кавычки.

При использовании Office для Интернета при вводе символа @ автоматически отображается доступная для выбора запись для всех пользователей в организации. Например, вы можете:

Важно, чтобы пользователи знали, что доступ не ограничивается только пользователями в указанном домене. Например, @sales.contoso.com не ограничит доступ только для пользователей в поддомене продаж, но также предоставит доступ пользователям в домене marketing.contoso.com и даже пользователям с несвязанным пространством имен в том же клиенте Microsoft Entra. Документацию пользователя см. в разделе Настраиваемые разрешения для файлов.

Примеры настроек параметров шифрования

Для каждого из следующих примеров выполните настройку со страницы управления доступом , если выбран параметр Настроить параметры управления доступом :

Пример 1. Метка, применяющая параметр "Не пересылать" при отправке зашифрованного письма в учетную запись Gmail

Эта метка отображается только в Outlook и Outlook в Интернете, и необходимо использовать Exchange Online. Проинструктируйте пользователей о необходимости выбора этой метки, когда требуется отправить зашифрованное письмо пользователю, применяющему учетную запись Gmail (или другую учетную запись электронной почты за пределами вашей организации).

Ваши пользователи вводят адрес электронной почты Gmail в поле Кому. Затем они выбирают метку, и параметр "Не пересылать" автоматически добавляется в письмо. В результате получатели не смогут переслать письмо, распечатать его, копировать из него, а также сохранять письмо за пределами своего почтового ящика с помощью операции Сохранить как.

1. На странице управления доступом : Назначить разрешения сейчас или позволить пользователям решать? выберите "Разрешить пользователям назначать разрешения при применении метки".

2. Установите флажок В Outlook применить ограничения, эквивалентные параметру "Не пересылать".

3. Если установлен флажок В Word, PowerPoint и Excel предлагать пользователям задать разрешения, снимите его.

4. Щелкните Далее и завершите настройку.

Пример 2. Метка, допускающая разрешения только для чтения для всех пользователей из другой организации

Эта метка подходит для предоставления общего доступа к конфиденциальным документам с разрешением только для чтения, и для просмотра документов всегда требуется подключение к Интернету.

Эта метка не подходит для сообщений электронной почты.

1. На странице управления доступом выполните следующие действия. Назначить разрешения сейчас или предоставить разрешение пользователям? выберите "Назначить разрешения сейчас".

2. Для параметра Разрешить автономный доступ выберите Никогда.

3. Щелкните Назначить разрешения.

4. В области Назначение разрешений выберите Добавить конкретные адреса электронной почты или домены.

5. В текстовом поле введите имя домена из другой организации, например fabrikam.com. Затем нажмите Добавить.

6. Нажмите кнопку Выбрать разрешения.

7. В области Выбор разрешений щелкните раскрывающийся список, выберите Пользователь с правом просмотра и нажмите Сохранить.

8. В области Назначить разрешения нажмите Сохранить.

9. На странице "Управление доступом " нажмите кнопку "Далее " и завершите настройку.

Пример 3. Добавление внешних пользователей в существующую метку, шифрующую содержимое

Добавляемые новые пользователи смогут открывать документы и сообщения электронной почты, уже защищенные с помощью этой метки. Разрешения, предоставляемые этим пользователям, могут отличаться от разрешений существующих пользователей.

1. На странице управления доступом : Хотите назначить разрешения сейчас или предоставить разрешение пользователям? Убедитесь, что выбран пункт "Назначить разрешения сейчас ".

2. Щелкните Назначить разрешения.

3. В области Назначение разрешений выберите Добавить конкретные адреса электронной почты или домены.

4. В текстовом поле введите адрес электронной почты первого пользователя (или группы) для добавления и нажмите Добавить.

5. Нажмите кнопку Выбрать разрешения.

6. В области Выбор разрешений выберите разрешения для этого пользователя (или группы) и нажмите Сохранить.

7. В области Назначить разрешения повторите действия 3–6 для каждого пользователя (или группы), которого нужно добавить в эту метку. Затем нажмите кнопку Сохранить.

8. На странице "Управление доступом " нажмите кнопку "Далее " и завершите настройку.

Пример 4. Метка, шифрующая содержимое, но не ограничивающая доступ к нему

Преимущество этой настройки состоит в том, что вам не требуется указывать пользователей, группы или домены, чтобы зашифровать сообщение электронной почты или документ. Содержимое будет зашифровано, и вы по-прежнему указываете права на использование, срок действия и возможность автономного доступа.

Используйте эту настройку только в том случае, если вам не требуется ограничивать, кто может открывать защищенный документ или сообщение электронной почты. См. дополнительные сведения об этой настройке.

1. На странице управления доступом : Хотите назначить разрешения сейчас или предоставить разрешение пользователям? Убедитесь, что выбран пункт "Назначить разрешения сейчас ".

2. Настройте параметры Срок действия прав пользователей на доступ к содержимому истекает и Разрешить автономный доступ в соответствии с требованиями.

3. Щелкните Назначить разрешения.

4. В области Назначить разрешения выберите Добавить пользователей, прошедших проверку подлинности.

   В области Пользователи и группы автоматически добавится раздел Пользователи, прошедшие проверку подлинности. Вы не можете изменить это значение. Его можно только удалить, что отменяет выбор параметра Добавить пользователей, прошедших проверку подлинности.

5. Нажмите кнопку Выбрать разрешения.

6. В области Выбор разрешений щелкните раскрывающийся список, выберите нужные разрешения и нажмите Сохранить.

7. В области Назначить разрешения нажмите Сохранить.

8. На странице "Управление доступом " нажмите кнопку "Далее " и завершите настройку.

Сведения для зашифрованного содержимого

Шифрование наиболее конфиденциальных документов и писем позволяет гарантировать, что только авторизованные пользователи смогут получить доступ к этим данным. Однако следует учитывать некоторые моменты:

• Если в вашей организации не включены метки конфиденциальности для файлов Office в SharePoint и OneDrive:

  • Поиск, обнаружение электронных данных и Delve не будут поддерживать зашифрованные файлы.
  • Политики защиты от потери данных применяются к метаданным этих зашифрованных файлов, включая сведения о метках хранения (но не к содержимому файлов, например номерам кредитных карт).
  • Пользователи не могут открыть зашифрованные файлы с помощью Office для Интернета. Если метки конфиденциальности для файлов Office в SharePoint и OneDrive включены, пользователи могут использовать Office для Интернета для открытия зашифрованных файлов с некоторыми ограничениями, включая шифрование, примененное с помощью локального ключа (известное как «сохранить свой ключ», или HYOK), шифрование с двойным ключом и шифрование, которое было применено независимо от метки конфиденциальности.

• При совместном использовании зашифрованных документов с людьми за пределами вашей организации может потребоваться создать гостевые учетные записи и изменить политики условного доступа. Дополнительные сведения см. в разделе Совместное использование зашифрованных документов с внешними пользователями.

• Когда авторизованные пользователи открывают зашифрованные документы в приложениях Office, в верхней части приложения на желтой панели сообщений отображается название и описание метки. Если разрешения функции шифрования действуют и для пользователей за пределами вашей организации, внимательно проверьте названия и описания меток, которые будут отображаться на панели сообщений при открытии документа.

• Чтобы несколько пользователей одновременно редактировали зашифрованный файл, все они должны использовать Office в Интернете, либо вам следует включить совместную работу над файлами, зашифрованными с помощью меток конфиденциальности, а у всех пользователей должны быть приложения Office, поддерживающие эту функцию. В противном случае, если файл уже открыт:

  • В приложениях Office (Windows, Mac, Android и iOS) для пользователей отобразится сообщение Файл используется с именем пользователя, который извлек файл. После этого они смогут просмотреть копию файла, предназначенную только для чтения, или сохранить и изменить копию файла, а также получать уведомления о доступности файла.
  • В Office в Интернете пользователям выводится ошибка с сообщением о том, что они не могут редактировать документ с другими людьми. После этого они смогут выбрать команду Открыть в режиме чтения.

• Функция автосохранения в приложениях Office отключена для зашифрованных файлов, если вы не включили совместное редактирование для файлов, зашифрованных с помощью меток конфиденциальности. Для пользователей отображается сообщение о том, что в файле есть ограниченные разрешения, которые требуется удалить, чтобы можно было включить автосохранение.

• Office для Windows поддерживает метки, которые применяют шифрование, если пользователи не подключены к Интернету. Но для других платформ (macOS, iOS, Android) пользователи должны быть подключены к сети, чтобы применить эти метки в приложениях Office. Клиент Защита информации Microsoft Purview также должен быть в сети, чтобы применить эти метки в проводнике и PowerShell. Для открытия зашифрованного содержимого пользователям не нужно быть в сети. Дополнительные сведения об автономном доступе см. в разделе Лицензия на использование Rights Management для автономного доступа.

• Открытие зашифрованных файлов в приложениях Office (Windows, Mac, Android и iOS) может выполняться дольше.

• Если метка, применяющая шифрование, добавлена с помощью приложения Office, когда документ извлечен из SharePoint и пользователь отменяет извлечение, документ сохраняет метку и остается зашифрованным.

• Если вы не включили совместное редактирование для файлов, зашифрованных с помощью меток конфиденциальности, следующие действия для зашифрованных файлов не поддерживаются в приложениях Office (Windows, Mac, Android и iOS), и пользователи видят сообщение об ошибке, если что-то пошло не так. Однако в качестве альтернативы можно использовать возможности SharePoint:

  • Просмотр, восстановление и сохранение копий предыдущих версий. В качестве альтернативы пользователи могут выполнить эти действия с помощью Office для Интернета, включив и настроив управление версиями для списка или библиотеки.
  • Изменение имени или расположения файлов. В качестве альтернативы пользователи могут переименовать файл, папку или ссылку в библиотеке документов в SharePoint.

Для оптимальной совместной работы над файлами, зашифрованными с помощью меток конфиденциальности, рекомендуется использовать метки конфиденциальности для файлов Office в SharePoint и OneDrive и Office в Интернете.

Дальнейшие действия

Требуется предоставить общий доступ к помеченным зашифрованным документам пользователям за пределами вашей организации? См. раздел Совместное использование зашифрованных документов с внешними пользователями.

Сведения об использовании меток конфиденциальности для шифрования видео- и аудиопотоков для собраний Teams см. в статье "Использование меток конфиденциальности для защиты элементов календаря, собраний и чата Teams".