Estendere l'etichettatura di riservatezza in Windows

Il client Microsoft Purview Information Protection estende le etichette di riservatezza oltre le etichette integrate nelle app e nei servizi di Microsoft 365 e supporta una gamma più ampia di tipi di file.

Questo client viene eseguito solo in Windows e sostituisce il client di etichettatura unificata di Azure Information Protection (AIP). Ha i componenti seguenti:

Nessun componente aggiuntivo di Office con il client Microsoft Purview Information Protection perché questa funzionalità viene sostituita con etichette di riservatezza incorporate in Office.

Per le informazioni sulla versione più recenti e le sequenze temporali di supporto per ogni versione del client, vedere Client Microsoft Purview Information Protection - Gestione e supporto delle versioni.

Requisiti per la distribuzione del client di protezione delle informazioni

Per usare il client Microsoft Purview Information Protection, installare questo client nei computer Windows in cui si desidera usare i componenti client.

È inoltre necessario soddisfare i requisiti seguenti:

Installare o aggiornare il client di protezione delle informazioni

Se si installa il client Microsoft Purview Information in modo interattivo e viene rilevato il client di etichettatura unificata di Azure Information Protection (AIP), è possibile aggiornare il client precedente dopo aver riconosciuto che il componente aggiuntivo AIP per Office verrà rimosso.

Sono disponibili due opzioni per l'installazione del client di protezione delle informazioni:

• Installazione del client di protezione delle informazioni tramite il programma di installazione di.exe
• Installazione del client di protezione delle informazioni tramite il programma di installazione di.msi

Se si aggiorna lo scanner di protezione delle informazioni, dal client di etichettatura unificata di Azure Information Protection (AIP) o da una versione precedente del client di protezione delle informazioni, vedere Aggiornare lo scanner Microsoft Purview Information Protection prima di usare queste istruzioni di installazione client.

Percorsi dei file di registro

I file di log del client e dello scanner si trovano nei percorsi seguenti nel computer Windows:

• \ProgramFiles (x86)\Microsoft Purview Information Protection (solo sistemi operativi a 64 bit)
• \Programmi\Microsoft Purview Information Protection (solo sistemi operativi a 32 bit)
• %localappdata%\Microsoft\MSIP

Lingue supportate

Il client di protezione delle informazioni supporta le stesse lingue supportate da Office 365. Per un elenco di queste lingue, vedere la pagina di disponibilità internazionale di Office.

Per queste lingue, le opzioni di menu, le finestre di dialogo e i messaggi del client Microsoft Purview Information Protection vengono visualizzati nella lingua dell'utente. È disponibile un singolo programma di installazione che rileva la lingua, quindi non è necessaria alcuna configurazione aggiuntiva per installare il client di protezione delle informazioni per lingue diverse.

Tuttavia, i nomi e le descrizioni delle etichette specificati non vengono tradotti automaticamente quando si configurano le etichette nel portale di amministrazione. Per consentire agli utenti di visualizzare le etichette nella lingua preferita, fornire traduzioni personalizzate e configurarle per le etichette usando PowerShell e il parametro LocaleSettings per Set-Label. Per altre informazioni, vedere Configurazione di esempio per configurare un'etichetta di riservatezza per lingue diverse.

Tipi di file supportati

Questa sezione elenca i tipi di file supportati dal client Microsoft Purview Information Protection. Per i tipi di file elencati, i percorsi WebDav non sono supportati.

Cartelle e tipi di file esclusi

Per impedire agli utenti di modificare i file critici per le operazioni del computer, alcuni tipi di file e cartelle vengono esclusi automaticamente dalla classificazione e dall'etichettatura. Se gli utenti tentano di etichettare questi file usando il client di protezione delle informazioni, visualizzano un messaggio che informa che tali file sono esclusi.

Tipi di file che non possono essere crittografati per impostazione predefinita

Qualsiasi file protetto da password non può essere crittografato in modo nativo dal client a meno che il file non sia attualmente aperto nell'applicazione che applica la crittografia. Spesso vengono visualizzati file PDF protetti da password, ma anche altre applicazioni, ad esempio le app di Office, offrono questa funzionalità.

Tipi di file supportati per l'ispezione

Il client di protezione delle informazioni usa IFilter di Windows per esaminare il contenuto dei documenti. Windows IFilter viene usato da Windows Search per l'indicizzazione. Di conseguenza, è possibile controllare i tipi di file seguenti quando si usa il comando PowerShell Set-FileLabel -Autolabel .

Analisi dei file .ZIP

È possibile usare lo scanner di protezione delle informazioni o il comando PowerShell Set-FileLabel per esaminare i file .zip.

Dopo aver trovato informazioni riservate, se il file .zip deve essere etichettato e crittografato con un'etichetta, dalle istruzioni di distribuzione dello scanner specificare l'estensione del nome file .zip con l'impostazione avanzata PFileSupportedExtensions di PowerShell.

Scenario di esempio:

Un file denominato accounts.zip contiene fogli di calcolo di Excel con numeri di carta di credito. Si dispone di un'etichetta di riservatezza denominata Confidential \ Finance, configurata per individuare i numeri di carta di credito e applicare automaticamente l'etichetta con la crittografia che limita l'accesso al gruppo Finance.

Dopo aver esaminato il file, il client della sessione di PowerShell etichetta il file come Riservato \Finance. Il client applica quindi la crittografia generica al file in modo che solo i membri dei gruppi Finance possano decomprimerlo e rinomina il file accounts.zip.pfile.

Supporto per i computer disconnessi

Per impostazione predefinita, il client di protezione delle informazioni tenta automaticamente di connettersi a Internet per scaricare le etichette di riservatezza e le impostazioni dei criteri delle etichette di riservatezza da Microsoft Purview.

Se si dispone di computer che non possono connettersi a Internet per un certo periodo di tempo, è possibile esportare e copiare file che gestiscono manualmente i criteri per il client di protezione delle informazioni.

Per supportare i computer disconnessi dal client di protezione delle informazioni:

1. Scegliere o creare un account utente in Microsoft Entra ID che verrà usato per scaricare le etichette e le impostazioni dei criteri da usare nel computer disconnesso.

2. Come impostazione dei criteri di etichetta aggiuntiva per questo account, disattivare l'invio di dati di controllo a Microsoft Purview usando l'impostazione avanzata EnableAudit PowerShell con Set-LabelPolicy di Security & Compliance PowerShell.

   Questo passaggio è consigliabile perché se il computer disconnesso ha una connettività Internet periodica, invierà informazioni di registrazione a Microsoft Purview che includono il nome utente del passaggio 1. Tale account utente potrebbe essere diverso dall'account locale in uso nel computer disconnesso.

3. Da un computer con connettività Internet in cui il client di protezione delle informazioni è installato e ha eseguito l'accesso con l'account utente dal passaggio 1, scaricare le etichette e le impostazioni dei criteri.

4. Da questo computer esportare i file di log.

   Ad esempio, eseguire il cmdlet Export-DebugLogs oppure usare l'opzione Esporta log dalla finestra di dialogo Guida e feedback del client dall'etichetta file.

   I file di log vengono esportati come un singolo file compresso.

5. Aprire il file compresso e dalla cartella MSIP copiare tutti i file con estensione .xml.

6. Incollare questi file nella cartella %localappdata%\Microsoft\MSIP nel computer disconnesso.

7. Se l'account utente scelto è in genere connesso a Internet, abilitare di nuovo l'invio dei dati di controllo impostando il valore EnableAudit su True.

Tenere presente che se un utente di questo computer seleziona l'opzione Reimposta impostazioni dalla Guida e dai commenti e suggerimenti nell'etichettatore di file, questa azione elimina i file dei criteri e lascia inutilizzabile il client fino a quando non si sostituiscono manualmente i file o il client si connette a Internet in modo che possa scaricare i file necessari.

Se il computer disconnesso esegue lo scanner di protezione delle informazioni, è necessario eseguire altri passaggi di configurazione. Per altre informazioni, vedere Restrizione: Il server scanner non può avere connettività Internet dalle istruzioni di distribuzione dello scanner.

Personalizzazioni supportate

Il client di protezione delle informazioni supporta le impostazioni avanzate di PowerShell e alcune impostazioni del Registro di sistema che potrebbero essere necessarie per scenari o utenti specifici.

Per le impostazioni avanzate di PowerShell supportate con New-Label o Set-Label e New-LabelPolicy o Set-LabelPolicy da Security & Compliance PowerShell, vedere Impostazioni avanzate per il client Microsoft Purview Information Protection.

Usare le sezioni seguenti per configurare il Registro di sistema per le personalizzazioni supportate.

Abilitare l'aggiornamento non interattivo dal client Azure Information Protection

Se si installa il client Microsoft Purview Information Protection e viene rilevato il client di etichettatura unificata di Azure Information Protection, un'installazione interattiva del client richiede di riconoscere che il componente aggiuntivo AIP per Office dal client precedente verrà rimosso.

Per usare un'installazione non interattiva per il client, ad esempio Microsoft Update Catalog, Criteri di gruppo o scripting, è necessario disinstallare prima il client Azure Information Protection oppure creare e configurare la chiave del Registro di sistema seguente per il computer locale:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Impostare il valore su 1 per consentire automaticamente l'aggiornamento e disinstallare il componente aggiuntivo di Office AIP; 0 blocca l'aggiornamento se è installato il client Azure Information Protection.

Modificare il livello di registrazione locale

Per impostazione predefinita, il client Purview Information Protection scrive i file di log client nella cartella %localappdata%\Microsoft\MSIP . Questi file sono progettati per la risoluzione dei problemi dal supporto tecnico Microsoft.

Per modificare il livello di registrazione per questi file, individuare il nome del valore seguente nel Registro di sistema e impostare i dati del valore sul livello di registrazione richiesto:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Impostare il livello di registrazione su uno dei valori seguenti:

• Disattivato: nessuna registrazione locale.

• Errore: solo errori.

• Avviso: errori e avvisi.

• Info: registrazione minima, che non include ID evento (impostazione predefinita per lo scanner).

• Debug: informazioni complete.

• Traccia: registrazione dettagliata (impostazione predefinita per i client).

Questa impostazione del Registro di sistema non modifica le informazioni inviate al controllo di Microsoft Purview.

Abilitare le impostazioni dei limiti dei dati

In seguito all'impegno di Microsoft nei confronti dei limiti dei dati dell'UE, i clienti dell'UE che usano il client Microsoft Purview Information Protection possono inviare i propri dati all'UE per essere archiviati ed elaborati.

Attivare questa funzionalità nel client di protezione delle informazioni modificando la chiave del Registro di sistema seguente che specifica il percorso in cui inviare gli eventi:

• Chiave del Registro di sistema:HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
• Valori:
  • Default = 0
  • North_America = 1
  • European_Union = 2

Abilitare il browser predefinito del sistema per l'autenticazione

Usare il browser predefinito del sistema per l'autenticazione nel client Microsoft Purview Information Protection. Per impostazione predefinita, il client di protezione delle informazioni apre Microsoft Edge per l'autenticazione.

Attivare questa funzionalità nel client di protezione delle informazioni abilitando la chiave del Registro di sistema seguente:

• Chiave del Registro di sistema:HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
• Valori:
  • Disabled = 0
  • Enabled = 1

Nascondere l'opzione di menu "Applica etichetta di riservatezza con Microsoft Purview" in Esplora file

Per nascondere l'opzione di menu Applica etichetta di riservatezza con Microsoft Purview in Esplora file, creare la chiave del Registro di sistema DWORD seguente con il nome del valore LegacyDisable e i dati dei valori:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Come applicare etichette di riservatezza usando il client di protezione delle informazioni

Dopo aver installato il client Microsoft Purview Information Protection, è possibile applicare le etichette di riservatezza create e pubblicate usando:

• Esplora file

• PowerShell

• Lo scanner di protezione delle informazioni, dopo l'installazione e la configurazione

  Importante

  Se si esegue l'aggiornamento dal client di etichettatura unificata di Azure Information Protection (AIP), vedere Aggiornare lo scanner dal client Azure Information Protection (versione 2.x).

Per visualizzare i documenti crittografati, vedere Visualizzare i file protetti con il visualizzatore Microsoft Purview Information Protection.