Konfigurieren von Azure Rights Management-Superusern für Ermittlungsdienste oder Datenwiederherstellung

Beschreibung des Microsoft Purview-Diensts

Das Superuser-Feature des Azure Rights Management-Diensts von Microsoft Purview Information Protection stellt sicher, dass autorisierte Personen und Dienste die Daten, die Azure Rights Management für Ihre organization verschlüsselt, jederzeit lesen und überprüfen können. Bei Bedarf kann der Verschlüsselungsschutz dann entfernt oder geändert werden.

Ein Administrator verfügt immer über das Rights Management-Vollzugriffsrecht für Dokumente und E-Mails, die vom Mandanten Ihrer Organization verschlüsselt wurden. Diese Fähigkeit wird manchmal als "Argumentation über Daten" bezeichnet und ist ein entscheidendes Element, um die Kontrolle über die Daten Ihrer Organization zu behalten. Sie würden dieses Feature z. B. für eines der folgenden Szenarien verwenden:

• Ein Mitarbeiter verlässt die organization und Sie müssen die Dateien lesen, die er verschlüsselt hat.

• Ein IT-Administrator muss die aktuellen Verschlüsselungseinstellungen entfernen, die für Dateien konfiguriert wurden, und neue Verschlüsselungseinstellungen anwenden.

• Exchange Server muss Postfächer für Suchvorgänge indizieren.

• Sie verfügen über vorhandene IT-Services für Lösungen zur Verhinderung von Datenverlust (Data Loss Prevention, DLP), Gateways für die Inhaltsverschlüsselung (Content Encryption Gateways, CEG) und Antischadsoftwareprodukte, die bereits verschlüsselte Dateien überprüfen müssen.

• Sie müssen Dateien aus Überwachungs-, rechtlichen oder anderen Compliance-Gründen massenweise entschlüsseln.

Konfiguration für das Superuser-Feature

Standardmäßig ist das Superuser-Feature nicht aktiviert, und dieser Rolle sind keine Benutzer zugewiesen. Es wird automatisch für Sie aktiviert, wenn Sie den Rights Management-Connector für Exchange konfigurieren, und ist für Standarddienste, die Exchange Online, Microsoft SharePoint Server oder SharePoint in Microsoft 365 ausführen, nicht erforderlich.

Wenn Sie die Superuser-Funktion manuell aktivieren müssen, verwenden Sie das PowerShell-Cmdlet Enable-AipServiceSuperUserFeature, und weisen Sie dann nach Bedarf mithilfe des Cmdlets Add-AipServiceSuperUser oder des Cmdlets Set-AipServiceSuperUserGroup Benutzer (oder Dienstkonten) zu und fügen Sie dieser Gruppe nach Bedarf Benutzer (oder andere Gruppen) hinzu.

Obwohl die Verwendung einer Gruppe für Ihre Administratoren einfacher zu verwalten ist, speichert der Azure Rights Management-Dienst aus Leistungsgründen die Gruppenmitgliedschaft zwischen. Wenn Sie also einen neuen Benutzer als Administrator zum sofortigen Entschlüsseln von Inhalten zuweisen müssen, fügen Sie diesen Benutzer mithilfe von Add-AipServiceSuperUser hinzu, anstatt den Benutzer zu einer vorhandenen Gruppe hinzuzufügen, die Sie mithilfe von Set-AipServiceSuperUserGroup konfiguriert haben.

Es spielt keine Rolle, wann Sie das Superuser-Feature aktivieren oder wann Sie Benutzer als Superuser hinzufügen. Wenn Sie z. B. das Feature am Donnerstag aktivieren und dann am Freitag einen Benutzer hinzufügen, kann dieser Benutzer sofort Inhalte öffnen, die zu Beginn der Woche geschützt waren.

Bewährte Sicherheitsmethoden für das Superuser-Feature

Befolgen Sie diese bewährten Sicherheitsmethoden, wenn Sie das Superuser-Feature verwenden:

• Beschränken und überwachen Sie die Administratoren, denen ein globaler Administrator für Ihren Mandanten zugewiesen ist oder denen die Rolle "GlobalAdministrator" zugewiesen wurde, indem Sie das Cmdlet Add-AipServiceRoleBasedAdministrator verwenden. Diese Benutzer können das Superuser-Feature aktivieren und Benutzer (und sich selbst) als Superuser zuweisen und möglicherweise alle Dateien entschlüsseln, die von Ihrer Organization verschlüsselt werden.

• Um zu sehen, welche Benutzer und Dienstkonten individuell als Superuser zugewiesen sind, verwenden Sie das Cmdlet Get-AipServiceSuperUser .

• Um festzustellen, ob eine Superuser-Gruppe konfiguriert ist, verwenden Sie das Cmdlet Get-AipServiceSuperUserGroup und Ihre Standardbenutzerverwaltungstools, um zu überprüfen, welche Benutzer Mitglied dieser Gruppe sind.

• Wie alle Verwaltungsaktionen werden auch das Aktivieren oder Deaktivieren des Superfeatures und das Hinzufügen oder Entfernen von Superusern protokolliert und können mithilfe des Befehls Get-AipServiceAdminLog überwacht werden. Siehe Beispielüberwachung für die Superuser-Funktion.

• Wenn Superuser Dateien entschlüsseln, wird die Dateientschlüsselung protokolliert und kann mit Nutzungsprotokollierung überwacht werden.

  Hinweis

  Die Protokolle enthalten zwar Details zur Entschlüsselung, einschließlich des Benutzers, der die Datei entschlüsselt hat, aber sie enthalten keine detaillierten Angaben dazu, wann der Benutzer ein Administrator ist.

  Verwenden Sie die Protokolle zusammen mit "Get-AipServiceSuperUser " und "Get-AipServiceSuperUserGroup ", um zunächst eine Liste der Superuser zu erstellen, die Sie in den Protokollen identifizieren können.

• Wenn Sie das Superuser-Feature für alltägliche Dienste nicht benötigen, aktivieren Sie das Feature nur, wenn Sie es benötigen, und deaktivieren Sie es erneut mithilfe des Cmdlets Disable-AipServiceSuperUserFeature .

Beispielüberwachung für das Superuser-Feature

Der folgende Protokollauszug enthält einige Beispieleinträge aus der Verwendung des Cmdlets Get-AipServiceAdminLog .

In diesem Beispiel bestätigt der Administrator von Contoso Ltd, dass das Superuser-Feature deaktiviert ist, fügt Richard Simone als Administrator hinzu, überprüft, ob Richard der einzige Administrator ist, der für den Azure Rights Management-Dienst konfiguriert ist, und aktiviert dann das Superuser-Feature, sodass Richard jetzt einige Dateien entschlüsseln kann, die von einem Mitarbeiter geschützt wurden, der das Unternehmen inzwischen verlassen hat.

2015-08-01T18:58:20 admin@contoso.com GetSuperUserFeatureState Passed Disabled

2015-08-01T18:59:44 admin@contoso.com AddSuperUser -id rsimone@contoso.com Passed True

2015-08-01T19:00:51 admin@contoso.com GetSuperUser Passed rsimone@contoso.com

2015-08-01T19:01:45 admin@contoso.com SetSuperUserFeatureState -state Enabled Passed True

Skriptoptionen für Superuser

Häufig muss jemand, dem ein Administrator für den Azure Rights Management-Dienst zugewiesen ist, die Verschlüsselung aus mehreren Dateien an mehreren Speicherorten entfernen. Es ist zwar möglich, diese Aufgabe manuell auszuführen, es ist jedoch effizienter (und oft zuverlässiger), dies mit dem Cmdlet Set-FileLabel zu skripten.

Sie können dieses Cmdlet auch verwenden, um eine neue Bezeichnung anzuwenden, die keine Verschlüsselung anwendet, oder die Bezeichnung zu entfernen, die die Verschlüsselung angewendet hat.

Weitere Informationen zu diesen Cmdlets finden Sie unter Verwenden von PowerShell mit dem Microsoft Purview Information Protection-Client aus der PurviewInformationProtection PowerShell-Dokumentation.

Entfernen der Verschlüsselung aus PST-Dateien

Um die Verschlüsselung aus PST-Dateien zu entfernen, wird empfohlen, eDiscovery von Microsoft Purview zu verwenden, um verschlüsselte E-Mails und verschlüsselte Anlagen in E-Mails zu suchen und zu extrahieren.

Die Superuser-Funktion ist automatisch in Exchange Online integriert, sodass eDiscovery im Microsoft Purview-Portal vor dem Export nach verschlüsselten Elementen suchen oder verschlüsselte E-Mails beim Export entschlüsseln kann.

Wenn Sie Microsoft Purview-eDiscovery nicht verwenden können, verfügen Sie möglicherweise über eine andere eDiscovery-Lösung, die in den Azure Rights Management-Dienst integriert ist, um Daten in ähnlicher Weise zu analysieren.

Wenn Ihre eDiscovery-Lösung geschützte Inhalte nicht automatisch lesen und entschlüsseln kann, können Sie diese Lösung auch in einem mehrstufigen Prozess zusammen mit dem Set-FileLabel-Cmdlet verwenden:

1. Exportieren Sie die betreffende E-Mail in eine PST-Datei aus Exchange Online oder Exchange Server oder von der Arbeitsstation, auf der der Benutzer seine E-Mails gespeichert hat.

2. Importieren Sie die PST-Datei in Ihr eDiscovery-Tool. Da das Tool verschlüsselte Inhalte nicht lesen kann, müssen Sie davon ausgehen, dass diese Elemente Fehler generieren.

3. Generieren Sie aus allen Elementen, die das Tool nicht öffnen konnte, eine neue PST-Datei, die dieses Mal nur verschlüsselte Elemente enthält. Diese zweite PST-Datei ist wahrscheinlich viel kleiner als die ursprüngliche PST-Datei.

4. Führen Sie Set-FileLabel für diese zweite PST-Datei aus, um den Inhalt dieser viel kleineren Datei zu entschlüsseln. Importieren Sie die jetzt entschlüsselte PST-Datei aus der Ausgabe in Ihr Ermittlungstool.

Ausführlichere Informationen und Anleitungen zum Ausführen von eDiscovery über Postfächer und PST-Dateien hinweg finden Sie im folgenden Blogbeitrag: Azure Information Protection und eDiscovery-Prozesse.