Konfigurieren von Informationsbarrieren in Microsoft Purview
Microsoft Purview-Informationsbarrieren (IB)-Richtlinien können in einer organization eine wesentliche Rolle spielen. Sie können jedoch auch Probleme verursachen, wenn sie nicht ordnungsgemäß konfiguriert sind. Wenn eine organization beispielsweise eine IB-Richtlinie nicht ordnungsgemäß konfiguriert, kann sie die Zusammenarbeit verhindern, wenn sie eigentlich die Zusammenarbeit zulassen möchte. Daher ist es wichtig, dass Administratoren die Funktionen und Konsequenzen von IB-Richtlinien verstehen.
Organisationen können IB-Richtlinien mithilfe des Microsoft Purview-Complianceportals oder mithilfe von Security and Compliance PowerShell konfigurieren. Für Organisationen, die IB zum ersten Mal konfigurieren, empfiehlt Microsoft, die Lösung "Informationsbarrieren" im Microsoft Purview-Complianceportal zu verwenden. Wenn Sie jedoch eine vorhandene IB-Konfiguration verwalten und mit PowerShell vertraut sind, haben Sie diese Option weiterhin.
Konfigurationskonzepte
Wenn eine organization Informationsbarrieren konfiguriert, muss sie mit den folgenden Objekten und Konzepten vertraut sein:
Attribute des Benutzerkontos. Sie definieren diese Attribute in Microsoft Entra ID (oder Exchange Online). Diese Attribute können Abteilung, Position, Standort, Teamname und andere Auftragsprofildetails umfassen. Sie ordnen Benutzern oder Gruppen Segmenten mit diesen Attributen zu. Weitere Informationen finden Sie in der Liste der von IB unterstützten Attribute .
Hinweis
Azure Active Directory (Azure AD) ist jetzt Microsoft Entra ID. Weitere Informationen.
Segmente. Segmente sind Attribute, die ein Administrator verwendet, um die IB-Richtlinie für eine Gruppe zu definieren. Organisationen übernehmen diese Attribute aus der Liste der Attribute, zu denen eine Gruppe gehört. Beispielsweise definiert eine organization ein Segment mit dem Namen "Personalwesen" mithilfe eines Werts im Attribut "Abteilung". Das Definieren von Segmenten hat keine Auswirkungen auf die Benutzer. Es schafft nur die Voraussetzungen für die Definition und Anwendung von Richtlinien für Informationsbarrieren.
Richtlinien für Informationsbarrieren. IB-Richtlinien bestimmen Kommunikationslimits oder -beschränkungen. Wenn Sie IB-Richtlinien definieren, wählen Sie aus zwei Arten von Richtlinien aus:
Blockieren von Richtlinien. Verhindern, dass ein Segment mit einem anderen Segment kommuniziert
Richtlinien für das Zulassen von Richtlinien. Erlauben Sie einem Segment die Kommunikation nur mit bestimmten anderen Segmenten.
Hinweis
Bei Zulassungsrichtlinien sind Nicht-IB-Gruppen und -Benutzer für Benutzer nicht sichtbar, die in IB-Segmenten und -Richtlinien enthalten sind. Wenn Sie möchten, dass Nicht-IB-Gruppen und -Benutzer für Benutzer sichtbar sind, die in IB-Segmenten und -Richtlinien enthalten sind, müssen Sie Blockrichtlinien verwenden.
Anwendung einer Richtlinie. Nachdem eine Organization alle IB-Richtlinien definiert hat, muss sie diese anwenden.
Sichtbarkeit von Nicht-IB-Benutzern und -Gruppen. Nicht-IB-Benutzer und -Gruppen sind Benutzer und Gruppen, die von IB-Segmenten und -Richtlinien ausgeschlossen sind. Je nach Typ der IB-Richtlinien (Blockieren oder Zulassen) unterscheidet sich das Verhalten für diese Benutzer und Gruppen in Microsoft Teams, SharePoint, OneDrive und in Ihrer globalen Adressliste.
- Benutzer, die in IB-Segmenten und -Richtlinien enthalten sind, können keine Nicht-IB-Gruppen und -Benutzer anzeigen, es sei denn, sie sind von Zulassungsrichtlinien enthalten.
- Benutzer, die in IB-Segmenten und -Richtlinien enthalten sind, können Nicht-IB-Gruppen und -Benutzer anzeigen, auch wenn sie von Blockrichtlinien enthalten sind.
Gruppen-Support. Informationsbarrieren unterstützen nur Microsoft 365-Gruppen. Das System behandelt Verteilerlisten und Sicherheitsgruppen als Nicht-IB-Gruppen.
Ausgeblendete/deaktivierte Benutzerkonten. Wenn eine organization Benutzerkonten ausblendet oder deaktiviert, legt Microsoft Purview den Parameter HiddenFromAddressListEnabled automatisch auf "True" fest. In IB-fähigen Organisationen können diese Konten nicht mit anderen Benutzerkonten kommunizieren. In Microsoft Teams werden alle Chats gesperrt, die diese Konten enthalten, oder die Benutzer werden automatisch aus Unterhaltungen entfernt.
Planen von Richtlinien für Informationsbarrieren
Organisationen müssen die folgenden Fragen berücksichtigen, bevor sie IB-Richtlinien konfigurieren:
- Welche gesetzlichen oder branchenspezifischen Bestimmungen gelten für die Gruppen innerhalb Ihrer organization?
- Gibt es Gruppen, die daran gehindert werden sollen, mit einer anderen Gruppe zu kommunizieren?
- Gibt es Gruppen, die nur mit einer oder zwei anderen Gruppen kommunizieren dürfen?
Diese Fragen können einer Organization helfen, sich ein Bild davon zu machen, welche IB-Richtlinien sie in ihrer Organization umsetzen muss. Sobald sie mit dem Erstellen von Richtlinien beginnen, können sie die Richtlinien in zwei Typen unterteilen:
- Blockieren von Richtlinien. Diese Richtlinien verhindern, dass eine Gruppe mit einer anderen Gruppe kommuniziert.
- Richtlinien für das Zulassen von Richtlinien. Diese Richtlinien erlauben einer Gruppe die Kommunikation nur mit bestimmten Gruppen.
Wenn Sie bestimmen, wie die Gruppen segmentiert werden sollen, erstellen Sie eine Liste von Richtlinien für jeden dieser beiden Typen. Erstellen Sie dann eine Liste der Segmente für Ihre Organization.
Konfigurieren von Informationsbarrieren für Microsoft 365
Organisationen sollten die folgenden Schritte ausführen, um Microsoft Purview-Informationsbarrieren zu konfigurieren.
| Schritt | Was beteiligt ist |
|---|---|
| Schritt 1: Stellen Sie sicher, dass die Voraussetzungen erfüllt sind. | - Vergewissern Sie sich, dass Sie über die erforderlichen Lizenzen und Berechtigungen verfügen. - Stellen Sie sicher, dass Ihr Verzeichnis Daten für die Segmentierung von Benutzern enthält. - Aktivieren Sie die Suche nach Namen für Microsoft Teams. - Stellen Sie sicher, dass Sie die Überwachungsprotokollierung aktivieren. – Stellen Sie sicher, dass keine Exchange-Adressbuchrichtlinien vorhanden sind. - Verwenden Sie optional PowerShell. - Administratoreinwilligung für Microsoft Teams erteilen. |
| Schritt 2: Segmentieren Sie Benutzer in Ihrer Organization. | - Bestimmen Sie, welche Richtlinien Sie benötigen. - Erstellen Sie eine Liste der zu definierenden Segmente. - Identifizieren Sie, welche Attribute verwendet werden sollen. - Definieren Sie Segmente in Bezug auf Richtlinienfilter. |
| Schritt 3: Definieren Sie Richtlinien für Informationsbarrieren. | - Definieren Sie Ihre Richtlinien (gelten noch nicht). - Wählen Sie aus zwei Arten (Blockieren oder Zulassen). |
| Schritt 4: Anwenden von Richtlinien für Informationsbarrieren | - Setzen Sie Richtlinien auf den aktiven Status. - Führen Sie die Richtlinienanwendung aus. - Anzeigen des Richtlinien-Status. |
| Schritt 5: Konfiguration von Informationsbarrieren auf SharePoint und OneDrive (optional). | - Konfigurieren Sie IB für SharePoint und OneDrive. |
| Schritt 6: Informationsbarrierenmodi (optional). | - Aktualisieren Sie gegebenenfalls die IB-Modi. |
Identifizieren von Segmenten
Zusätzlich zur anfänglichen Liste der Richtlinien einer Organization sollte eine Liste von Segmenten erstellt werden. Die Benutzer, die eine organization in IB-Richtlinien einschließen möchte, sollten zu einem Segment gehören.
Warnung
Planen Sie Ihre Segmente sorgfältig. In Organisationen, die den Legacy- oder SingleSegment-Modus verwenden, kann ein Benutzer nur einem Segment angehören. In Organisationen, die den MultiSegment-Modus verwenden, kann ein Benutzer zu bis zu 10 Segmenten gehören. Auf jedes Segment kann nur eine Richtlinie für Informationsbarrieren angewendet werden.
Eine organization sollte die Attribute in ihren Verzeichnisdaten identifizieren, die sie zum Definieren von Segmenten verwenden möchte. Beispielsweise kann er "Department", "MemberOf" oder eines der unterstützten IB-Attribute verwenden. Die organization sollte sicherstellen, dass das Attribut, das sie für Benutzer auswählt, Werte enthält. Wenn die Verzeichnisdaten einer organization keine Werte für die Attribute aufweisen, die sie verwenden möchte, müssen die Benutzerkonten aktualisiert werden, um diese Informationen einzuschließen, bevor sie mit der Konfiguration von IB fortfahren können. Weitere Informationen finden Sie unter Unterstützte Attribute für IB.
Erstellen von IB-Richtlinien
Wenn eine Organization IB-Richtlinien erstellt, muss sie festlegen, ob sie die Kommunikation zwischen bestimmten Segmenten verhindern oder auf bestimmte Segmente beschränken muss. Im Idealfall sollte eine Organization die Mindestanzahl von IB-Richtlinien verwenden, um sicherzustellen, dass sie mit internen, rechtlichen und Branchenanforderungen konform ist. Organisationen können das Microsoft Purview-Complianceportal oder PowerShell verwenden, um IB-Richtlinien zu erstellen und anzuwenden.
Tipp
Für Organisationen, die den Legacy- oder SingleSegment-Modus verwenden, empfiehlt Microsoft, nach Möglichkeit für die meisten Szenarien Blockierungsrichtlinien zu verwenden. Organisationen, die den MultiSegment-Modus verwenden, müssen alle Richtlinien für Informationsbarrieren mit einer Zulassungsliste definieren.
Eine organization sollte ihre Liste der Benutzersegmente und die IB-Richtlinien definieren, die sie definieren möchte. Es sollte dann eines der folgenden Szenarien auswählen und die entsprechenden Schritte ausführen.
- Szenario 1: Blockieren der Kommunikation zwischen Segmenten
- Szenario 2: Erlauben Sie einem Segment, nur mit einem anderen Segment zu kommunizieren.
Wichtig
Eine organization sollte sicherstellen, dass sie beim Definieren von Richtlinien einem Segment nicht mehr als eine Richtlinie zuweist. Wenn z. B. eine Richtlinie für ein Segment namens "Vertrieb" definiert ist, sollte keine weitere Richtlinie für das Segment "Vertrieb" definiert werden. Und wenn es IB-Richtlinien definiert, sollte die organization sicherstellen, dass sie diese Richtlinien auf den Status "Inaktiv" setzt, bis sie bereit ist, sie anzuwenden. Wenn ein organization Richtlinien definiert oder bearbeitet, hat dies keine Auswirkungen auf Benutzer, bis diese Richtlinien auf Active status festgelegt und angewendet werden.