Introdução ao verificador de proteção de informações

Antes de instalar o verificador da Proteção de Informações do Microsoft Purview, verifique se o sistema está em conformidade com os requisitos do serviço Azure Rights Management.

Além disso, os seguintes requisitos são específicos para o scanner:

• Requisitos do Windows Server
• Requisitos de conta de serviço
• Requisitos do servidor SQL
• Requisitos do cliente de proteção de informações
• Requisitos de configuração da etiqueta
• Requisitos do SharePoint
• Requisitos do Microsoft Office
• Requisitos de caminho de arquivo

Se você não puder atender a todos os requisitos listados para o verificador porque eles são proibidos pelas políticas da sua organização, consulte a seção de configurações alternativas .

Ao implantar o scanner em produção ou testar o desempenho de vários scanners, consulte Requisitos de armazenamento e planejamento de capacidade para o SQL Server.

Quando estiver pronto para começar a instalar e implantar o scanner, continue com Configurando e instalando o scanner de proteção de informações.

Requisitos do Windows Server

Você deve ter um computador Windows Server para executar o scanner, que possui as seguintes especificações de sistema:

Requisitos de conta de serviço

Você deve ter uma conta de serviço para executar o serviço de verificação no computador com o Windows Server, bem como autenticar no Microsoft Entra ID e baixar a política do scanner.

Sua conta de serviço deve ser uma conta do Active Directory e sincronizada com o Microsoft Entra ID.

Se você não puder sincronizar esta conta devido às políticas da sua organização, consulte Implantando o scanner com configurações alternativas.

Essa conta de serviço tem os seguintes requisitos:

Requisitos do servidor SQL

Para armazenar os dados de configuração do scanner, use um SQL Server com os seguintes requisitos:

• Uma instância local ou remota.

  É recomendável hospedar o SQL Server e o serviço de verificação em computadores diferentes, a menos que você esteja trabalhando com uma implantação pequena. Além disso, recomendamos ter uma instância SQL dedicada que atenda apenas ao banco de dados do verificador e que não seja compartilhada com outros aplicativos.

  Se você estiver trabalhando em um servidor compartilhado, certifique-se de que o número recomendado de núcleos esteja livre para que o banco de dados do verificador funcione.

  O SQL Server 2016 é a versão mínima para as seguintes edições:

  • SQL Server Enterprise

  • SQL Server Standard

  • SQL Server Express (recomendado somente para ambientes de teste)

• Uma conta com função Sysadmin para instalar o scanner.

  A função Sysadmin permite que o processo de instalação crie automaticamente o banco de dados de configuração do verificador e conceda a função db_owner necessária à conta de serviço que executa o verificador.

  Se você não puder receber a função Sysadmin ou se as políticas da sua organização exigirem que os bancos de dados sejam criados e configurados manualmente, consulte Implantando o verificador com configurações alternativas.

• Capacidade. Para obter diretrizes de capacidade, consulte Requisitos de armazenamento e planejamento de capacidade para o SQL Server.

• ordenação sem diferenciar maiúsculas de minúsculas.

Requisitos de armazenamento e planejamento de capacidade do SQL Server

A quantidade de espaço em disco necessária para o banco de dados de configuração do verificador e a especificação do computador que executa o SQL Server podem variar para cada ambiente, portanto, recomendamos que você faça seus próprios testes. Use as orientações a seguir como ponto de partida.

Para obter mais informações, consulte Otimizando o desempenho do scanner.

O tamanho do disco para o banco de dados de configuração do verificador varia para cada implantação. Use a seguinte equação como orientação:

100 KB + <file count> *(1000 + 4* <average file name length>)

Por exemplo, para verificar 1 milhão de arquivos com um comprimento médio de nome de arquivo de 250 bytes, aloque 2 GB de espaço em disco.

Para vários scanners:

• Até 10 scanners, use:

  • Processadores de 4 núcleos
  • 8 GB de RAM recomendados

• Mais de 10 scanners (máximo 40), use:

  • 8 processos principais
  • Recomenda-se 16 GB de RAM

Requisitos do cliente de proteção de informações

Para uma rede de produção, você deve ter a versão de disponibilidade geral atual do cliente de Proteção de Informações do Microsoft Purview instalada no computador do Windows Server.

Para obter mais informações, consulte Instalar ou atualizar o cliente de proteção de informações.

Requisitos de configuração da etiqueta

Você deve ter pelo menos um rótulo de confidencialidade configurado no portal do Microsoft Purview para a conta do verificador, para aplicar a classificação e, opcionalmente, a criptografia.

A conta do verificador é a conta que você especificará no parâmetro DelegatedUser do cmdlet Set-Authentication , executada ao configurar o verificador.

Se seus rótulos não tiverem condições de rotulagem automática, consulte as instruções para configurações alternativas abaixo.

Para saber mais, confira:

• Saiba mais sobre rótulos de confidencialidade
• Aplicar automaticamente um rótulo de confidencialidade aos dados do Microsoft 365
• Restringir o acesso ao conteúdo usando criptografia nos rótulos de confidencialidade
• Configuração e instalação do verificador de proteção de informações

Requisitos do SharePoint

Para verificar bibliotecas e pastas de documentos do SharePoint, verifique se o servidor do SharePoint está em conformidade com os seguintes requisitos:

Evitar tempos limite do verificador no SharePoint

Se você tiver caminhos de arquivo longos no SharePoint versão 2013 ou superior, verifique se o valor httpRuntime.maxUrlLength do servidor do SharePoint é maior que os 260 caracteres padrão.

Esse valor é definido na classe HttpRuntimeSection da ASP.NET configuração.

Para atualizar a classe HttpRuntimeSection:

1. Faça backup da configuração doweb.config .

2. Atualize o valor maxUrlLength conforme necessário. Por exemplo:

   <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />
   

3. Reinicie o servidor Web do SharePoint e verifique se ele carrega corretamente.

   Por exemplo, no Gerenciador do IIS (Servidores de Informações da Internet) do Windows, selecione seu site e, em Gerenciar site, selecione Reiniciar.

Requisitos do Microsoft Office

Para digitalizar documentos do Office, eles devem estar em um dos seguintes formatos:

• Microsoft Office 97-2003
• Formatos Open XML do Office para Word, Excel e PowerPoint

Para obter mais informações, consulte Tipos de arquivo com suporte.

Requisitos de caminho de arquivo

Por padrão, para verificar arquivos, os caminhos de arquivo devem ter no máximo 260 caracteres.

Para digitalizar arquivos com caminhos de arquivo com mais de 260 caracteres, instale o scanner em um computador com uma das seguintes versões do Windows e configure o computador conforme necessário:

Implantar o scanner com configurações alternativas

Os pré-requisitos listados acima são os requisitos padrão para a implantação do scanner e recomendados porque oferecem suporte à configuração de scanner mais simples.

Os requisitos padrão devem ser adequados para o teste inicial, para que você possa marcar os recursos do scanner.

No entanto, em um ambiente de produção, as políticas da sua organização podem ser diferentes dos requisitos padrão. O scanner pode acomodar as seguintes alterações com configuração adicional:

• Descubra e examine todos os sites e subsites com uma URL específica

• Restrição: O servidor do verificador não pode ter conectividade com a Internet

• Restrição: A conta de serviço do verificador não pode ser sincronizada com o Microsoft Entra ID, mas o servidor tem conectividade com a Internet

• Restrição: A conta de serviço do verificador não pode receber o direito Fazer logon localmente

• Restrição: você não pode receber o Sysadmin ou os bancos de dados devem ser criados e configurados manualmente

• Restrição: Suas etiquetas não têm condições de rotulagem automática

Descubra e examine todos os sites e subsites do SharePoint em uma URL específica

O verificador pode descobrir e examinar todos os sites e subsites do SharePoint em uma URL específica com a seguinte configuração:

1. Inicie a Administração Central do SharePoint.

2. No site da Administração Central do SharePoint , na seção Gerenciamento de aplicativos , clique em Gerenciar aplicativos Web.

3. Clique para destacar o aplicativo Web cujo nível de política de permissão você deseja gerenciar.

4. Escolha o farm relevante e selecione Gerenciar Níveis de Política de Permissões.

5. Selecione Auditor do Conjunto de Sites nas opções de Permissões do Conjunto de Sites , conceda Exibir Páginas do Aplicativo na lista Permissões e, por fim, nomeie o novo nível de diretiva como auditor e visualizador do conjunto de sites.

6. Adicione o usuário do verificador à nova política e conceda o conjunto de sites na lista Permissões.

7. Adicione uma URL do SharePoint que hospeda sites ou subsites que precisam ser verificados. Para obter mais informações, consulte Definir as configurações do scanner.

Para saber mais sobre como gerenciar seus níveis de política do SharePoint, consulte Gerenciar políticas de permissão para um aplicativo Web.

Restrição: O servidor do verificador não pode ter conectividade com a Internet

Embora o cliente de proteção de informações não possa aplicar criptografia sem uma conexão com a Internet, o verificador ainda pode aplicar rótulos com base em políticas importadas.

Para oferecer suporte a um computador desconectado, use um dos seguintes métodos:

• Use o portal do Microsoft Purview (recomendado quando possível)

• Usar o Windows PowerShell!

Usar o portal do Microsoft Purview com um computador desconectado

Para dar suporte a um computador que não pode se conectar ao portal do Microsoft Purview, execute as seguintes etapas:

1. Configure os rótulos em sua política e, em seguida, use o procedimento para dar suporte a computadores desconectados para habilitar a classificação e o rótulo offline.

2. Habilite o gerenciamento offline para trabalhos de conteúdo da seguinte maneira:

   Habilitar o gerenciamento offline para trabalhos de verificação de conteúdo:

   1. Defina o verificador para funcionar no modo offline , usando o cmdlet Set-ScannerConfiguration .

   2. Configure o verificador no portal do Microsoft Purview criando um cluster de scanner. Para obter mais informações, consulte Definir as configurações do scanner.

   3. Exporte seu trabalho de conteúdo do painel Proteção de informações - trabalhos de verificação de conteúdo usando a opção Exportar .

   4. Importe a política usando o cmdlet Import-ScannerConfiguration .

   Os resultados dos trabalhos de verificação de conteúdo offline estão localizados em: %localappdata%\Microsoft\MSIP\Scanner\Reports

Usar o PowerShell com um computador desconectado

Execute o procedimento a seguir para dar suporte a um computador desconectado usando apenas o PowerShell.

Gerencie seus trabalhos de verificação de conteúdo usando apenas o PowerShell:

1. Defina o verificador para funcionar no modo offline , usando o cmdlet Set-ScannerConfiguration .

2. Crie um novo trabalho de verificação de conteúdo usando o cmdlet Set-ScannerContentScan, certificando-se de usar o parâmetro obrigatório -Enforce On .

3. Adicione seus repositórios usando o cmdlet Add-ScannerRepository , com o caminho para o repositório que você deseja adicionar.

   Dica

   Para evitar que o repositório herde configurações do trabalho de verificação de conteúdo, adicione o parâmetro, bem como valores OverrideContentScanJob On para configurações adicionais.

   Para editar detalhes de um repositório existente, use o comando Set-ScannerRepository .

4. Use os cmdlets Get-ScannerContentScan e Get-ScannerRepository para retornar informações sobre as configurações atuais do trabalho de verificação de conteúdo.

5. Use o comando Set-ScannerRepository para atualizar os detalhes de um repositório existente.

6. Execute o trabalho de verificação de conteúdo imediatamente, se necessário, usando o cmdlet Start-Scan .

   Os resultados dos trabalhos de verificação de conteúdo offline estão localizados em: %localappdata%\Microsoft\MSIP\Scanner\Reports

7. Se você precisar remover um repositório ou um trabalho de verificação de conteúdo inteiro, use os seguintes cmdlets:

   • Remove-ScannerContentScan
   • Remove-ScannerRepository

Restrição: você não pode receber o Sysadmin ou os bancos de dados devem ser criados e configurados manualmente

Use os procedimentos a seguir para criar bancos de dados manualmente e conceder a função db_owner , conforme necessário.

• Procedimento para o banco de dados do scanner

Se você puder receber temporariamente a função de administrador do sistema para instalar o scanner, poderá removê-la quando a instalação do scanner for concluída.

Siga um destes procedimentos, dependendo dos requisitos da sua organização:

Além disso:

• Você deve ser um administrador local no servidor que executará o verificador

• A conta de serviço que executará a verificação deve receber permissões de Controle Total para as seguintes chaves do Registro:

  • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

Se, depois de configurar essas permissões, você vir um erro ao instalar o scanner, o erro poderá ser ignorado e você poderá iniciar manualmente o serviço de scanner.

Crie manualmente um banco de dados e um usuário para o scanner e conceda direitos db_owner

Se você precisar criar manualmente o banco de dados do scanner e/ou criar um usuário e conceder direitos db_owner no banco de dados, peça ao administrador do sistema para executar as seguintes etapas:

1. Criar um banco de dados para scanner:

   **CREATE DATABASE AIPScannerUL_[clustername]**
   
   **ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**
   

2. Conceda direitos ao usuário que executa o comando de instalação e é usado para executar comandos de gerenciamento do scanner. Use o seguinte script:

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END
   

3. Conceda direitos à conta de serviço do scanner. Use o seguinte script:

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   

Restrição: A conta de serviço do verificador não pode receber o direito Fazer logon localmente

Se as políticas da sua organização proíbem o direito Fazer logon localmente para contas de serviço, use o parâmetro OnBehalfOf com Set-Authentication.

Para obter mais informações, consulte Executar cmdlets de rotulagem de proteção de informações autônoma.

Restrição: A conta de serviço do verificador não pode ser sincronizada com o Microsoft Entra ID, mas o servidor tem conectividade com a Internet

Você pode ter uma conta para executar o serviço de verificação e usar outra conta para autenticar o Microsoft Entra ID:

• Para a conta de serviço de verificação, use uma conta local do Windows ou uma conta do Active Directory.

• Para a conta do Microsoft Entra, especifique o usuário do Microsoft Entra no cmdlet Set-Authentication, no parâmetro DelegatedUser.

  Se você estiver executando a verificação em qualquer usuário que não seja a conta do verificador, certifique-se de especificar a conta do verificador também no parâmetro OnBehalfOf .

  Para obter mais informações, consulte Executar cmdlets de rotulagem de proteção de informações autônoma.

Restrição: Suas etiquetas não têm condições de rotulagem automática

Se suas etiquetas não tiverem condições de rotulagem automática, planeje usar uma das seguintes opções ao configurar o scanner:

Próximas etapas

Depois de confirmar que seu sistema está em conformidade com os pré-requisitos do scanner, continue com Configurando e instalando o scanner de proteção de informações.

Para obter uma visão geral sobre o scanner, consulte Saiba mais sobre o scanner de proteção de informações.