创建敏感度标签时，可以限制对将应用标签的内容的访问。 例如，使用敏感标签的加密设置可保护内容，以便：
- 只有组织中的用户才能打开机密文档或电子邮件。
- 只有市场部的用户才能编辑和打印促销声明文档或电子邮件，而组织中的所有其他用户只能阅读它。
- 用户无法转发电子邮件或从中复制包含有关内部组织的新闻的信息。
- 发送到业务合作伙伴的当前价目表在指定日期后无法打开。
- 只有发送会议邀请以启动机密项目的人员才能打开会议邀请，他们不能将其转发给其他人。
当文档、电子邮件或会议邀请加密时，对内容的访问将受到限制，以便：
- 只能由标签的加密设置授权的用户解密。
- 无论其所在位置（组织内部或外部）如何，仍保持加密状态，即使该文件被重命名也是如此。
- 静态加密（例如，在 OneDrive 帐户中）和传输加密（例如，正在通过 Internet 传输的电子邮件）。
最后，作为管理员，你在配置敏感度标签来应用加密时可选择执行下述任一操作：
- 立即分配权限，以便准确确定哪些用户获得了带有该标签的内容的哪些权限。
- 在用户将此标签应用到内容时允许用户分配权限。 这样，即可让组织内部人员在协作处理和完成任务时具有可能需要的一定程度的灵活性。
在 Microsoft Purview 门户中 创建或编辑敏感度标签 时，可以使用加密设置。
注意
Outlook 中的敏感度标签可以应用 S/MIME 保护，而不是加密和来自 Azure Rights Management 服务的权限。 有关详细信息，请参阅 配置标签以在 Outlook 中应用 S/MIME 保护。
了解加密的工作方式
除非使用 S/MIME for Outlook，否则敏感度标签应用于文档、电子邮件和会议邀请的加密都使用 Microsoft Purview 信息保护中的 Azure 权限管理服务。 该保护解决方案使用了加密、标识和身份验证策略。 若要了解详细信息，请参阅了解 Azure Rights Management 加密服务。
使用此加密解决方案时，超级用户功能确保了获得授权的用户和服务始终可读取和检测已针对你的组织进行加密的数据。 必要时，可删除或更改加密。 有关详细信息，请参阅为发现服务或数据恢复配置 Azure Rights Management 超级用户。
重要
你还可以使用敏感度标签将加密应用于 Teams 会议的音频和视频流，但这会使用不同的加密方法，而不是用于电子邮件、会议邀请和文档的 Azure Rights Management 服务。 有关用于 Teams 会议的加密的详细信息，请参阅 Teams 安全指南中的 媒体加密 。
重要先决条件
可能需要执行一些配置任务，然后才可使用加密。 配置加密设置时，不检查是否满足这些先决条件。
激活 Azure 权限管理
若要使敏感度标签使用 Rights Management 应用加密，必须为租户激活 Microsoft Purview 信息保护中的 Azure Rights Management 服务。 在较新的租户中，这是默认设置，但你可能需要手动激活该服务。 有关详细信息，请参阅激活 Azure Rights Management 服务。
查看网络要求
可能需要对防火墙等网络设备做出一些更改。 有关详细信息，请参阅防火墙和网络基础设施。
检查 Microsoft Entra 配置
某些 Microsoft Entra 配置可能会阻止对加密内容的授权访问。 例如，跨租户访问设置和条件访问策略。 有关详细信息，请参阅加密内容的 Microsoft Entra 配置。
为 Azure Rights Management 服务配置 Exchange
用户无需配置 Azure Rights Management 服务，即可在 Outlook 中应用标签来加密其电子邮件。 但是，在为 Azure Rights Management 服务配置 Exchange 之前，无法获得使用 Rights Management 进行加密的完整功能。
例如，用户无法在移动电话或 Outlook 网页版上查看加密的电子邮件或加密的会议邀请，无法为加密的电子邮件编制搜索索引，并且无法配置 Exchange Online DLP 进行权限管理保护。
为确保 Exchange 可以支持这些其他应用场景：
- 对于 Exchange Online，请参阅 Exchange Online：IRM 配置的说明。
- 对于本地 Exchange，必须部署 RMS 连接器并配置你的 Exchange 服务器。
如何配置加密标签
按照常规说明创建或编辑敏感度标签，并确保为标签范围选择了“Files &其他数据资产”选项：
然后，在 “ 选择所选项类型的保护设置 ” 页上，确保选择 “ 控制访问”。
在 “访问控制 ”页上，选择以下选项之一：
删除已应用于项的访问控制设置：选择此选项时，应用标签会删除现有加密，即使它是独立于敏感度标签应用的。
请务必理解，此设置可能会导致敏感度标签，当用户没有足够的权限来删除现有加密时，他们可能无法应用该标签。 有关此方案的详细信息，请参阅应用标签时，对现有加密的影响部分。
配置访问控制设置：使用权限管理启用加密，并使以下设置可见：
有关这些设置的说明，请参阅以下配置加密设置 部分。
编辑标签以新应用加密或更改现有加密设置
最初配置不应用加密的敏感度标签，然后编辑一些现有标签以应用加密是一种常见的部署策略。 当标签更改 到达您的应用时，您编辑的标签会为新标记的项目应用该加密。
对于在 SharePoint 和 OneDrive 中访问的文件，如果为 SharePoint 和 OneDrive 启用了敏感度标签， 则下次访问这些文件时，文件的新加密状态会自动更改。 例如，它们在 Office 网页版中打开或下载。 无需移除标签并重新贴上。 例如，以前未加密的文件将加密。
对于已标记的其他项，它们将保留其以前的加密状态，除非您删除标签并重新应用它。 例如，在将敏感度标签更改为现在应用加密后，当你在 Office 桌面版或 Office Mobile 中打开以前标记和未加密的文档或电子邮件时，这些项目将保持未加密状态，除非删除标签并重新应用。 同样，如果将敏感度标签设置更改为不应用加密 (删除访问控制) 选项，则这些项目将保持加密状态，除非删除标签并重新应用。
对于已标记有加密和“立即分配权限”选项的项，当你更改用户或权限的加密设置时，当用户使用加密服务进行身份验证时，新设置将应用于现有项。 在大多数情况下，无需移除并重新贴上标签。 但是，如果用户已经打开了加密的文档或电子邮件，则在使用许可证过期之前，他们将无法获得新设置，他们必须重新进行身份验证。 有关此方案的详细信息，请参阅相关的 加密 工作常见问题。
无论何时更改加密选项以允许用户分配权限，该更改仅适用于新标记或重新标记的项。 例如：
- 将标签从现在分配权限更改为允许用户分配权限，反之亦然
- 将标签从“不转发”更改为“仅加密”，或反之亦然
应用标签后，现有加密会发生什么情况
如果将敏感度标签应用于未加密的内容，则可选择的加密选项的结果是一目了然的。 例如，如果未选择“ 控制访问”，则内容将保持未加密状态。
但是，内容可能已经加密。 例如，其他用户可能已应用以下内容：
- 他们自己的权限，包括标签提示时用户定义的权限、Microsoft Purview 信息保护客户端的自定义权限，以及来自 Office 应用的受限访问文档保护。
- 独立于标签对内容进行加密的权限管理模板。 此类别包括通过权限保护应用加密的邮件流规则。
- 使用管理员分配的权限应用加密的标签。
下表说明了在向该内容应用敏感度标签后现有加密发生的情况：
| 加密：未选择 | 加密：已配置 | 加密：删除 | |
|---|---|---|---|
| 用户指定的权限 | 删除原有加密 | 应用新的标签加密 | 删除原有加密 |
| 权限管理模板 | 保留原有加密 | 应用新的标签加密 | 删除原有加密 |
| 具有管理员定义的权限的标签 | 删除原有加密 | 应用新的标签加密 | 删除原有加密 |
如果应用了新的标签加密或删除了原有加密，则仅在应用标签的用户具有支持此操作的使用权限或角色时才会发生此情况：
- “导出”或“完全控制”使用权限。
- 权限管理颁发者/权限管理所有者或超级用户角色。
如果用户没有上述权限或角色之一，则无法应用标签，因此原有加密将保留。 用户会看到以下消息：你无权对敏感度标签进行此更改。请联系内容所有者。
例如，向电子邮件应用“请勿转发”标签的用户可重新标记会话，以替换或删除加密，因为他们是该电子邮件的权限管理所有者。 但除超级用户外，此电子邮件的收件人无法对其重新标记，因为他们没有必需的使用权限。
加密电子邮件和会议邀请的 Email attachments
采用任何方法加密电子邮件或会议邀请时，附加到该电子邮件或邀请的任何未加密的 Office 文档都将自动继承相同的加密设置。 您无法禁用此加密继承，例如，使用设置或 标签范围。
附件不会继承电子邮件或会议邀请中的任何敏感度标签，但可能会在同一租户中的用户打开文档时自动应用。 有关详细信息，请参阅 文档基于加密的标签匹配。
已加密且随后添加为附件的文档始终保留其原有加密。
配置加密设置
在“访问控制”页上选择“配置访问控制设置”以创建或编辑敏感度标签时，请选择以下选项之一：
- 立即分配权限，以便可准确确定哪些用户对已应用标签的内容具有哪些权限。 有关详细信息，请参阅下一部分：立即分配权限。
- 在用户向内容应用标签时允许用户分配权限。 通过此选项，可使组织内部人员在协作处理和完成任务时具有一定程度可能需要的灵活性。 有关详细信息，请参阅下述部分：允许用户分配权限。
例如，如果你有一个名为“高度机密”的敏感度标签，它将应用于你的大部分敏感内容，则你可能需要决定谁对该内容获得哪种类型的权限。
或者，如果你有一个名为“商业合同”的敏感度标签，而你所在组织的工作流要员工临时在非计划的基础上与不同的人合作处理这个内容，则你可能需要允许用户在分配此标签时决定由谁获得权限。 这种灵活性都能帮助你的用户保持高效，同时减少管理员要更新或新建敏感度标签来应对特定场景的请求。
选择是要立即分配权限还是允许用户分配权限：
立即分配权限
使用以下选项控制谁可以访问电子邮件、会议邀请 (（如果) 启用）或应用了此标签的文档。 可以执行下列操作：
允许对标记内容的访问权限在特定日期或应用标签后的特定天数后过期。 在此之后，用户将无法打开标记的项。 如果指定日期，则在当前时区的该日期的午夜时分生效。 由于其缓存机制，某些电子邮件客户端可能不会强制过期并显示超过过期日期的电子邮件。
始终允许脱机访问 ，或在应用标签后的特定天数内允许脱机访问。 使用此设置可以平衡任何安全要求，使用户能够在用户没有 Internet 连接时打开加密内容。 如果将脱机访问限制为从不或数天，则达到该阈值时，必须重新对用户进行身份验证，并记录其访问权限。 有关此过程的工作原理的详细信息，请参阅以下有关 Rights Management 使用许可证 的部分。
加密内容的访问控制设置：
有关过期和脱机访问设置的建议：
| 设置 | 推荐设置 |
|---|---|
| 用户访问内容的权限过期 | 除非内容具有特定的时间限制要求，否则请切勿这样做。 |
| 允许脱机访问 | 取决于内容的敏感度： - 仅在若干天内 = 7为敏感商业数据，如果与未经授权的人分享，可能会对企业造成损害。 此建议在灵活性和安全性之间提供了平衡的折衷方案。 示例包括合同、安全报告、预测摘要和销售帐户数据。 - 当标签配置为动态水印和任何非常敏感的业务数据时，如果与未经授权的人共享，可能会对业务造成损害。 此建议将安全性置于灵活性之上，并确保如果取消一个或多个用户对文件的访问，他们将无法打开文件。 示例包括员工和客户信息、密码、源代码和预先宣布的财务报表。 对于不太敏感的内容，- 始终在访问被删除后，用户可以继续打开加密内容长达 30 天（或为租户配置的使用许可有效期），而对于他们之前打开过加密内容，这并不重要。 |
现在，只有配置为分配权限的标签才支持不同的脱机访问值。 允许用户分配权限的标签自动使用租户的 Rights Management 使用许可证有效期。 例如，为“不转发”、“仅加密”配置的标签，并提示用户指定自己的权限。 此设置的默认值为 30 天。
针对脱机访问的 Rights Management 使用许可证
注意
尽管可以将加密设置配置为允许脱机访问，但某些应用可能不支持对加密内容进行脱机访问。 例如，如果处于脱机状态，则 Power BI 桌面 中标记和加密的文件将无法打开。
当用户从 Azure Rights Management 服务打开受加密保护的项目时，将向用户授予该内容的 Azure Rights Management 使用许可证。 此使用许可证是一种证书，其中包含用户对文档或电子邮件的使用权限，以及用于加密内容的加密密钥。 此使用许可证还包含过期日期（若已设置）及其有效时长。
如果未设置到期日期，则租户的默认使用许可证有效期为 30 天。 在使用许可有效期内，用户不会对内容进行重新身份验证或重新授权。 此过程允许用户在没有 Internet 连接的情况下继续打开受保护的文档或电子邮件。 当使用许可有效期到期时，用户下次访问受保护的文档或电子邮件时，必须对用户进行重新身份验证和重新授权。
除重新进行身份验证以外，还将重新评估策略和用户组成员身份。 这意味着，如果加密设置或组成员身份与上次访问内容相比发生更改，则可能会对同一项目体验不同的访问结果。
若要了解如何更改默认的 30 天设置，请参阅 Rights Management 使用许可证。
向特定用户或组分配权限
可向特定人员授予权限，只允许这些人员与标记的内容进行交互：
首先，添加将向其分配对标记的内容具有访问权限的用户或组。
然后，选择这些用户应对标记的内容具有的权限。
分配权限：
添加用户或组
分配权限时，可以选择：
组织中的每个人 (所有租户成员) 。 此设置不包括访客帐户。
所有经过身份验证的用户。 选择前，请确保你了解此设置的相关要求和限制。
任何启用电子邮件或未启用电子邮件的) 、通讯组或 Microsoft 365 组 (的用户或安全组。 Microsoft 365 组可以有静态或动态成员资格。 标签发布的用户和组范围设置支持 Azure Rights Management 保护不支持的其他方案，包括未启用电子邮件的安全组和排除项。 如果标签应用保护，则这些发布设置不会更改授予受保护内容访问权限的用户。 也不能使用动态通讯组，因为此组类型不会同步到 Microsoft Entra ID。
尽管可以指定包含邮件联系人的组，以作为向组织外部的多个人员授予访问权限的便捷方法，但此配置当前存在已知问题。 有关详细信息，请参阅 组中的邮件联系人对加密内容具有间歇性访问权限。
任何电子邮件地址或域。 使用此选项可指定另一个组织中使用 Microsoft Entra ID 的所有用户，方法是输入该组织的任何域名。 你可使用此选项处理社交提供商，方式是输入其域名，例如 gmail.com、hotmail.com或 outlook.com。
注意
如果从使用 Microsoft Entra ID 的组织指定域，则无法限制对该特定域的访问。 相反，将自动为拥有指定域名的租户包含 Microsoft Entra ID 中的所有已验证域。
选择组织中的所有用户和组或浏览目录时，这些用户或组必须具有电子邮件地址。
最佳做法是使用组而不是用户。 此策略可简化配置。
有关“添加任何经过身份验证的用户”的要求和限制
此设置不会限制谁可访问标签加密的内容，但仍会加密内容并向你提供用来限制内容使用方式（权限）和访问方式（过期和脱机访问）的选项。 但是，打开加密内容的应用程序必须能够支持正在使用的身份验证。 因此，联合社交提供商（如 Google）和一次性密码身份验证仅适用于电子邮件和会议邀请，并且仅在使用 Exchange Online 时才适用。 Microsoft 帐户可与 Office 365 应用和 Microsoft Purview 信息保护查看器一起使用。
注意
为 SharePoint 和 OneDrive 中的 Office 文件启用敏感度标签时，请考虑将此设置与 SharePoint 和 OneDrive 与 Microsoft Entra B2B 集成结合使用。
“所有经过身份验证的用户”设置的一些典型场景：
- 你不在乎谁会查看内容，但你想要限制内容使用方式。 例如，你不希望内容遭到编辑、复制或打印。
- 你不需要限制谁有权访问内容，但你想要能够确定谁可打开内容。
- 你要求内容必须在静态和传输中经过加密，但不要求访问权限控制。
选择权限
选择允许为这些用户或组使用哪些权限时，可以选择：
- 具有一组预设权限的 预定义权限级别 ，例如编辑者或受限编辑者。
- 自定义权限，可在其中选择一个或多个使用权限。
有关帮助你选择适当权限的详细信息，请参阅使用权限和说明。
请注意，相同的标签可以向不同的用户授予不同的权限。 例如，单个标签可将某些用户分配为受限编辑者，将另一个用户分配为所有者，如以下屏幕截图所示。
为此，请添加用户或组，向他们分配权限，并保存这些设置。 然后重复这些步骤，添加用户并分配权限，每次保存设置。 您可以根据需要经常重复此配置，以便为不同的用户定义不同的权限。
Rights Management 颁发者（应用敏感度标签的用户）始终具有完全控制
默认情况下，敏感度标签的加密使用 Microsoft Purview 信息保护中的 Azure Rights Management 服务。 当用户通过加密应用敏感度标签来保护文档或电子邮件时，该用户就成为了该内容的权限管理颁发者。
权限管理颁发者始终具有对文档或电子邮件的完全控制权限；此外：
- 如果加密设置包含过期日期，权限管理颁发者在该日期后仍可打开和编辑文档或电子邮件。
- Rights Management 颁发者可以始终在脱机状态下访问文档或电子邮件。
- 在文档被撤销后，Rights Management 颁发者仍然可以打开该文档。
有关详细信息，请参阅 Rights Management 颁发者和 Rights Management 所有者。
动态水印
使用 功能表 和 动态水印行确定所需的 Office 应用的最低版本。
当用户访问应用了此敏感度标签的文件时，默认情况下，其通用主体名称 (UPN) 将作为水印动态插入到文件的每一页上。 通常，用户的 UPN 与其电子邮件地址相同。 如果选择 “自定义文本 (可选) ”，则可以指定一个自定义字符串，该字符串也支持包含日期和时间。
在设备上查看文件时，此水印非常明显，并且在打印时会保留，但在导出时不会。 此水印比标签的标准内容标记更安全，因为用户无法轻松手动删除或更改它。
当用户重新标记文档，选择应用不同动态水印或不应用动态水印的敏感度标签时，将删除水印。 但是，与所有加密内容一样，用户必须具有导出或完全控制的 使用权限 才能删除现有加密。
仅应用加密的敏感度标签支持此保护性水印，我们还建议将 “允许脱机访问” 的加密选项设置为 “从不”。 与其他加密设置一样，租户支持动态水印。 将其用于最敏感的文档，作为对打开文档的人截屏的视觉威慑。 但是，请注意以下注意事项。
Office 中的限制：尚不支持动态水印，因此文档在不应用水印的情况下打开：
- Outlook 中附件的文件预览
- Microsoft Teams 中的 PowerPoint Live
除非打开文档属于前面列出的例外之一，否则必须满足以下条件之一才能打开应用动态水印的标签文档：
用户是 Rights Management 所有者，这在大多数情况下意味着他们自己应用了标签。 有关详细信息，请参阅 Rights Management 颁发者和 Rights Management 所有者。
用户使用理解动态水印的应用打开文档。 使用 功能表 和 动态水印 行确认支持的版本。
用户在 Office web 版中打开文档。
如果用户在 Office 应用中打开文档时未满足这些条件，并且它们不是列出的例外之一，则文档将不会打开。 使用此标签配置之前，请确保了解此限制。
警告
除了列出的限制，如果 Microsoft Office 应用不支持动态水印，则将拒绝访问，否则将强制执行动态水印。
以前标记的文档的注意事项：
与所有更改的加密设置一样，当你已拥有文档的有效 Rights Management 使用许可证 时，不会立即应用新配置的动态水印。 使用许可证过期后，必须重新向 Azure Rights Management 服务进行身份验证才能打开文档，然后应用动态水印设置。
如果敏感度标签以前应用了标准水印作为内容标记，则不会自动检测和解决。
双密钥加密
注意
对于内置标签，请使用 功能表 和 行 双密钥加密 (DKE) 确定所需的最低版本。
只有在配置了双密钥加密服务，并且需要对应用此标签的文件和电子邮件使用此双密钥加密后，才选择“ 双密钥加密 ”标签选项。 配置并保存标签后，将无法对其进行编辑。
了解更多信息、先决条件、以及配置说明，请参阅双密钥加密 (DKE)。
允许用户分配权限
重要
并非所有的标签客户端都支持让用户自己分配权限所有的选项。 请使用本节了解更多信息。
通常称为“用户定义的权限”，你可以使用以下选项让用户在手动将敏感度标签应用于内容时分配权限：
在 Outlook 中，用户可以为他们选择的收件人选择相当于 “不转发” 或 “只加密” 的限制。
所有支持敏感标签的电子邮件客户端都支持 “不转发” 选项。 但是，将“ 仅加密 ”选项与敏感度标签应用是较新的版本。 对于不支持此功能的邮件客户端，标签将不可见。
若要检查使用内置标签的 Outlook 应用的最低版本支持应用带有敏感标签的“只加密”选项，请使用 “Outlook 能力表” 和 “让用户分配权限: - 只加密” 行。
在 Word、PowerPoint 和 Excel 中，除非将标签配置为扩展 SharePoint 文档库的权限，否则系统会提示用户为特定用户、组或组织选择自己的权限。
对于不支持此功能的 Office 应用，标签对用户不可见，或者标签为保持一致可见，但无法与解释消息一起应用给用户。
若要检查哪些 Office 应用支持此选项，请使用 Word、Excel 和 PowerPoint 的功能表和“允许用户分配权限”的行。
注意
如果标签范围排除“请勿转发”和“仅加密”) 的电子邮件 (，或排除 (在 Word、PowerPoint 和 Excel) 中提示用户的文件，则你将无法使用这些配置。 有关详细信息，请参阅 将标签范围限定为文件或电子邮件。
在这些选择受到支持时，请使用以下标签确定用户何时回看到敏感度标签：
| 设置 | 标签在 Outlook 中可见 | 标签在 Word、Excel 和 PowerPoint 中可见 |
|---|---|---|
| 在 Outlook 中，使用“不转发”或“仅加密”选项实施限制 | 是 | 否 |
| 在 Word、PowerPoint 和 Excel 中提示用户指定权限 | 否 | 是 |
同时选中这两个选项时，标签在 Outlook 和 Word、Exce、PowerPoint 中都可见。
可以向用户推荐允许用户分配权限的敏感度标签，但只能自动应用于“不得转发”和“Encrypt-Only”选项。
配置用户分配的权限：
Outlook 限制
在 Outlook 中，当用户应用一个让他们为邮件分配权限的敏感标签时，可以选择 “不转发”选项 或 “只加密”。 用户将在邮件顶部看到标签名称和说明，这表示正在保护该内容。 与 Word、PowerPoint 和 Excel 不同（详见下一部分），系统不会提示用户选择特定权限。 对于此配置，管理员控制权限，但不控制谁具有访问权限。
当这些选项中的任何一个应用于电子邮件时，都会加密电子邮件且收件人必须经过身份验证。 然后，收件人自动拥有受限制的使用权限:
不转发: 收件人无法转发、打印或复制该邮件。 例如，在 Outlook 客户端中，“转发”按钮不可用，“另存为”和“打印”菜单选项也不可用，并且你不可在“收件人”、“抄送”和“密件抄送”框中添加或更改收件人。
有关此选项工作方式的更多信息，请参阅 电子邮件的 “不转发” 选项。
只加密密: 收件人拥有除 “另存为”、“导出” 和 “完全控制” 以外的所有使用权。 这种使用权的组合意味着收件人除了无法取消保护外，没有任何限制。 例如，收件人可以从邮件中复制、打印和转发。
有关此选项工作方式的更多信息，请参见 电子邮件的 “只加密” 选项。
附加到电子邮件或会议邀请的未加密 Office 文档自动继承相同的限制。 对于“请勿转发”，适用于这些文件的使用权限是“编辑内容”，“编辑”; “保存”; “查看”、“打开”、“读取”; 以及“允许宏”。 如果用户希望对附件具有不同的使用权限，或者附件不是支持此继承保护的 Office 文档，则用户需要先对文件进行加密，然后再将其附加到电子邮件或会议邀请。
Word、PowerPoint 和 Excel 权限
在 Word、PowerPoint 和 Excel 中，当用户向文档应用允许其分配权限的敏感度标签时，系统会提示用户在应用加密时指定其对用户和权限的选择。 对于此配置，用户而非管理员控制谁可以访问文档以及他们拥有哪些权限。
支持组织范围的自定义权限
对于在 Windows 中添加标签并使用 Office 网页版，当系统提示用户指定他们选择的用户和权限时，用户还可以指定域名。 输入域名后，权限将应用于拥有该域且位于 Microsoft Entra ID 中的组织中的所有用户。 若要确定支持此设置的最低版本，请使用 功能表 和行 允许用户分配权限：- 提示用户 (用户、组和组织的自定义权限) 。
注意
在最新版本的 Microsoft 365 for Windows 应用中更新了显示的对话框，但输入域名时，对组织范围自定义权限的支持仍然存在。 有关此支持的信息包含在弹出信息框中。
例如，用户键入 @contoso.com (或 contoso.com) 并授予读取权限。 由于 Contoso Corporation 拥有 contoso.com 域，因此该域中的所有用户以及该组织在 Microsoft Entra ID 中拥有的所有其他域都将被授予读取访问权限。
注意
指定这些值时，不要用引号括起来。
使用 Office 网页版时，键入 @ 字符将自动为组织中的每个人显示一个可选条目。 例如：
请务必让用户知道，访问权限不仅限于指定域中的用户。 例如，@sales.contoso.com 不仅限制对销售子域中用户的访问权限，还会向 marketing.contoso.com 域中的用户授予访问权限，甚至是同一Microsoft Entra租户中具有不连续命名空间的用户。 有关用户文档，请参阅 文件的自定义权限。
加密设置的配置示例
对于下面的每个示例，在选择配置访问控制设置选项时，从访问控制页面执行配置：
示例 1：应用“请勿转发”以将加密的电子邮件发送至 Gmail 帐户的标签
此标签仅显示 Outlook 和 Outlook 网页版，且你必须使用 Exchange Online。 在用户需要向使用 Gmail 帐户（或你组织外部的任何其他电子邮件帐户）的人员发送加密电子邮件时，指示这些用户选择此标签。
用户需在“收件人”框中键入 Gmail 电子邮件地址。 然后选中该标签，“请勿转发”选项会自动添加到电子邮件中。 这样的话，收件人就无法转发、打印或复制该电子邮件，也不能使用“另存为”选项在其邮箱之外保存该电子邮件。
在“ 访问控制 ”页上： 对于 “立即分配权限”还是让用户决定？ 选择“允许用户 在应用标签时分配权限”。
选择复选框：在 Outlook 中，强制实施与“请勿转发”选项等效的限制。
如果选中，请清除复选框：在 Word、PowerPoint 和 Excel 中提示用户指定权限。
选择“下一步”并完成配置。
示例 2：将只读权限局限于另一组织中的所有用户的标签
此标签适用于以只读形式共享非常敏感的文档，文档始终需要 Internet 连接才能查看。
此标签不适用于电子邮件。
在“*访问控制 ”页上： 对于 “立即分配权限还是让用户决定？ ”选择“ 立即分配权限”。
对于“允许脱机访问”，选择“从不”。
选择“分配权限”。
在“分配权限”窗格上，选择“添加特定电子邮件地址或域”。
在文本框中，输入另一组织中的域的名称，例如 fabrikam.com。 然后，选择“添加”。
选择“选择权限”。
在“选择权限”窗格中，选择下拉框，选择“查看者”，然后选择“保存”。
返回到“分配权限”窗格中，选择“保存”。
在 “访问控制 ”页上，选择 “下一步 ”并完成配置。
示例 3：将外部用户添加到加密内容的现有标签
添加的新用户将能够打开已使用此标签保护的文档和电子邮件。 授予这些用户的权限可能与现有用户拥有的权限不同。
在“ 访问控制 ”页上： 对于 “立即分配权限还是让用户决定？” 请确保已选择“ 立即分配权限” 。
选择“分配权限”。
在“分配权限”窗格上，选择“添加特定电子邮件地址或域”。
在文本框中，输入要添加的第一名用户（或组）的电子邮件地址，然后选择“添加”。
选择“选择权限”。
在“选择权限”窗格中，选择此用户（或组）的权限，然后选择“保存”。
返回到“分配权限”窗格，对要添加到此标签的每位用户（或组）重复步骤 3 到步骤 6。 然后单击“保存”。
在 “访问控制 ”页上，选择 “下一步 ”并完成配置。
示例 4：对内容进行加密但不限制可访问的人员的标签
此配置的优势在于，你无需指定用户、组或域即可加密电子邮件或文档。 内容仍将被加密，但你仍可指定使用权限、过期日期和脱机访问权限。
仅在无需限制谁可打开受保护文档或电子邮件时才使用此配置。 请参与 有关此设置的详细信息。
在“ 访问控制 ”页上： 对于 “立即分配权限还是让用户决定？” 请确保已选择“ 立即分配权限” 。
根据需要配置“用户访问内容的权限过期”和“允许脱机访问”。
选择“分配权限”。
在“分配权限”窗格中，选择“添加任何经过身份验证的用户”。
对于“用户和组”，你将看到认证用户已自动添加。 无法更改此值，只能将其删除，但这会取消选择“添加任何经过身份验证的用户”。
选择“选择权限”。
在“选择权限”窗格中，选择下拉框，选择所需的权限，然后选择“保存”。
返回到“分配权限”窗格中，选择“保存”。
在 “访问控制 ”页上，选择 “下一步 ”并完成配置。
有关加密内容的注意事项
加密最敏感的文档和电子邮件有助于确保只有授权人员可访问此数据。 但是，需要考虑以下注意事项：
如果与组织外部人员共享加密文档，可能需要创建来宾帐户并修改条件访问策略。 有关详细信息，请参阅《与外部用户共享加密的文档》。
当授权用户在其 Office 应用中打开加密文档时，将在其应用顶部的黄色消息栏中看到标签名称和说明。 当加密权限扩展到组织外部的人员时，请仔细查看打开文档时将在此消息栏中显示的标签名称和说明。
对于要同时编辑加密文件的多个用户，他们必须全部使用 Office 网页版，或者你已 为使用敏感度标签加密的文件启用共同创作，并且所有用户都具有 支持此功能的 Office 应用。 如果不是这种情况且文件已打开：
- 在 Office 应用（Windows、Mac、Android 和 iOS）中，用户会看到一条“文件正在使用中”消息，其中包含签出该文件的用户的姓名。 然后，他们可查看只读副本或保存和编辑文件副本，并可在文件可用时收到通知。
- 在 Web 版 Office 中，用户会看到一则错误消息，其中指出他们可与其他人一起编辑文档。 然后，他们可选择“在阅读视图中打开”。
如果尚未为使用 敏感度标签加密的文件启用共同创作 ，则 Office 应用中的 自动保存 功能将禁用加密文件。 用户会看到一条消息，其中指出文件具有受限权限且必须删除此权限才能启用“自动保存”。
Office for Windows 支持在用户未连接到 Internet 时应用加密的标签。 但对于其他平台（macOS、iOS、Android），用户必须处于联机状态才能在 Office 应用中应用这些标签。 Microsoft Purview 信息保护客户端也必须联机才能在文件资源管理器和 PowerShell 中应用这些标签。 用户无需联机即可打开加密内容。 有关脱机访问的详细信息，请参阅 Rights Management 使用许可证进行脱机访问 部分。
在 Office 应用（Windows、Mac、Android 和 iOS）中打开加密文件可能需要更长时间。
如果在 SharePoint 中签出文档时使用 Office 应用添加应用了加密的标签，并且用户随后放弃签出，则文档将保持含标签和加密状态。
除非已 为使用敏感度标签加密的文件启用共同创作，否则 Windows、Mac、Android 和 iOS) (Office 应用不支持加密文件的以下操作，并且用户会看到一条提示出现问题的错误消息。 但是，可将 SharePoint 功能用作替代项：
- 查看、还原和保存之前版本的副本。 作为替代方法，在启用和配置列表或库的版本控制时，用户可以使用 Office 网页版执行这些操作。
- 更改文件的名称或位置。 或者，用户可在 SharePoint 中对文档库中的文件、文件夹或链接重命名。
为了在已用敏感度标签加密的文件上获得更佳的协作体验，建议使用 SharePoint 和 OneDrive中 Office 文件的敏感度标签并使用 Web 版 Office。
后续步骤
需要与组织外的人员共享你的标记和加密文档吗？ 请参阅与外部用户共享加密文档。
若要使用敏感度标签加密 Teams 会议的视频和音频流，请参阅使用 敏感度标签保护日历项目、Teams 会议和聊天。