Estender a rotulagem de confidencialidade no Windows

O cliente do Microsoft Purview Information Protection expande as etiquetas de confidencialidade para além das etiquetas incorporadas nas aplicações e serviços do Microsoft 365 e suporta uma maior variedade de tipos de ficheiros.

Este cliente é executado apenas no Windows e substitui o cliente de etiquetagem unificada do Azure Information Protection (AIP). Tem os seguintes componentes:

Não existe nenhum Suplemento do Office com o cliente do Microsoft Purview Information Protection porque esta funcionalidade é substituída por etiquetas de confidencialidade incorporadas no Office.

Para obter as informações de versão mais recentes e as linhas cronológicas de suporte para cada versão do cliente, consulte Cliente do Microsoft Purview Information Protection – Gestão de versões e suporte.

Requisitos para implementar o cliente de proteção de informações

Para utilizar o cliente do Microsoft Purview Information Protection, instale este cliente em computadores Windows onde pretende utilizar os componentes do cliente.

Também tem de cumprir os seguintes requisitos:

Instalar ou atualizar o cliente de proteção de informações

Se instalar o cliente de Informações do Microsoft Purview interativamente e o cliente de etiquetagem unificada do Azure Information Protection (AIP) for detetado, pode atualizar o cliente mais antigo depois de confirmar que o Suplemento AIP para Office será removido.

Existem duas opções para instalar o cliente de proteção de informações:

• Instalar o cliente de proteção de informações com o instalador do.exe
• Instalar o cliente de proteção de informações com o instalador do.msi

Se estiver a atualizar o analisador de proteção de informações, seja a partir do cliente de etiquetagem unificada do Azure Information Protection (AIP) ou de uma versão anterior do cliente de proteção de informações, consulte Atualizar o analisador do Microsoft Purview Information Protection antes de utilizar estas instruções de instalação do cliente.

Localizações do arquivo de log

Os ficheiros de registo do cliente e do scanner estão localizados nas seguintes localizações no computador Windows:

• \ProgramFiles (x86)\Microsoft Purview Information Protection (apenas sistemas operativos de 64 bits)
• \Programas\Microsoft Purview Information Protection (apenas sistemas operativos de 32 bits)
• %localappdata%\Microsoft\MSIP

Idiomas compatíveis

O cliente de proteção de informações suporta os mesmos idiomas suportados pelo Office 365. Para obter uma lista destes idiomas, consulte a página Disponibilidade internacional do Office.

Para estes idiomas, opções de menu, caixas de diálogo e mensagens do cliente do Microsoft Purview Information Protection são apresentadas no idioma do utilizador. Existe um único instalador que deteta o idioma, pelo que não é necessária qualquer configuração adicional para instalar o cliente de proteção de informações para idiomas diferentes.

No entanto, os nomes de etiquetas e descrições que especificar não são traduzidos automaticamente quando configura etiquetas no portal de administração. Para que os utilizadores vejam as etiquetas no idioma preferido, forneça as suas próprias traduções e configure-as para as etiquetas com o PowerShell e o parâmetro LocaleSettings para Set-Label. Para obter mais informações, veja Configuração de exemplo para configurar uma etiqueta de confidencialidade para idiomas diferentes.

Tipos de arquivo compatíveis

Esta secção lista os tipos de ficheiro suportados pelo cliente do Microsoft Purview Information Protection. Para os tipos de ficheiro listados, as localizações webDav não são suportadas.

Pastas e tipos de ficheiro excluídos

Para ajudar a impedir que os utilizadores alterem ficheiros críticos para operações de computador, alguns tipos de ficheiro e pastas são automaticamente excluídos da classificação e etiquetagem. Se os utilizadores tentarem etiquetar estes ficheiros com o cliente de proteção de informações, verão uma mensagem a indicar que esses ficheiros estão excluídos.

Tipos de ficheiro que não podem ser encriptados por predefinição

Qualquer ficheiro protegido por palavra-passe não pode ser encriptado nativamente pelo cliente, a menos que o ficheiro esteja atualmente aberto na aplicação que aplica a encriptação. Na maioria das vezes, vê ficheiros PDF protegidos por palavra-passe, mas outras aplicações, como as aplicações do Office, também oferecem esta funcionalidade.

Tipos de ficheiro suportados para inspeção

O cliente de proteção de informações utiliza o Windows IFilter para inspecionar os conteúdos dos documentos. O Windows IFilter é utilizado pelo Windows Search para indexação. Como resultado, os seguintes tipos de ficheiro podem ser inspecionados quando utiliza o comando Set-FileLabel -Autolabel PowerShell.

Analisar ficheiros de .ZIP

Pode utilizar o scanner de proteção de informações ou o comando Set-FileLabel PowerShell para inspecionar .zip ficheiros.

Depois de localizar informações confidenciais, se o ficheiro .zip deve ser etiquetado e encriptado com uma etiqueta, nas instruções de implementação do scanner, especifique a extensão de nome de ficheiro .zip com a definição avançada PFileSupportedExtensions do PowerShell .

Cenário de exemplo:

Um ficheiro com o nomeaccounts.zip contém folhas de cálculo do Excel com números de cartão de crédito. Tem uma etiqueta de confidencialidade denominada Confidencial \ Finanças, que está configurada para detetar números de cartões de crédito e aplicar automaticamente a etiqueta com encriptação que restringe o acesso ao grupo Finanças.

Depois de inspecionar o ficheiro, o cliente da sessão do PowerShell classifica este ficheiro como Confidencial \ Finanças. Em seguida, o cliente aplica a encriptação genérica ao ficheiro para que apenas os membros dos grupos Financeiros possam deszipar e mudar o nome do ficheiro accounts.zip.pfile.

Suporte para computadores desligados

Por predefinição, o cliente de proteção de informações tenta ligar-se automaticamente à Internet para transferir etiquetas de confidencialidade e definições de política de etiquetas de confidencialidade a partir do Microsoft Purview.

Se tiver computadores que não conseguem ligar à Internet durante um período de tempo, pode exportar e copiar ficheiros que gerem manualmente a política do cliente de proteção de informações.

Para suportar computadores desligados do cliente de proteção de informações:

1. Escolha ou crie uma conta de utilizador no Microsoft Entra ID que irá utilizar para transferir etiquetas e definições de política que pretende utilizar no seu computador desligado.

2. Como definição de política de etiqueta adicional para esta conta, desative o envio de dados de auditoria para o Microsoft Purview através da definição avançada EnableAudit PowerShell com Set-LabelPolicy do PowerShell de Conformidade & de Segurança.

   Recomendamos este passo porque, se o computador desligado tiver uma conectividade periódica à Internet, enviará informações de registo para o Microsoft Purview que incluem o nome de utilizador do passo 1. Essa conta de utilizador pode ser diferente da conta local que está a utilizar no computador desligado.

3. A partir de um computador com conectividade à Internet que tenha o cliente de proteção de informações instalado e com sessão iniciada com a conta de utilizador do passo 1, transfira as etiquetas e as definições de política.

4. A partir deste computador, exporte os ficheiros de registo.

   Por exemplo, execute o cmdlet Export-DebugLogs ou utilize a opção Exportar Registos a partir da caixa de diálogo Ajuda e Comentários do cliente a partir do identificador de ficheiros.

   Os ficheiros de registo são exportados como um único ficheiro comprimido.

5. Abra o ficheiro comprimido e, a partir da pasta MSIP, copie todos os ficheiros que tenham uma extensão de nome de ficheiro .xml.

6. Cole estes ficheiros na pasta %localappdata%\Microsoft\MSIP no computador desligado.

7. Se a sua conta de utilizador escolhida for uma conta que normalmente se liga à Internet, ative o envio de dados de auditoria novamente ao definir o valor EnableAudit como Verdadeiro.

Tenha em atenção que, se um utilizador neste computador selecionar a opção Repor Definições a partir da Ajuda e feedback no identificador de ficheiros, esta ação elimina os ficheiros de política e deixa o cliente inoperável até que substitua manualmente os ficheiros ou o cliente se ligue à Internet para que possa transferir os ficheiros de que necessita.

Se o computador desligado estiver a executar o analisador de proteção de informações, tem de seguir passos de configuração adicionais. Para obter mais informações, veja Restrição: O servidor de scanner não pode ter conectividade à Internet a partir das instruções de implementação do scanner.

Personalizações suportadas

O cliente de proteção de informações suporta definições avançadas do PowerShell e algumas definições de registo que podem ser necessárias para cenários ou utilizadores específicos.

Para as definições avançadas do PowerShell que são suportadas com New-Label ou Set-Label, e New-LabelPolicy ou Set-LabelPolicy do PowerShell de Conformidade & de Segurança, consulte Definições avançadas para o cliente do Microsoft Purview Information Protection.

Utilize as secções seguintes para o ajudar a configurar o registo para personalizações suportadas.

Ativar a atualização não interativa a partir do cliente do Azure Information Protection

Se instalar o cliente do Microsoft Purview Information Protection e o cliente de etiquetagem unificada do Azure Information Protection for detetado, uma instalação interativa do cliente requer que reconheça que o Suplemento AIP para Office do cliente mais antigo será removido.

Para utilizar uma instalação não interativa para o cliente, como o Catálogo Microsoft Update, a Política de Grupo ou o scripting, primeiro tem de desinstalar o cliente do Azure Information Protection ou criar e configurar a seguinte chave de registo para o computador local:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Defina o valor como 1 para permitir automaticamente a atualização e desinstalar o suplemento AIP do Office; 0 bloqueia a atualização se o cliente do Azure Information Protection estiver instalado.

Alterar o nível de registo local

Por predefinição, o cliente do Purview Information Protection escreve ficheiros de registo do cliente na pasta %localappdata%\Microsoft\MSIP . Estes ficheiros destinam-se à resolução de problemas pelo Suporte da Microsoft.

Para alterar o nível de registo destes ficheiros, localize o seguinte nome do valor no registo e defina os dados do valor para o nível de registo necessário:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Defina o nível de registo para um dos seguintes valores:

• Desativado: sem registo local.

• Erro: apenas erros.

• Aviso: Erros e avisos.

• Informações: registo mínimo, que não inclui IDs de eventos (a predefinição para o scanner).

• Depuração: informações completas.

• Rastreio: registo detalhado (a predefinição para clientes).

Esta definição de registo não altera as informações enviadas para a auditoria do Microsoft Purview.

Ativar definições de limites de dados

Após o compromisso da Microsoft com o limite de dados da UE, os clientes da UE que utilizam o cliente do Microsoft Purview Information Protection podem enviar os seus dados para a UE para serem armazenados e processados.

Ative esta funcionalidade no cliente de proteção de informações ao alterar a seguinte chave de registo que especifica a localização para enviar eventos:

• Chave do registo: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
• Valores:
  • Default = 0
  • North_America = 1
  • European_Union = 2

Ativar o browser predefinido do sistema para autenticação

Utilize o browser predefinido do sistema para autenticação no cliente do Microsoft Purview Information Protection. Por predefinição, o cliente de proteção de informações abre o Microsoft Edge para autenticação.

Ative esta funcionalidade no cliente de proteção de informações ao ativar a seguinte chave de registo:

• Chave do registo: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
• Valores:
  • Disabled = 0
  • Enabled = 1

Oculte a opção de menu "Aplicar etiqueta de confidencialidade com o Microsoft Purview" no Explorador de Ficheiros

Para ocultar a opção de menu Aplicar etiqueta de confidencialidade com o botão direito do rato do Microsoft Purview no Explorador de Ficheiros, crie a seguinte chave de registo DWORD que tem o nome do valor LegacyDisable e quaisquer dados de valor:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Como aplicar etiquetas de confidencialidade com o cliente de proteção de informações

Após a instalação do cliente do Microsoft Purview Information Protection, pode aplicar etiquetas de confidencialidade que criou e publicou, utilizando:

• Explorador de Ficheiros

• PowerShell

• O analisador de proteção de informações, depois de o instalar e configurar

  Importante

  Se estiver a atualizar a partir do cliente de etiquetagem unificada do Azure Information Protection (AIP), veja Atualizar o scanner a partir do cliente do Azure Information Protection (versão 2.x).

Para ver documentos encriptados, consulte Ver ficheiros protegidos com o visualizador do Microsoft Purview Information Protection.