Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Le service Azure Rights Management est une technologie de chiffrement basée sur le cloud utilisée par la Protection des données Microsoft Purview. Il aide à protéger les fichiers et les e-mails sur les appareils en appliquant des droits d’utilisation et des stratégies de chiffrement.
Utilisez ces informations pour vous aider à comprendre comment utiliser la journalisation de l’utilisation du service de chiffrement, Azure Rights Management à partir de la Protection des données Microsoft Purview. Ce service de chiffrement fournit une protection supplémentaire des données pour les éléments de votre organisation, tels que les documents et les e-mails, et il peut enregistrer toutes les demandes. Ces demandes incluent :
- Lorsque les utilisateurs chiffrent des éléments pour les protéger et déchiffrent pour les lire ou supprimer le chiffrement.
- Actions effectuées par vos administrateurs pour gérer le service Azure Rights Management, et actions effectuées par les opérateurs Microsoft pour prendre en charge le service.
Vous pouvez ensuite utiliser ces journaux d’utilisation pour prendre en charge les scénarios d’entreprise suivants :
Analysez pour obtenir des informations métier
Les journaux générés par Azure Rights Management peuvent être importés dans le référentiel de votre choix (par exemple, une base de données, un système de traitement analytique en ligne (OLAP) ou un système de réduction de mappage) pour analyser les informations et produire des rapports. Par exemple, vous pouvez identifier les personnes qui accèdent à vos données chiffrées. Vous pouvez déterminer les données chiffrées auxquelles les utilisateurs accèdent, ainsi que sur quels appareils et à partir de quel endroit. Vous pouvez savoir si les gens peuvent lire correctement le contenu chiffré. Vous pouvez également identifier les personnes qui ont lu un document important qui a été chiffré.
Surveiller les abus
Les informations de journalisation sur l’utilisation du service Azure Rights Management sont disponibles en quasi temps réel, de sorte que vous pouvez surveiller en permanence l’utilisation du service par votre entreprise. 99,9 % des journaux sont disponibles dans les 15 minutes suivant le lancement d’une action sur le service.
Par exemple, vous souhaiterez peut-être être alerté en cas d’augmentation soudaine du nombre de personnes lisant des données cryptées en dehors des heures de travail normales, ce qui pourrait indiquer qu’un utilisateur malveillant collecte des informations pour les vendre à des concurrents. Ou, si le même utilisateur accède apparemment à des données à partir de deux adresses IP différentes dans un court laps de temps, ce qui pourrait indiquer qu’un compte d’utilisateur a été compromis.
Effectuer une analyse légale
Si vous avez une fuite d’informations, il est probable que l’on vous demande qui a récemment accédé à des documents spécifiques et à quelles informations une personne suspecte a accédé récemment. Vous pouvez répondre à ce type de questions lorsque vous utilisez la journalisation de l’utilisation d’Azure Rights Management, car les personnes qui utilisent du contenu chiffré doivent toujours obtenir une licence d’utilisation Rights Management pour ouvrir des éléments chiffrés par Azure Rights Management, même si ces éléments sont déplacés par e-mail ou copiés sur des clés USB ou d’autres périphériques de stockage. Cela signifie que vous pouvez utiliser ces journaux comme source d’informations définitive pour l’analyse médico-légale lorsque vous protégez vos données à l’aide du service Azure Rights Management.
Options de journalisation supplémentaires pour le service Azure Rights Management :
| Option Journalisation | Description |
|---|---|
| Journal d’Administration | Journalise les tâches administratives pour le service Azure Rights Management. Par exemple, si le service est désactivé, lorsque la fonctionnalité Super utilisateur est activée et lorsque les utilisateurs reçoivent des autorisations d’administrateur déléguées au service. Pour plus d’informations, consultez l’applet de commande PowerShell, Get-AipServiceAdminLog. |
| Suivi des documents | Permet aux utilisateurs de suivre et de révoquer leurs documents qu’ils ont chiffrés avec le client de Protection des données Microsoft Purview. Le rôle d’administrateur des données de conformité peut également suivre ces documents pour le compte des utilisateurs. Pour plus d’informations, voir Suivi et révocation de l’accès aux documents. |
Le reste de cet article explique comment télécharger et interpréter les journaux d’utilisation d’Azure Rights Management, y compris les détails du format de journal et une référence PowerShell.
Comment accéder à vos journaux d’utilisation d’Azure Rights Management et les utiliser
La journalisation de l’utilisation d’Azure Rights Management est activée par défaut pour tous les clients. Il n’y a aucun coût supplémentaire pour le stockage des journaux ou pour la fonctionnalité de journalisation.
Le service Azure Rights Management écrit les journaux sous la forme d’une série d’objets blob dans un compte de stockage Azure qu’il crée automatiquement pour votre locataire. Chaque blob contient un ou plusieurs enregistrements de journal, au format de journal étendu W3C. Les noms d’objets blob sont des nombres, dans l’ordre dans lequel ils ont été créés. Pour plus d’informations sur le contenu des journaux et leur création, consultez Comment interpréter vos journaux d’utilisation d’Azure Rights Management.
L’affichage des journaux dans votre compte de stockage après une action Azure Rights Management peut prendre un certain temps. La plupart des journaux apparaissent dans les 15 minutes. Les journaux d’utilisation ne sont disponibles que lorsque le nom du champ « date » contient la valeur d’une date précédente (en heure UTC). Les journaux d’utilisation de la date actuelle ne sont pas disponibles. Nous vous recommandons de télécharger les journaux dans un stockage local, tel qu’un dossier local, une base de données ou un système de traitement Big Data.
Pour télécharger vos journaux d’utilisation, vous utilisez le module AIPService PowerShell pour la Protection des données Microsoft Purview. Pour obtenir des instructions d’installation, consultez Installer le module AIPService PowerShell pour le service Azure Right Management.
Pour télécharger vos journaux d’utilisation à l’aide de PowerShell
Utilisez les étapes suivantes pour vous connecter au service Azure Rights Management et télécharger vos journaux d’utilisation à l’aide de PowerShell.
Démarrez PowerShell avec l’option Exécuter en tant qu’administrateur et utilisez l’applet de commande Connect-AipService pour vous connecter au service Azure Rights Management :
Connect-AipServiceExécutez la commande suivante pour télécharger les journaux d’activité relatifs à une date spécifique :
Get-AipServiceUserLog -Path <location> -fordate <date>Par exemple, après avoir créé un dossier appelé Logs sur votre lecteur E :
Pour télécharger les journaux pour une date spécifique (comme le 01/02/2025), exécutez la commande suivante :
Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2025Pour télécharger les journaux pour une plage de dates (par exemple, du 01/02/2025 au 14/02/2025), exécutez la commande suivante :
Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025
Lorsque vous spécifiez uniquement le jour, comme dans nos exemples, l’heure est supposée être 00:00:00 dans votre heure locale, puis convertie en UTC. Lorsque vous spécifiez une heure avec vos paramètres -fromdate ou -todate (par exemple, -fordate « 2/1/2025 15:00:00 »), cette date et cette heure sont converties en UTC. La commande Get-AipServiceUserLog obtient ensuite les journaux pour cette période UTC.
Vous ne pouvez pas spécifier moins d’une journée entière pour le téléchargement.
Par défaut, cette applet de commande utilise trois threads pour télécharger les journaux. Si vous disposez d’une bande passante réseau suffisante et que vous souhaitez réduire le temps nécessaire au téléchargement des journaux, utilisez le paramètre -NumberOfThreads, qui prend en charge une valeur comprise entre 1 et 32. Par exemple, si vous exécutez la commande suivante, l’applet de commande génère 10 threads pour télécharger les journaux : Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025 -numberofthreads 10
Conseil
Vous pouvez agréger tous vos fichiers journaux téléchargés dans un format CSV à l’aide de l’analyseur de journaux de Microsoft, qui est un outil permettant de convertir entre différents formats de journaux bien connus. Vous pouvez également utiliser cet outil pour convertir des données au format SYSLOG, ou les importer dans une base de données. Après avoir installé l’outil, recherchez LogParser.exe /? de l’aide et des informations pour l’utiliser.
Par exemple, vous pouvez exécuter la commande suivante pour importer toutes les informations dans un format de fichier .log : logparser –i:w3c –o:csv "SELECT * INTO AllLogs.csv FROM *.log"
Comment interpréter vos journaux d’utilisation
Cette section décrit la séquence de journaux d’Azure Rights Management, le format d’objets blob, les champs d’enregistrement de journal et les types de demandes courants afin de vous permettre d’analyser et d’analyser vos journaux d’utilisation.
La séquence de journaux
Le service Azure Rights Management écrit les journaux sous la forme d’une série d’objets blob.
Chaque entrée du journal possède un horodatage UTC. Étant donné que le service s’exécute sur plusieurs serveurs dans plusieurs centres de données, les journaux peuvent parfois sembler hors séquence, même lorsqu’ils sont triés par horodatage. Cependant, la différence est faible et généralement à moins d’une minute. Dans la plupart des cas, ce n’est pas un problème qui serait un problème pour l’analyse des journaux.
Le format d’objet blob
Chaque objet blob est au format de journal étendu W3C. Il commence par les deux lignes suivantes :
#Software : RMS
#Version : 1.1
La première ligne identifie qu’il s’agit de journaux d’utilisation d’Azure Rights Management. La deuxième ligne indique que le reste de l’objet blob suit la spécification de la version 1.1. Nous recommandons à toutes les applications qui analysent ces journaux de vérifier ces deux lignes avant de continuer à analyser le reste de l’objet blob.
La troisième ligne énumère une liste de noms de champs séparés par des tabulations :
#Fields : Date Time row-id request-type user-id result correlation-id content-id owner-email issuer template-id file-name date-published c-info c-ip admin-action acting-as-user
Chacune des lignes suivantes est un enregistrement de journal. Les valeurs des champs sont affichées dans le même ordre que la ligne précédente et séparées par des tabulations. Utilisez le tableau suivant pour interpréter les champs.
| Nom du champ | type de données W3C | Description | Exemple de valeur |
|---|---|---|---|
| date | Date | Date UTC à laquelle la demande a été traitée. La source est l’horloge locale sur le serveur qui a traité la demande. |
2013-06-25 |
| time | Time | Heure UTC au format 24 heures lorsque la demande a été traitée. La source est l’horloge locale sur le serveur qui a traité la demande. |
21:59:28 |
| row-id | Texte | GUID unique pour cet enregistrement de journal. Si aucune valeur n’est présente, utilisez la valeur corrélation-id pour identifier l’entrée. Cette valeur est utile lorsque vous agrégeez des journaux ou copiez des journaux dans un autre format. |
aaaa0000-bb11-2222-33cc-444444dddddd |
| Type de demande | Nom | Nom de l’API RMS demandée. | AcquireLicense |
| ID utilisateur | String | L’utilisateur à l’origine de la demande. La valeur est placée entre guillemets simples. Les appels provenant d’une clé de locataire Azure Rights Management que vous gérez (BYOK) ont une valeur de « , qui s’applique également lorsque les types de demandes sont anonymes. |
‘joe@contoso.com’ |
| result | String | « Réussite » si la demande a été traitée avec succès. Type d’erreur entre guillemets simples si la demande a échoué. |
« Succès » |
| ID corrélationnel | Texte | GUID commun entre le journal client et le journal serveur correspondants pour une demande donnée. Cette valeur peut être utile pour aider à résoudre les problèmes liés aux clients. |
bbbb1111-cc22-3333-44dd-555555ee |
| ID de contenu | Texte | GUID, placé entre accolades qui identifie le contenu chiffré (par exemple, un document). Ce champ n’a de valeur que si le type de demande est AcquireLicense et est vide pour tous les autres types de demande. |
{bb4af47b-cfed-4719-831d-71b98191a4f2} |
| owner-email | String | Email du propriétaire du document. Ce champ est vide si le type de demande est RevokeAccess. |
alice@contoso.com |
| de l’émetteur | String | Email de l’émetteur du document. Ce champ est vide si le type de demande est RevokeAccess. |
alice@contoso.com (ou) FederatedEmail.4c1f4d-93bf-00a95fa1e042@contoso.onmicrosoft.com' |
| ID de modèle | String | ID du modèle de gestion des droits utilisé pour chiffrer le document. Ce champ est vide si le type de demande est RevokeAccess. |
{6d9371a6-4e2d-4e97-9a38-202233fed26e} |
| nom_fichier | String | Nom de fichier d’un document chiffré suivi à l’aide du client de Protection des données Microsoft Purview. Actuellement, certains fichiers (tels que les documents Office) s’affichent en tant que GUID plutôt que le nom réel du fichier. Ce champ est vide si le type de demande est RevokeAccess. |
TopSecretDocument.docx |
| Date de publication | Date | Date à laquelle le document a été chiffré. Ce champ est vide si le type de demande est RevokeAccess. |
2015-10-15T21:37:00 |
| c-info | String | Informations sur la plateforme cliente qui effectue la demande. La chaîne spécifique varie selon l’application (par exemple, le système d’exploitation ou le navigateur). |
« MSIPC ; version = 1.0.623.47 ; AppName=WINWORD.EXE ; AppVersion=15.0.4753.1000 ; AppArch=x86 ; OSName=Windows ; OSVersion=6.1.7601 ; OSArch=amd64' |
| C-IP | Address | Adresse IP du client qui effectue la demande. | 64.51.202.144 |
| action admin | Bool | Si un administrateur a accédé au site de suivi des documents en mode Administrateur. | Vrai |
| Agir en tant qu’utilisateur | String | L’adresse e-mail de l’utilisateur pour lequel un administrateur accède au site de suivi des documents. | 'joe@contoso.com' |
Exceptions pour le champ ID utilisateur
Bien que le champ ID utilisateur indique généralement l’utilisateur qui a effectué la demande, il existe deux exceptions où la valeur ne correspond pas à un utilisateur réel :
La valeur 'microsoftrmsonline@<YourTenantID.rms>.<region.aadrm.com>'.
Cela indique qu’un service Microsoft 365, tel que Exchange ou SharePoint, effectue la demande. Dans la chaîne, <YourTenantID> est le GUID de votre client et <region> est la région où votre client est inscrit. Par exemple, na représente l’Amérique du Nord, l’ue représente l’Europe et ap représente l’Asie.
Si vous utilisez le connecteur Rights Management.
Les demandes émanant de ce connecteur sont enregistrées avec le nom de principal de service Aadrm_S-1-7-0, qui est généré automatiquement lorsque vous installez le connecteur Rights Management.
Types de demandes classiques
Il existe de nombreux types de demandes pour le service Azure Rights Management, mais le tableau suivant identifie certains des types de demandes les plus utilisés.
| Type de demande | Description |
|---|---|
| AcquireLicense | Un client d’un ordinateur Windows demande une licence d’utilisation pour le contenu chiffré. |
| AcquirePreLicense | Un client, au nom de l’utilisateur, demande une licence d’utilisation pour le contenu chiffré. |
| AcquireTemplates | Un appel a été lancé pour acquérir des modèles de gestion des droits basés sur les ID de modèle |
| AcquireTemplateInformation | Un appel a été effectué pour obtenir les ID du modèle de gestion des droits auprès du service. |
| Ajouter un modèle | Un appel est effectué à partir du portail d’administration pour ajouter un modèle de gestion des droits. |
| AllDocsCsv | Un appel est effectué à partir du site de suivi des documents pour télécharger le fichier CSV à partir de la page Tous les documents . |
| BECreateEndUserLicenseV1 | Un appel est effectué à partir d’un appareil mobile pour créer une licence utilisateur final. |
| BEGetAllTemplatesV1 | Un appel est effectué à partir d’un appareil mobile (back-end) pour obtenir tous les modèles de gestion des droits. |
| Certifier | Le client certifie l’utilisateur pour la consommation et la création de contenu chiffré. |
| FECreateEndUserLicenseV1 | Similaire à la demande AcquireLicense, mais à partir d’appareils mobiles. |
| FECreatePublishingLicenseV1 | Identique à Certify et GetClientLicensorCert combinés, à partir de clients mobiles. |
| FEGetAllTemplates | Un appel est effectué à partir d’un appareil mobile (front-end) pour obtenir les modèles de gestion des droits. |
| FindServiceLocationsForUser | Un appel est effectué pour rechercher des URL, qui est utilisé pour appeler Certify ou AcquireLicense. |
| GetClientLicensorCert | Le client demande un certificat de publication (utilisé ultérieurement pour chiffrer le contenu) d’un ordinateur Windows. |
| GetConfiguration | Une applet de commande PowerShell est appelée pour obtenir la configuration du locataire pour le service Azure Rights Management. |
| GetConnectorAuthorizations | Un appel est effectué à partir des connecteurs Rights Management pour obtenir leur configuration à partir du cloud. |
| GetRecipients | Un appel est effectué à partir du site de suivi des documents pour accéder à la vue de liste d’un seul document. |
| GetTenantFunctionalState | Un portail d’administration vérifie si le service Azure Rights Management est activé. |
| KeyVaultDecryptRequest | Le client tente de déchiffrer le contenu chiffré Rights Management. Applicable uniquement pour une clé de locataire gérée par le client (BYOK) dans Azure Key Vault. |
| KeyVaultGetKeyInfoRequest | Un appel est effectué pour vérifier que la clé spécifiée à utiliser dans Azure Key Vault pour la clé de locataire Azure Rights Management est accessible et n’est pas déjà utilisée. |
| KeyVaultSignDigest | Un appel est effectué lorsqu’une clé gérée par le client (BYOK) dans Azure Key Vault est utilisée à des fins de signature. Ce paramètre est généralement appelé une fois par AcquireLicence (ou FECreateEndUserLicenseV1), Certify et GetClientLicensorCert (ou FECreatePublishingLicenseV1). |
| KMSPDecrypt | Le client tente de déchiffrer le contenu chiffré Rights Management. Applicable uniquement pour une clé de locataire héritée gérée par le client (BYOK). |
| KMSPSignDigest | Un appel est effectué lorsqu’une clé héritée gérée par le client (BYOK) est utilisée à des fins de signature. Ce paramètre est généralement appelé une fois par AcquireLicence (ou FECreateEndUserLicenseV1), Certify et GetClientLicensorCert (ou FECreatePublishingLicenseV1). |
| ServerCertify | Un appel est effectué à partir d’un client activé Rights Management (par exemple, SharePoint) pour certifier le serveur. |
| SetUsageLogFeatureState | un appel est effectué pour activer la journalisation de l’utilisation. |
| SetUsageLogStorageAccount | Un appel est effectué pour spécifier l’emplacement des journaux du service Azure Rights Management. |
| Modèle de mise à jour | Un appel est effectué à partir d’un portail d’administration pour mettre à jour un modèle de gestion des droits existant. |
Journaux d’utilisation d’Azure Rights Management et audit de Microsoft Purview
Les événements d’accès aux fichiers et d’accès refusé n’incluent pas le nom de fichier et ne sont pas accessibles dans le journal d’audit unifié Microsoft Purview.
Informations de référence sur PowerShell
Une fois connecté au service Azure Rights Management, la seule applet de commande PowerShell dont vous avez besoin pour accéder à votre journalisation d’utilisation Azure Rights Management est Get-AipServiceUserLog.
Pour plus d’informations sur l’utilisation de PowerShell pour le service Azure Rights Management, voir Administration du service Azure Rights Management à l’aide de PowerShell.