Erweiterte Einstellungen für Microsoft Purview Information Protection-Client

Dieser Artikel enthält die erweiterten PowerShell-Einstellungen Microsoft Purview Information Protection& Security Compliance, die vom Client unterstützt werden, wenn Sie die folgenden Cmdlets verwenden:

• New-Label oder Set-Label
• New-LabelPolicy oder Set-LabelPolicy

Die erweiterten Einstellungen, die von in Microsoft 365-Apps und -Diensten integrierten Vertraulichkeitsbezeichnungen unterstützt werden, sind auf der Cmdlet-Seite selbst enthalten. Möglicherweise finden Sie auch nützliche PowerShell-Tipps zum Angeben der erweiterten Einstellungen.

AdditionalPPrefixExtensions

Diese erweiterte Eigenschaft zum Ändern <von EXT>. PFILE to P<EXT> wird vom Datei-Explorer, Explorer, PowerShell und vom Scanner unterstützt. Alle Apps weisen ein ähnliches Verhalten auf.

• Schlüssel: AdditionalPPrefixExtensions

• Wert: <Zeichenfolgenwert>

Verwenden Sie die folgende Tabelle, um den Zeichenfolgenwert zu identifizieren, der angegeben werden soll:

Mit dieser Einstellung werden die folgenden Erweiterungen immer zu P<EXT>: ".txt", ".xml", ".bmp", ".jt", ".jpg", ".jpeg", ".jpe", ".jif", ".jfif", ".jfi", ".png", ".tif", ".tiff", ".gif"). Bemerkenswerter Ausschluss ist, dass "ptxt" nicht zu "txt.pfile" wird.

Für diese Einstellung muss die erweiterte Einstellung PFileSupportedExtension aktiviert sein.

Beispiel 1: Der PowerShell-Befehl verhält sich wie das Standardverhalten, wobei Protect ".dwg" zu ".dwg.pfile" wird:

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions =""}

Beispiel 2: PowerShell-Befehl zum Ändern aller PFile-Erweiterungen von generischer Verschlüsselung in native Verschlüsselung, wenn die Dateien bezeichnet und verschlüsselt sind:

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions ="*"}

Beispiel 3: PowerShell-Befehl zum Ändern von ".dwg" in ".pdwg" bei Verwendung dieses Diensts Datei schützen:

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions =ConvertTo-Json(".dwg")}

Farbe

Verwenden Sie diese erweiterte Einstellung, um eine Farbe für ein Etikett festzulegen. Geben Sie zum Angeben der Farbe einen Triplett-Hex-Code für die Rot-, Grün- und Blaukomponenten (RGB) der Farbe ein. "#40e0d0" ist zum Beispiel der hexadezimale RGB-Wert für Türkis.

Wenn Sie eine Referenz für diese Codes benötigen, finden Sie eine hilfreiche Tabelle auf der <Farbseite> in der MSDN-Webdokumentation. Sie finden diese Codes auch in vielen Anwendungen, mit denen Sie Bilder bearbeiten können. Mit Microsoft Paint können Sie beispielsweise eine benutzerdefinierte Farbe aus einer Palette auswählen, und die RGB-Werte werden automatisch angezeigt, die Sie dann kopieren können.

Um die erweiterte Einstellung für die Farbe eines Etiketts zu konfigurieren, geben Sie die folgenden Zeichenfolgen für das ausgewählte Etikett ein:

• Schlüssel: color

• Wert: <RGB-Hexadezimalwert>

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnung "Public" heißt:

Set-Label -Identity Public -AdvancedSettings @{color="#40e0d0"}

DefaultSubLabelId

Wenn Sie einer Bezeichnung eine untergeordnete Bezeichnung hinzufügen, können die Benutzer die übergeordnete Bezeichnung nicht mehr auf ein Dokument oder eine E-Mail anwenden. Standardmäßig wählen Benutzer die übergeordnete Bezeichnung aus, um die Unterbezeichnungen anzuzeigen, die sie anwenden können, und wählen dann eine dieser Unterbezeichnungen aus. Wenn Sie diese erweiterte Einstellung konfigurieren und Benutzer die übergeordnete Bezeichnung auswählen, wird automatisch eine Unterbezeichnung ausgewählt und für sie angewendet:

• Schlüssel: DefaultSubLabelId

• Wert: <untergeordnete GUID>

Beispiel für einen PowerShell-Befehl, bei dem Ihre übergeordnete Bezeichnung den Namen "Vertraulich" hat und die Unterbezeichnung "Alle Mitarbeiter" die GUID 8faca7b8-8d20-48a3-8ea2-0f96310a848e hat:

Set-Label -Identity "Confidential" -AdvancedSettings @{DefaultSubLabelId="8faca7b8-8d20-48a3-8ea2-0f96310a848e"}

EnableAudit

Standardmäßig sendet der Informationsschutzclient Überwachungsdaten an Microsoft Purview, wo Sie diese Daten im Aktivitäts-Explorer anzeigen können.

Verwenden Sie die folgende erweiterte Einstellung, um dieses Verhalten zu ändern:

• Schlüssel: EnableAudit

• Wert: False

Wenn Ihre Bezeichnungsrichtlinie beispielsweise den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableAudit="False"}

Löschen Sie dann auf lokalen Computern, auf denen der Informationsschutzclient ausgeführt wird, den folgenden Ordner: %localappdata%\Microsoft\MSIP\mip

Damit der Client Überwachungsprotokolldaten erneut senden kann, ändern Sie den Wert der erweiterten Einstellung in "True". Sie müssen den Ordner %localappdata%\Microsoft\MSIP\mip nicht manuell erneut auf Ihren Clientcomputern erstellen.

EnableContainerSupport

Mit dieser Einstellung kann der Informationsschutzclient die Verschlüsselung aus PST-, RAR- und 7zip-Dateien entfernen.

• Schlüssel: EnableContainerSupport

• Wert: True

Wenn Ihre Bezeichnungsrichtlinie beispielsweise den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableContainerSupport="True"}

EnableCustomPermissions

Standardmäßig wird Benutzern eine Option namens "Schützen mit benutzerdefinierten Berechtigungen" angezeigt, wenn sie mit der rechten Maustaste in den Explorer mit der Dateibezeichnung klicken. Mit dieser Option können sie ihre eigenen Verschlüsselungseinstellungen festlegen, die alle Verschlüsselungseinstellungen überschreiben können, die Sie möglicherweise in eine Bezeichnungskonfiguration aufgenommen haben. Benutzern wird auch eine Option zum Entfernen der Verschlüsselung angezeigt. Wenn Sie diese Einstellung konfigurieren, werden die Optionen für die Benutzer nicht angezeigt.

Verwenden Sie die folgende Einstellung, damit die Benutzer diese Optionen nicht sehen:

• Schlüssel: EnableCustomPermissions

• Wert: False

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableCustomPermissions="False"}

EnableCustomPermissionsForCustomProtectedFiles

Wenn Sie die erweiterte Clienteinstellung EnableCustomPermissions so konfigurieren, dass benutzerdefinierte Berechtigungen in Explorer deaktiviert werden, können Benutzer standardmäßig keine benutzerdefinierten Berechtigungen anzeigen oder ändern, die bereits in einem verschlüsselten Dokument festgelegt wurden.

Es gibt jedoch eine andere erweiterte Clienteinstellung, die Sie angeben können, damit Benutzer in diesem Szenario benutzerdefinierte Berechtigungen für ein verschlüsseltes Dokument anzeigen und ändern können, wenn sie den Explorer verwenden und mit der rechten Maustaste auf die Datei klicken.

• Schlüssel: EnableCustomPermissionsForCustomProtectedFiles

• Wert: True

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableCustomPermissionsForCustomProtectedFiles="True"}

EnableGlobalization

Globalisierungsfunktionen für die Klassifizierung, einschließlich höherer Genauigkeit für ostasiatische Sprachen und Unterstützung von Doppelbytezeichen. Diese Verbesserungen werden nur für 64-Bit-Prozesse bereitgestellt und sind standardmäßig deaktiviert.

Aktivieren Sie diese Features für Ihre Richtlinie. Geben Sie die folgenden Zeichenfolgen an:

• Schlüssel: EnableGlobalization

• Wert: True

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableGlobalization="True"}

Um die Unterstützung wieder zu deaktivieren und die Standardeinstellung rückgängig zu machen, setzen Sie die erweiterte Einstellung EnableGlobalization auf eine leere Zeichenfolge.

JustificationTextForUserText

Passen Sie die Begründungsaufforderungen an, die angezeigt werden, wenn Endbenutzer Vertraulichkeitsbezeichnungen für Dateien ändern.

Als Administrator möchten Sie Ihre Benutzer beispielsweise daran erinnern, in diesem Feld keine kundenidentifizierenden Informationen hinzuzufügen.

Verwenden Sie die erweiterte Einstellung "JustificationTextForUserText", um die standardmäßige andere Option zu ändern, die Benutzer im Dialogfeld auswählen können. Legen Sie den Wert auf den Text fest, den Sie stattdessen verwenden möchten.

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{JustificationTextForUserText="Other (please explain) - Do not enter sensitive info"}

LogMatchedContent

Standardmäßig sendet der Informationsschutzclient keine Inhaltsübereinstimmungen für vertrauliche Informationstypen an Microsoft Purview, die dann im Aktivitäts-Explorer angezeigt werden können. Der Scanner sendet diese Informationen immer. Weitere Informationen zu diesen zusätzlichen Informationen, die gesendet werden können, finden Sie unter Inhaltsübereinstimmungen für eine tiefere Analyse.

Um beim Senden vertraulicher Informationstypen Inhaltsübereinstimmungen zu senden, verwenden Sie die folgende erweiterte Einstellung in einer Bezeichnungsrichtlinie:

• Schlüssel: LogMatchedContent

• Wert: True

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{LogMatchedContent="True"}

OfficeContentExtractionTimeout

Standardmäßig beträgt das Zeitlimit für die automatische Bezeichnung des Scanners für Office-Dateien 3 Sekunden.

Wenn Sie über eine komplexe Excel-Datei mit vielen Blättern oder Zeilen verfügen, reichen 3 Sekunden möglicherweise nicht aus, um Beschriftungen automatisch anzuwenden. Geben Sie die folgenden Zeichenfolgen an, um dieses Zeitlimit für die ausgewählte Bezeichnungsrichtlinie zu erhöhen:

• Schlüssel: OfficeContentExtractionTimeout

• Wert: Sekunden im folgenden Format: hh:mm:ss.

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{OfficeContentExtractionTimeout="00:00:15"}

Das aktualisierte Timeout gilt für die automatische Bezeichnung für alle Office-Dateien.

PFileSupportedExtensions

Mit dieser Einstellung können Sie ändern, welche Dateitypen verschlüsselt werden, aber Sie können die Standardverschlüsselungsstufe nicht von "nativ" in "generisch" ändern. Beispielsweise können Sie für Benutzer, die die Dateibezeichnung verwenden, die Standardeinstellung so ändern, dass nur Office-Dateien und PDF-Dateien statt aller Dateitypen verschlüsselt werden. Sie können diese Dateitypen jedoch nicht so ändern, dass sie generisch mit der Dateinamenerweiterung ".pfile" verschlüsselt werden.

• Schlüssel: PFileSupportedExtensions

• Wert: <Zeichenfolgenwert>

Verwenden Sie die folgende Tabelle, um den Zeichenfolgenwert zu identifizieren, der angegeben werden soll:

Beispiel 1: PowerShell-Befehl für den Scanner zum Verschlüsseln aller Dateitypen, bei denen Ihre Bezeichnungsrichtlinie den Namen "Scanner" hat:

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

Beispiel 2: PowerShell-Befehl für den Scanner zum Verschlüsseln von .txt-Dateien und .csv-Dateien zusätzlich zu Office-Dateien und PDF-Dateien, wobei Ihre Bezeichnungsrichtlinie "Scanner" heißt:

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".txt", ".csv")}

ReportAnIssueLink

Wenn Sie die folgende erweiterte Clienteinstellung festlegen, wird den Benutzern die Option "Problem melden " angezeigt, die sie im Dialogfeld "Hilfe und Feedback-Client " in der Dateibezeichnung auswählen können. Geben Sie eine HTTP-Zeichenfolge für den Link an. Zum Beispiel eine benutzerdefinierte Webseite, auf der Benutzer Probleme melden können, oder eine E-Mail-Adresse, die zu Ihrem Helpdesk führt.

Geben Sie die folgenden Zeichenfolgen für die ausgewählte Bezeichnungsrichtlinie ein, um diese erweiterte Einstellung zu konfigurieren:

• Schlüssel: ReportAnIssueLink

• Wert: <HTTP-Zeichenfolge>

Beispielwert für eine Website: https://support.contoso.com

Beispielwert für eine E-Mail-Adresse: mailto:helpdesk@contoso.com

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat:

Set-LabelPolicy -Identity Global -AdvancedSettings @{ReportAnIssueLink="mailto:helpdesk@contoso.com"}

ScannerMaxCPU

Verwenden Sie diese erweiterte Einstellung in Verbindung mit ScannerMinCPU , um die CPU-Auslastung auf dem Scanner-Computer zu begrenzen.

• Schlüssel: ScannerMaxCPU

• Wert: <Zahl>**

Der Wert ist standardmäßig auf 100 festgelegt, d. h., es gibt keine Begrenzung für die maximale CPU-Auslastung. In diesem Fall versucht der Scannerprozess, die gesamte verfügbare CPU-Zeit zu verwenden, um die Scanraten zu maximieren.

Wenn Sie ScannerMaxCPU auf weniger als 100 festlegen, überwacht der Scanner die CPU-Auslastung der letzten 30 Minuten. Wenn die durchschnittliche CPU das von Ihnen festgelegte Limit überschritten hat, wird die Anzahl der Threads reduziert, die neuen Dateien zugeordnet werden.

Das Limit für die Anzahl der Threads bleibt bestehen, solange die CPU-Auslastung höher ist als das für ScannerMaxCPU festgelegte Limit.

ScannerMinCPU

Wird nur verwendet, wenn ScannerMaxCPU nicht gleich 100 ist und nicht auf eine Zahl festgelegt werden kann, die höher als der ScannerMaxCPU-Wert ist.

Es wird empfohlen, ScannerMinCPU mindestens 15 Punkte niedriger als den Wert von ScannerMaxCPU einzustellen.

Der Wert ist standardmäßig auf 50 festgelegt. Dies bedeutet, dass der Scanner neue Threads hinzufügt, um mehr Dateien parallel zu scannen, bis die CPU-Auslastung das Niveau erreicht, das Sie für ScannerMaxCPU-15 festgelegt haben.

ScannerConcurrencyLevel

Standardmäßig verwendet der Scanner alle verfügbaren Prozessorressourcen auf dem Computer, auf dem der Scannerdienst ausgeführt wird. Wenn Sie die CPU-Auslastung während der Überprüfung dieses Diensts begrenzen müssen, geben Sie die Anzahl der gleichzeitigen Threads an, die der Scanner parallel ausführen kann. Der Scanner verwendet einen separaten Thread für jede gescannte Datei. Daher definiert diese Drosselungskonfiguration auch die Anzahl der Dateien, die parallel gescannt werden können.

Wenn Sie den Wert zum ersten Mal für Tests konfigurieren, empfiehlt es sich, 2 pro Kern anzugeben und dann die Ergebnisse zu überwachen. Wenn Sie den Scanner beispielsweise auf einem Computer mit 4 Kernen ausführen, setzen Sie den Wert zuerst auf 8. Erhöhen oder verringern Sie diese Zahl bei Bedarf, je nach der Leistung, die Sie für den Scannercomputer und Ihre Scanraten benötigen.

• Schlüssel: ScannerConcurrencyLevel

• Wert: <Anzahl gleichzeitiger Threads>

Beispiel für einen PowerShell-Befehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Scanner" hat:

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{ScannerConcurrencyLevel="8"}

ScannerFSAttributesToSkip

Standardmäßig durchsucht der Information Protection Scanner alle relevanten Dateien. Möglicherweise möchten Sie jedoch bestimmte Dateien definieren, die übersprungen werden sollen, z. B. archivierte Dateien oder Dateien, die verschoben wurden.

Aktivieren Sie den Scanner, um bestimmte Dateien basierend auf ihren Dateiattributen zu überspringen, indem Sie die erweiterte Einstellung ScannerFSAttributesToSkip verwenden. Listen Sie im Einstellungswert die Dateiattribute auf, die das Überspringen der Datei ermöglichen, wenn sie alle auf "true" festgelegt sind. Diese Liste von Dateiattributen verwendet die UND-Logik.

PowerShell-Beispielbefehle, bei denen Ihre Bezeichnungsrichtlinie den Namen "Global" hat.

Überspringen Sie Dateien, die sowohl schreibgeschützt als auch archiviert sind:

Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_READONLY, FILE_ATTRIBUTE_ARCHIVE"}

Überspringen Sie Dateien, die entweder schreibgeschützt oder archiviert sind:

Um eine ODER-Logik zu verwenden, führen Sie dieselbe Eigenschaft mehrmals aus. Zum Beispiel:

Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_READONLY"}
Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_ARCHIVE"}

Eine Liste aller Dateiattribute, die in der erweiterten Einstellung ScannerFSAttributesToSkip definiert werden können, finden Sie unter Win32-Dateiattributkonstanten

SharepointWebRequestTimeout

Standardmäßig beträgt das Timeout für SharePoint-Interaktionen zwei Minuten. Danach schlägt der versuchte Informationsschutz-Clientvorgang fehl. Steuern Sie diese Zeitüberschreitung mithilfe der erweiterten Einstellungen SharePointWebRequestTimeout und SharepointFileWebRequestTimeout , wobei Sie eine hh:mm:ss-Syntax verwenden, um die Zeitüberschreitungen zu definieren.

Geben Sie einen Wert an, um das Timeout für alle Information Protection-Client-Webanforderungen an SharePoint zu bestimmen. Der Standardwert ist Minuten.

Wenn Ihre Richtlinie beispielsweise den Namen "Global" hat, aktualisiert der folgende PowerShell-Beispielbefehl das Zeitlimit für Webanforderungen auf 5 Minuten.

Set-LabelPolicy -Identity Global -AdvancedSettings @{SharepointWebRequestTimeout="00:05:00"}

SharepointFileWebRequestTimeout

Standardmäßig beträgt das Timeout für SharePoint-Interaktionen zwei Minuten. Danach schlägt der versuchte Informationsschutz-Clientvorgang fehl. Steuern Sie diese Zeitüberschreitung mithilfe der erweiterten Einstellungen SharePointWebRequestTimeout und SharepointFileWebRequestTimeout , wobei Sie eine hh:mm:ss-Syntax verwenden, um die Zeitüberschreitungen zu definieren.

Angeben des Zeitlimitwerts für SharePoint-Dateien über Information Protection-Client-Webanforderungen. Der Standardwert ist 15 Minuten.

Wenn Ihre Richtlinie beispielsweise den Namen "Global" hat, aktualisiert der folgende PowerShell-Beispielbefehl das Zeitlimit für die Datei-Webanforderung auf 10 Minuten.

Set-LabelPolicy -Identity Global -AdvancedSettings @{SharepointFileWebRequestTimeout="00:10:00"}

UseCopyAndPreserveNTFSOwner

Standardmäßig behält der Informationsschutzclient den NTFS-Besitzer nicht bei, der vor dem Anwenden einer Vertraulichkeitsbezeichnung definiert wurde.

Um sicherzustellen, dass der NTFS-Besitzerwert erhalten bleibt, setzen Sie die erweiterte Einstellung UseCopyAndPreserveNTFSOwner für die ausgewählte Bezeichnungsrichtlinie auf true .

PowerShell-Beispielbefehl, bei dem Ihre Bezeichnungsrichtlinie den Namen "Global" hat

Set-LabelPolicy -Identity Global -AdvancedSettings @{UseCopyAndPreserveNTFSOwner ="true"}