Configurer SharePoint avec une étiquette de confidentialité pour étendre les autorisations aux documents téléchargés

Description du service Microsoft Purview Audit

Lorsque SharePoint est activé pour les étiquettes de confidentialité, vous pouvez configurer des bibliothèques de documents afin d’étendre les autorisations de site SharePoint existantes aux documents téléchargés à partir de la bibliothèque. Ensuite, tous les fichiers précédemment non étiquetés de cette bibliothèque continuent d’être protégés avec les autorisations SharePoint actuelles pour l’utilisateur, même s’ils ont quitté la limite SharePoint d’origine.

Par exemple, vous sélectionnez l’étiquette Confidentiel \ People approuvé comme étiquette de confidentialité pour étendre les autorisations d’une bibliothèque de documents. Dans cette bibliothèque, un site est configuré pour n’accorder que des autorisations de lecture à un groupe spécifique d’utilisateurs. Un utilisateur de ce groupe télécharge un fichier à partir du site, et ce fichier est maintenant étiqueté comme Confidentiel \ Approuvé People. Même si le fichier n’est plus dans SharePoint, cet utilisateur peut toujours afficher et ne pas modifier le contenu ou supprimer l’étiquette. Seuls les utilisateurs ayant accès au fichier dans SharePoint ont accès au fichier téléchargé. Les utilisateurs qui n’ont pas accès au fichier dans SharePoint ne pourront pas ouvrir ce fichier téléchargé, quel que soit l’emplacement où il est stocké.

En outre, le fichier dispose d’une couche de protection juste-à-temps, car l’utilisateur qui l’a téléchargé ne pourra pas non plus l’ouvrir dans les circonstances suivantes :

• Les autorisations de cet utilisateur sont supprimées du fichier
• Le fichier est supprimé du site
• Le site n’est plus actif
• Le fichier est déplacé vers un autre site

Si les autorisations SharePoint sont modifiées pour l’utilisateur, ces modifications sont répercutées pour le fichier téléchargé.

Lorsque ces fichiers étiquetés se trouvent dans la bibliothèque de documents, ils sont également protégés contre les actions de copie et de déplacement :

• Les fichiers ne peuvent pas être copiés ou déplacés vers un autre site.
• Les fichiers peuvent être copiés ou déplacés vers une autre bibliothèque de documents au sein du même site uniquement si l’utilisateur dispose des autorisations SharePoint pour créer ou supprimer des listes.

L’étiquette de confidentialité spécifiée est appliquée à tous les fichiers qui ne sont pas étiquetés, ainsi qu’aux fichiers qui sont étiquetés mais que la configuration de l’étiquette n’applique pas de chiffrement. Les Files synchronisés avec OneDrive sont également étiquetés.

Pour les fichiers existants étiquetés mais non chiffrés, une étiquette appliquée manuellement est également remplacée par l’étiquette spécifiée. Pour obtenir un résumé rapide des résultats possibles, consultez La page Will an existing label will be override on this page.

Étant donné que les fichiers non chiffrés peuvent être reétiquetés, cette configuration d’étiquetage est bien adaptée aux organisations qui sont au début de leur déploiement d’étiquetage et qui n’ont pas encore étiqueté les fichiers dans les sites SharePoint à l’aide d’autres méthodes.

Une étiquette existante sera-t-elle remplacée ?

Résumé des résultats :

Configuration requise

• Vous avez créé et publié des étiquettes de confidentialité, publiées pour les utilisateurs qui sélectionneront l’étiquette de confidentialité pour une bibliothèque de documents SharePoint. Les étiquettes nécessitent la configuration suivante :

  • Étendue d’étiquette de Files et autres ressources de données

  • Le contrôle d’accès est sélectionné avec le paramètre de chiffrement Permettre aux utilisateurs d’attribuer des autorisations lorsqu’ils appliquent l’étiquette et la case à cocher Dans Word, PowerPoint et Excel, inviter les utilisateurs à spécifier des autorisations est sélectionné. Ce paramètre est parfois appelé « autorisations définies par l’utilisateur ».

    Remarque

    Dans cette application du label, les utilisateurs ne sont pas invités à entrer des autorisations, mais leurs autorisations SharePoint sont automatiquement appliquées lorsqu’un fichier est téléchargé, copié ou déplacé du site.

• Vous avez activé les étiquettes de confidentialité pour les fichiers Office dans SharePoint et OneDrive. Pour case activée ce status, vous pouvez exécuter (Get-SPOTenant).EnableAIPIntegration à partir du SharePoint Online Management Shell pour confirmer que la valeur est définie sur True.

• Votre client a été activé pour la co-édition pour les fichiers chiffrés avec des étiquettes de confidentialité.

• Pour prendre en charge les étiquettes de confidentialité pour les PDF, vous avez ajouté la prise en charge des PDF dans SharePoint. Pour case activée ce status, vous pouvez exécuter (Get-SPOTenant).EnableSensitivityLabelforPDF à partir du SharePoint Online Management Shell pour confirmer que la valeur est définie sur True.

• Les applications Windows de Applications Microsoft 365 pour les grandes entreprises qui téléchargent des fichiers nécessitent une version minimale de 2402 du canal actuel, du canal d’entreprise mensuel ou Semi-Annual canal d’entreprise.

• La gestion des droits relatifs à l’information (IRM) SharePoint n’est pas activée pour la bibliothèque. Cette technologie plus ancienne n’est pas compatible avec l’utilisation d’une étiquette de confidentialité pour une bibliothèque de documents SharePoint. Si une bibliothèque est activée pour IRM, vous ne pourrez pas sélectionner une étiquette de confidentialité.

• Des autorisations d’administrateur de site sont nécessaires pour appliquer et modifier l’étiquette de confidentialité dans SharePoint.

• Files doivent contenir du contenu pour être étiqueté.

Si vous avez besoin de consulter la liste des types de fichiers pris en charge par les étiquettes de confidentialité dans SharePoint, consultez Types de fichiers pris en charge.

Mappage des autorisations SharePoint aux droits d’utilisation

Utilisez le tableau suivant pour comprendre comment les autorisations SharePoint d’un utilisateur sont étendues aux droits d’utilisation et aux niveaux d’autorisation de gestion des droits lorsqu’un fichier est téléchargé ou copié et déplacé en dehors du site.

^* Actuellement, ces droits d’utilisation ne sont pas appliqués et, par conséquent, l’utilisateur peut modifier l’étiquette de confidentialité, mais ne peut pas la supprimer.

Limitations

Les limitations suivantes s’appliquent lorsque vous utilisez cette configuration :

• Les utilisateurs ne peuvent pas appliquer manuellement des étiquettes de confidentialité qui ne sont pas configurées pour appliquer le chiffrement.

• Les utilisateurs ne pourront pas ouvrir les fichiers téléchargés hors ligne ; Ils doivent pouvoir se connecter au site d’origine.

• Les utilisateurs ne pourront pas ouvrir les fichiers téléchargés si le site, le dossier ou le fichier SharePoint d’origine est supprimé.

• Les Files étiquetés avec cette configuration ne peuvent pas être déplacés ou copiés vers un autre site.

• Les Files étiquetés avec cette configuration ne prennent pas en charge l’option Enregistrer sous et ne s’enregistrent pas avec cette option, sauf s’il s’agit des versions minimales qui incluent des améliorations côté client :

  • Windows : Version 2601+ dans le canal actuel et le canal d’entreprise mensuel
  • macOS : Version 16.103+
  • iOS : Version 2.103+
  • Android : Version 16.0.19426+

• Les Files étiquetés avec cette configuration ne peuvent être déplacés ou copiés vers une autre bibliothèque de documents au sein du même site que si les utilisateurs disposent des autorisations SharePoint pour créer ou supprimer des listes. L’étiquette n’est pas conservée pour le fichier copié ou déplacé.

• Cette configuration peut remplacer une étiquette précédemment appliquée manuellement si l’étiquette n’est pas configurée pour appliquer le chiffrement.

• Microsoft 365 Copilot peut référencer les fichiers étiquetés si les utilisateurs disposent d’autorisations de lecture SharePoint, mais ne résumera pas ces fichiers. Étant donné que les fichiers ne peuvent pas être résumés, ils ne peuvent pas non plus être utilisés par Copilot pour générer du contenu.

Comment configurer une bibliothèque de documents SharePoint pour une étiquette de confidentialité qui étend les autorisations aux documents téléchargés

Cette configuration nécessite tout d’abord que vous activiez la fonctionnalité pour le client à l’aide de PowerShell avec SharePoint Online Management Shell. Ensuite, une nouvelle case à cocher devient disponible pour les paramètres de bibliothèque de documents.

Exécutez la commande PowerShell pour activer la prise en charge afin d’étendre les autorisations SharePoint

Assurez-vous que vous exécutez SharePoint Online Management Shell version 16.0.25430.12000 ou ultérieure.

Pour activer les nouvelles fonctionnalités, utilisez l’applet de commande Set-SPOTenant avec le paramètre ExtendPermissionsToUnprotectedFiles :

1. À l’aide d’un compte professionnel ou scolaire disposant de privilèges d’administrateur SharePoint dans Microsoft 365, connectez-vous à SharePoint. Pour savoir comment procéder, reportez-vous à l’article Prise en main de SharePoint Online Management Shell.

   Remarque

   Si vous disposez de Microsoft 365 Multigéographie, utilisez le paramètre -URL avec Connect-SPOServiceet spécifiez l’URL du site du Centre d’administration SharePoint Online pour l’un de vos emplacements géographiques.

2. Exécutez la commande suivante et appuyez sur Y pour confirmer :

   Set-SPOTenant -ExtendPermissionsToUnprotectedFiles $true
   

   Si vous voyez une erreur vous informant que la fonctionnalité n’est pas activée, c’est probablement parce que le déploiement n’a pas encore atteint votre client.

3. Pour Microsoft 365 Multigéographique : répétez les étapes 1 et 2 pour chacun de vos emplacements géographiques restants.

Comme pour toutes les modifications de configuration au niveau du locataire pour SharePoint, l’application de la modification prend environ 15 minutes.

Configurer des bibliothèques de documents SharePoint avec une étiquette par défaut pour étendre les autorisations

Pour chaque bibliothèque de documents SharePoint que vous souhaitez avoir cette configuration, suivez les instructions de Ajouter une étiquette de confidentialité à la bibliothèque de documents SharePoint, puis cochez la case Étendre la protection au téléchargement, à la copie ou au déplacement :

Vous ne verrez pas cette case à cocher tant que la commande PowerShell précédente n’est pas terminée.

Une fois que vous avez sélectionné une étiquette de confidentialité qui applique le chiffrement avec des autorisations définies par l’utilisateur, enregistrez la configuration.

L’étiquette de confidentialité sélectionnée sera appliquée à tous les fichiers qui ne sont pas étiquetés et aux fichiers étiquetés mais la configuration d’étiquettes n’applique pas de chiffrement. La colonne Sensibilité de la bibliothèque de documents affiche l’étiquette sélectionnée pour les fichiers existants, nouveaux et modifiés. Les utilisateurs voient l’étiquette sélectionnée affichée lorsqu’ils ouvrent le fichier pour le modifier, mais ne subissent aucune modification des autorisations en raison de l’étiquette.

Une fois la bibliothèque configurée avec l’étiquette de confidentialité, tous les fichiers existants sont resynchronisés si la bibliothèque est synchronisée via le client de synchronisation OneDrive. Le processus de resynchronisation peut prendre un certain temps et la protection étendue ne sera pas appliquée tant qu’il n’est pas terminé.

Surveillance de l’application de l’étiquette de confidentialité qui étend les autorisations SharePoint

Étant donné que cette configuration étend les fonctionnalités d’une étiquette de sensibilité par défaut pour une bibliothèque de documents, vous surveillez sa configuration de la même manière. L’étiquette de confidentialité GUID identifie la configuration de chiffrement pour les autorisations définies par l’utilisateur. Il n’existe pas d’événement d’audit d’étiquetage distinct pour le téléchargement, la copie ou le déplacement d’un fichier.

Comment désactiver cette fonctionnalité

Si vous souhaitez qu’une bibliothèque de documents SharePoint spécifique n’étende plus les autorisations avec une étiquette de confidentialité, désactivez la case à cocher Étendre la protection lors du téléchargement, de la copie ou du déplacement en tant que paramètre de bibliothèque de documents SharePoint. Ensuite :

• Les Files de la bibliothèque de documents qui étaient précédemment étiquetés avec cette configuration reviendront à leur étiquette d’origine qui n’appliquait pas de chiffrement, ou non étiquetés s’il s’agissait de leur status d’origine avant que la case à cocher ne soit sélectionnée.

• Files synchronisés avec OneDrive sont resynchronisés et retrouvent de la même manière leur status d’étiquette précédent. Le processus de resynchronisation peut prendre un certain temps et, tant qu’il n’est pas terminé, la protection étendue demeure.

• Les fichiers étiquetés qui sont maintenant téléchargés conservent leur étiquette.

Si vous souhaitez désactiver cette fonctionnalité au niveau du locataire lorsqu’elle a été activée et configurée précédemment, décochez d’abord la case Étendre la protection au téléchargement, à la copie ou au déplacement de toutes les bibliothèques de documents où elle a été sélectionnée. Ensuite, utilisez la même applet de commande Set-SPOTenant avec le paramètre ExtendPermissionsToUnprotectedFiles , mais définissez la valeur sur false. Ensuite :

• La case à cocher Étendre la protection lors du téléchargement, de la copie ou du déplacement n’est plus visible en tant que paramètre de bibliothèque de documents SharePoint.

Si vous désactivez la fonctionnalité au niveau du locataire sans décocher au préalable la case d’une bibliothèque de documents, la configuration est conservée, mais sans la case à cocher pour la désactiver.

Dans ce scénario, pour désactiver la configuration, exécutez la commande PowerShell pour activer la prise en charge afin d’étendre les autorisations SharePoint pour afficher à nouveau la case à cocher afin de pouvoir la décocher. Si vous ne souhaitez pas réactiver la prise en charge au niveau du locataire, contactez le Support Microsoft pour vous parler des commandes PowerShell afin de supprimer la configuration d’une bibliothèque de documents spécifique.

Étapes suivantes

Bien que cette configuration fournisse une protection immédiate à grande échelle pour les fichiers stockés dans SharePoint, elle ne prend pas en compte le contenu des fichiers qui peut nécessiter un niveau de protection plus élevé. Envisagez de compléter cette méthode d’étiquetage par l’étiquetage automatique qui utilise l’inspection du contenu pour appliquer des étiquettes de confidentialité avec chiffrement.

Ressources connexes

Vue d’ensemble de la gestion avancée de Microsoft Syntex