開始使用資訊保護掃描器

注意事項

有新版的資訊保護掃描器。 如需詳細資訊，請參閱升級 Microsoft Purview 資訊保護掃描器。

從 Microsoft Purview 資訊保護安裝掃描器之前，請確定您的系統符合 Azure Rights Management 服務的需求。

此外，掃描器還滿足以下特定要求：

如果您無法符合掃描器列出的所有需求，因為它們為貴組織的原則所禁止，請參閱 替代設定 一節。

在生產環境中部署掃描器或測試多個掃描器的效能時，請參閱 SQL Server 的儲存需求和容量規劃。

當您準備好開始安裝和部署掃描器時，請繼續 設定和安裝資訊保護掃描器。

Windows Server 需求

您必須擁有 Windows Server 電腦才能執行掃描器，其具有下列系統規格：

規格 詳細資料
處理器 4 核心處理器
RAM 8 GB
磁碟空間 10 GB 的可用空間 (暫存檔案的平均) 。

掃描器需要有足夠的磁碟空間，才能為每個掃描的檔案建立暫存檔案，每個核心建立四個檔案。

建議的 10 GB 磁碟空間可讓 4 個核心處理器掃描 16 個檔案，每個檔案的檔案大小為 625 MB。
作業系統 受 Microsoft 生命週期原則支援的 64 位元版本的 Windows Server，包括延伸支援中的版本。 若要確認是否支援特定版本，請參閱 Windows Server 版本資訊。

注意：為了在非生產環境中進行測試或評估，您也可以使用 資訊保護用戶端支援的任何 Windows 作業系統。

不支援 Server Core 和 Nano Server。
- 網絡連接 您的掃描器電腦可以是實體電腦或虛擬電腦，具有快速可靠的網路連線到要掃描的資料儲存。

如果因為組織原則而無法使用網際網路連線，請參閱使用 替代組態部署掃描器。

否則，請確定這台電腦具有允許透過 HTTPS (連接埠 443 的以下 URL 的網際網路連線) ：

- *.aadrm.com
- *.azurerms.com
- *.informationprotection.azure.com
- informationprotection.hosting.portal.azure.net
- *.aria.microsoft.com
- *.protection.outlook.com
- *.events.data.microsoft.com
- config.edge.skype.com
NFS 共用 若要支援對 NFS 共用進行掃描，必須在掃描器機器上部署 NFS 服務。

在電腦上，瀏覽至 [Windows 功能] ([開啟或關閉 Windows 功能] 設定對話方塊) 然後選取下列項目： NFS>管理工具和NFS 用戶端的服務。
Microsoft Office iFilter 當您的掃描器安裝在 Windows 伺服器電腦上時，您也必須安裝 Microsoft Office iFilter，才能掃描 .zip 檔案中的敏感資訊類型。

如需詳細資訊，請參閱 Microsoft 下載網站。

服務帳戶需求

您必須擁有服務帳戶才能在 Windows Server 電腦上執行掃描器服務，以及向 Microsoft Entra ID 進行驗證並下載掃描器原則。

您的服務帳戶必須是 Active Directory 帳戶，並同步處理至 Microsoft Entra ID。

如果由於組織原則而無法同步處理此帳戶，請參閱 使用替代組態部署掃描器。

此服務帳戶具有下列需求：

需求 詳細資料
從本機登入 使用者權限指派 安裝和設定掃描器所需，但不需要執行掃描。

確認掃描器可以探索、分類和保護檔案後，您可以從服務帳戶中刪除此權限。

如果由於您的組織政策而無法在短時間內授予此權限，請參閱 使用替代配置部署掃描器。
以服務使用者 權限指派登入。 在掃描器安裝期間，此權限會自動授予服務帳戶，並且掃描器的安裝、設定和操作都需要此權限。
資料存放庫的權限 - 檔案共用或本機檔案：授與 掃描檔案的讀取、 寫入和 修改 權限，然後依設定套用分類和保護。

- SharePoint： 您必須授與完全控制權限才能掃描檔案，然後將分類和保護套用至符合Azure 資訊保護原則中條件的檔案。

- 探索模式：如果要只在探索模式下執行掃描器， 只有讀取 權限就足夠了。
對於重新保護或移除保護的標籤 若要確保掃描器永遠可以存取加密的檔案，請讓此帳戶成為 Azure Rights Management 服務的超級使用者，並確保已啟用超級使用者功能。

此外，如果您已針對分階段部署實作 上線控制 項，請確定服務帳戶包含在您已設定的上線控制項中。
特定 URL 層級掃描 若要掃描和探索 特定 URL 下的網站和子網站，請在陣列層級將 網站收集器稽核員 權限授與掃描器帳戶。
資訊保護授權 需要為掃描器服務帳戶提供檔案分類、標籤或保護功能。

如需詳細資訊，請參閱 Microsoft 365 安全性 & 合規性指引。

SQL Server 需求

若要儲存掃描器設定資料，請使用符合下列需求的 SQL Server：

  • 本機或遠端執行個體。

    我們建議您將 SQL Server 和掃描器服務裝載在不同的電腦上，除非您使用的是小型部署。 此外，我們建議您使用專用的 SQL 執行個體，僅服務於掃描器資料庫，且不與其他應用程式共用。

    如果您使用的是共用伺服器，請確定 建議的核心數 是空閒的，掃描器資料庫可以運作。

    SQL Server 2016 是下列版本的最低版本：

    • SQL Server Enterprise

    • SQL Server Standard

    • SQL Server Express (僅建議用於測試環境)

  • 具有系統管理員角色的帳戶，可安裝掃描器。

    系統管理員角色可讓安裝程序自動建立掃描器設定資料庫，並將必要的 db_owner 角色授與執行掃描器的服務帳戶。

    如果您無法獲得系統管理員角色，或您的組織原則要求手動建立和設定資料庫，請參閱 使用替代組態部署掃描器。

  • 容量。 如需容量指引，請參閱 SQL Server 的儲存需求和容量規劃。

  • 不區分大小寫的定序。

注意事項

當您為掃描器指定自訂叢集名稱，或使用掃描器的預覽版本時，支援在相同的 SQL 伺服器上使用多個組態資料庫。

SQL Server 的儲存需求和容量規劃

掃描器的設定資料庫所需的磁碟空間量以及執行 SQL Server 的電腦規格可能會因環境而異，因此我們建議您自行進行測試。 使用下列指導方針做為起點。

如需詳細資訊，請參閱 優化掃描器效能。

掃描器設定資料庫的磁碟大小會因每個部署而異。 使用下列方程式做為指引：

100 KB + <file count> *(1000 + 4* <average file name length>)

例如，要掃描平均檔案名稱長度為 250 位元組的 100 萬個檔案，請配置 2 GB 的磁碟空間。

針對多部掃描器：

  • 最多 10 部掃描器，使用：

    • 4 核心處理器
    • 建議使用 8-GB RAM

  • 超過 10 部掃描器 ( 最多 40) ，請使用：

    • 8 個核心流程
    • 建議使用 16-GB RAM

資訊保護用戶端需求

針對生產網路，您必須在 Windows Server 電腦上安裝 Microsoft Purview 資訊保護用戶端目前的正式發行版本。

如需詳細資訊，請參閱 安裝或升級資訊保護用戶端。

重要事項

您必須安裝掃描器的完整用戶端。 請勿只使用 PowerShell 模組來安裝用戶端。

標籤設定需求

您必須在 Microsoft Purview 入口網站中為掃描器帳戶設定至少一個敏感度標籤，才能套用分類，並選擇性地套用加密。

掃描器帳戶是您要在設定掃描器時執行的 Set-Authentication Cmdlet 的 DelegatedUser 參數中指定的帳戶。

如果您的標籤沒有自動貼標條件，請參閱下方 替代設定的指示 。

如需詳細資訊，請參閱：

SharePoint 需求

若要掃描 SharePoint 文件庫和資料夾，請確定您的 SharePoint 伺服器符合下列需求：

需求 描述
支援的版本： SharePoint Server 訂閱版本 (SPSE) 提供延伸支援。 如需詳細資訊，請參閱 SharePoint Server 支援原則 ：已更新、SharePoint Server SE 的產品維護原則。
版本設定 當您使用 版本設定時，掃描器會檢查並標記上次發佈的版本。

如果掃描器為檔案標示，且需要 內容核准 ，則必須核准該貼標籤的檔案，才能供使用者使用。
大型 SharePoint 伺服器陣列 對於大型 SharePoint 陣列，請檢查您是否需要將清單檢視臨界值 (預設為 5,000) ，掃描器才能存取所有檔案。

如需詳細資訊，請參閱 在 SharePoint 中管理大型清單和文件庫。
長檔案路徑 如果您在 SharePoint 中有很長的檔案路徑，請確定 SharePoint 伺服器的 httpRuntime.maxUrlLength 值大於預設的 260 個字元。

如需詳細資訊，請參閱下一節， 避免 SharePoint 中的掃描器逾時。

避免 SharePoint 中的掃描器逾時

如果您在 SharePoint 版本 2013 或更新版本中有長檔案路徑，請確定 SharePoint 伺服器的 httpRuntime.maxUrlLength 值大於預設的 260 個字元。

此值是在設定的 ASP.NETHttpRuntimeSection 類別中定義。

若要更新 HttpRuntimeSection 類別：

  1. 備份您的 web.config 設定。

  2. 根據需要更新 maxUrlLength 值。 例如：

    <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />

  3. 重新啟動 SharePoint 網頁伺服器，並確認是否正確載入。

    例如，在 Windows Internet Information Servers (IIS) 管理員中，選取您的網站，然後在 [管理網站] 底下選取 [ 重新啟動]。

Microsoft Office 需求

若要掃描 Office 文件，您的文件必須為下列其中一種格式：

  • Microsoft Office 97-2003
  • 適用於 Word、Excel 和 PowerPoint 的 Office Open XML 格式

如需詳細資訊，請參閱 支援的檔案類型。

檔案路徑需求

根據預設，掃描檔案的檔案路徑最多必須有 260 個字元。

若要掃描檔案路徑超過 260 個字元的檔案，請在具有下列其中一個 Windows 版本的電腦上安裝掃描器，並視需要設定電腦：

Windows 版本 描述
Windows 2016 或更新版本 設定電腦以支援長路徑
Windows 10 或 Windows Server 2016 定義下列 群組原則設定： 本機電腦原則>電腦設定>系統管理範本>所有設定>啟用 Win32 長路徑。

如需這些版本中長檔案路徑支援的詳細資訊，請參閱 Windows 10 開發人員文件中的 路徑長度上限 一節。
Windows 10 版本 1607 或更新版本 選擇使用更新的 MAX_PATH 功能。 如需詳細資訊，請參閱 在 Windows 10 版本 1607 及更新版本中啟用長路徑。

使用替代設定部署掃描器

上面列出的先決條件是掃描器部署的預設需求，並且建議使用，因為它們支援最簡單的掃描器設定。

預設需求應適合初始測試，以便您可以檢查掃描器的功能。

不過，在生產環境中，貴組織的原則可能與預設需求不同。 掃描器可以透過額外的配置來適應以下變化：

探索並掃描特定 URL 底下的所有 SharePoint 網站和子網站

掃描器可以使用下列設定，探索並掃描特定 URL 底下的所有 SharePoint 網站和子網站：

  1. 啟動 SharePoint 管理中心。

  2. 在 SharePoint 系統管理中心 網站的 [ 應用程式管理 ] 區段中，按一下 [ 管理 Web 應用程式]。

  3. 按一下以醒目提示您要管理其權限原則層級的 Web 應用程式。

  4. 選擇相關的伺服器陣列，然後選取 [ 管理權限原則等級]。

  5. 在 [網站集合權限] 選項中選取 [網站集合稽核員]，然後在 [權限] 清單中授予 [檢視應用程式頁面]，最後將新的原則層級命名為掃描器網站集合稽核員和檢視者。

  6. 將您的掃描器使用者新增至新原則，並在 [權限] 清單中授予 網站集合 。

  7. 新增託管需要掃描之網站或子網站之 SharePoint URL。 如需詳細資訊，請參閱 設定掃描器設定。

若要深入了解如何管理 SharePoint 原則層級，請參閱管理 Web 應用程式的權限原則。

限制：掃描器伺服器不能有網際網路連線

雖然資訊保護用戶端無法在沒有網際網路連線的情況下套用加密，但掃描器仍然可以根據匯入的原則套用標籤。

若要支援中斷連線的電腦，請使用下列其中一種方法：

在中斷連線的電腦上使用 Microsoft Purview 入口網站

若要支援無法連線到 Microsoft Purview 入口網站的電腦，請執行下列步驟：

  1. 請在原則中設定標籤，然後使用 支援中斷連線電腦的程序 來啟用離線分類和標籤。

  2. 如下所示啟用內容工作的離線管理：

    啟用內容掃描工作的離線管理：

    1. 使用 Set-ScannerConfiguration Cmdlet 將掃描器設定為在離線模式下運作。

    2. 建立掃描器叢集，在 Microsoft Purview 入口網站中設定掃描器。 如需詳細資訊，請參閱 設定掃描器設定。

    3. 使用 [匯出] 選項，從 [資訊保護 - 內容掃描工作] 窗格匯出您的內容工作。

    4. 使用 Import-ScannerConfiguration Cmdlet 匯入原則。

    離線內容掃描工作的結果位於： %localappdata%\Microsoft\MSIP\Scanner\Reports

在斷開連線的電腦上使用 PowerShell

執行下列程序，以僅使用 PowerShell 來支援中斷連線的電腦。

重要事項

Azure China 21Vianet 掃描器伺服器的系統管理員必須使用此程序來管理其內容掃描工作。

僅使用 PowerShell 管理內容掃描作業：

  1. 使用 Set-ScannerConfiguration Cmdlet 將掃描器設定為在離線模式下運作。

  2. 使用 Set-ScannerContentScan Cmdlet 建立新的內容掃描作業，請務必使用必要 -Enforce On 參數。

  3. 使用 Add-ScannerRepository Cmdlet 新增您的存放庫，並加上您要新增的存放庫路徑。

    提示

    若要防止存放庫從內容掃描工作繼承設定，請新增 OverrideContentScanJob On 參數以及其他設定的值。

    若要編輯現有存放庫的詳細資料，請使用 Set-ScannerRepository 命令。

  4. 使用 Get-ScannerContentScan 和 Get-ScannerRepository Cmdlet 來傳回內容掃描工作目前設定的相關資訊。

  5. 使用 Set-ScannerRepository 命令來更新現有存放庫的詳細資料。

  6. 如果需要，請使用 Start-Scan Cmdlet 立即執行內容掃描工作。

    離線內容掃描工作的結果位於： %localappdata%\Microsoft\MSIP\Scanner\Reports

  7. 如果您需要移除存放庫或整個內容掃描工作，請使用下列 cmdlet：

限制：系統管理員不得授予您，否則必須手動建立和設定資料庫

視需要使用下列程序手動建立資料庫並授與 db_owner 角色。

如果可以 暫時 授予您安裝掃描器的系統管理員角色，則可以在掃描器安裝完成後刪除此角色。

根據組織的需求，執行下列其中一個動作：

Restriction 描述
您可以暫時擁有系統管理員角色 如果您暫時擁有系統管理員角色，則會自動為您建立資料庫，並自動授與掃描器的服務帳戶所需的權限。

不過，設定掃描器的使用者帳戶仍需要掃描器組態資料庫的 db_owner 角色。 如果您在掃描器安裝完成之前只有系統管理員角色，請手動將 db_owner 角色授予使用者帳戶。
您根本不能擁有系統管理員角色 即使暫時無法授予您系統管理員角色，也必須在安裝掃描器之前請求具有系統管理員權限的使用者手動建立資料庫。

針對此設定，必須將 db_owner 角色指派給下列帳戶：
- 掃描器的服務帳戶
- 掃描器安裝的使用者帳戶
- 用於掃描器配置的使用者帳戶

通常，您將使用相同的使用者帳戶來安裝和設定掃描器。 如果您使用不同的帳戶，則它們都需要掃描器組態資料庫的 db_owner 角色。 根據需要建立此使用者和權限。 如果您指定自己的叢集名稱，則組態資料庫會命名為 AIPScannerUL_<cluster_name>。

此外：

  • 您必須是執行掃描器的伺服器上的本機系統管理員

  • 必須為執行掃描器的服務帳戶授與對下列登錄機碼的完全控制權限：

    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
    • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

如果在設定這些權限之後，您在安裝掃描器時看到錯誤，則可以忽略錯誤，而且您可以手動啟動掃描器服務。

手動為掃描器建立資料庫和使用者，並授與db_owner權限

如果您需要手動建立掃描器資料庫和/或建立使用者並授予資料庫 db_owner 權限，請要求您的系統管理員執行以下步驟：

  1. 建立掃描器的資料庫：

    **CREATE DATABASE AIPScannerUL_[clustername]**

**ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**

  2. 將權限授與執行安裝命令及用來執行掃描器管理命令的使用者。 使用下列指令碼：

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END

  3. 授與掃描器服務帳戶權限。 使用下列指令碼：

    if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END

限制：無法向掃描器的服務帳戶授與本 機登入 權限

如果您的組織原則禁止服務帳戶在本 機登入 權限，請使用 OnBehalfOf 參數與 Set-Authentication。

如需詳細資訊，請參閱 自動執行資訊保護標籤 Cmdlet。

限制：掃描器服務帳戶無法同步至 Microsoft Entra ID，但伺服器有網際網路連線能力

您可以有一個帳戶來執行掃描器服務，然後使用另一個帳戶來驗證 Microsoft Entra ID：

  • 針對掃描器服務帳戶，請使用本機 Windows 帳戶或 Active Directory 帳戶。

  • 針對 Microsoft Entra 帳戶，請在 Set-Authentication Cmdlet 的 DelegatedUser 參數中指定 Microsoft Entra 使用者。

    如果您在掃描器帳戶以外的任何使用者下執行掃描，請務必在 OnBehalfOf 參數中也指定掃描器帳戶。

    如需詳細資訊，請參閱 自動執行資訊保護標籤 Cmdlet。

限制：您的標籤沒有自動標籤條件

如果您的標籤沒有任何自動標記條件，請計劃在配置掃描器時使用以下選項之一：

選項 描述
探索所有資訊類型 在 內容掃描工作中，將 [ 要探索的資訊類型 ] 選項設定為 [全部]。

此選項會將內容掃描工作設定為掃描內容以尋找所有敏感性資訊類型。
使用建議的標籤 在 內容掃描工作中，將 [將建議的標籤視為自動 ] 選項設為 [開啟]。

此設定會設定掃描器，以自動將所有建議的標籤套用至您的內容。
定義預設標籤 在 原則、 內容掃描工作或 儲存庫中定義預設標籤。

在這種情況下，掃描器會在找到的所有檔案上套用預設標籤。

後續步驟

確認您的系統符合掃描器必要條件後，請繼續 設定和安裝資訊保護掃描器。

如需掃描器的概觀，請參閱 瞭解資訊保護掃描器。

  • 上次更新時間：