管理用於 Azure 資訊保護的個人資料

注意

您要尋找先前Microsoft 資訊保護 (MIP) Microsoft Purview 資訊保護嗎?

Azure 資訊保護統一標籤用戶端現在處於維護模式。 建議您使用內建在Office 365應用程式和服務的標籤。 瞭解更多資訊

當您設定及使用 Azure 資訊保護時,Azure 資訊保護服務會儲存及使用電子郵件地址和 IP 位址。 這種個人資料可以在以下各項中找到:

  • 保護服務的進階使用者和委派系統管理員

  • 保護服務的系統管理記錄

  • 保護服務的使用量記錄

  • Azure 資訊保護 用戶端和 RMS 用戶端的使用記錄

注意

此文章提供如何從裝置或服務刪除個人資料的步驟,並可以用來協助您符合 GDPR 的規範。 如果您要尋找有關 GDPR 的一般資訊,請參閱服務信任入口網站的 GDPR 小節 \(英文\)。

檢視 Azure 資訊保護所使用的個人資料

  • 統一標記用戶端

    針對統一標籤用戶端,敏感度標籤和標籤原則會在Microsoft Purview 合規性入口網站中設定。 如需詳細資訊,請參閱 Microsoft 365 文件

注意

當 Azure 資訊保護用來分類和保護文件與電子郵件時,電子郵件地址和使用者的 IP 位址可能會儲存在記錄檔中。

保護服務的進階使用者和委派系統管理員

執行Get-AipServiceSuperUser Cmdlet 和get-aipservicerolebasedadministrator Cmdlet,以查看哪些使用者已獲指派保護服務的進階使用者角色或全域系統管理員角色, (Azure Rights Management) 從 Azure 資訊保護。 至於已被指派為其中一個角色的使用者,會顯示他們的電子郵件地址。

保護服務的系統管理記錄

執行Get-AipServiceAdminLog Cmdlet,以從 Azure 資訊保護 取得保護服務的系統管理員動作記錄 (Azure Rights Management) 。 這個記錄檔包含電子郵件地址及 IP 位址等形式的個人資料。 記錄檔是純文字格式,而且在下載之後,可以離線搜尋特定系統管理員的詳細資料。

例如:

PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.

保護服務的使用量記錄

執行Get-AipServiceUserLog Cmdlet,以擷取使用 Azure 資訊保護保護服務的使用者動作記錄。 記錄檔可以包含電子郵件地址及 IP 位址等形式的個人資料。 記錄檔是純文字格式,而且在下載之後,可以離線搜尋特定系統管理員的詳細資料。

例如:

PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.

Azure 資訊保護 用戶端和 RMS 用戶端的使用記錄

當文件和電子郵件套用標籤和保護之後,電子郵件地址和 IP 位址可以儲存至使用者電腦以下位置中的記錄檔:

  • 針對 Azure 資訊保護統一標籤用戶端: %localappdata%\Microsoft\MSIP\Logs

  • 針對 RMS 用戶端: %localappdata%\Microsoft\MSIPC\msip\Logs

此外,Azure 資訊保護用戶端會將此個人資料記錄到本機 Windows 事件記錄檔應用程式和服務記錄>Azure 資訊保護

當 Azure 資訊保護用戶端執行掃描器時,個人資料會儲存至執行掃描器的 Windows Server 電腦上%localappdata%\Microsoft\MSIP\Scanner\Reports

您可以使用下列設定來關閉 Azure 資訊保護用戶端與掃描器的記錄資訊:

注意

如果您有興趣檢視或刪除個人資料,請檢閱Microsoft Purview 合規性管理員的指引,以及Microsoft 365 企業版合規性網站的 GDPR 一節。 如果您想要尋找 GDPR 的一般資訊,請參閱服務信任入口網站的 GDPR 一節

文件追蹤記錄檔

相關:Rights Management Service 保護僅適用于舊版追蹤入口網站

執行 Get-AipServiceDocumentLog Cmdlet,從檔追蹤網站擷取特定使用者的相關資訊。 若要取得與檔記錄相關聯的追蹤資訊,請使用 Get-AipServiceTrackingLog Cmdlet。

例如:

PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"


ContentId             : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer                : admin@aip500.onmicrosoft.com
Owner                 : admin@aip500.onmicrosoft.com
ContentName           :
CreatedTime           : 3/6/2018 10:24:00 PM
Recipients            : {
                        PrimaryEmail: johndoe@contoso.com
                        DisplayName: JOHNDOE@CONTOSO.COM
                        UserType: External,
                        PrimaryEmail: alice@contoso0110.onmicrosoft.com
                        DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
                        UserType: External
                        }
TemplateId            :
PolicyExpires         :
EULDuration           :
SendRegistrationEmail : True
NotificationInfo      : Enabled: False
                        DeniedOnly: False
                        Culture:
                        TimeZoneId:
                        TimeZoneOffset: 0
                        TimeZoneDaylightName:
                        TimeZoneStandardName:

RevocationInfo        : Revoked: False
                        RevokedTime:
                        RevokedBy:


PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"

ContentId            : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer               : admin@aip500.onmicrosoft.com
RequestTime          : 3/6/2018 10:45:57 PM
RequesterType        : External
RequesterEmail       : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation    : IP: 167.220.1.54
                       Country: US
                       City: redmond
                       Position: 47.6812453974602,-122.120736471666

Rights               : {VIEW,OBJMODEL}
Successful           : False
IsHiddenInfo         : False

沒有任何依照 ObjectID 進行的搜尋。 不過,您不會受限於 -UserEmail 參數,而且提供的電子郵件地址不需屬於您的租用戶。 如果提供的電子郵件地址儲存在文件追蹤記錄檔中的任何地方,那麼 Cmdlet 輸出會傳回文件追蹤項目。

保護與控制個人資訊存取

您在 Azure 入口網站中檢視和指定的個人資料,僅限於已被指派下列 Azure Active Directory 系統管理員角色之一的使用者存取:

  • Azure 資訊保護系統管理員

  • 合規性管理員

  • 合規性資料管理員

  • 安全性系統管理員

  • 安全性讀取者

  • 全域管理員

  • 全域讀取器

您使用 AIPService 模組 (或較舊的模組來檢視和指定的個人資料,AADRM) 只能供已獲指派Azure 資訊保護 系統管理員合規性系統管理員合規性資料管理員或 Azure Active Directory 的全域管理員角色,或保護服務的全域系統管理員角色存取。

更新個人資料

敏感度標籤和標籤原則是在Microsoft Purview 合規性入口網站中設定。 如需詳細資訊,請參閱 Microsoft 365 文件

針對保護設定,您可以從 AIPService 模組使用 PowerShell Cmdlet 來更新相同的資訊。

您無法更新進階使用者和委派系統管理員的電子郵件地址。 您要改為移除指定的使用者帳戶,然後使用已更新的電子郵件地址新增使用者帳戶。

保護服務的進階使用者和委派系統管理員

當您需要更新進階使用者的電子郵件地址時:

  1. 使用 Remove-AipServiceSuperUser 移除使用者和舊的電子郵件地址。

  2. 使用 Add-AipServiceSuperUser 來新增使用者和新的電子郵件地址。

當您需要更新委派系統管理員的電子郵件地址時:

  1. 使用 Remove-AipServiceRoleBasedAdministrator 移除使用者和舊的電子郵件地址。

  2. 使用 Add-AipServiceRoleBasedAdministrator 來新增使用者和新的電子郵件地址。

刪除個人資料

敏感度標籤和標籤原則是在Microsoft Purview 合規性入口網站中設定。 如需詳細資訊,請參閱 Microsoft 365 文件

針對保護設定,您可以從 AIPService 模組使用 PowerShell Cmdlet 來刪除相同的資訊。

若要刪除進階使用者和委派系統管理員的電子郵件地址,請使用 Remove-AipServiceSuperUser Cmdlet 和 Remove-AipServiceRoleBasedAdministrator移除這些使用者。

若要刪除檔追蹤記錄、系統管理記錄或保護服務使用記錄中的個人資料,請使用下一節來引發具有Microsoft 支援服務的要求。

若要刪除儲存在電腦上之用戶端記錄檔和掃描器記錄中的個人資料,請使用任何標準 Windows 工具來刪除檔案內的檔案或個人資料。

透過 Microsoft 支援服務刪除個人資料

使用下列三個步驟來要求 Microsoft 刪除檔追蹤記錄、系統管理記錄或保護服務使用記錄中的個人資料。

步驟 1:提出刪除要求連絡 Microsoft 支援服務以開立 Azure 資訊保護支援案例,提出從您的租用戶刪除資料的要求。 您必須證明您是 Azure 資訊保護租用戶的系統管理員,而且了解整個過程需要數天的時間才能得到確認。 提交要求時,會根據要刪除的資料,要求您提供其他資訊。

  • 若要刪除系統管理記錄檔,請提供結束日期。 在結束日期之前的所有系統管理記錄檔,將一律刪除。
  • 若要刪除使用情況記錄檔,請提供結束日期。 在結束日期之前的所有使用情況記錄檔,將一律刪除。
  • 若要刪除檔追蹤記錄,請提供 結束日期UserEmail。 所有與 UserEmail 相關的檔追蹤資訊,直到刪除該結束日期為止。 支援 UserEmail 的正則運算式 (Perl 格式) 。

此類資料一經刪除,即無法還原。 刪除要求一經處理之後,即無法還原資料。 建議系統管理員匯出必要的資料,然後再提交刪除要求。

步驟 2:等待驗證 Microsoft 會確認您要刪除一或多個記錄的要求是否合法。 整個過程最多需要五個工作日。

步驟 3:取得刪除確認 Microsoft 客戶支援服務 (CSS) 會傳送資料已經刪除的確認電子郵件。

探索個人資料

當您使用 AIPService 或 AADRM PowerShell Cmdlet 時,個人資料可供搜尋和匯出為 PowerShell 物件。 這類 PowerShell 物件可使用 ConvertTo-Json Cmdlet 轉換成 JSON 並儲存。

Azure 資訊保護根據個人資料的分析或行銷行為,遵循 Microsoft 隱私權條款

稽核與報告

只有已獲指派 系統管理員許可權 的使用者才能使用 AIPService 或 ADDRM 模組來搜尋和匯出個人資料。 這些作業會記錄在可下載的記錄管理檔中。

對於刪除動作,支援要求可做為 Microsoft 所執行動作的稽核及報告軌跡。 刪除之後,已刪除的資料將無法用於搜尋和匯出,而且系統管理員可以使用 AIPService 模組的 Get Cmdlet 來驗證這一點。