Impostazioni avanzate per il client Microsoft Purview Information Protection

Questo articolo contiene le impostazioni avanzate di sicurezza & conformità di PowerShell supportate dal client Microsoft Purview Information Protection quando si utilizzano i cmdlet seguenti:

• Nuova etichetta o set-etichetta
• New-LabelPolicy o Set-LabelPolicy

Le impostazioni avanzate supportate dalle etichette di riservatezza integrate nelle app e nei servizi di Microsoft 365 sono incluse nella pagina dei cmdlet stessa. Potrebbero essere utili anche suggerimenti per PowerShell per specificare le impostazioni avanzate.

AdditionalPPrefixExtensions

Questa proprietà avanzata per modificare <EXT>. PFILE in P<EXT> è supportato da Esplora file, PowerShell e dallo scanner. Tutte le app hanno un comportamento simile.

• Chiave: AdditionalPPrefixExtensions

• Valore: <valore> stringa

Usare la tabella seguente per identificare il valore stringa da specificare:

Con questa impostazione, le seguenti estensioni diventano sempre P<EXT>: ".txt", ".xml", ".bmp", ".jt", ".jpg", ".jpeg", ".jpe", ".jif", ".jfif", ".jfi", ".png", ".tif", ".tiff", ".gif"). Un'esclusione degna di nota è che "ptxt" non diventa "txt.pfile".

Questa impostazione richiede l'abilitazione dell'impostazione avanzata PFileSupportedExtension .

Esempio 1: comando di PowerShell per il comportamento simile al comportamento predefinito in cui Protect ".dwg" diventa ".dwg.pfile":

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions =""}

Esempio 2: comando PowerShell per modificare tutte le estensioni PFile dalla crittografia generica alla crittografia nativa quando i file sono etichettati e crittografati:

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions ="*"}

Esempio 3: comando di PowerShell per modificare ".dwg" in ".pdwg" quando si usa questo servizio Proteggere questo file:

Set-LabelPolicy -AdvancedSettings @{ AdditionalPPrefixExtensions =ConvertTo-Json(".dwg")}

Colore

Usare questa impostazione avanzata per impostare un colore per un'etichetta. Per specificare il colore, immetti un codice di tripletta esadecimale per i componenti rosso, verde e blu (RGB) del colore. Ad esempio, #40e0d0 è il valore esadecimale RGB per il turchese.

Se hai bisogno di un riferimento per questi codici, troverai un'utile tabella dalla <pagina a colori> della documentazione Web di MSDN. Trovi anche questi codici in molte applicazioni che ti consentono di modificare le immagini. Ad esempio, in Microsoft Paint si può scegliere un colore personalizzato da una tavolozza; i valori RGB vengono visualizzati automaticamente ed è possibile copiarli.

Per configurare l'impostazione avanzata per il colore di un'etichetta, immettere le stringhe seguenti per l'etichetta selezionata:

• Chiave: colore

• Valore: <valore> esadecimale RGB

Esempio di comando di PowerShell, in cui l'etichetta è denominata "Public":

Set-Label -Identity Public -AdvancedSettings @{color="#40e0d0"}

DefaultSubLabelId

Quando si aggiunge un'etichetta secondaria a un'etichetta, gli utenti non possono più applicare l'etichetta padre a un documento o a un messaggio di posta elettronica. Per impostazione predefinita, gli utenti selezionano l'etichetta padre per visualizzare le etichette secondarie che possono applicare, quindi selezionano una di queste etichette secondarie. Se si configura questa impostazione avanzata, quando gli utenti selezionano l'etichetta padre, viene automaticamente selezionata e applicata un'etichetta secondaria:

• Chiave: DefaultSubLabelId

• Valore: <GUID> sottoetichetta

Esempio di comando di PowerShell, in cui l'etichetta padre è denominata "Riservato" e l'etichetta secondaria "Tutti i dipendenti" ha un GUID di 8faca7b8-8d20-48a3-8ea2-0f96310a848e:

Set-Label -Identity "Confidential" -AdvancedSettings @{DefaultSubLabelId="8faca7b8-8d20-48a3-8ea2-0f96310a848e"}

EnableAudit

Per impostazione predefinita, il client di protezione delle informazioni invia i dati di controllo a Microsoft Purview in cui è possibile visualizzare questi dati in Esplora attività.

Per modificare questo comportamento, usa le impostazioni avanzate seguenti:

• Chiave: EnableAudit

• Valore: False

Ad esempio, se il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableAudit="False"}

Nei computer locali che eseguono il client di Information Protection eliminare quindi la cartella seguente: %localappdata%\Microsoft\MSIP\mip

Per consentire al client di inviare nuovamente i dati del log di controllo, modificare il valore dell'impostazione avanzata su True. Non è necessario creare di nuovo manualmente la cartella %localappdata%\Microsoft\MSIP\mip nei computer client.

EnableContainerSupport

Questa impostazione consente al client di protezione delle informazioni di rimuovere la crittografia dai file PST, rar e 7zip.

• Chiave: EnableContainerSupport

• Valore: True

Ad esempio, se il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableContainerSupport="True"}

EnableCustomPermissions

Per impostazione predefinita, gli utenti vedono un'opzione denominata Proteggi con autorizzazioni personalizzate quando fanno clic con il pulsante destro del mouse in Esplora file con l'etichettatore di file. Questa opzione consente loro di impostare le proprie impostazioni di crittografia che possono sostituire qualsiasi impostazione di crittografia che potresti aver incluso in una configurazione di etichetta. Gli utenti possono anche vedere un'opzione per rimuovere la crittografia. Quando si configura questa impostazione, gli utenti non vedono queste opzioni.

Usa l'impostazione seguente in modo che gli utenti non vedano queste opzioni:

• Chiave: EnableCustomPermissions

• Valore: False

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableCustomPermissions="False"}

EnableCustomPermissionsForCustomProtectedFiles

Quando si configura l'impostazione client avanzata EnableCustomPermissions per disattivare le autorizzazioni personalizzate in Esplora file, per impostazione predefinita gli utenti non sono in grado di visualizzare o modificare le autorizzazioni personalizzate già impostate in un documento crittografato.

Tuttavia, esiste un'altra impostazione client avanzata che è possibile specificare in modo che in questo scenario gli utenti possano visualizzare e modificare le autorizzazioni personalizzate per un documento crittografato quando usano Esplora file e fanno clic con il pulsante destro del mouse sul file.

• Chiave: EnableCustomPermissionsForCustomProtectedFiles

• Valore: True

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableCustomPermissionsForCustomProtectedFiles="True"}

EnableGlobalization

Funzionalità di globalizzazione della classificazione, tra cui una maggiore precisione per le lingue dell'Asia orientale e il supporto per i caratteri a doppio byte. Questi miglioramenti sono disponibili solo per i processi a 64 bit e sono disattivati per impostazione predefinita.

Attivare queste funzionalità per i criteri e specificare le stringhe seguenti:

• Chiave: EnableGlobalization

• Valore: True

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{EnableGlobalization="True"}

Per disattivare nuovamente il supporto e ripristinare l'impostazione predefinita, impostare l'opzione avanzata EnableGlobalization su una stringa vuota.

JustificationTextForUserText

Personalizza le richieste di giustificazione visualizzate quando gli utenti finali modificano le etichette di riservatezza sui file.

Ad esempio, gli amministratori potrebbero voler ricordare agli utenti di non aggiungere informazioni di identificazione dei clienti in questo campo.

Per modificare l'opzione predefinita Altra che gli utenti possono selezionare nella finestra di dialogo, utilizzare l'impostazione avanzata JustificationTextForUserText . Impostare il valore sul testo che si vuole usare al suo posto.

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{JustificationTextForUserText="Other (please explain) - Do not enter sensitive info"}

LogMatchedContent

Per impostazione predefinita, il client di protezione delle informazioni non invia corrispondenze di contenuto per i tipi di informazioni sensibili a Microsoft Purview, che possono quindi essere visualizzati in Esplora attività. Lo scanner invia sempre queste informazioni. Per ulteriori informazioni sulle informazioni aggiuntive che possono essere inviate, consulta Corrispondenze dei contenuti per un'analisi più approfondita.

Per inviare corrispondenze di contenuto quando vengono inviati tipi di informazioni sensibili, usare le impostazioni avanzate seguenti in un criterio etichetta:

• Chiave: LogMatchedContent

• Valore: True

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{LogMatchedContent="True"}

OfficeContentExtractionTimeout

Per impostazione predefinita, il timeout di etichettatura automatica dello scanner nei file di Office è di 3 secondi.

Se si ha un file di Excel complesso con molti fogli o righe, 3 secondi potrebbero non essere sufficienti per applicare automaticamente le etichette. Per aumentare questo timeout per il criterio etichetta selezionato, specificare le stringhe seguenti:

• Chiave: OfficeContentExtractionTimeout

• Valore: Seconds, nel formato seguente: hh:mm:ss.

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{OfficeContentExtractionTimeout="00:00:15"}

Il timeout aggiornato si applica all'etichettatura automatica in tutti i file di Office.

PFileSupportedExtensions

Con questa impostazione, è possibile modificare i tipi di file crittografati, ma non è possibile modificare il livello di crittografia predefinito da nativo a generico. Ad esempio, per gli utenti che eseguono l'etichettatore di file, è possibile modificare l'impostazione predefinita in modo che vengano crittografati solo i file Office e PDF anziché tutti i tipi di file. Tuttavia, non è possibile modificare questi tipi di file in modo che vengano crittografati genericamente con un'estensione .pfile.

• Chiave: PFileSupportedExtensions

• Valore: <valore> stringa

Usare la tabella seguente per identificare il valore stringa da specificare:

Esempio 1: comando di PowerShell per lo scanner per crittografare tutti i tipi di file, in cui il criterio di etichetta è denominato "Scanner":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions="*"}

Esempio 2: Comando di PowerShell per lo scanner per crittografare file .txt e file .csv oltre ai file di Office e PDF, in cui il criterio di etichetta è denominato "Scanner":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{PFileSupportedExtensions=ConvertTo-Json(".txt", ".csv")}

ReportAnIssueLink

Quando si specifica l'impostazione client avanzata seguente, gli utenti vedono un'opzione Segnala un problema che possono selezionare nella finestra di dialogo client Guida e feedback nell'etichettatore di file. Specifica una stringa HTTP per il collegamento. Ad esempio, una pagina Web personalizzata per consentire agli utenti di segnalare problemi o un indirizzo di posta elettronica inviato all'help desk.

Per configurare questa impostazione avanzata, immettere le stringhe seguenti per il criterio etichetta selezionato:

• Chiave: ReportAnIssueLink

• Valore: <stringa> HTTP

Valore di esempio per un sito Web: https://support.contoso.com

Valore di esempio per un indirizzo di posta elettronica: mailto:helpdesk@contoso.com

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale":

Set-LabelPolicy -Identity Global -AdvancedSettings @{ReportAnIssueLink="mailto:helpdesk@contoso.com"}

ScannerMaxCPU

Utilizzare questa impostazione avanzata in combinazione con ScannerMinCPU per limitare il consumo della CPU nel computer scanner.

• Chiave: ScannerMaxCPU

• Valore: <numero>**

Il valore è impostato su 100 per impostazione predefinita, il che significa che non esiste alcun limite di consumo massimo della CPU. In questo caso, il processo di scansione tenta di utilizzare tutto il tempo disponibile della CPU per massimizzare le velocità di scansione.

Se si imposta ScannerMaxCPU su un valore inferiore a 100, lo scanner monitora il consumo della CPU negli ultimi 30 minuti. Se la CPU media ha superato il limite impostato, inizia a ridurre il numero di thread allocati per i nuovi file.

Il limite del numero di thread continua finché il consumo della CPU è superiore al limite impostato per ScannerMaxCPU.

ScannerMinCPU

Utilizzato solo se ScannerMaxCPU non è uguale a 100 e non può essere impostato su un numero superiore al valore di ScannerMaxCPU .

È consigliabile mantenere ScannerMinCPU impostato su almeno 15 punti in meno rispetto al valore di ScannerMaxCPU.

Il valore è impostato su 50 per impostazione predefinita, il che significa che se il consumo della CPU negli ultimi 30 minuti è inferiore a questo valore, lo scanner inizia ad aggiungere nuovi thread per scansionare più file in parallelo, fino a quando il consumo della CPU raggiunge il livello impostato per ScannerMaxCPU-15.

ScannerConcurrencyLevel

Per impostazione predefinita, lo scanner utilizza tutte le risorse del processore disponibili nel computer che esegue il servizio di scanner. Se è necessario limitare il consumo della CPU durante l'analisi di questo servizio, specificare il numero di thread simultanei che lo scanner può eseguire in parallelo. Lo scanner usa un thread separato per ogni file analizzato, quindi questa configurazione di limitazione definisce anche il numero di file che possono essere analizzati in parallelo.

Quando si configura per la prima volta il valore per il test, si consiglia di specificare 2 per core, quindi monitorare i risultati. Ad esempio, se esegui lo scanner in un computer con 4 core, imposta prima il valore su 8. Se necessario, aumentare o diminuire tale numero, in base alle prestazioni risultanti richieste per il computer scanner e alle velocità di scansione.

• Chiave: ScannerConcurrencyLevel

• Valore: <numero di thread simultanei>

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Scanner":

Set-LabelPolicy -Identity Scanner -AdvancedSettings @{ScannerConcurrencyLevel="8"}

ScannerFSAttributesToSkip

Per impostazione predefinita, lo scanner di protezione delle informazioni analizza tutti i file rilevanti. È tuttavia possibile definire file specifici da ignorare, ad esempio per i file archiviati o i file spostati.

Consentire allo scanner di ignorare file specifici in base ai relativi attributi di file usando l'impostazione avanzata ScannerFSAttributesToSkip . Nel valore dell'impostazione elencare gli attributi del file che consentono di ignorare il file quando sono tutti impostati su true. Questo elenco di attributi di file usa la logica AND.

Comandi di PowerShell di esempio, in cui il criterio di etichetta è denominato "Globale".

Ignorare i file di sola lettura e archiviati:

Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_READONLY, FILE_ATTRIBUTE_ARCHIVE"}

Ignorare i file di sola lettura o archiviati:

Per usare una logica OR, eseguire la stessa proprietà più volte. Ad esempio:

Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_READONLY"}
Set-LabelPolicy -Identity Global -AdvancedSettings @{ ScannerFSAttributesToSkip =" FILE_ATTRIBUTE_ARCHIVE"}

Per un elenco di tutti gli attributi di file che possono essere definiti nell'impostazione avanzata ScannerFSAttributesToSkip , vedere le costanti degli attributi di file Win32

SharePointWebRequestTimeout

Per impostazione predefinita, il timeout per le interazioni di SharePoint è di due minuti, dopo i quali il tentativo di operazione del client di protezione delle informazioni non riesce. Controllare questo timeout usando le impostazioni avanzate SharePointWebRequestTimeout e SharePointFileWebRequestTimeout , usando una sintassi hh:mm:ss per definire i timeout.

Specificare un valore per determinare il timeout per tutte le richieste Web client di Information Protection a SharePoint. Il valore predefinito è minuti.

Ad esempio, se il criterio è denominato Globale, il comando di PowerShell di esempio seguente aggiorna il timeout della richiesta Web a 5 minuti.

Set-LabelPolicy -Identity Global -AdvancedSettings @{SharepointWebRequestTimeout="00:05:00"}

SharePointFileWebRequestTimeout

Per impostazione predefinita, il timeout per le interazioni di SharePoint è di due minuti, dopo i quali il tentativo di operazione del client di protezione delle informazioni non riesce. Controllare questo timeout usando le impostazioni avanzate SharePointWebRequestTimeout e SharePointFileWebRequestTimeout , usando una sintassi hh:mm:ss per definire i timeout.

Specifica il valore di timeout per i file di SharePoint tramite richieste Web del client di Information Protection. L'impostazione predefinita è 15 minuti.

Ad esempio, se il criterio è denominato Globale, il comando di PowerShell di esempio seguente aggiorna il timeout della richiesta Web del file a 10 minuti.

Set-LabelPolicy -Identity Global -AdvancedSettings @{SharepointFileWebRequestTimeout="00:10:00"}

UseCopyAndPreserveNTFSOwner

Per impostazione predefinita, il client di protezione delle informazioni non mantiene il proprietario NTFS definito prima dell'applicazione di un'etichetta di riservatezza.

Per garantire che il valore del proprietario NTFS venga mantenuto, impostare l'impostazione avanzata UseCopyAndPreserveNTFSOwner su true per il criterio etichetta selezionato.

Esempio di comando di PowerShell, in cui il criterio di etichetta è denominato "Globale"

Set-LabelPolicy -Identity Global -AdvancedSettings @{UseCopyAndPreserveNTFSOwner ="true"}