了解敏感度标签

Microsoft Purview 服务说明

注意

如果要查找有关可在 Office 应用中看到且可选择的敏感度标签的信息，请检查其文档。 例如， 将敏感度标签应用于文件。

本页上的信息适用于可以使用 Microsoft Purview 管理解决方案创建和配置这些标签的 IT 管理员。

为了完成工作，组织中的人员需要与组织内外的其他人协作。 这种协作意味着内容不再受防火墙保护，而是可以跨设备、应用和服务随处漫游。 当内容漫游时，你希望它以符合组织业务和合规性策略的安全、受保护的方式进行漫游。

通过 Microsoft Purview 信息保护中的敏感度标签，可以对组织的数据进行分类和保护，同时确保用户工作效率及其协作能力不受影响。

下面的 Excel 示例显示了用户如何从窗口栏中看到已应用的敏感度标签，以及如何使用最新版本的 Office 提供的 敏感度栏 轻松更改标签。 也可从功能区的“开始”选项卡上的“敏感度”按钮找到这些标签。

若要应用敏感度标签，用户必须使用其 Microsoft 365 工作或学校帐户登录。

注意

对于美国政府租户，所有平台都支持敏感度标签。

如果使用 Microsoft Purview 信息保护 客户端和扫描程序，请参阅 Azure 信息保护 Premium 政府版服务说明。

借助敏感度标签，你可以：

• 提供包含加密和内容标记的保护设置。 例如，将“机密”标签应用于文档或电子邮件，该标签将加密内容并应用“机密”水印。 内容标记包括页眉和页脚以及水印，加密还可以限制指定人员可以对内容执行的操作。

• 在为 SharePoint 文档库配置默认敏感度标签并选择用于扩展对未加密文件的保护的选项时，在下载文件时扩展 SharePoint 保护。 然后，下载这些文件后，当前 SharePoint 权限将随标记的文件一起传输。

• 跨不同平台和设备保护 Office 应用中的内容。 受 Office 桌面应用和 Office 网页版上的 Word、Excel、PowerPoint 和 Outlook 支持。 在 Windows、macOS、iOS 和 Android 上受支持。 对于其他应用，请检查其文档。

• 利用 Microsoft Defender for Cloud Apps 保护第三方应用和服务中的内容。 借助 Defender for Cloud Apps，你可以检测、分类、标记和保护第三方应用和服务（如 SalesForce、Box 或 DropBox）中的内容，即使第三方应用或服务不读取或支持敏感度标签。

• 确定电子数据展示事例的内容。 用于在电子数据展示中创建搜索查询的条件生成器支持应用于内容的敏感度标签。 例如，作为电子数据展示事例的一部分，将内容限制为具有“高度机密”敏感度标签的文件和电子邮件。 或者相反，将内容排除到具有“公共”敏感度标签的文件和电子邮件中。

• 保护容器，其中包括 Teams、Microsoft 365 组、SharePoint 网站、Viva Engage 社区和 Loop 工作区。 例如，设置隐私设置、外部用户访问和外部共享、从非托管设备访问，以及控制与其他团队共享频道的方式。

• 通过标记 (和（可选）加密) 会议邀请和任何回复来保护会议和聊天，并强制执行 Teams 特定于会议和聊天的选项。

• 将敏感度标签扩展到 Power BI：启用此功能后，可以在 Power BI 中应用和查看标签，并在数据保存在服务之外时保护数据。

• 将敏感度标签扩展为 Microsoft Purview 数据映射中的资产：启用此功能时（目前为预览版），可以在Microsoft Purview 数据映射中将敏感度标签应用于文件和架构化的数据资产。 架构化的数据资产包括 SQL、Azure SQL、Azure Synapse、Azure Cosmos DB 和 AWS RDS。

• 将灵敏度标签扩展到第三方应用程序和服务。 借助 Microsoft 信息保护 SDK，第三方应用可读取敏感度标签和应用保护设置。

• 在不使用任何保护设置的情况下标记内容。 您还可以仅应用标签以识别数据的敏感度。 此操作为用户提供组织数据敏感度的可视化映射，并且标签可以为具有不同敏感度级别的数据生成使用情况报告和活动数据。 根据此类信息，稍后随时可以选择应用保护设置。

• 使用智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®时保护数据。 Copilot 和代理识别敏感度标签并将其集成到用户交互中，以帮助保护标记的数据。 有关详细信息，请参阅以下部分：智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®和智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶® 对话助手的敏感度标签。

在所有这些情况下，Microsoft Purview 中的敏感度标签都可帮助你针对各个内容采取恰当的操作。 使用敏感度标签，可以确定整个组织中数据的敏感度，并且标签可以强制实施适合该数据敏感度的保护设置。 然后，这种保护将与内容同在。

有关受敏感度标签支持的这些和其他场景的详细信息，请参阅敏感度标签的常见场景。 若要查看如何使用敏感度标签，请查看 Microsoft Purview 门户中的报表。

目前正在开发支持敏感度标签的新功能，因此你可能还会发现检查 Microsoft 365 路线图 非常有用。

什么是敏感度标签

为内容分配敏感度标签时，它就像一个图章一样应用。 标签为：

• 可自定义。 您可以创建符合组织针对不同级别敏感内容的特定业务需求的类别。 例如，可以使用个人、公共、常规、机密和高度机密等类别。

• 明文。 由于标签以明文形式存储在文件和电子邮件的元数据中，因此第三方应用和服务可以读取它，然后根据需要应用自己的保护操作。

• 永久。 由于标签存储在文件和电子邮件的元数据中，因此无论您将其保存或存储在何处，标签都会与内容一起保留。 组织唯一的标签标识成为应用和强制实施您配置的策略的基础。

当组织中的用户查看应用的敏感度标签时，它会显示为应用上的标记，可以轻松集成到其现有工作流中。 来自其他组织或来宾的用户无法在应用中看到你的敏感度标签。

以下示例显示了一封打开的电子邮件，其中另一位用户应用了名为“ 常规”的敏感度标签，该标签不应用加密。 管理员提供的标签说明向用户显示有关此敏感度标签标识的数据类别的更多详细信息。

注意

不要将敏感度标签与 Outlook 的内置 敏感度级别 混淆，后者指示发件人的意图，但无法提供数据安全性。

支持敏感度标签的每个项都可以从组织中应用单个敏感度标签。 文档和电子邮件可同时具有敏感度标签和保留标签应用。

敏感度标签有何用途

将敏感度标签应用于内容（如电子邮件、会议邀请、文档或 Loop 页面）后，标签会对内容强制实施任何已配置的保护设置。 可将敏感度标签配置为：

• 通过对电子邮件、会议邀请和文档使用加密来控制对内容的访问，以防止未经授权的人访问此数据。 您还可以选择哪些用户或组有权执行哪些操作以及执行多长时间。 例如，你可以选择允许组织中的所有用户修改文档，而其他组织中的特定组只能查看该文档。 或者，可允许用户在应用标签时分配对内容的权限，而不是管理员分配权限。

  有关创建或编辑敏感度标签时基于加密的访问控制设置的详细信息，请参阅在敏感 度标签中使用加密限制对内容的访问。

• 使用 Office 应用时，通过向应用了标签的电子邮件、会议邀请或文档添加水印、页眉或页脚来标记内容。 可以将水印应用于文档和 Loop 组件和页面，但不能应用于电子邮件或会议邀请。 对于其他应用，请检查其文档。 页眉和水印示例：

  

  内容标记也支持变量。 例如，在页眉、页脚或水印中插入标签名称或文档名称。 有关详细信息，请参阅 使用变量标记内容。

  需要检查何时应用内容标记？ 请参阅 Office 应用何时应用内容标记和加密。

  如果你有基于特定文档的模板或工作流，请用所选内容标记测试这些文档，然后再将标签提供给用户。 需要注意的一些字符串长度限制：

  水印的长度限制为 255 个字符。 页眉和页脚限制为 1024 个字符（Excel 除外）。 对于页眉和页脚，Excel 总限制为 255 个字符，但此限制包括不可见的字符，例如格式代码。 如果达到该限制，输入的字符串将不会显示在 Excel 中。

• 启用对容器使用敏感度标签的功能时，保护容器中的内容（如网站和组）。

  如果启用此功能，则无法为组和网站配置保护设置。 此标签配置不会导致自动标记单个项目，而是标签设置通过控制对可存储内容的容器的访问来保护内容。 这些设置包括隐私设置、外部用户访问和外部共享、从非托管设备访问、私人团队可发现性和频道共享控制。

• 自动将标签应用于文件和电子邮件，或推荐标签。 选择如何识别要标记的敏感信息，可以自动应用标签，也可以使用策略提示提示用户应用推荐的标签。 如果您推荐标签，则可以自定义提示，但以下示例显示了自动生成的文本：

  

  有关创建或编辑敏感度标签时文件和电子邮件的自动标记设置的详细信息，请参阅自动将敏感度标签应用于适用于 Office 应用的 Microsoft 365 数据和 Microsoft Purview 数据映射中的标签。

• 为 SharePoint 网站和单个文档设置默认共享链接类型。 为了帮助防止用户过度共享，请设置用户从 SharePoint 和 OneDrive 共享文档时的 默认范围和权限 。

有关更多标签配置，请参阅 管理 Office 应用的敏感度标签。

标记范围

创建敏感度标签时，需要选择标签的范围。 作用域确定两件事：

• 可为该标签配置的标签设置
• 标签对应用和服务的可用性，包括用户是否可以查看和选择标签

此范围配置意味着你可以拥有仅适用于文件、电子邮件和会议等项目的敏感度标签，而不能为组和网站选择这些标签。 同样，可以有仅适用于组和网站的敏感度标签，不能为项选择。

默认情况下，始终为新标签选择Files &其他数据资产范围。 除了 Office、Loop 和 Power BI 的文件外，它还包括 Microsoft Fabric 中的项，以及将敏感度标签扩展到 Microsoft 365 之外时 Microsoft Purview 数据映射的数据资产。 有关哪些项支持敏感度标签的详细信息，请参阅：

• 对于 Office 文件： 支持的 Office 文件类型
• 对于 Microsoft Loop：用于保护 Loop 组件和页面的敏感度标签
• 对于 Power BI： 支持的导出路径
• 对于 Microsoft Fabric： Microsoft Fabric 中的信息保护
• 对于数据映射： 连接到数据映射的数据源

对于其他应用，请检查其文档。 对敏感度标签的支持不断扩展。

通常，选择“电子邮件”范围Files &其他数据资产，因为电子邮件通常将文件作为附件包含在内，并且具有相同的敏感度。 许多标签功能需要同时选择这两个选项，但有时您可能希望新标签仅适用于电子邮件。 有关详细信息，请参阅 将标签范围限定为文件或电子邮件。

会议范围包括日历事件、Teams 会议选项和团队聊天。 您还必须为此选项选择 Files & 其他数据资产范围 和 电子邮件 范围。 有关此标记方案的详细信息，请参阅使用 敏感度标签保护日历项目、Teams 会议和聊天。

默认情况下，当你为容器启用敏感度标签并同步标签时，“组 & 网站”范围将变为可用和选中状态。 通过此选项，可以通过标记 SharePoint 网站、Teams 网站、Viva Engage 社区和 Loop 工作区中的内容，但不标记其中的项目，从而保护这些工作区中的内容。

注意

以前在架构化数据资产范围内的项现在包含在Files &其他数据资产中。

如果未选择一个或多个范围，则会看到这些范围的配置设置的第一页，但无法配置这些设置。 对于具有不可用选项的页面，请选择 “下一步 ”以继续配置下一个作用域的设置。 或者，选择“返回”更改标签的范围。

标签优先级（顺序非常重要）

在 Microsoft Purview 门户中创建敏感度标签时，它们将显示在信息保护的“标签”页上的列表中。 在此列表中，标签的顺序很重要，因为它设置了它们的优先级。 你希望限制性最强的敏感度标签（如高度机密）显示在 列表底部， 而限制性最弱的敏感度标签（如个人或公共）显示在 顶部。

可仅将一个敏感度标签应用于文档、电子邮件或容器等项目。 如果使用的选项要求用户提供理由，将文件、电子邮件和会议的标签更改为较低敏感度，则此列表的顺序将标识较低敏感度。 但是，此选项不适用于共享其父标签优先级的子标签，也不适用于保护容器的数据资产或标签。

注意

如果您使用的是用标注组替换父标注的 现代标注方案 ，则同一标注组中的子标注也不支持对齐设置。

不过，子标签的优先级用于 自动标签。 配置自动标记策略时，多个标签可能会导致多个匹配。 然后，选择最后一个敏感标签，然后选择最后一个子标签（如果适用）。 当您将自动标记标签设置配置 (而不是) 子标签本身的自动标记策略时，当这些标签共享相同的父标签或标签组时，行为会略有不同。 例如，为自动标注配置的子标签优先于为推荐标注配置的子标签。 有关详细信息，请参阅在多个条件适用于多个标签时如何评估这些条件。

子标签的优先级也用于 从电子邮件附件继承标签。

选择敏感度标签时，可以通过使用以下选项将其移动到列表顶部或底部（如果它不是子标签）、将其向上或向下移动一个标签，或直接分配优先级编号来更改其优先级。 例如：

使用父标签或标签组的子标签

你可能经常希望在两层层次结构中对敏感度标签进行逻辑分组，以表示整体敏感度级别，但为标签提供不同的设置。 例如，默认敏感度标签：

机密

• 任何人 (不受限制的)
• 所有员工
• Trusted People

在应用中，用户首先看到 “机密” ，然后必须选择其他敏感度标签之一，如 “所有员工”。 应用的敏感度标签则为 “机密”\“所有员工”。

第二层的敏感度标签不会继承第一层标签的任何设置，但标签颜色除外。 在我们的示例中， “机密” 标签只是一个没有保护设置的文本标签，不能单独应用于内容。

在此两层层次结构中对标签进行分组的初始实现使用了父标签和子标签。 父标签的配置看起来与子标签的配置相同，但在子标签发布给用户时行为不同。

为了降低这种复杂性，标签组现在正在替换父标签。 标签组对用户的外观和行为相同，但仅对其支持的设置具有配置选项：标签名称、说明、颜色和优先级。 您不能发布标签组本身，只能发布分组中的标签。

如果您仍在使用带有子标签的父标签：请勿选择父标签作为默认标签，或将父标签配置为自动应用 (或推荐的) 。 如果这样做，则无法应用父标签。

子标签如何向用户显示的示例：

如果需要，可以手动将父标签转换为标签组。 有关详细信息，请参阅 将父敏感度标签迁移到标签组。

编辑或删除敏感度标签

如果从 Microsoft Purview 门户中删除敏感度标签，则不会自动从内容中删除该标签，并且将继续对应用了该标签的内容强制实施任何保护设置。

如果编辑敏感度标签，则应用于内容的标签版本是对该内容强制执行的。

若要详细了解删除敏感度标签时会发生什么情况，以及此操作与从敏感度标签策略中删除标签有何不同，请参阅 移除和删除标签。

每个租户的敏感度标签限制

单个租户可以拥有大量敏感度标签， (1,000+ 个) ，但有一个例外： 如果标签应用指定用户和权限的加密，则此配置支持的每个租户最多支持 500 个标签。 但是，作为降低管理员开销和降低用户复杂性的最佳实践，请尽量将标签数量保持在最低限度。

提示

实际部署表明，当用户具有超过五个主标签或每个主标签超过五个子标签时，有效性会明显降低。 你可能还会发现，当发布给同一用户的标签过多时，某些应用程序无法显示所有标签。

标签策略有何用途

创建灵敏度标签后，需要进行发布，以便组织中的人员和服务可以使用它们。 然后，敏感度标签可以应用于 Office 文档和电子邮件以及其他支持敏感度标签的项目。

与发布到诸如所有 Exchange 邮箱等位置的保留标签不同，敏感标签发布到用户或组。 然后，支持敏感度标签的应用可以将其作为他们可以应用的标签显示给这些用户和组。

尽管默认格式是将标签发布给组织中的所有用户，但多个标签策略允许你根据需要向不同的用户发布不同的敏感度标签。 例如，所有用户都会看到他们可以应用的“公开”、“常规”和“机密”标签，但只有法务部门的用户还会看到他们可以应用的“高度机密”标签。

同一组织中的所有用户都可以看到应用于内容的敏感度标签的名称，即使该标签未发布给他们。 他们看不到其他组织的敏感度标签。

配置发布标签策略时，可以：

• 选择可查看标签的用户和组。 可以发布标签以包括或排除特定用户和受支持的组。 支持的组包括安全组 (启用电子邮件或未启用电子邮件的) 、通讯组和 Microsoft 365 组。 Microsoft 365 组也可以具有 动态成员身份。

  重要

  用户和组范围的效果取决于敏感度标签是否应用保护：

  无保护的标签： 发布策略范围确定哪些用户可以查看和应用标签。

  带保护的标签： 发布策略仍确定谁可以查看和应用标签。 对受保护内容的访问权限也受 Azure Rights Management 的约束。 Azure Rights Management 不支持未启用电子邮件的安全组或排除项进行保护。 确保需要访问的用户和组受保护配置支持和授权。

• 为未标记的文档和Loop组件和页面、电子邮件和会议邀请、为容器) 启用敏感度标签时 (的新容器指定默认标签，并为 Power BI 内容指定默认标签。 可以为所有五种类型的项指定相同的标签，也可以为不同的标签。 用户可以更改已应用的默认敏感度标签，以更好地匹配其内容或容器的敏感度。

  考虑使用默认标签来设置你想要应用于所有内容的基本级别的保护设置。 但是，如果没有用户培训和其他控件，此设置也会导致标签不准确。 最好不要选择应用加密的标签作为文档的默认标签。 例如，许多组织需要向外部用户发送并与其共享文档，这些用户可能不具有支持加密的应用，或者他们可能未使用可以获得授权的帐户。 有关此方案的详细信息，请参阅与外部用户共享加密的文档。

• 要求提供更改标签的理由。 对于文件、电子邮件和会议，但不适用于 Teams 和 SharePoint) (使用的组和网站，如果用户尝试删除标签或将其替换为具有较低优先级的标签，则默认情况下，用户必须提供执行此操作的理由。 例如，用户打开一个标记为“机密”（订单号 3）的文档，并将该标签替换为一个名为“公共”（订单号 1）的文档。 对于 Office 应用，每个应用会话会触发一次此理由提示。 使用 Microsoft Purview 信息保护客户端时，会为每个文件触发提示。 管理员可以阅读活动资源管理器或网站中的 更改。

  

• 要求用户为 不同类型的项和支持敏感度标签的容器应用标签。 这些选项也称为强制标签，可确保在用户保存文件并发送电子邮件或会议邀请、创建新组或网站以及将未标记的内容用于 Power BI 之前必须应用标签。

  该标签可由用户手动分配，由于您配置的条件或默认分配的条件（如上所述的 "默认标签" 选项）而自动分配。 要求用户分配标签时的示例提示：

  

  有关文档和电子邮件的强制标签的详细信息，请参阅要求用户应用标签到他们的电子邮件和文档。

  对于容器，必须在创建组或网站时分配标签。

  有关 Power BI 强制标签的详细信息，请参阅 Power BI 的强制标签策略。

  考虑使用此选项帮助增加标签的覆盖范围。 但是，如果没有用户培训，此设置也会导致标记不准确。 此外，除非你还设置了相应的默认标签，否则强制标记可能会使你的用户因更频繁地收到提示而感到沮丧。

• 为自定义帮助页面提供帮助链接。 如果用户不确定敏感度标签的含义或应如何使用它们，则可以提供“了解详细信息”URL，该 URL 显示在 Office 应用中可用敏感度标签的列表后面。 例如：

  

有关更多标签策略配置，请参阅 管理 Office 应用的敏感度标签。

创建将新敏感度标签分配给用户和组的发布标签策略后，用户将开始在其 Office 应用中看到这些标签。 请留出长达 24 小时的时间将最新更改复制到整个组织内。

标签策略优先级（顺序非常重要）

可以在敏感度标签策略中发布敏感度标签以向用户提供，该策略显示在“标签策略”页面的列表中。 就像敏感度标签(请参阅 标签优先级(顺序很重要))一样，敏感度标签策略的顺序也很重要，因为它反映了其优先级: 优先级最低的标签策略显示在列表顶部，顺序号 最低，优先级最高的标签策略显示在列表底部，顺序号 最高。

标签策略包括：

• 一组标签。
• 将分配带有标签策略的用户和组。
• 该作用域的策略和策略设置的范围（如文件和电子邮件的默认标签）。

可以在多个标签策略中包含一个用户，用户将从这些策略中获取所有敏感度标签和设置。 如果多个策略的设置存在冲突，则应用具有最高优先级 (最高序号) 的策略中的设置。 换句话说，每个设置的最高优先级优先。

如果看不到预期用户或组的标签策略设置行为，请检查敏感度标签策略的顺序。 可能需要向下移动该策略。 若要对标签策略重新排序，请选择敏感度标签策略，选择该条目的“操作”省略号，然后选择“ 下移” 或 “上移”。 例如：

在前面显示三个标签策略的屏幕截图示例中，为所有用户分配了标准标签策略，因此最好将其具有最低优先级 (最低顺序号 0) 。 仅为 IT 部门中的用户分配顺序号为 1 的第二项策略。 对于这些用户，如果其策略与标准策略之间的设置存在任何冲突，则其策略中的设置将获胜，因为它的顺序号更高。

同样，对于法务部门中的用户，为其分配了具有不同设置的第三项策略。 这些用户可能有更严格的设置，因此他们的策略最好具有最高序号。 来自法律部门的用户不太可能在同时分配给 IT 部门策略的组中。 如果是这样，订单号 2 (最高订单号) 可确保在发生冲突时，法律部门的设置始终优先。

注意

请记住： 如果分配了多个策略的用户的设置冲突，则应用具有最高顺序编号的已分配策略中的设置。

智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®和智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶® 对话助手的敏感度标签

智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®、智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶® 对话助手和 Copilot 代理可识别并使用你应用的敏感度标签来保护组织的数据。 这些标签提供了额外的保护层。 例如，在可以引用不同类型项中数据的 智能 Microsoft 365 Copilot 副驾驶® 对话助手 对话中，用户会看到优先级最高的敏感度标签， (通常是限制性最强的标签) 。 同样，当 Copilot 和代理支持敏感度标签继承时，它们会选择优先级最高的敏感度标签。

如果标签应用 Microsoft Purview 信息保护的加密，Copilot 和代理将检查用户的使用权限。 然后，仅当向用户授予从项目复制 (EXTRACT 使用权限) 的权限时，Copilot 和代理才会从该项目返回数据。

有关使用 Copilot 和其他 AI 应用时敏感度标签如何帮助保护数据的更多详细信息，请参阅以下文章：

• 适用于生成式 AI 应用的 Microsoft Purview 数据安全性和合规性保护
• 使用 Microsoft Purview 管理 智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶® & 智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶® 对话助手 的数据安全性 & 合规性
• 管理智能 智能 Microsoft 365 Copilot 副驾驶® 副驾驶®以实现安全性和合规性的注意事项

敏感度标签和 Azure 信息保护

旧的标签客户端（Azure 信息保护 统一标签客户端）现在已替换为 Microsoft Purview 信息保护 客户端，以将 Windows 上的标签扩展到 文件资源管理器、PowerShell、本地扫描程序，并提供加密文件的查看器。

Office 应用支持订阅版本的 Office 的敏感度标签，例如 Microsoft 365 企业应用版。

敏感度标签和 Microsoft 信息保护 SDK

由于敏感度标签存储在文档的元数据中，因此第三方应用和服务可以从此标签元数据读取标签元数据并写入内容，以补充标签部署。 此外，软件开发人员可以使用 Microsoft 信息保护 SDK 在多个平台之间全面支持标签和加密功能。 若要了解详细信息，请参阅技术社区博客上的“正式发布”公告。

你还可以了解与 Microsoft Purview 信息保护集成的合作伙伴解决方案。

部署指南

有关部署规划和指南（包括许可信息、权限、部署策略、支持的方案列表和最终用户文档），请参阅 敏感度标签入门。

如需了解如何使用敏感度标签以遵守数据隐私法规，请参阅使用 Microsoft 365 为数据隐私法规部署信息保护。