Étendre l’étiquetage de confidentialité sur Windows

Le client Protection des données Microsoft Purview étend les étiquettes de confidentialité au-delà des étiquettes intégrées dans les applications et services Microsoft 365 et prend en charge un plus large éventail de types de fichiers.

Ce client s’exécute uniquement sur Windows et remplace le client d’étiquetage unifié Azure Information Protection (AIP). Il comprend les composants suivants :

Il n’existe aucun complément Office avec le client Protection des données Microsoft Purview, car cette fonctionnalité est remplacée par des étiquettes de confidentialité intégrées à Office.

Pour obtenir les dernières informations de publication et les délais de support pour chaque version du client, consultez Client de Protection des données Microsoft Purview - Gestion et prise en charge des versions.

Conditions préalables au déploiement du client Information Protection

Pour utiliser le client de Protection des données Microsoft Purview, installez ce client sur les ordinateurs Windows sur lesquels vous souhaitez utiliser les composants client.

Vous devez également remplir les conditions suivantes :

Installer ou mettre à niveau le client Information Protection

Si vous installez le client d’informations Microsoft Purview de manière interactive et que le client d’étiquetage unifié Azure Information Protection (AIP) est détecté, vous pouvez mettre à niveau l’ancien client après avoir reconnu que le complément AIP pour Office sera supprimé.

Il existe deux options pour installer le client Information Protection :

• Installation du client Information Protection à l’aide du programme d’installation.exe
• Installation du client Information Protection à l’aide du programme d’installation.msi

Si vous mettez à niveau le scanner de protection des informations, à partir du client d’étiquetage unifié Azure Information Protection (AIP) ou d’une version antérieure du client de protection des informations, consultez Mettre à niveau le scanner de Protection des données Microsoft Purview avant d’utiliser ces instructions d’installation du client.

Emplacements des fichiers journaux

Les fichiers journaux du client et du scanner se trouvent aux emplacements suivants sur l’ordinateur Windows :

• \ProgramFiles (x86)\Protection des données Microsoft Purview (systèmes d’exploitation 64 bits uniquement)
• \Program Files\Protection des données Microsoft Purview (systèmes d’exploitation 32 bits uniquement)
• %localappdata %\Microsoft\MSIP

Langues prises en charge

Le client Information Protection prend en charge les mêmes langues qu’Office 365. Pour obtenir la liste de ces langues, voir la page Disponibilité internationale d’Office.

Pour ces langues, les options de menu, les boîtes de dialogue et les messages du client de la Protection des données Microsoft Purview s’affichent dans la langue de l’utilisateur. Il n’existe qu’un seul programme d’installation qui détecte la langue, de sorte qu’aucune configuration supplémentaire n’est requise pour installer le client Information Protection pour différentes langues.

Toutefois, les noms d’étiquettes et les descriptions que vous spécifiez ne sont pas automatiquement traduits lorsque vous configurez les étiquettes dans le portail d’administration. Pour que les utilisateurs puissent voir les étiquettes dans la langue de leur choix, fournissez vos propres traductions et configurez-les pour les étiquettes à l’aide de PowerShell et du paramètre LocaleSettings pour Set-Label. Pour plus d’informations, consultez Exemple de configuration pour configurer une étiquette de confidentialité pour différentes langues.

Types de fichiers pris en charge

Cette section répertorie les types de fichiers pris en charge par le client de Protection des données Microsoft Purview. Pour les types de fichiers répertoriés, les emplacements WebDav ne sont pas pris en charge.

Dossiers et types de fichiers exclus

Pour empêcher les utilisateurs de modifier des fichiers critiques pour les opérations de l’ordinateur, certains types de fichiers et dossiers sont automatiquement exclus de la classification et de l’étiquetage. Si des utilisateurs tentent d’étiqueter ces fichiers à l’aide du client Information Protection, ils voient un message indiquant que ces fichiers sont exclus.

Types de fichiers qui ne peuvent pas être chiffrés par défaut

Tout fichier protégé par mot de passe ne peut pas être chiffré en mode natif par le client, sauf s’il est actuellement ouvert dans l’application qui applique le chiffrement. On voit le plus souvent des fichiers PDF protégés par mot de passe, mais d’autres applications, telles que les applications Office, offrent également cette fonctionnalité.

Types de fichiers pris en charge pour l’inspection

Le client de protection des informations utilise Windows IFilter pour examiner le contenu des documents. Windows IFilter est utilisé par Windows Search pour l’indexation. Par conséquent, les types de fichiers suivants peuvent être inspectés lorsque vous utilisez la commande PowerShell Set-FileLabel -Autolabel .

Analyse de fichiers .ZIP

Vous pouvez utiliser le scanner de protection des informations ou la commande PowerShell Set-FileLabel pour inspecter .zip fichiers.

Après avoir trouvé des informations sensibles, si le fichier .zip doit être étiqueté et chiffré avec une étiquette, à partir des instructions de déploiement de l’analyseur, spécifiez l’extension de nom de fichier .zip avec le paramètre avancé PowerShell PFileSupportedExtensions .

Exemple de scénario :

Un fichier nommé accounts.zip contient des feuilles de calcul Excel avec des numéros de carte de crédit. Vous disposez d’une étiquette de confidentialité nommée Confidentiel \ Finance, qui est configurée pour découvrir les numéros de carte de crédit et appliquer automatiquement l’étiquette avec le chiffrement qui restreint l’accès au groupe Finances.

Une fois le fichier inspecté, le client de votre session PowerShell l’étiquette comme Confidentiel \ Finance. Ensuite, le client applique un chiffrement générique au fichier afin que seuls les membres du groupe Finance puissent le décompresser, puis renomme le fichier accounts.zip.pfile.

Intégration à la protection contre la perte de données de point de terminaison

Le paramètre Protection contre la perte de données (DLP) de point de terminaison La protection avancée basée sur les étiquettes pour tous les fichiers sur les appareils améliore la productivité pour les utilisateurs qui étiquettent et chiffrent des types de fichiers autres que ceux d’Office et PDF.

Pour ces fichiers, bien que l’accès et les restrictions d’utilisation des paramètres de chiffrement soient appliqués par DLP lorsque l’étiquette est appliquée, le chiffrement est appliqué lorsque les fichiers quittent l’ordinateur. Par conséquent, l’extension de nom de fichier des fichiers locaux ne change pas et les utilisateurs peuvent continuer à afficher et à modifier les fichiers dans leur application standard.

Pour plus d’informations, consultez En savoir plus sur la protection avancée basée sur les étiquettes.

Prise en charge des ordinateurs déconnectés

Par défaut, le client Information Protection tente automatiquement de se connecter à Internet pour télécharger les étiquettes de confidentialité et les paramètres de stratégie d’étiquette de confidentialité à partir de Microsoft Purview.

Si certains de vos ordinateurs ne peuvent pas se connecter à Internet pendant un certain temps, vous pouvez exporter et copier des fichiers qui gèrent manuellement la stratégie pour le client Information Protection.

Pour prendre en charge les ordinateurs déconnectés à partir du client Information Protection :

1. Choisissez ou créez un compte d’utilisateur dans Microsoft Entra ID que vous utiliserez pour télécharger les étiquettes et les paramètres de stratégie que vous souhaitez utiliser sur votre ordinateur déconnecté.

2. Comme paramètre de stratégie d’étiquette supplémentaire pour ce compte, désactivez l’envoi de données d’audit à Microsoft Purview à l’aide du paramètre avancé EnableAudit PowerShell avec Set-LabelPolicy de Security & Compliance PowerShell.

   Nous vous recommandons cette étape car, si l’ordinateur déconnecté dispose d’une connexion Internet périodique, il envoie à Microsoft Purview des informations de journalisation qui incluent le nom d’utilisateur de l’étape 1. Ce compte d’utilisateur peut être différent du compte local que vous utilisez sur l’ordinateur déconnecté.

3. À partir d’un ordinateur disposant d’une connectivité Internet sur lequel le client Information Protection est installé et connecté avec le compte d’utilisateur de l’étape 1, téléchargez les étiquettes et les paramètres de stratégie.

4. À partir de cet ordinateur, exportez les fichiers journaux.

   Par exemple, exécutez l’applet de commande Export-DebugLogs ou utilisez l’option Exporter les journaux de la boîte de dialogue Aide et commentaires du client à partir de l’étiqueteur de fichier.

   Les fichiers journaux sont exportés sous la forme d’un seul fichier compressé.

5. Ouvrez le fichier compressé et, à partir du dossier MSIP, copiez tous les fichiers portant une extension de nom de fichier .xml.

6. Collez ces fichiers dans le dossier %localappdata %\Microsoft\MSIP sur l’ordinateur déconnecté.

7. Si le compte d’utilisateur que vous avez choisi est un compte qui se connecte généralement à Internet, activez le renvoi des données d’audit en définissant la valeur EnableAudit sur True.

Gardez à l’esprit que si un utilisateur sur cet ordinateur sélectionne l’option Réinitialiser les paramètres dans l’aide et les commentaires dans l’étiqueteur de fichier, cette action supprime les fichiers de stratégie et laisse le client inutilisable jusqu’à ce que vous remplaciez manuellement les fichiers ou que le client se connecte à Internet pour pouvoir télécharger les fichiers dont il a besoin.

Le client Information Protection nécessite une connexion Internet active pour appliquer le chiffrement. Par conséquent, la solution Ordinateurs déconnectés est prise en charge uniquement pour les étiquettes qui n’appliquent pas le chiffrement.

Si votre ordinateur déconnecté exécute le scanneur Information Protection, vous devez effectuer des étapes de configuration supplémentaires. Pour plus d’informations, consultez Restriction : Le serveur de scanneur ne peut pas avoir de connectivité Internet à partir des instructions de déploiement du scanneur.

Personnalisations prises en charge

Le client Information Protection prend en charge les paramètres avancés de PowerShell et certains paramètres de Registre qui peuvent être nécessaires pour des scénarios ou des utilisateurs spécifiques.

Pour connaître les paramètres avancés PowerShell pris en charge avec New-Label ou Set-Label et New-LabelPolicy ou Set-LabelPolicy de Security & Compliance PowerShell, consultez Paramètres avancés pour Protection des données Microsoft Purview client.

Utiliser les sections suivantes pour vous aider à configurer le Registre pour les personnalisations prises en charge.

Activer la mise à niveau non interactive à partir du client Azure Information Protection

Si vous installez le client Protection des données Microsoft Purview et que le client d’étiquetage unifié Azure Information Protection est détecté, une installation interactive du client exige que vous acceptiez que le complément AIP pour Office de l’ancien client soit supprimé.

Pour utiliser une installation non interactive pour le client, telle que le catalogue Microsoft Update, stratégie de groupe ou un script, vous devez d’abord désinstaller le client Azure Information Protection ou créer et configurer la clé de Registre suivante pour l’ordinateur local :

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Définir la valeur sur 1 pour autoriser en mode silencieux la mise à niveau et désinstaller le complément Office AIP ; 0 bloque la mise à niveau si le client Azure Information Protection est installé.

Modifier le niveau de journalisation locale

Par défaut, le client Purview Information Protection écrit les fichiers journaux clients dans le dossier %localappdata %\Microsoft\MSIP. Ces fichiers sont destinés à la résolution des problèmes par le Support Microsoft.

Pour modifier le niveau de journalisation de ces fichiers, recherchez le nom de valeur suivant dans le Registre et définissez les données de valeur sur le niveau de journalisation requis :

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Définissez le niveau de journalisation sur l’une des valeurs suivantes :

• Désactivé : pas de journalisation locale.

• Erreur : erreurs uniquement.

• Avertissement : erreurs et avertissements.

• Info : Journalisation minimale, qui n’inclut aucun ID d’événement (paramètre par défaut pour l’analyseur).

• Débogage : informations complètes.

• Trace : journalisation détaillée (paramètre par défaut pour les clients).

Ce paramètre de registre ne modifie pas les informations envoyées à l’audit Microsoft Purview.

Activer les paramètres de limite de données

Conformément à l’engagement de Microsoft envers la limite des données de l’UE, les clients de l’UE qui utilisent le client de Protection des données Microsoft Purview peuvent envoyer leurs données vers l’UE pour y être stockées et traitées.

Activez cette fonctionnalité dans le client Information Protection en modifiant la clé de Registre suivante qui spécifie l’emplacement d’envoi des événements :

• Clé de Registre : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
• Valeurs :
  • Default = 0
  • North_America = 1
  • European_Union = 2

Activer le navigateur système par défaut pour l’authentification

Utilisez le navigateur système par défaut pour l’authentification dans le client Protection des données Microsoft Purview. Par défaut, le client Information Protection ouvre Microsoft Edge pour l’authentification.

Activez cette fonctionnalité dans le client Information Protection en activant la clé de Registre suivante :

• Clé de Registre : HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
• Valeurs :
  • Disabled = 0
  • Enabled = 1

Masquer l’option de menu « Appliquer l’étiquette de confidentialité avec Microsoft Purview » dans l’Explorateur de fichiers

Pour masquer l’option de menu Appliquer l’étiquette de confidentialité avec Microsoft Purview dans l’Explorateur de fichiers, créez la clé de Registre DWORD suivante qui a le nom de valeur LegacyDisable et toutes les données de valeur :

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Comment appliquer des étiquettes de confidentialité à l’aide du client Information Protection

Une fois le client Protection des données Microsoft Purview installé, vous pouvez appliquer des étiquettes de confidentialité que vous avez créées et publiées, en utilisant :

• Explorateur de fichiers

• PowerShell

• Le scanner de protection des informations, après l’avoir installé et configuré

  Importante

  Si vous effectuez une mise à niveau à partir du client d’étiquetage unifié Azure Information Protection (AIP), consultez Mettre à niveau le scanner à partir du client Azure Information Protection (version 2.x).

Pour afficher les documents chiffrés, consultez Afficher les fichiers protégés avec la visionneuse Protection des données Microsoft Purview.