Расширение меток конфиденциальности в Windows

Клиент Microsoft Purview Information Protection расширяет возможности меток конфиденциальности , помимо меток, встроенных в приложения и службы Microsoft 365, и поддерживает более широкий диапазон типов файлов.

Этот клиент работает только в Windows и заменяет клиент унифицированных меток Azure Information Protection (AIP). Он содержит следующие компоненты:

Надстройка Office с клиентом Microsoft Purview Information Protection отсутствует, так как эта функция заменена метками конфиденциальности, встроенными в Office.

Последние сведения о выпуске и сроки поддержки для каждой версии клиента см. в разделе Клиент Microsoft Purview Information Protection — управление выпусками и поддержка.

Требования к развертыванию клиента защиты информации

Чтобы использовать клиент Microsoft Purview Information Protection, установите этот клиент на компьютерах Windows, где вы хотите использовать клиентские компоненты.

Вы также должны соответствовать следующим требованиям:

Установка или обновление клиента защиты информации

Если вы устанавливаете клиент Microsoft Purview Information в интерактивном режиме и обнаружен клиент унифицированных меток Azure Information Protection (AIP), вы можете обновить старый клиент после подтверждения удаления надстройки AIP для Office.

Существует два варианта установки клиента защиты информации:

• Установка клиента защиты информации с помощью установщика .exe
• Установка клиента защиты информации с помощью установщика .msi

При обновлении сканера защиты информации с помощью клиента унифицированных меток Azure Information Protection (AIP) или предыдущей версии клиента защиты информации см. статью Обновление сканера Microsoft Purview Information Protection перед использованием этих инструкций по установке клиента.

Расположение файлов журналов

Файлы журналов клиента и сканера находятся в следующих расположениях на компьютере Windows:

• \ProgramFiles (x86)\Microsoft Purview Information Protection (только 64-разрядные операционные системы)
• \Program Files\Microsoft Purview Information Protection (только 32-разрядные операционные системы)
• %localappdata%\Microsoft\MSIP

Поддерживаемые языки

Клиент защиты информации поддерживает те же языки, что и Office 365. Список этих языков см. на странице "Международная доступность" в Office.

Для этих языков параметры меню, диалоговые окна и сообщения из клиента Microsoft Purview Information Protection отображаются на языке пользователя. Существует один установщик, который определяет язык, поэтому дополнительная настройка для установки клиента защиты информации для разных языков не требуется.

Однако указанные имена меток и описания не переводятся автоматически при настройке меток на портале администрирования. Чтобы пользователи видели метки на предпочитаемом языке, предоставьте собственные переводы и настройте их для меток с помощью PowerShell и параметра LocaleSettings для Set-Label. Дополнительные сведения см. в разделе Пример конфигурации для настройки метки конфиденциальности для разных языков.

Поддерживаемые типы файлов

В этом разделе перечислены типы файлов, поддерживаемые клиентом Microsoft Purview Information Protection. Для перечисленных типов файлов расположения WebDav не поддерживаются.

Исключенные папки и типы файлов

Чтобы предотвратить изменение пользователями файлов, критически важных для компьютерных операций, некоторые типы файлов и папки автоматически исключаются из классификации и маркировки. Если пользователи пытаются пометить эти файлы с помощью клиента защиты информации, они увидят сообщение об исключении этих файлов.

Типы файлов, которые не могут быть зашифрованы по умолчанию

Любой файл, защищенный паролем, не может быть зашифрован клиентом в собственном коде, если в настоящее время файл не открыт в приложении, которое применяет шифрование. Чаще всего вы видите PDF-файлы, защищенные паролем, но другие приложения, например приложения Office, также предлагают эту функцию.

Типы файлов, поддерживаемые для проверки

Клиент защиты информации использует Windows IFilter для проверки содержимого документов. Windows IFilter используется в поиске Windows для индексирования. В результате при использовании команды PowerShell Set-FileLabel -Autolabel можно проверить следующие типы файлов.

Сканирование файлов .ZIP

Для проверки .zip файлов можно использовать сканер защиты информации или команду PowerShell Set-FileLabel .

Если после поиска конфиденциальной информации файл .zip должен быть помечен и зашифрован меткой, в инструкциях по развертыванию средства проверки укажите расширение имени файла .zip с дополнительным параметром PFileSupportedExtensions PowerShell.

Пример сценария:

Файл с именем accounts.zip содержит электронные таблицы Excel с номерами кредитных карт. У вас есть метка конфиденциальности с именем Конфиденциально \ Finance, которая настроена для обнаружения номеров кредитных карт и автоматического применения метки с шифрованием, ограничивающим доступ к группе "Финансы".

После проверки файла клиент из сеанса PowerShell помечает этот файл как Конфиденциальный \ Finance. Затем клиент применяет к файлу универсальное шифрование, чтобы только члены групп "Финансы" могли распакуть его и переименовывать файл accounts.zip.pfile.

Поддержка отключенных компьютеров

По умолчанию клиент защиты информации автоматически пытается подключиться к Интернету, чтобы скачать метки конфиденциальности и параметры политики меток конфиденциальности из Microsoft Purview.

Если у вас есть компьютеры, которые не могут подключаться к Интернету в течение определенного периода времени, вы можете экспортировать и скопировать файлы, которые вручную управляют политикой для клиента защиты информации.

Для поддержки отключенных компьютеров от клиента защиты информации:

1. Выберите или создайте учетную запись пользователя в идентификаторе Microsoft Entra, которая будет использоваться для скачивания меток и параметров политики, которые вы хотите использовать на отключенном компьютере.

2. В качестве дополнительного параметра политики меток для этой учетной записи отключите отправку данных аудита в Microsoft Purview с помощью дополнительного параметра EnableAudit PowerShell с помощью Set-LabelPolicy из PowerShell безопасности & соответствия требованиям.

   Мы рекомендуем этот шаг, так как если отключенный компьютер имеет периодическое подключение к Интернету, он будет отправлять в Microsoft Purview сведения журнала, включая имя пользователя из шага 1. Эта учетная запись пользователя может отличаться от локальной учетной записи, используемой на отключенном компьютере.

3. С компьютера с подключением к Интернету, на котором установлен клиент защиты информации и выполнен вход с учетной записью пользователя на шаге 1, скачайте метки и параметры политики.

4. Экспортируйте файлы журнала с этого компьютера.

   Например, запустите командлет Export-DebugLogs или используйте параметр Экспорт журналов в диалоговом окне Справка и отзывы клиента из средства метки файлов.

   Файлы журнала экспортируются в виде одного сжатого файла.

5. Откройте сжатый файл и скопируйте из папки MSIP все файлы с расширением .xml.

6. Вставьте эти файлы в папку %localappdata%\Microsoft\MSIP на отключенном компьютере.

7. Если выбранная учетная запись пользователя обычно подключается к Интернету, включите отправку данных аудита еще раз, установив для параметра EnableAudit значение True.

Имейте в виду, что если пользователь на этом компьютере выбирает параметр Сброс параметров в справке и отзыве в средстве маркировки файлов, это действие удаляет файлы политики и оставляет клиент неработоспособным, пока вы не замените файлы вручную или клиент не подключится к Интернету, чтобы скачать нужные файлы.

Если отключенный компьютер работает под управлением сканера защиты информации, необходимо выполнить дополнительные действия по настройке. Дополнительные сведения см. в разделе Ограничение: сервер сканера не может иметь подключение к Интернету из инструкций по развертыванию сканера.

Поддерживаемые настройки

Клиент защиты информации поддерживает дополнительные параметры PowerShell и некоторые параметры реестра, которые могут потребоваться для конкретных сценариев или пользователей.

Дополнительные параметры PowerShell, поддерживаемые командой New-Label или Set-Label, а также New-LabelPolicy или Set-LabelPolicy из PowerShell для обеспечения соответствия требованиям безопасности &, см. в статье Дополнительные параметры для клиента Microsoft Purview Information Protection.

Используйте следующие разделы, чтобы настроить реестр для поддерживаемых настроек.

Включение неинтерактивного обновления с клиента Azure Information Protection

При установке клиента Microsoft Purview Information Protection и обнаружен клиент унифицированных меток Azure Information Protection, интерактивная установка клиента требует подтверждения того, что надстройка AIP для Office из старого клиента будет удалена.

Чтобы использовать неинтерактивную установку для клиента, например каталог Центра обновления Майкрософт, групповую политику или скрипты, необходимо сначала удалить клиент Azure Information Protection или создать и настроить следующий раздел реестра для локального компьютера:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Задайте значение 1 , чтобы автоматически разрешить обновление и удалить надстройку AIP Office; 0 блокирует обновление, если установлен клиент Azure Information Protection.

Изменение локального уровня ведения журнала

По умолчанию клиент Purview Information Protection записывает файлы журнала клиента в папку %localappdata%\Microsoft\MSIP . Эти файлы предназначены для устранения неполадок в службе поддержки Майкрософт.

Чтобы изменить уровень ведения журнала для этих файлов, найдите в реестре следующее имя значения и задайте для данных значения требуемый уровень ведения журнала:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Задайте для уровня ведения журнала одно из следующих значений:

• Выкл. Нет локального ведения журнала.

• Ошибка: только ошибки.

• Предупреждение: ошибки и предупреждения.

• Сведения: минимальное ведение журнала, которое не включает идентификаторы событий (параметр по умолчанию для сканера).

• Отладка: полная информация.

• Трассировка: подробное ведение журнала (параметр по умолчанию для клиентов).

Этот параметр реестра не изменяет сведения, отправляемые в службу аудита Microsoft Purview.

Включение параметров границ данных

В соответствии с обязательствами корпорации Майкрософт в отношении границ данных ЕС клиенты ИЗ ЕС, использующие клиент Microsoft Purview Information Protection, могут отправлять свои данные в ЕС для хранения и обработки.

Включите эту функцию в клиенте защиты информации, изменив следующий раздел реестра, указывающий расположение для отправки событий:

• Раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
• Значения:
  • Default = 0
  • North_America = 1
  • European_Union = 2

Включение системного браузера по умолчанию для проверки подлинности

Используйте системный браузер по умолчанию для проверки подлинности в клиенте Microsoft Purview Information Protection. По умолчанию клиент защиты информации открывает Microsoft Edge для проверки подлинности.

Включите эту функцию в клиенте защиты информации, включив следующий раздел реестра:

• Раздел реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
• Значения:
  • Disabled = 0
  • Enabled = 1

Скрытие пункта меню "Применить метку конфиденциальности с помощью Microsoft Purview" в проводнике

Чтобы скрыть параметр Применить метку конфиденциальности с помощью контекстного меню Microsoft Purview в проводнике, создайте следующий раздел реестра DWORD со значением LegacyDisable и любыми данными значений :

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Применение меток конфиденциальности с помощью клиента защиты информации

После установки клиента Microsoft Purview Information Protection можно применить созданные и опубликованные метки конфиденциальности с помощью следующих средств:

• Проводник

• PowerShell

• Сканер защиты информации после его установки и настройки

  Важно!

  При обновлении с клиента унифицированных меток Azure Information Protection (AIP) см. статью Обновление сканера с клиента Azure Information Protection (версия 2.x).

Сведения о просмотре зашифрованных документов см. в статье Просмотр защищенных файлов с помощью средства просмотра Microsoft Purview Information Protection.