RMS-bescherming met FCI (File Classification Infrastructure) voor Windows-server

  • Artikel

Gebruik dit artikel voor instructies en een script om de Azure Information Protection-client en PowerShell te gebruiken om File Server Resource Manager en File Classification Infrastructure (FCI) te configureren.

Met deze oplossing kunt u automatisch alle bestanden in een map op een bestandsserver met Windows Server beveiligen of bestanden die voldoen aan een specifiek criterium automatisch beveiligen. Bijvoorbeeld bestanden die zijn geclassificeerd als vertrouwelijke of gevoelige informatie. Deze oplossing maakt rechtstreeks verbinding met de Azure Rights Management-service van Azure Information Protection om de bestanden te beveiligen, dus u moet deze service hebben geïmplementeerd voor uw organisatie.

Notitie

Hoewel Azure Information Protection een connector bevat die infrastructuur voor bestandsclassificatie ondersteunt, ondersteunt deze oplossing alleen systeemeigen beveiliging, bijvoorbeeld Office-bestanden.

Als u meerdere bestandstypen wilt ondersteunen met de infrastructuur voor bestandsclassificatie van Windows Server, moet u de PowerShell AzureInformationProtection-module gebruiken, zoals beschreven in dit artikel. De Azure Information Protection-cmdlets, zoals de Azure Information Protection-client, ondersteunen algemene beveiliging en systeemeigen beveiliging, wat betekent dat andere bestandstypen dan Office-documenten kunnen worden beveiligd. Zie voor meer informatie bestandstypen die worden ondersteund door de Azure Information Protection-client vanuit de beheerdershandleiding voor de Azure Information Protection-client.

De volgende instructies zijn voor Windows Server 2012 R2 of Windows Server 2012. Als u andere ondersteunde versies van Windows uitvoert, moet u mogelijk enkele van de stappen aanpassen voor verschillen tussen uw besturingssysteemversie en de versie die in dit artikel wordt beschreven.

Vereisten voor Azure Rights Management-beveiliging met Windows Server FCI

Vereisten voor deze instructies:

  • Op elke bestandsserver waarop u File Resource Manager uitvoert met infrastructuur voor bestandsclassificatie:

    • U hebt Bestandsserverbronbeheer geïnstalleerd als een van de functieservices voor de functie Bestandsservices.

    • U hebt een lokale map geïdentificeerd die bestanden bevat die moeten worden beveiligd met Rights Management. Bijvoorbeeld C:\FileShare.

    • U hebt de PowerShell-module AzureInformationProtection geïnstalleerd en de vereisten voor deze module geconfigureerd om verbinding te maken met de Azure Rights Management-service.

      De PowerShell-module AzureInformationProtection is opgenomen in de Azure Information Protection-client. Zie De Azure Information Protection-client installeren voor gebruikers uit de Beheerdershandleiding voor Azure Information Protection voor installatie-instructies. Indien nodig kunt u alleen de PowerShell-module installeren met behulp van de PowerShellOnly=true parameter.

      De vereisten voor het gebruik van deze PowerShell-module omvatten het activeren van de Azure Rights Management-service, het maken van een service-principal en het bewerken van het register als uw tenant zich buiten Noord-Amerika bevindt. Voordat u de instructies in dit artikel start, moet u ervoor zorgen dat u waarden hebt voor uw BposTenantId, AppPrincipalId en Symmetrische sleutel, zoals beschreven in deze vereisten.

    • Als u het standaardbeveiligingsniveau (systeemeigen of algemeen) voor specifieke bestandsnaamextensies wilt wijzigen, hebt u het register bewerkt zoals beschreven in de sectie Het standaardbeveiligingsniveau van bestanden wijzigen vanuit de beheerdershandleiding.

    • U hebt een internetverbinding en u hebt uw computerinstellingen geconfigureerd als deze vereist zijn voor een proxyserver. Bijvoorbeeld: netsh winhttp import proxy source=ie

  • U hebt uw on-premises Active Directory-gebruikersaccounts gesynchroniseerd met Microsoft Entra ID of Microsoft 365, inclusief hun e-mailadressen. Dit is vereist voor alle gebruikers die mogelijk toegang nodig hebben tot bestanden nadat ze zijn beveiligd door FCI en de Azure Rights Management-service. Als u deze stap niet uitvoert (bijvoorbeeld in een testomgeving), hebben gebruikers mogelijk geen toegang tot deze bestanden. Zie Gebruikers en groepen voorbereiden voor Azure Information Protection als u meer informatie nodig hebt over deze vereiste.

  • Dit scenario biedt geen ondersteuning voor afdelingssjablonen, dus u moet een sjabloon gebruiken die niet is geconfigureerd voor een bereik of de cmdlet Set-AipServiceTemplateProperty en de parameter EnableInLegacyApps gebruiken.

Instructies voor het configureren van Bestandsserverbronbeheer FCI voor Azure Rights Management-beveiliging

Volg deze instructies om alle bestanden in een map automatisch te beveiligen met behulp van een PowerShell-script als een aangepaste taak. Voer deze procedures in deze volgorde uit:

  1. Het PowerShell-script opslaan

  2. Een classificatie-eigenschap maken voor Rights Management (RMS)

  3. Een classificatieregel maken (classificeren voor RMS)

  4. Het classificatieschema configureren

  5. Een aangepaste bestandsbeheertaak maken (Bestanden beveiligen met RMS)

  6. De configuratie testen door de regel en taak handmatig uit te voeren

Aan het einde van deze instructies worden alle bestanden in de geselecteerde map geclassificeerd met de aangepaste eigenschap van RMS en worden deze bestanden vervolgens beveiligd door Rights Management. Voor een complexere configuratie die sommige bestanden selectief beveiligt en niet andere, kunt u vervolgens een andere classificatie-eigenschap en regel maken of gebruiken, met een bestandsbeheertaak die alleen die bestanden beveiligt.

Houd er rekening mee dat als u wijzigingen aanbrengt in de Rights Management-sjabloon die u gebruikt voor FCI, het computeraccount dat het script uitvoert om de bestanden te beveiligen, niet automatisch de bijgewerkte sjabloon krijgt. Ga hiervoor in het script naar de opdracht met commentaar Get-RMSTemplate -Force en verwijder het # opmerkingsteken. Wanneer de bijgewerkte sjabloon wordt gedownload (het script heeft ten minste één keer uitgevoerd), kunt u deze extra opdracht uitcommentariëren, zodat de sjablonen niet onnodig worden gedownload. Als de wijzigingen in de sjabloon belangrijk genoeg zijn om de bestanden op de bestandsserver opnieuw te beveiligen, kunt u dit interactief doen door de cmdlet Protect-RMSFile uit te voeren met een account met de gebruiksrechten Exporteren of Volledig beheer voor de bestanden. U moet ook worden uitgevoerd Get-RMSTemplate -Force als u een nieuwe sjabloon publiceert die u wilt gebruiken voor FCI.

Het Windows PowerShell-script opslaan

  1. Kopieer de inhoud van het Windows PowerShell-script voor Azure RMS-beveiliging met behulp van Bestandsserverbronbeheer. Plak de inhoud van het script en geef het bestand de naam RMS-Protect-FCI.ps1 op uw eigen computer.

  2. Controleer het script en breng de volgende wijzigingen aan:

    • Zoek de volgende tekenreeks en vervang deze door uw eigen AppPrincipalId die u gebruikt met de set-RMSServerAuthentication-cmdlet om verbinding te maken met de Azure Rights Management-service:

      <enter your AppPrincipalId here>

      Het script kan er bijvoorbeeld als volgt uitzien:

      [Parameter(Mandatory = $false)]

      [Parameter(Mandatory = $false)] [string]$AppPrincipalId = "b5e3f76a-b5c2-4c96-a594-a0807f65bba4",

    • Zoek de volgende tekenreeks en vervang deze door uw eigen symmetrische sleutel die u gebruikt met de set-RMSServerAuthentication-cmdlet om verbinding te maken met de Azure Rights Management-service:

      <enter your key here>

      Het script kan er bijvoorbeeld als volgt uitzien:

      [Parameter(Mandatory = $false)]

      [string]$SymmetricKey = "zIeMu8zNJ6U377CLtppkhkbl4gjodmYSXUVwAO5ycgA="

    • Zoek de volgende tekenreeks en vervang deze door uw eigen BposTenantId (tenant-id) die u gebruikt met de cmdlet Set-RMSServerAuthentication om verbinding te maken met de Azure Rights Management-service:

      <enter your BposTenantId here>

      Het script kan er bijvoorbeeld als volgt uitzien:

      [Parameter(Mandatory = $false)]

      [string]$BposTenantId = "23976bc6-dcd4-4173-9d96-dad1f48efd42",

  3. Onderteken het script. Als u het script niet ondertekent (veiliger), moet u Windows PowerShell configureren op de servers waarop het script wordt uitgevoerd. Voer bijvoorbeeld een Windows PowerShell-sessie uit met de optie Uitvoeren als Beheer istrator en typ: Set-ExecutionPolicy RemoteSigned. Met deze configuratie kunnen echter alle niet-ondertekende scripts worden uitgevoerd wanneer ze op deze server worden opgeslagen (minder veilig).

    Zie about_Signing in de PowerShell-documentatiebibliotheek voor meer informatie over het ondertekenen van Windows PowerShell-scripts.

  4. Sla het bestand lokaal op op elke bestandsserver waarop File Resource Manager wordt uitgevoerd met infrastructuur voor bestandsclassificatie. Sla het bestand bijvoorbeeld op in C:\RMS-Protection. Als u een ander pad of een andere mapnaam gebruikt, kiest u een pad en map die geen spaties bevat. Beveilig dit bestand met behulp van NTFS-machtigingen, zodat onbevoegde gebruikers het niet kunnen wijzigen.

U bent nu klaar om bestandsserverbronbeheer te configureren.

Een classificatie-eigenschap maken voor Rights Management (RMS)

  • Maak in Bestandsserverbronbeheer een nieuwe lokale eigenschap:

    • Naam: Typ RMS

    • Beschrijving: Type Rights Management-beveiliging

    • Eigenschapstype: Ja/Nee selecteren

    • Waarde: Selecteer Ja

We kunnen nu een classificatieregel maken die gebruikmaakt van deze eigenschap.

Een classificatieregel maken (classificeren voor RMS)

  • Maak een nieuwe classificatieregel:

    • Het tabblad Algemeen:

      • Naam: Type Classificeren voor RMS

      • Ingeschakeld: Behoud de standaardwaarde. Dit is dat dit selectievakje is ingeschakeld.

      • Beschrijving: Typ alle bestanden in de <mapnaammap> voor Rights Management.

        Vervang <de mapnaam> door de naam van de gekozen map. Bijvoorbeeld: Alle bestanden classificeren in de map C:\FileShare voor Rights Management

      • Bereik: Voeg de door u gekozen map toe. Bijvoorbeeld C:\FileShare.

        Schakel de selectievakjes niet in.

    • Op het tabblad Classificatie :

    • Classificatiemethode: Mapclassificatie selecteren

    • Eigenschapsnaam: RMS selecteren

    • Eigenschapswaarde: Ja selecteren

Hoewel u de classificatieregels handmatig kunt uitvoeren, wilt u dat deze regel volgens een schema wordt uitgevoerd, zodat nieuwe bestanden worden geclassificeerd met de RMS-eigenschap.

Het classificatieschema configureren

  • Op het tabblad Automatische classificatie :

    • Vaste planning inschakelen: schakel dit selectievakje in.

    • Configureer het schema voor alle classificatieregels die moeten worden uitgevoerd, inclusief de nieuwe regel voor het classificeren van bestanden met de RMS-eigenschap.

    • Continue classificatie voor nieuwe bestanden toestaan: schakel dit selectievakje in zodat nieuwe bestanden worden geclassificeerd.

    • Optioneel: Breng eventueel andere wijzigingen aan, zoals het configureren van opties voor rapporten en meldingen.

Nu u de classificatieconfiguratie hebt voltooid, kunt u een beheertaak configureren om de RMS-beveiliging toe te passen op de bestanden.

Een aangepaste bestandsbeheertaak maken (Bestanden beveiligen met RMS)

  • Maak in Bestandsbeheertaken een nieuwe bestandsbeheertaak:

    • Het tabblad Algemeen:

      • Taaknaam: Typ Bestanden beveiligen met RMS

      • Houd het selectievakje Inschakelen ingeschakeld.

      • Beschrijving: Typ Bestanden beveiligen in <mapnaam> met Rights Management en een sjabloon met behulp van een Windows PowerShell-script.

        Vervang <de mapnaam> door de naam van de gekozen map. Beveilig bijvoorbeeld bestanden in C:\FileShare met Rights Management en een sjabloon met behulp van een Windows PowerShell-script

      • Bereik: Selecteer de gekozen map. Bijvoorbeeld C:\FileShare.

        Schakel de selectievakjes niet in.

    • Op het tabblad Actie :

      • Type: Aangepast selecteren

      • Uitvoerbaar bestand: Geef het volgende op:

        C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe

        Als Windows zich niet op uw C:-station bevindt, wijzigt u dit pad of bladert u naar dit bestand.

      • Argument: Geef het volgende op, waarbij u uw eigen waarden opgeeft voor <pad> - en <sjabloon-id>:

        -Noprofile -Command "<path>\RMS-Protect-FCI.ps1 -File '[Source File Path]' -TemplateID <template GUID> -OwnerMail '[Source File Owner Email]'"

        Als u het script bijvoorbeeld hebt gekopieerd naar C:\RMS-Protection en de sjabloon-id die u hebt geïdentificeerd aan de vereisten, is e6ee2481-26b9-45e5-b34a-f744eacd53b0, geeft u het volgende op:

        -Noprofile -Command "C:\RMS-Protection\RMS-Protect-FCI.ps1 -File '[Source File Path]' -TemplateID e6ee2481-26b9-45e5-b34a-f744eacd53b0 -OwnerMail '[Source File Owner Email]'"

        In deze opdracht zijn [Bronbestandspad] en [E-mailadres van bronbestandseigenaar] beide FCI-specifieke variabelen. Typ deze dus precies zoals ze worden weergegeven in de voorgaande opdracht. De eerste variabele wordt door FCI gebruikt om automatisch het geïdentificeerde bestand in de map op te geven en de tweede variabele is dat FCI automatisch het e-mailadres van de benoemde eigenaar van het geïdentificeerde bestand ophaalt. Deze opdracht wordt herhaald voor elk bestand in de map, dat in ons voorbeeld elk bestand is in de map C:\FileShare die bovendien RMS heeft als eigenschap voor bestandsclassificatie.

        Notitie

        De parameter -OwnerMail [E-mailadres van bronbestandseigenaar] en -waarde zorgt ervoor dat de oorspronkelijke eigenaar van het bestand de Rights Management-eigenaar van het bestand krijgt nadat het is beveiligd. Deze configuratie zorgt ervoor dat de oorspronkelijke bestandseigenaar alle Rights Management-rechten voor hun eigen bestanden heeft. Wanneer bestanden worden gemaakt door een domeingebruiker, wordt het e-mailadres automatisch opgehaald uit Active Directory met behulp van de gebruikersnaam in de eigenschap Eigenaar van het bestand. Hiervoor moet de bestandsserver zich in hetzelfde domein of vertrouwd domein bevinden als de gebruiker.

        Wijs indien mogelijk de oorspronkelijke eigenaren toe aan beveiligde documenten om ervoor te zorgen dat deze gebruikers volledige controle hebben over de bestanden die ze hebben gemaakt. Als u echter de variabele [E-mailadres eigenaar bronbestand] gebruikt zoals in de voorgaande opdracht en een bestand geen domeingebruiker heeft gedefinieerd als de eigenaar (bijvoorbeeld een lokaal account is gebruikt om het bestand te maken, zodat de eigenaar SYSTEM weergeeft), mislukt het script.

        Voor bestanden die geen domeingebruiker als eigenaar hebben, kunt u deze bestanden kopiëren en opslaan als domeingebruiker, zodat u alleen de eigenaar van deze bestanden wordt. Als u machtigingen hebt, kunt u de eigenaar handmatig wijzigen. U kunt ook een specifiek e-mailadres (zoals uw eigen of groepsadres voor de IT-afdeling) opgeven in plaats van de variabele [E-mailadres eigenaar bronbestand], wat betekent dat alle bestanden die u met dit script beveiligt, dit e-mailadres gebruiken om de nieuwe eigenaar te definiëren.

    • Voer de opdracht uit als: Lokaal systeem selecteren

    • Op het tabblad Voorwaarde :

      • Eigenschap: RMS selecteren

      • Operator: Gelijk selecteren

      • Waarde: Selecteer Ja

    • Op het tabblad Planning :

      • Uitvoeren op: Configureer uw voorkeursschema.

        Laat voldoende tijd over om het script te voltooien. Hoewel deze oplossing alle bestanden in de map beveiligt, wordt het script één keer voor elk bestand uitgevoerd, telkens wanneer. Hoewel dit langer duurt dan het tegelijkertijd beveiligen van alle bestanden, die de Azure Information Protection-client ondersteunt, is deze bestands-by-file-configuratie voor FCI krachtiger. De beveiligde bestanden kunnen bijvoorbeeld verschillende eigenaren hebben (de oorspronkelijke eigenaar behouden) wanneer u de variabele [E-mailadres eigenaar bronbestand] gebruikt en deze actie voor bestand per bestand is vereist als u de configuratie later wijzigt om bestanden selectief te beveiligen in plaats van alle bestanden in een map.

      • Continu uitvoeren op nieuwe bestanden: schakel dit selectievakje in.

De configuratie testen door de regel en taak handmatig uit te voeren

  1. Voer de classificatieregel uit:

    1. Klik op Classificatieregels>uitvoeren classificatie nu met alle regels

    2. Klik op Wachten tot de classificatie is voltooid en klik vervolgens op OK.

  2. Wacht totdat het dialoogvenster Classificatie uitvoeren is gesloten en bekijk vervolgens de resultaten in het automatisch weergegeven rapport. U ziet 1 voor het veld Eigenschappen en het aantal bestanden in uw map. Bevestig met behulp van Bestandenverkenner en controleer de eigenschappen van bestanden in de door u gekozen map. Op het tabblad Classificatie ziet u RMS als eigenschapsnaam en Ja voor de waarde.

  3. Voer de bestandsbeheertaak uit:

    1. Klik nu op Bestandsbeheertaken>beveiligen met RMS>Bestandsbeheertaak uitvoeren

    2. Klik op Wachten tot de taak is voltooid en klik vervolgens op OK.

  4. Wacht totdat het dialoogvenster Bestandsbeheertaak wordt gesloten en bekijk vervolgens de resultaten in het automatisch weergegeven rapport. Als het goed is, ziet u het aantal bestanden in de door u gekozen map in het veld Bestanden . Controleer of de bestanden in de door u gekozen map nu worden beveiligd door Rights Management. Als de door u gekozen map bijvoorbeeld C:\FileShare is, typt u de volgende opdracht in een Windows PowerShell-sessie en controleert u of er geen bestanden zijn beveiligd:

    foreach ($file in (Get-ChildItem -Path C:\FileShare -Force | where {!$_.PSIsContainer})) {Get-RMSFileStatus -f $file.PSPath}

    Fooi

    Enkele tips voor probleemoplossing:

    • Als u 0 in het rapport ziet, in plaats van het aantal bestanden in uw map, geeft deze uitvoer aan dat het script niet is uitgevoerd. Controleer eerst het script zelf door het te laden in Windows PowerShell ISE om de inhoud van het script te valideren en het eenmalig uit te voeren in dezelfde PowerShell-sessie om te zien of er fouten worden weergegeven. Zonder opgegeven argumenten probeert het script verbinding te maken en te verifiëren met de Azure Rights Management-service.

    • Als het script op zichzelf wordt uitgevoerd in Windows PowerShell ISE zonder fouten, probeert u het als volgt uit te voeren vanuit een PowerShell-sessie, waarbij u een bestandsnaam opgeeft die moet worden beveiligd en zonder de parameter -OwnerEmail:

      powershell.exe -Noprofile -Command "<path>\RMS-Protect-FCI.ps1 -File '<full path and name of a file>' -TemplateID <template GUID>"

      • Als het script wordt uitgevoerd in deze Windows PowerShell-sessie, controleert u de vermeldingen voor Executive en Argument in de actie bestandsbeheertaak. Als u -OwnerEmail [e-mailadres eigenaar bronbestand] hebt opgegeven, verwijdert u deze parameter.

        Als de bestandsbeheertaak werkt zonder -OwnerEmail [E-mailadres eigenaar bronbestand], controleert u of de niet-beveiligde bestanden een domeingebruiker hebben die wordt vermeld als de eigenaar van het bestand, in plaats van SYSTEM. Als u deze controle wilt uitvoeren, gebruikt u het tabblad Beveiliging voor de eigenschappen van het bestand en klikt u op Geavanceerd. De waarde Eigenaar wordt direct na de bestandsnaam weergegeven. Controleer ook of de bestandsserver zich in hetzelfde domein of een vertrouwd domein bevindt om het e-mailadres van de gebruiker op te zoeken vanuit Active Directory-domein Services.

    • Als u het juiste aantal bestanden in het rapport ziet, maar de bestanden niet zijn beveiligd, probeert u de bestanden handmatig te beveiligen met de cmdlet Protect-RMSFile om te zien of er fouten worden weergegeven.

Wanneer u hebt bevestigd dat deze taken zijn uitgevoerd, kunt u Bestandsbronbeheer sluiten. Nieuwe bestanden worden automatisch geclassificeerd en beveiligd wanneer de geplande taken worden uitgevoerd.

Actie vereist als u wijzigingen aanbrengt in de Rights Management-sjabloon

Als u wijzigingen aanbrengt in de Rights Management-sjabloon waarnaar het script verwijst, krijgt het computeraccount dat het script uitvoert om de bestanden te beveiligen niet automatisch de bijgewerkte sjabloon. Zoek in het script de Get-RMSTemplate -Force opdracht met opmerkingen in de functie Set-RMS Verbinding maken ion en verwijder het opmerkingsteken aan het begin van de regel. De volgende keer dat het script wordt uitgevoerd, wordt de bijgewerkte sjabloon gedownload. Als u de prestaties wilt optimaliseren zodat sjablonen niet onnodig worden gedownload, kunt u deze regel opnieuw commentaar geven.

Als de wijzigingen in de sjabloon belangrijk genoeg zijn om de bestanden op de bestandsserver opnieuw te beveiligen, kunt u dit interactief doen door de cmdlet Protect-RMSFile uit te voeren met een account met de gebruiksrechten Exporteren of Volledig beheer voor de bestanden.

Voer deze regel ook uit in het script als u een nieuwe sjabloon publiceert die u voor FCI wilt gebruiken en wijzig de sjabloon-id in de argumentregel voor de aangepaste bestandsbeheertaak.

De instructies wijzigen om bestanden selectief te beveiligen

Wanneer u de voorgaande instructies hebt uitgevoerd, kunt u deze eenvoudig wijzigen voor een geavanceerdere configuratie. Beveilig bijvoorbeeld bestanden met hetzelfde script, maar alleen voor bestanden die persoonsgegevens bevatten en selecteer mogelijk een sjabloon met meer beperkende rechten.

Als u deze wijziging wilt aanbrengen, gebruikt u een van de ingebouwde classificatie-eigenschappen (bijvoorbeeld persoonlijk identificeerbare gegevens) of maakt u uw eigen nieuwe eigenschap. Maak vervolgens een nieuwe regel die gebruikmaakt van deze eigenschap. U kunt bijvoorbeeld de inhoudsclassificatie selecteren, de eigenschap Persoonlijk identificeerbare informatie kiezen met de waarde Hoog en het tekenreeks- of expressiepatroon configureren waarmee het bestand wordt geïdentificeerd dat moet worden geconfigureerd voor deze eigenschap (zoals de tekenreeks 'Geboortedatum').

Nu hoeft u alleen maar een nieuwe bestandsbeheertaak te maken die hetzelfde script gebruikt, maar misschien met een andere sjabloon, en de voorwaarde voor de classificatie-eigenschap die u zojuist hebt geconfigureerd, configureert. Selecteer bijvoorbeeld in plaats van de voorwaarde die we eerder hebben geconfigureerd (RMS-eigenschap, Gelijk aan, Ja), de eigenschap Persoonlijk identificeerbare informatie met de operatorwaarde ingesteld op Gelijk en de waardevan Hoog.

Volgende stappen

Misschien vraagt u zich af: wat is het verschil tussen Windows Server FCI en de Azure Information Protection-scanner?