Estender a rotulagem de confidencialidade no Windows

O cliente de Proteção de Informações do Microsoft Purview estende os rótulos de confidencialidade para além dos rótulos integrados aos aplicativos e serviços do Microsoft 365 e dá suporte a uma variedade maior de tipos de arquivos.

Esse cliente é executado apenas no Windows e substitui o cliente de rotulagem unificada Azure Proteção de Informações (AIP). Ele tem os seguintes componentes:

Não há nenhum Suplemento do Office com o cliente de Proteção de Informações do Microsoft Purview porque essa funcionalidade é substituída por rótulos de confidencialidade internos do Office.

Para obter as informações de versão mais recentes e linhas do tempo de suporte para cada versão do cliente, consulte Cliente de Proteção de Informações do Microsoft Purview – Gerenciamento de versão e capacidade de suporte.

Requisitos para implantação do cliente de proteção de informações

Para usar o cliente de Proteção de Informações do Microsoft Purview, instale-o em computadores Windows nos quais você deseja usar os componentes do cliente.

Você também deve atender aos seguintes requisitos:

Instalar ou atualizar o cliente de proteção de informações

Se você instalar o cliente de Informações do Microsoft Purview interativamente e o cliente de rotulagem unificada do Azure Proteção de Informações (AIP) for detectado, você poderá atualizar o cliente mais antigo depois de reconhecer que o Suplemento AIP para o Office será removido.

Existem duas opções para instalar o cliente de proteção de informações:

• Instalando o cliente de proteção de informações usando o instalador .exe
• Instalando o cliente de proteção de informações usando o instalador .msi

Se você estiver atualizando o verificador de proteção de informações, do cliente de rotulagem unificada Azure Proteção de Informações (AIP) ou de uma versão anterior do cliente de proteção de informações, consulte Atualizar o verificador de Proteção de Informações do Microsoft Purview antes de usar estas instruções de instalação do cliente.

Localizações do arquivo de log

Os arquivos de log do cliente e do verificador estão localizados nos seguintes locais no computador Windows:

• \ProgramFiles (x86)\Proteção de Informações do Microsoft Purview (somente sistemas operacionais de 64 bits)
• \Program Files\Proteção de Informações do Microsoft Purview (somente sistemas operacionais de 32 bits)
• %localappdata%\Microsoft\MSIP

Idiomas compatíveis

O cliente de proteção de informações oferece suporte aos mesmos idiomas com suporte do Office 365. Para obter uma lista desses idiomas, consulte a página de disponibilidade internacional do Office.

Para esses idiomas, as opções de menu, as caixas de diálogo e as mensagens do cliente de Proteção de Informações do Microsoft Purview são exibidas no idioma do usuário. Há um único instalador que detecta o idioma, portanto, nenhuma configuração adicional é necessária para instalar o cliente de proteção de informações para diferentes idiomas.

No entanto, os nomes e as descrições dos rótulos especificados não são traduzidos automaticamente quando você configura rótulos no portal de administração. Para que os usuários vejam os rótulos em seu idioma preferido, forneça suas próprias traduções e configure-as para os rótulos usando o PowerShell e o parâmetro LocaleSettings para Set-Label. Para obter mais informações, consulte Exemplo de configuração para configurar um rótulo de confidencialidade para diferentes idiomas.

Tipos de arquivo compatíveis

Esta seção lista os tipos de arquivo compatíveis com o cliente de Proteção de Informações do Microsoft Purview. Para os tipos de arquivo listados, não há suporte para locais do WebDav.

Pastas e tipos de arquivo excluídos

Para ajudar a impedir que os usuários alterem arquivos críticos para operações de computador, alguns tipos de arquivos e pastas são automaticamente excluídos da classificação e rotulagem. Se os usuários tentarem rotular esses arquivos usando o cliente de proteção de informações, eles verão uma mensagem informando que esses arquivos foram excluídos.

Tipos de arquivo que não podem ser criptografados por padrão

Nenhum arquivo protegido por senha pode ser criptografado de forma nativa pelo cliente, a menos que ele esteja aberto no aplicativo que aplica a criptografia. Na maioria das vezes, você vê arquivos PDF protegidos por senha, mas outros aplicativos, como aplicativos do Office, também oferecem essa funcionalidade.

Tipos de arquivo com suporte para inspeção

O cliente de proteção de informações usa o Windows IFilter para inspecionar o conteúdo dos documentos. O Windows IFilter é usado pelo Windows Search para indexação. Como resultado, os seguintes tipos de arquivo podem ser inspecionados quando você usa o comando Set-FileLabel -Autolabel do PowerLabel.

Verificação .ZIP arquivos

Você pode usar o verificador de proteção de informações ou o comando Set-FileLabel do PowerShell para inspecionar .zip arquivos.

Depois de encontrar informações confidenciais, se o arquivo .zip deve ser rotulado e criptografado com um rótulo, nas instruções de implantação do scanner, especifique a extensão do nome do arquivo .zip com a configuração avançada PFileSupportedExtensions do PowerShell.

Exemplo de cenário:

Um arquivo chamado accounts.zip contém planilhas do Excel com números de card de crédito. Você tem um rótulo de confidencialidade chamado Confidencial \ Finanças, que é configurado para descobrir números de card de crédito e aplicar automaticamente o rótulo com criptografia que restringe o acesso ao grupo Finanças.

Depois de inspecionar o arquivo, o cliente da sua sessão do PowerShell rotula esse arquivo como Confidencial \ Finanças. Em seguida, o cliente aplica criptografia genérica ao arquivo para que somente membros dos grupos de Finanças possam descompactá-lo e renomeia o arquivo accounts.zip.pfile.

Prevenção contra perda de dados integração com ponto de extremidade

A configuração DLP (prevenção contra perda de dados) do Ponto de extremidade A proteção avançada baseada em rótulos para todos os arquivos em dispositivos aumenta a produtividade dos usuários que rotulam e criptografam tipos de arquivos diferentes daqueles do Office e PDF.

Para esses arquivos, embora o acesso e quaisquer restrições de uso das configurações de criptografia sejam impostas pelo DLP quando o rótulo é aplicado, a criptografia é aplicada quando os arquivos saem do computador. Como resultado, a extensão do nome do arquivo para os arquivos locais não é alterada e os usuários podem continuar a exibir e editar os arquivos em seu aplicativo padrão.

Para obter mais informações, consulte Saiba mais sobre a Proteção Avançada Baseada em Rótulos.

Suporte para computadores desconectados

Por padrão, o cliente de proteção de informações tenta se conectar automaticamente à Internet para baixar rótulos de confidencialidade e configurações de política de rótulos de confidencialidade do Microsoft Purview.

Se você tiver computadores que não podem se conectar à Internet por um período de tempo, poderá exportar e copiar arquivos que gerenciam manualmente a política para o cliente de proteção de informações.

Para dar suporte a computadores desconectados do cliente de proteção de informações:

1. Escolha ou crie uma conta de usuário no Microsoft Entra ID que você usará para baixar rótulos e configurações de política que deseja usar no computador desconectado.

2. Como uma configuração de política de rótulo adicional para esta conta, desative o envio de dados de auditoria para o Microsoft Purview usando a configuração avançada EnableAudit do PowerShell com Set-LabelPolicy do PowerShell de Segurança & Conformidade.

   Recomendamos esta etapa porque, se o computador desconectado tiver conectividade periódica com a Internet, ele enviará informações de log para o Microsoft Purview que incluem o nome de usuário da etapa 1. Essa conta de usuário pode ser diferente da conta local que você está usando no computador desconectado.

3. Em um computador com conectividade à Internet que tenha o cliente de proteção de informações instalado e conectado com a conta de usuário da etapa 1, baixe os rótulos e as configurações de política.

4. Neste computador, exporte os arquivos de log.

   Por exemplo, execute o cmdlet Export-DebugLogs ou use a opção Exportar Logs na caixa de diálogo Ajuda e Comentários do cliente do rotulador de arquivos.

   Os arquivos de log são exportados como um único arquivo compactado.

5. Abra o arquivo compactado e, da pasta MSIP, copie todos os arquivos que tenham uma extensão de nome de arquivo .xml.

6. Cole esses arquivos na pasta %localappdata%\Microsoft\MSIP no computador desconectado.

7. Se a conta de usuário escolhida for aquela que geralmente se conecta à Internet, habilite o envio de dados de auditoria novamente, definindo o valor EnableAudit como True.

Lembre-se de que se um usuário neste computador selecionar a opção Redefinir Configurações em Ajuda e comentários no rotulador de arquivos, essa ação excluirá os arquivos de política e deixará o cliente inoperante até que você substitua manualmente os arquivos ou o cliente se conecte à Internet para que possa baixar os arquivos necessários.

O cliente de Proteção de Informações requer uma conexão ativa com a Internet para aplicar a criptografia; portanto, a solução de computadores desconectados tem suporte apenas para rótulos que não aplicam criptografia.

Se o computador desconectado estiver executando o verificador de proteção de informações, há etapas de configuração adicionais que você deve seguir. Para obter mais informações, consulte Restrição: O servidor do verificador não pode ter conectividade com a Internet a partir das instruções de implantação do verificador.

Personalizações com suporte

O cliente de proteção de informações dá suporte a configurações avançadas do PowerShell e a algumas configurações do Registro que podem ser necessárias para usuários ou cenários específicos.

Para as configurações avançadas do PowerShell com suporte para New-Label ou Set-Label e New-LabelPolicy ou Set-LabelPolicy do PowerShell de Segurança & Conformidade, consulte Configurações avançadas para Proteção de Informações do Microsoft Purview cliente.

Use as seções a seguir para ajudá-lo a configurar o Registro para personalizações com suporte.

Habilitar a atualização não interativa do cliente Azure Proteção de Informações

Se você instalar o cliente Proteção de Informações do Microsoft Purview e o cliente de rotulagem unificada Azure Proteção de Informações for detectado, uma instalação interativa do cliente exigirá que você reconheça que o Suplemento AIP para o Office do cliente mais antigo será removido.

Para usar uma instalação não interativa para o cliente, como o Catálogo do Microsoft Update, Política de Grupo ou script, você deve primeiro desinstalar o cliente Azure Proteção de Informações ou criar e configurar a seguinte chave do Registro para o computador local:

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\AllowMajorVersionUpgrade (DWORD)

Defina o valor como 1 para permitir silenciosamente a atualização e desinstalar o suplemento AIP Office; 0 bloqueará a atualização se o cliente Azure Proteção de Informações estiver instalado.

Alterar o nível de registro local

Por padrão, o cliente de Proteção de Informações do Purview grava arquivos de log do cliente na pasta %localappdata%\Microsoft\MSIP. Esses arquivos destinam-se à solução de problemas pelo Suporte da Microsoft.

Para alterar o nível de log desses arquivos, localize o seguinte nome de valor no Registro e defina os dados do valor para o nível de log necessário:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\MSIP\LogLevel

Defina o nível de log como um dos seguintes valores:

• Desativado: sem registro local.

• Erro: somente erros.

• Avisar: Erros e avisos.

• Informações: registro mínimo, que não inclui IDs de evento (a configuração padrão para o scanner).

• Depuração: informações completas.

• Rastreamento: Log detalhado (a configuração padrão para clientes).

Essa configuração do Registro não altera as informações enviadas para a auditoria do Microsoft Purview.

Habilitar configurações de limite de dados

Seguindo o compromisso da Microsoft com o limite de dados da UE, os clientes da UE que usam o cliente de Proteção de Informações do Microsoft Purview podem enviar seus dados para a UE para serem armazenados e processados.

Ative esse recurso no cliente de proteção de informações alterando a seguinte chave do Registro que especifica o local para enviar eventos:

• Chave do Registro: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\DataBoundary (DWORD)
• Valores:
  • Default = 0
  • North_America = 1
  • European_Union = 2

Habilitar o navegador padrão do sistema para autenticação

Use o navegador padrão do sistema para autenticação no cliente de Proteção de Informações do Microsoft Purview. Por padrão, o cliente de proteção de informações abre o Microsoft Edge para autenticação.

Ative esse recurso no cliente de proteção de informações habilitando a seguinte chave do Registro:

• Chave do Registro: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\MSALUseSytemDefaultBrowserAuth (DWORD)
• Valores:
  • Disabled = 0
  • Enabled = 1

Ocultar a opção de menu "Aplicar rótulo de confidencialidade com o Microsoft Purview" no Explorador de Arquivos

Para ocultar a opção de menu Aplicar rótulo de confidencialidade com o botão direito do mouse do Microsoft Purview no Explorador de Arquivos, crie a seguinte chave de registro DWORD que tenha o nome de valor de LegacyDisable e quaisquer dados de valor:

HKEY_CLASSES_ROOT\AllFilesystemObjects\shell\Microsoft.Azip.RightClick

Como aplicar rótulos de confidencialidade usando o cliente de proteção de informações

Depois que o cliente de Proteção de Informações do Microsoft Purview for instalado, você poderá aplicar rótulos de confidencialidade criados e publicados usando:

• Explorador de Arquivos

• PowerShell

• O verificador de proteção de informações, após instalá-lo e configurá-lo

  Importante

  Se você estiver atualizando do cliente de rotulagem unificada do Azure Proteção de Informações (AIP), consulte Atualizar o scanner do cliente Azure Proteção de Informações (versão 2.x).

Para exibir documentos criptografados, consulte Exibir arquivos protegidos com o visualizador de Proteção de Informações do Microsoft Purview.