Configurare SharePoint con un'etichetta di riservatezza per estendere le autorizzazioni ai documenti scaricati

Descrizione del servizio Microsoft Purview

Quando SharePoint è abilitato per le etichette di riservatezza, è possibile configurare le raccolte documenti per estendere le autorizzazioni dei siti di SharePoint esistenti ai documenti quando vengono scaricati dalla raccolta. Quindi, tutti i file precedentemente senza etichetta di tale raccolta continueranno a essere protetti con le autorizzazioni SharePoint correnti per l'utente, anche se hanno lasciato il limite originale di SharePoint.

Ad esempio, si seleziona l'etichetta Confidential \ Trusted People come etichetta di riservatezza per estendere le autorizzazioni per una raccolta documenti. In tale raccolta, un sito è configurato per consentire solo le autorizzazioni di lettura a un gruppo specifico di utenti. Un utente di quel gruppo scarica un file dal sito e tale file viene ora etichettato come Confidential \ Trusted People. Anche se il file non è più in SharePoint, l'utente può solo visualizzare e non modificare il contenuto o rimuovere l'etichetta. Solo gli utenti che hanno accesso al file in SharePoint hanno accesso al file scaricato. Gli utenti che non hanno accesso al file in SharePoint non potranno aprire il file scaricato, indipendentemente dalla posizione in cui è archiviato.

Inoltre, il file dispone di un livello di protezione just-in-time perché l'utente che ha scaricato il file non sarà in grado di aprirlo nemmeno nelle circostanze seguenti:

• Le autorizzazioni per quell'utente vengono rimosse dal file
• Il file viene eliminato dal sito
• Il sito non è più attivo
• Il file viene spostato in un altro sito

Se le autorizzazioni di SharePoint per l'utente vengono modificate, tali modifiche vengono applicate al file scaricato.

Quando questi file etichettati si trovano nella raccolta documenti, sono protetti anche dalle azioni di copia e spostamento:

• I file non possono essere copiati o spostati in un altro sito.
• I file possono essere copiati o spostati in un'altra raccolta documenti all'interno dello stesso sito solo se l'utente dispone delle autorizzazioni di SharePoint per creare o eliminare elenchi.

L'etichetta di riservatezza specificata viene applicata a tutti i file senza etichetta e ai file etichettati ma la configurazione dell'etichetta non applica la crittografia. Vengono etichettati anche i Files sincronizzati con OneDrive.

Per i file esistenti etichettati ma non crittografati, anche un'etichetta applicata manualmente viene sostituita con l'etichetta specificata. Per un breve riepilogo dei possibili risultati, vedere L'override di un'etichetta esistente verrà eseguita in questa pagina.

Poiché i file non crittografati possono essere rietichettati, questa configurazione di etichettatura è particolarmente adatta per le organizzazioni che sono nelle prime fasi della distribuzione dell'etichettatura e non hanno ancora etichettato i file nei siti di SharePoint usando altri metodi.

Un'etichetta esistente verrà sostituita?

Sintesi dei risultati:

Requisiti

• Sono state create e pubblicate etichette di riservatezza, pubblicate per gli utenti che selezioneranno l'etichetta di riservatezza per una raccolta documenti di SharePoint. Le etichette richiedono la configurazione seguente:

  • Ambito dell'etichetta di Files e altri asset di dati

  • Il controllo di accesso è selezionato con l'impostazione di crittografia Consenti agli utenti di assegnare le autorizzazioni quando applicano l'etichetta e la casella di controllo In Word, PowerPoint ed Excel chiedere agli utenti di specificare le autorizzazioni è selezionato. Questa impostazione viene a volte definita "autorizzazioni definite dall'utente".

    Nota

    In questa applicazione dell'etichetta, agli utenti non vengono richieste le autorizzazioni, ma le autorizzazioni di SharePoint vengono applicate automaticamente quando un file viene scaricato, copiato o spostato dal sito.

• Sono state abilitate le etichette di riservatezza per i file di Office in SharePoint e OneDrive. Per controllare questo stato, è possibile eseguire (Get-SPOTenant).EnableAIPIntegration da SharePoint Online Management Shell per verificare che il valore sia impostato su True.

• Il tenant è stato abilitato per la creazione condivisa per i file crittografati con etichette di riservatezza.

• Per supportare le etichette di riservatezza per i PDF, è stato aggiunto il supporto per i PDF in SharePoint. Per controllare questo stato, è possibile eseguire (Get-SPOTenant).EnableSensitivityLabelforPDF da SharePoint Online Management Shell per verificare che il valore sia impostato su True.

• Le app di Windows di Microsoft 365 Apps for enterprise che scaricano file richiedono una versione minima di 2402 da Current Channel, Monthly Enterprise Channel o Semi-Annual Enterprise Channel.

• SharePoint Information Rights Management (IRM) non è abilitato per la raccolta. Questa tecnologia meno recente non è compatibile con l'uso di un'etichetta di riservatezza per una raccolta documenti di SharePoint. Se una libreria è abilitata per IRM, non sarà possibile selezionare un'etichetta di riservatezza.

• Le autorizzazioni di amministratore del sito sono necessarie per applicare e modificare l'etichetta di riservatezza in SharePoint.

• Files deve contenere contenuto da etichettare.

Per esaminare un elenco dei tipi di file supportati dalle etichette di riservatezza in SharePoint, vedere Tipi di file supportati.

Mapping delle autorizzazioni di SharePoint ai diritti di utilizzo

Usare la tabella seguente per informazioni su come le autorizzazioni di SharePoint per un utente vengono estese alla gestione dei diritti , ai diritti di utilizzo e ai livelli di autorizzazione quando un file viene scaricato oppure copiato e spostato all'esterno del sito.

^* Attualmente, questi diritti di utilizzo non vengono applicati e, di conseguenza, l'utente può modificare l'etichetta di riservatezza, ma non può rimuoverla.

Limitazioni

Quando si usa questa configurazione, si applicano le limitazioni seguenti:

• Gli utenti non possono applicare manualmente etichette di riservatezza che non sono configurate per applicare la crittografia.

• Gli utenti non potranno aprire i file scaricati offline; Devono essere in grado di connettersi al sito originale.

• Gli utenti non saranno in grado di aprire i file scaricati se il sito, la cartella o il file originale di SharePoint viene eliminato.

• I file etichettati con questa configurazione non possono essere spostati o copiati in un altro sito.

• I file etichettati con questa configurazione non supportano l'opzione Salva con nome e non verranno salvati con questa opzione a meno che non si tratti delle versioni minime che includono miglioramenti sul lato client:

  • Windows: versione 2601+ nel Canale corrente e nel Canale Enterprise mensile
  • macOS: Versione 16.103+
  • iOS: Versione 2.103+
  • Android: Versione 16.0.19426+

• Files etichettati con questa configurazione possono essere spostati o copiati in un'altra raccolta documenti all'interno dello stesso sito solo se gli utenti dispongono delle autorizzazioni SharePoint per creare o eliminare elenchi. L'etichetta non viene conservata per il file copiato o spostato.

• Questa configurazione può ignorare un'etichetta applicata manualmente in precedenza se l'etichetta non è configurata per applicare la crittografia.

• Microsoft 365 Copilot può fare riferimento ai file etichettati se gli utenti hanno le autorizzazioni di lettura di SharePoint, ma non riepiloga questi file. Poiché i file non possono essere riepilogati, non possono nemmeno essere usati da Copilot per generare nuovi contenuti.

Come configurare una raccolta documenti di SharePoint per un'etichetta di riservatezza che estende le autorizzazioni ai documenti scaricati

Questa configurazione richiede prima di tutto l'abilitazione della funzionalità per il tenant tramite PowerShell con SharePoint Online Management Shell. Quindi, diventa disponibile una nuova casella di controllo per le impostazioni della raccolta documenti.

Eseguire il comando PowerShell per abilitare il supporto per estendere le autorizzazioni di SharePoint

Assicurarsi che sia in esecuzione SharePoint Online Management Shell versione 16.0.25430.12000 o successiva.

Per abilitare le nuove funzionalità, usare il cmdlet Set-SPOTenant con il parametro ExtendPermissionsToUnprotectedFiles :

1. Usando un account aziendale o dell'istituto di istruzione con privilegi di amministratore di SharePoint in Microsoft 365, connettersi a SharePoint. Per informazioni in merito, vedere Guida introduttiva a SharePoint Online Management Shell.

   Nota

   Se disponi di Microsoft 365 Multi-Geo, utilizza il parametro -Url con Connect-SPOService e specifica l'URL del sito dell'interfaccia di amministrazione di SharePoint Online per una delle tue posizioni geografiche.

2. Esegui il comando seguente e premi Y per confermare:

   Set-SPOTenant -ExtendPermissionsToUnprotectedFiles $true
   

   Se viene visualizzato un errore che informa che la funzionalità non è abilitata, è probabile che l'implementazione non abbia ancora raggiunto il tenant.

3. Per Microsoft 365 Multi-Geo: Ripetere i passaggi 1 e 2 per ognuna delle posizioni geografiche rimanenti.

Come per tutte le modifiche di configurazione a livello di tenant per SharePoint, l'applicazione della modifica richiede circa 15 minuti.

Configurare le raccolte di documenti di SharePoint con un'etichetta predefinita per estendere le autorizzazioni

Per ogni raccolta documenti di SharePoint a cui si vuole applicare questa configurazione, seguire le istruzioni per Aggiungi un'etichetta di riservatezza alla raccolta documenti di SharePoint e selezionare la casella di controllo Estendi protezione al download, alla copia o allo spostamento:

Questa casella di controllo non verrà visualizzata fino al completamento del comando di PowerShell precedente.

Dopo aver selezionato un'etichetta di riservatezza che applica la crittografia con autorizzazioni definite dall'utente, salvare la configurazione.

L'etichetta di riservatezza selezionata verrà applicata a tutti i file senza etichetta e ai file etichettati ma la configurazione dell'etichetta non applica la crittografia. Nella colonna Riservatezza della raccolta documenti viene visualizzata l'etichetta selezionata per i file esistenti, nuovi e modificati. Gli utenti vedono l'etichetta selezionata visualizzata quando aprono il file per la modifica, ma non riscontrano modifiche nelle autorizzazioni come risultato dell'etichetta.

Dopo aver configurato la raccolta con l'etichetta di riservatezza, tutti i file esistenti verranno risincronizzati se la raccolta viene sincronizzata tramite il client di sincronizzazione OneDrive. Il processo di risincronizzazione può richiedere del tempo e finché non viene completato, la protezione estesa non verrà applicata.

Monitoraggio dell'applicazione dell'etichetta di riservatezza che estende le autorizzazioni di SharePoint

Poiché questa configurazione estende la funzionalità di etichetta di riservatezza predefinita per una raccolta documenti, è possibile monitorarne la configurazione allo stesso modo. Il GUID dell'etichetta di riservatezza identificherà la configurazione di crittografia per le autorizzazioni definite dall'utente. Non esiste un evento di controllo dell'etichettatura separato per quando un file viene scaricato, copiato o spostato.

Come disattivare questa funzionalità

Se si vuole che una specifica raccolta documenti di SharePoint non estenda più le autorizzazioni con un'etichetta di riservatezza, deselezionare la casella di controllo Estendi protezione al download, alla copia o allo spostamento come impostazione della raccolta documenti di SharePoint. In seguito:

• Files nella raccolta documenti precedentemente etichettati con questa configurazione verrà ripristinata l'etichetta originale che non applicava la crittografia oppure senza etichetta se questo era lo stato originale prima che la casella di controllo fosse selezionata.

• Files sincronizzato con OneDrive verrà risincronizzato e analogamente verrà ripristinato lo stato precedente dell'etichetta. Il processo di risincronizzazione può richiedere del tempo e finché non viene completato, la protezione estesa rimane.

• I file etichettati che vengono ora scaricati mantengono l'etichetta.

Se si vuole disattivare questa funzionalità a livello di tenant quando è stata abilitata e configurata in precedenza, prima di tutto deselezionare la casella di controllo Estendi protezione al download, copia o sposta da tutte le raccolte documenti in cui è stata selezionata. Usare quindi lo stesso cmdlet Set-SPOTenant con il parametro ExtendPermissionsToUnprotectedFiles , ma impostare il valore su false. In seguito:

• La casella di controllo Estendi protezione al download, alla copia o allo spostamento non è più visibile come impostazione di una raccolta documenti di SharePoint.

Se si disattiva la funzionalità a livello di tenant senza prima deselezionare la casella di controllo per una raccolta documenti, la configurazione rimane, ma senza la casella di controllo per disattivarla.

In questo scenario, per disattivare la configurazione, eseguire il comando PowerShell per abilitare il supporto per estendere le autorizzazioni di SharePoint per visualizzare di nuovo la casella di controllo, in modo da poterla deselezionare. Se non si desidera riabilitare il supporto a livello di tenant, contattare il supporto tecnico Microsoft per istruzioni sui comandi di PowerShell per rimuovere la configurazione per una raccolta documenti specifica.

Passaggi successivi

Anche se questa configurazione fornisce una protezione immediata su vasta scala per i file archiviati in SharePoint, non tiene conto del contenuto dei file che potrebbe richiedere un livello di protezione superiore. È consigliabile integrare questo metodo di etichettatura con l'etichettatura automatica che usa l'ispezione del contenuto per applicare etichette di riservatezza con crittografia.

Risorse correlate

Panoramica di Gestione avanzata di Microsoft Syntex