Расширение меток конфиденциальности в Windows

  • Статья

Примечание.

Клиент Защита информации Microsoft Purview в настоящее время находится в предварительной версии и планируется для общедоступной доступности.

Клиент Защита информации Microsoft Purview расширяет возможности меток конфиденциальности, помимо меток, встроенных в приложения и службы Microsoft 365, и поддерживает более широкий диапазон типов файлов.

Этот клиент работает только в Windows и заменяет клиент унифицированных меток Azure Information Protection (AIP). Он содержит следующие компоненты:

Компонент Описание
Сканер защиты информации Используется для обнаружения, маркировки и шифрования файлов в хранилищах данных, таких как сетевые ресурсы и библиотеки SharePoint Server.
Средство метки файлов защиты информации Используется для применения меток конфиденциальности и шифрования с помощью проводник.
Средство просмотра защиты информации Используется для просмотра зашифрованных файлов.
модуль PowerShell Защита информации Microsoft Purview Используется для настройки меток конфиденциальности для файлов, установки и настройки Защита информации Microsoft Purview сканера.

Надстройка Office с клиентом Защита информации Microsoft Purview отсутствует, так как эта функция заменяется метками конфиденциальности, встроенными в Office.

Последние сведения о выпуске и сроки поддержки для каждой версии клиента см. в разделе Защита информации Microsoft Purview клиент — управление выпусками и поддержка.

Требования к развертыванию клиента защиты информации

Чтобы использовать клиент Защита информации Microsoft Purview, установите этот клиент на компьютерах Windows, где вы хотите использовать клиентские компоненты.

Вы также должны соответствовать следующим требованиям:

Следующие операционные системы поддерживают клиент Защита информации Microsoft Purview:

  • Windows 11
  • Windows 10 (x86, x64) (рукописный текст не поддерживается в сборке Windows 10 RS4 и более поздних версиях.)
  • Windows Server 2019
  • Windows Server 2016
  • Windows Server 2012 R2 и Windows Server 2012

ARM64 не поддерживается.

Установка или обновление клиента защиты информации

Чтобы выполнить обновление до клиента Microsoft Purview Information с существующего клиента унифицированных меток Azure Information Protection (AIP), пользователь должен подтвердить удаление надстройки AIP для Office, прежде чем продолжить установку.

Примечание.

При обновлении с помощью каталога Центра обновления Майкрософт требуется настройка раздела реестра, если на локальном компьютере присутствуют версии клиента Azure Information Protection.

Существует два варианта установки клиента защиты информации:

  • Установка клиента защиты информации с помощью установщика .exe
  • Установка клиента защиты информации с помощью установщика .msi

Если в настоящее время вы используете средство защиты информации из клиента унифицированных меток azure Information Protection (AIP), см. статью Обновление сканера Защита информации Microsoft Purview из клиента Azure Information Protection. перед использованием этих инструкций по установке клиента.

Чтобы установить клиент защиты информации с помощью файла .exe, выполните следующие действия.

  1. Скачайте исполняемую версию клиента Защита информации Microsoft Purview из Центра загрузки Майкрософт. Например, PurviewInfoProtection.exe.

    Важно!

    Если доступна предварительная версия, используйте ее только для тестирования. Он не предназначен для конечных пользователей в рабочей среде.

  2. Для установки по умолчанию просто запустите исполняемый файл. Чтобы просмотреть все параметры установки, сначала запустите исполняемый файл с помощью /help. Например:
    PurviewInfoProtection.exe **/help**

    1. Чтобы установить клиент автоматически, выполните следующую команду:
      PurviewInfoProtection.exe /quiet
    2. Чтобы автоматически установить только командлеты PowerShell, выполните следующую команду:
      PurviewInfoProtection.exe PowerShellOnly=true /quiet

    Примечание.

    По умолчанию включен параметр отправки статистики использования в Корпорацию Майкрософт. Чтобы отключить этот параметр, выполните одно из следующих действий.

    • Во время установки укажите AllowTelemetry=0
    • После установки обновите раздел реестра следующим образом: EnableTelemetry=0.

  3. Чтобы завершить установку, перезапустите все экземпляры проводник.

  4. Убедитесь, что установка прошла успешно, проверив файл журнала установки, который по умолчанию создается в папке %temp% .

    Файл журнала установки имеет следующий формат именования: Microsoft_Azure_Information_Protection_<number>_<number>_MSIP.Setup.Main.msi.log

    Например: Microsoft_Azure_Information_Protection_20161201093652_000_MSIP.Setup.Main.msi.log

    В файле журнала найдите следующую строку: Продукт: Защита информации Microsoft Purview —Установка успешно завершена. Если установка завершилась сбоем, этот файл журнала содержит сведения, которые помогут выявить и устранить любые проблемы.

    Совет

    Расположение файла журнала установки можно изменить с помощью параметра /log installation.

Расположение файлов журналов

Файлы журналов клиента и сканера находятся в следующих расположениях на компьютере Windows:

  • \ProgramFiles (x86)\Защита информации Microsoft Purview (только 64-разрядные операционные системы)
  • \Program Files\Защита информации Microsoft Purview (только 32-разрядные операционные системы)
  • %localappdata%\Microsoft\MSIP

Поддерживаемые языки

Клиент защиты информации поддерживает те же языки, что и Office 365. Список этих языков см. на странице "Международная доступность" в Office.

Для этих языков параметры меню, диалоговые окна и сообщения из Защита информации Microsoft Purview клиента отображаются на языке пользователя. Существует один установщик, который определяет язык, поэтому дополнительная настройка для установки клиента защиты информации для разных языков не требуется.

Однако указанные имена меток и описания не переводятся автоматически при настройке меток на портале администрирования. Чтобы пользователи видели метки на предпочитаемом языке, предоставьте собственные переводы и настройте их для меток с помощью PowerShell и параметра LocaleSettings для Set-Label. Дополнительные сведения см. в разделе Пример конфигурации для настройки метки конфиденциальности для разных языков.

Поддерживаемые типы файлов

В этом разделе перечислены типы файлов, поддерживаемые клиентом Защита информации Microsoft Purview. Для перечисленных типов файлов расположения WebDav не поддерживаются.

Совет

При шифровании типов файлов, которые не имеют встроенной поддержки шифрования, и поэтому используется универсальное шифрование, рекомендуется назначить разрешение совладельца этим файлам.

Следующие типы файлов могут быть помечены без шифрования.

  • Формат переносимого документа Adobe: .pdf

  • Microsoft Project: .mpp, MPT

  • Издатель Майкрософт: .pub

  • Microsoft XPS: .xps .oxps

  • Изображения: .jpg, .jpe, .jpeg, .jif, .jfif, .jfi. png, .tif, .tiff

  • Autodesk Design Review 2013: .dwfx

  • Adobe Photoshop: .psd

  • Цифровой отрицательный: .dng

  • Microsoft Office: Файлы следующих типов, включая форматы файлов 97–2003 и Office Open XML для Word, Excel и PowerPoint.

    Word Excel PowerPoint Visio
    DOC XLS .potm .vdw
    DOCM .Xlsb .Potx .Vsd
    DOCX .xlst PPS VSDM
    DOT .Xlsm .Ppsm .vsdx
    .doctm XLSX .Ppsx .Vss
    .Dotx .Xltm .Vssm
    .Xltx .Vst
    VSTM
    .Vssx
    VSTX-файл

Исключенные папки и типы файлов

Чтобы предотвратить изменение пользователями файлов, критически важных для операций с компьютером, некоторые типы файлов и папки автоматически исключаются из меток. Если пользователи пытаются пометить эти файлы с помощью клиента защиты информации, они увидят сообщение об исключении этих файлов.

Следующие папки исключаются из меток клиентом защиты информации:

  • Windows
  • Program Files (\Program Files и \Program Files (x86))
  • \Programdata
  • \AppData (для всех пользователей)

Типы файлов, которые не могут быть зашифрованы по умолчанию

Любой файл, защищенный паролем, не может быть зашифрован клиентом в собственном коде, если в настоящее время файл не открыт в приложении, которое применяет шифрование. Чаще всего вы видите PDF-файлы, защищенные паролем, но другие приложения, например приложения Office, также предлагают эту функцию.

Типы файлов, поддерживаемые для проверки

Клиент защиты информации использует Windows IFilter для проверки содержимого документов. Windows IFilter используется Поиск Windows для индексирования. В результате при использовании команды PowerShell Set-FileLabel -Autolabel можно проверить следующие типы файлов.

Тип приложения Тип файла
Word .doc, .docx, DOCM, DOTX
Excel .xls, .xlt, .xlsx, .xlsm, .xlsb
PowerPoint .ppt, .pps, .pot, .pptx
PDF PDF
Текст .txt, .xml, .csv

Сканирование файлов .ZIP

Для проверки .zip файлов можно использовать сканер защиты информации или команду PowerShell Set-FileLabel .

Примечание.

Если средство защиты информации установлено на компьютере с Windows Server, необходимо также установить Microsoft Office iFilter, чтобы проверять .zip файлы на наличие конфиденциальной информации. Дополнительные сведения см. на сайте загрузки Майкрософт.

Если после поиска конфиденциальной информации файл .zip должен быть помечен и зашифрован меткой, в инструкциях по развертыванию средства проверки укажите расширение имени файла .zip с дополнительным параметром PFileSupportedExtensions PowerShell.

Пример сценария:

Файл с именем accounts.zip содержит электронные таблицы Excel с номерами карта кредитов. У вас есть метка конфиденциальности с именем Конфиденциально \ Finance, которая настроена для обнаружения кредитных карта чисел и автоматического применения метки с шифрованием, которое ограничивает доступ к группе "Финансы".

После проверки файла клиент из сеанса PowerShell помечает этот файл как Конфиденциальный \ Finance. Затем клиент применяет к файлу универсальное шифрование, чтобы только члены групп "Финансы" могли распакуть его и переименовывать файл accounts.zip.pfile.

Поддержка отключенных компьютеров

По умолчанию клиент защиты информации автоматически пытается подключиться к Интернету, чтобы скачать метки конфиденциальности и параметры политики меток конфиденциальности из Microsoft Purview.

Если у вас есть компьютеры, которые не могут подключаться к Интернету в течение определенного периода времени, вы можете экспортировать и скопировать файлы, которые вручную управляют политикой для клиента защиты информации.

Для поддержки отключенных компьютеров от клиента защиты информации:

  1. Выберите или создайте учетную запись пользователя в Microsoft Entra ID, которую вы будете использовать для скачивания меток и параметров политики, которые вы хотите использовать на отключенном компьютере.

  2. В качестве дополнительного параметра политики меток для этой учетной записи отключите отправку данных аудита в Microsoft Purview с помощью дополнительного параметра EnableAudit PowerShell с помощью Set-LabelPolicy из PowerShell безопасности & соответствия требованиям.

    Мы рекомендуем этот шаг, так как если отключенный компьютер имеет периодическое подключение к Интернету, он будет отправлять в Microsoft Purview сведения журнала, включая имя пользователя из шага 1. Эта учетная запись пользователя может отличаться от локальной учетной записи, используемой на отключенном компьютере.

  3. С компьютера с подключением к Интернету, на котором установлен клиент защиты информации и выполнен вход с учетной записью пользователя на шаге 1, скачайте метки и параметры политики.

  4. Экспортируйте файлы журнала с этого компьютера.

    Например, запустите командлет Export-DebugLogs или используйте параметр Экспорт журналов в диалоговом окне Справка и отзывы клиента из средства метки файлов.

    Файлы журнала экспортируются в виде одного сжатого файла.

  5. Откройте сжатый файл и скопируйте из папки MSIP все файлы с расширением .xml.

  6. Вставьте эти файлы в папку %localappdata%\Microsoft\MSIP на отключенном компьютере.

  7. Если выбранная учетная запись пользователя обычно подключается к Интернету, включите отправку данных аудита еще раз, установив для параметра EnableAudit значение True.

Имейте в виду, что если пользователь на этом компьютере выбирает параметр Сброс параметров в справке и отзыве в средстве маркировки файлов, это действие удаляет файлы политики и оставляет клиент неработоспособным, пока вы не замените файлы вручную или клиент не подключится к Интернету, чтобы скачать нужные файлы.

Если отключенный компьютер работает под управлением сканера защиты информации, необходимо выполнить дополнительные действия по настройке. Дополнительные сведения см. в разделе Ограничение: сервер сканера не может иметь подключение к Интернету из инструкций по развертыванию сканера.

Поддерживаемые настройки

Клиент защиты информации поддерживает дополнительные параметры PowerShell и некоторые параметры реестра, которые могут потребоваться для конкретных сценариев или пользователей.

Дополнительные параметры PowerShell, поддерживаемые командой New-Label или Set-Label, а также New-LabelPolicy или Set-LabelPolicy из PowerShell & соответствия безопасности, см. в статье Дополнительные параметры для клиента Защита информации Microsoft Purview.

Используйте следующие разделы, чтобы настроить реестр для поддерживаемых настроек.

Изменение локального уровня ведения журнала

По умолчанию клиент Information Protection Purview записывает файлы журнала клиента в папку %localappdata%\Microsoft\MSIP. Эти файлы предназначены для устранения неполадок с помощью служба поддержки Майкрософт.

Чтобы изменить уровень ведения журнала для этих файлов, найдите в реестре следующее имя значения и задайте для данных значения требуемый уровень ведения журнала:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Задайте для уровня ведения журнала одно из следующих значений:

  • Выкл. Нет локального ведения журнала.

  • Ошибка: только ошибки.

  • Предупреждение: ошибки и предупреждения.

  • Сведения: минимальное ведение журнала, которое не включает идентификаторы событий (параметр по умолчанию для сканера).

  • Отладка: полная информация.

  • Трассировка: подробное ведение журнала (параметр по умолчанию для клиентов).

Этот параметр реестра не изменяет сведения, отправляемые в службу аудита Microsoft Purview.

Включение параметров границ данных

В соответствии с обязательствами корпорации Майкрософт в отношении границ данных ЕС клиенты ИЗ ЕС, которые используют клиент Защита информации Microsoft Purview, могут отправлять свои данные в ЕС для хранения и обработки.

Включите эту функцию в клиенте защиты информации, изменив следующий раздел реестра, указывающий расположение для отправки событий:

  • Раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
  • Значения:
    • Default = 0
    • North_America = 1
    • European_Union = 2

Включение системного браузера по умолчанию для проверки подлинности

Используйте системный браузер по умолчанию для проверки подлинности в Защита информации Microsoft Purview клиенте. По умолчанию клиент защиты информации открывает Microsoft Edge для проверки подлинности.

Включите эту функцию в клиенте защиты информации, включив следующий раздел реестра:

  • Раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
  • Значения:
    • Disabled = 0
    • Enabled = 1

Скрыть пункт меню "Применить метку конфиденциальности с помощью Microsoft Purview" в проводник

Чтобы скрыть параметр Применить метку конфиденциальности с помощью контекстного меню Microsoft Purview в проводник, создайте следующий раздел реестра DWORD со значением LegacyDisable и любыми значениями:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Использование каталога Центра обновления Майкрософт для обновления с клиента Information Protection Azure до клиента защиты информации

При обновлении клиента Защита информации Microsoft Purview версии 3.X от клиента унифицированных меток Azure Information Protection версии 2.X будет удалена надстройка AIP для Office. Чтобы получить обновление основной версии до клиента Защита информации Microsoft Purview путем пользовательского интерфейса каталога Центра обновления Майкрософт, необходимо либо удалить существующий клиент azure Information Protection, либо настроить следующий раздел реестра:

  • Раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)
  • Значения:
    • Disabled = 0
    • Enabled = 1

Применение меток конфиденциальности с помощью клиента защиты информации

После установки клиента Защита информации Microsoft Purview можно применить созданные и опубликованные метки конфиденциальности с помощью следующих средств:

Сведения о просмотре зашифрованных документов см. в статье Просмотр защищенных файлов с помощью средства просмотра Защита информации Microsoft Purview.