Требования к Azure Information Protection

Статья
05/10/2024

Примечание.

Ищете информацию о Microsoft Purview Information Protection (прежнее название — Microsoft Information Protection, MIP)?

Надстройка Azure Information Protection отменяется и заменяется метками, встроенными в приложения и службы Microsoft 365. Дополнительные сведения о состоянии поддержки других компонентов Azure Information Protection.

Клиент Защита информации Microsoft Purview (без надстройки) общедоступен.

Перед развертыванием Azure Information Protection убедитесь, что система соответствует следующим предварительным требованиям:

Брандмауэры и сетевая инфраструктура

Брандмауэры и сетевая инфраструктура

Если у вас есть брандмауэры или аналогичные сетевые устройства, которые настроены для разрешения определенных подключений, требования к сетевому подключению перечислены в этой статье Office: Microsoft 365 Common и Office Online.

Azure Information Protection имеет следующие дополнительные требования:

Клиент Microsoft Purview Informaiton Protection. Чтобы скачать метки и политики меток, разрешите следующий URL-адрес по протоколу HTTPS: *.protection.outlook.com
Веб-прокси. При использовании веб-прокси, требующего проверки подлинности, необходимо настроить прокси-сервер для использования интегрированных проверка подлинности Windows с учетными данными входа пользователя в Active Directory.

Чтобы поддерживать файлы Proxy.pac при использовании прокси-сервера для получения маркера, добавьте следующий новый раздел реестра:
- Путь: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\.
- Ключ: UseDefaultCredentialsInProxy
- Тип: DWORD
- Значение: 1
Подключения между клиентами и службами TLS. Не прерывайте подключения tls типа "клиент — служба" (например, для проверки уровня пакета) к URL-адресу aadrm.com . Это нарушает привязку сертификата, которую клиенты RMS используют в ЦС, управляемых корпорацией Майкрософт, для защиты обмена данными со службой Azure Rights Management.

Чтобы определить, завершается ли подключение клиента до достижения службы Azure Rights Management, используйте следующие команды PowerShell:
```
$request = [System.Net.HttpWebRequest]::Create("https://admin.na.aadrm.com/admin/admin.svc")
$request.GetResponse()
$request.ServicePoint.Certificate.Issuer
```
Результат должен показать, что выдающий ЦС находится из ЦС Майкрософт, например: CN=Microsoft Secure Server CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

Если вы видите выдающееся имя ЦС, которое не входит в корпорацию Майкрософт, скорее всего, будет завершено безопасное подключение клиента к службе и требуется перенастройка в брандмауэре.
TLS версии 1.2 или выше (только клиент унифицированных меток). Для использования криптографически безопасных протоколов и соответствия рекомендациям по безопасности Майкрософт требуется tls версии 1.2 или более поздней.
Расширенная служба конфигурации Microsoft 365 (ECS). AIP должен иметь доступ к URL-адресу config.edge.skype.com , который является расширенной службой конфигурации Microsoft 365 (ECS).

ECS предоставляет корпорации Майкрософт возможность перенастройки установок AIP без необходимости повторного развертывания AIP. Он используется для управления постепенным развертыванием функций или обновлений, а влияние развертывания отслеживается из собираемых диагностических данных.

ECS также используется для устранения проблем с безопасностью или производительностью компонента или обновления. ECS также поддерживает изменения конфигурации, связанные с диагностическими данными, чтобы обеспечить сбор соответствующих событий.

Ограничение URL-адреса config.edge.skype.com может повлиять на способность Корпорации Майкрософт устранять ошибки и может повлиять на возможность тестирования предварительных версий функций.

Дополнительные сведения см. в разделе "Основные службы" для Office — развертывание Office.
Аудит подключения к сети URL-адреса ведения журнала. AIP должен иметь доступ к следующим URL-адресам, чтобы поддерживать журналы аудита AIP:
- https://*.events.data.microsoft.com
- https://*.aria.microsoft.com (Только данные устройства Android)
Дополнительные сведения см. в разделе "Предварительные требования для отчетов AIP".

Сосуществование AD RMS с Azure RMS

Использование AD RMS и Azure RMS параллельно в той же организации для защиты содержимого одним и тем же пользователем в той же организации поддерживается только в AD RMS для HYOK (хранения собственного ключа) с помощью Azure Information Protection.

Этот сценарий не поддерживается во время миграции. Поддерживаемые пути миграции:

Совет

Если вы развернете Azure Information Protection, а затем решите, что вы больше не хотите использовать эту облачную службу, см . раздел "Отмена эксплуатации" и деактивация Azure Information Protection.

Для других сценариев, не относящихся к миграции, где обе службы активны в одной организации, обе службы должны быть настроены таким образом, чтобы только один из них позволял любому пользователю защищать содержимое. Настройте такие сценарии следующим образом:

Использование перенаправлений для миграции AD RMS в Azure RMS
Если обе службы должны быть активными для разных пользователей одновременно, используйте конфигурации на стороне службы для обеспечения эксклюзивности. Используйте элементы управления подключением Azure RMS в облачной службе и ACL на URL-адресе публикации, чтобы задать режим только для чтения для AD RMS.

Теги служб

Если вы используете конечную точку Azure и группу безопасности сети, обязательно разрешите доступ ко всем портам для следующих тегов службы:

AzureInformationProtection
AzureActiveDirectory
AzureFrontDoor.Frontend

Кроме того, в этом случае служба Azure Information Protection также зависит от следующих IP-адресов и портов:

13.107.9.198
13.107.6.198
2620:1ec:4:198
2620:1ec:a92::198
13.107.6.181
13.107.9.181
Порт 443 для трафика HTTPS

Обязательно создайте правила, разрешающие исходящий доступ к этим конкретным IP-адресам и через этот порт.

Поддерживаемые локальные серверы для защиты данных Azure Rights Management

Следующие локальные серверы поддерживаются в Azure Information Protection при использовании соединителя Microsoft Rights Management.

Этот соединитель выступает в качестве интерфейса связи и ретрансляции между локальными серверами и службой Azure Rights Management, которая используется Azure Information Protection для защиты документов и сообщений электронной почты Office.

Чтобы использовать этот соединитель, необходимо настроить синхронизацию каталогов между лесами Active Directory и идентификатором Microsoft Entra.

Поддерживаемые серверы включают:

Тип сервера	Поддерживаемые версии
Exchange Server	— Exchange Server 2019 — Exchange Server 2016 — Exchange Server 2013
Office SharePoint Server	— Office SharePoint Server 2019 — Office SharePoint Server 2016 — Office SharePoint Server 2013
Файловые серверы под управлением Windows Server и использующие инфраструктуру классификации файлов (FCI)	— Windows Server 2016 — Windows Server 2012 R2 — Windows Server 2012

Дополнительные сведения см. в разделе "Развертывание соединителя Microsoft Rights Management".

Поддерживаемые операционные системы для Azure Rights Management

Следующие операционные системы поддерживают службу Azure Rights Management, которая обеспечивает защиту данных для AIP:

ОС	Поддерживаемые версии
Компьютеры Windows	— Windows 10 (x86, x64) — Windows 11 (x86, x64)
macOS	Минимальная версия macOS 10.8 (Mountain Lion)
Телефоны и планшеты Android	Минимальная версия Android 6.0
i Телефон и iPad	Минимальная версия iOS 11.0
Телефоны и планшеты с Windows	Windows 10 Mobile

Следующие шаги

После проверки всех требований AIP и подтверждения соответствия вашей системы перейдите к подготовке пользователей и групп для Azure Information Protection.

Share via