Hantera personliga data för Azure Information Protection

  • Artikel

Kommentar

Letar du efter Microsoft Purview Information Protection, tidigare Microsoft Information Protection (MIP)?

Azure Information Protection-tillägget dras tillbaka och ersätts med etiketter som är inbyggda i dina Microsoft 365-appar och -tjänster. Läs mer om supportstatus för andra Azure Information Protection-komponenter.

Den nya Microsoft Purview Information Protection-klienten (utan tillägget) är för närvarande i förhandsversion och schemalagd för allmän tillgänglighet.

När du konfigurerar och använder Azure Information Protection lagras och används e-postadresser och IP-adresser av Azure Information Protection-tjänsten. Dessa personuppgifter finns i följande objekt:

  • Superanvändare och delegerade administratörer för skyddstjänsten

  • Administrationsloggar för skyddstjänsten

  • Användningsloggar för skyddstjänsten

  • Användningsloggar för Azure Information Protection-klienter och RMS-klienten

Kommentar

Den här artikeln tillhandahåller anvisningar om hur du tar bort personliga data från enheten eller tjänsten och den kan vara ett stöd för dina skyldigheter enligt GDPR. Om du letar efter allmän information om GDPR hittar du det i GDPR-avsnittet på Service Trust Portal.

Visa personliga data som Azure Information Protection använder

  • Klient för enhetlig etikettering:

    För klienten för enhetlig etikettering konfigureras känslighetsetiketter och etikettprinciper i efterlevnadsportal i Microsoft Purview. Mer information finns i Microsoft 365-dokumentationen.

Kommentar

När Azure Information Protection används för att klassificera och skydda dokument och e-postmeddelanden kan e-postadresser och användarnas IP-adresser sparas i loggfiler.

Superanvändare och delegerade administratörer för skyddstjänsten

Kör cmdleten Get-AipServiceSuperUser och cmdleten get-aipservicerolebasedadministrator för att se vilka användare som har tilldelats rollen som superanvändare eller global administratör för skyddstjänsten (Azure Rights Management) från Azure Information Protection. För användare som har tilldelats någon av dessa roller visas deras e-postadresser.

Administrationsloggar för skyddstjänsten

Kör cmdleten Get-AipServiceAdminLog för att hämta en logg över administratörsåtgärder för skyddstjänsten (Azure Rights Management) från Azure Information Protection. Den här loggen innehåller personuppgifter i form av e-postadresser och IP-adresser. Loggen är i klartext och när den har laddats ned kan information om en specifik administratör sökas offline.

Till exempel:

PS C:\Users> Get-AipServiceAdminLog -Path '.\Desktop\admin.log' -FromTime 4/1/2018 -ToTime 4/30/2018 -Verbose
The Rights Management administration log was successfully generated and can be found at .\Desktop\admin.log.

Användningsloggar för skyddstjänsten

Kör cmdleten Get-AipServiceUserLog för att hämta en logg över slutanvändaråtgärder som använder skyddstjänsten från Azure Information Protection. Loggen kan innehålla personuppgifter i form av e-postadresser och IP-adresser. Loggen är i klartext och när den har laddats ned kan information om en specifik administratör sökas offline.

Till exempel:

PS C:\Users> Get-AipServiceUserLog -Path '.\Desktop\' -FromDate 4/1/2018 -ToDate 4/30/2018 -NumberOfThreads 10
Acquiring access to your user log…
Downloading the log for 2018-04-01.
Downloading the log for 2018-04-03.
Downloading the log for 2018-04-06.
Downloading the log for 2018-04-09.
Downloading the log for 2018-04-10.
Downloaded the log for 2018-04-01. The log is available at .\Desktop\rmslog-2018-04-01.log.
Downloaded the log for 2018-04-03. The log is available at .\Desktop\rmslog-2018-04-03.log.
Downloaded the log for 2018-04-06. The log is available at .\Desktop\rmslog-2018-04-06.log.
Downloaded the log for 2018-04-09. The log is available at .\Desktop\rmslog-2018-04-09.log.
Downloaded the log for 2018-04-10. The log is available at .\Desktop\rmslog-2018-04-10.log.
Downloading the log for 2018-04-12.
Downloading the log for 2018-04-13.
Downloading the log for 2018-04-14.
Downloading the log for 2018-04-16.
Downloading the log for 2018-04-18.
Downloaded the log for 2018-04-12. The log is available at .\Desktop\rmslog-2018-04-12.log.
Downloaded the log for 2018-04-13. The log is available at .\Desktop\rmslog-2018-04-13.log.
Downloaded the log for 2018-04-14. The log is available at .\Desktop\rmslog-2018-04-14.log.
Downloaded the log for 2018-04-16. The log is available at .\Desktop\rmslog-2018-04-16.log.
Downloaded the log for 2018-04-18. The log is available at .\Desktop\rmslog-2018-04-18.log.
Downloading the log for 2018-04-24.
Downloaded the log for 2018-04-24. The log is available at .\Desktop\rmslog-2018-04-24.log.

Användningsloggar för Azure Information Protection-klienter och RMS-klienten

När etiketter och skydd tillämpas på dokument och e-postmeddelanden kan e-postadresser och IP-adresser lagras i loggfiler på en användares dator på följande platser:

  • För Azure Information Protection-klienten för enhetlig etikettering: %localappdata%\Microsoft\MSIP\Logs

  • För RMS-klienten: %localappdata%\Microsoft\MSIPC\msip\Logs

Dessutom loggar Azure Information Protection-klienten dessa personuppgifter till den lokala Windows-händelseloggen Program- och tjänstloggar>Azure Information Protection.

När Azure Information Protection-klienten kör skannern sparas personliga data i %localappdata%\Microsoft\MSIP\Scanner\Reports på Windows Server-datorn som kör skannern.

Du kan inaktivera loggningsinformation för Azure Information Protection-klienten och skannern med hjälp av följande konfigurationer:

Kommentar

Om du är intresserad av att visa eller ta bort personliga data kan du läsa Microsofts vägledning i Microsoft Purview Compliance Manager och i avsnittet GDPR på webbplatsen för Microsoft 365 Enterprise Compliance . Om du letar efter allmän information om GDPR kan du läsa avsnittet GDPR i Service Trust-portalen.

Spårningsloggar för dokument

Relevant för: Rights Management Service-skydd endast med den äldre spårningsportalen

Kör cmdleten Get-AipServiceDocumentLog för att hämta information från webbplatsen för dokumentspårning om en viss användare. Om du vill hämta spårningsinformation som är associerad med dokumentloggarna använder du cmdleten Get-AipServiceTrackingLog .

Till exempel:

PS C:\Users> Get-AipServiceDocumentLog -UserEmail "admin@aip500.onmicrosoft.com"


ContentId             : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer                : admin@aip500.onmicrosoft.com
Owner                 : admin@aip500.onmicrosoft.com
ContentName           :
CreatedTime           : 3/6/2018 10:24:00 PM
Recipients            : {
                        PrimaryEmail: johndoe@contoso.com
                        DisplayName: JOHNDOE@CONTOSO.COM
                        UserType: External,
                        PrimaryEmail: alice@contoso0110.onmicrosoft.com
                        DisplayName: ALICE@CONTOSO0110.ONMICROSOFT.COM
                        UserType: External
                        }
TemplateId            :
PolicyExpires         :
EULDuration           :
SendRegistrationEmail : True
NotificationInfo      : Enabled: False
                        DeniedOnly: False
                        Culture:
                        TimeZoneId:
                        TimeZoneOffset: 0
                        TimeZoneDaylightName:
                        TimeZoneStandardName:

RevocationInfo        : Revoked: False
                        RevokedTime:
                        RevokedBy:


PS C:\Users> Get-AipServiceTrackingLog -UserEmail "admin@aip500.onmicrosoft.com"

ContentId            : 6326fcb2-c465-4c24-a7f6-1cace7a9cb6f
Issuer               : admin@aip500.onmicrosoft.com
RequestTime          : 3/6/2018 10:45:57 PM
RequesterType        : External
RequesterEmail       : johndoe@contoso.com
RequesterDisplayName : johndoe@contoso.com
RequesterLocation    : IP: 167.220.1.54
                       Country: US
                       City: redmond
                       Position: 47.6812453974602,-122.120736471666

Rights               : {VIEW,OBJMODEL}
Successful           : False
IsHiddenInfo         : False

Det finns ingen sökning med ObjectID. Du är dock inte begränsad av parametern -UserEmail och den e-postadress som du anger behöver inte vara en del av din klientorganisation. Om den angivna e-postadressen lagras någonstans i dokumentspårningsloggarna returneras posten för dokumentspårning i cmdlet-utdata.

Skydda och kontrollera åtkomsten till personuppgifter

Personuppgifter som du visar och anger i Azure-portalen är endast tillgängliga för användare som har tilldelats någon av följande administratörsroller från Microsoft Entra-ID:

  • Azure Information Protection-administratör

  • Efterlevnadsadministratör

  • Administratör för efterlevnadsdata

  • Säkerhetsadministratör

  • Säkerhetsläsare

  • Global administratör

  • Global läsare

Personuppgifter som du visar och anger med hjälp av AIPService-modulen (eller den äldre modulen AADRM) är endast tillgängliga för användare som har tilldelats azure informationsskyddsadministratör, efterlevnadsadministratör, efterlevnadsdataadministratör eller globala administratörsroller från Microsoft Entra-ID eller den globala administratörsrollen för skyddstjänsten.

Uppdatera personliga data

Känslighetsetiketter och etikettprinciper konfigureras i efterlevnadsportal i Microsoft Purview. Mer information finns i Microsoft 365-dokumentationen.

För skyddsinställningarna kan du uppdatera samma information med hjälp av PowerShell-cmdletar från AIPService-modulen.

Du kan inte uppdatera e-postadresser för superanvändare och delegerade administratörer. Ta i stället bort det angivna användarkontot och lägg till användarkontot med den uppdaterade e-postadressen.

Superanvändare och delegerade administratörer för skyddstjänsten

När du behöver uppdatera en e-postadress för en superanvändare:

  1. Använd Remove-AipServiceSuperUser för att ta bort användaren och den gamla e-postadressen.

  2. Använd Add-AipServiceSuperUser för att lägga till användaren och den nya e-postadressen.

När du behöver uppdatera en e-postadress för en delegerad administratör:

  1. Använd Remove-AipServiceRoleBasedAdministrator för att ta bort användaren och den gamla e-postadressen.

  2. Använd Add-AipServiceRoleBasedAdministrator för att lägga till användaren och den nya e-postadressen.

Ta bort personlig information

Känslighetsetiketter och etikettprinciper konfigureras i efterlevnadsportal i Microsoft Purview. Mer information finns i Microsoft 365-dokumentationen.

För skyddsinställningarna kan du ta bort samma information med hjälp av PowerShell-cmdletar från AIPService-modulen.

Om du vill ta bort e-postadresser för superanvändare och delegerade administratörer tar du bort dessa användare med hjälp av cmdleten Remove-AipServiceSuperUser och Remove-AipServiceRoleBasedAdministrator.

Om du vill ta bort personliga data i dokumentspårningsloggar, administrationsloggar eller användningsloggar för skyddstjänsten använder du följande avsnitt för att skapa en begäran med Microsoft Support.

Om du vill ta bort personliga data i klientloggfilerna och skannerloggarna som lagras på datorer använder du alla vanliga Windows-verktyg för att ta bort filerna eller personliga data i filerna.

Så här tar du bort personliga data med Microsoft Support

Använd följande tre steg för att begära att Microsoft tar bort personliga data i dokumentspårningsloggar, administrationsloggar eller användningsloggar för skyddstjänsten.

Steg 1: Initiera borttagningsbegäranKontakta Microsoft Support för att öppna ett Azure Information Protection-supportärende med en begäran om att ta bort data från din klientorganisation. Du måste bevisa att du är administratör för din Azure Information Protection-klientorganisation och förstå att den här processen tar flera dagar att bekräfta. När du skickar din begäran måste du ange ytterligare information, beroende på vilka data som måste tas bort.

  • Om du vill ta bort administrationsloggen anger du slutdatumet. Alla administratörsloggar fram till det slutdatumet tas bort.
  • Om du vill ta bort användningsloggarna anger du slutdatumet. Alla användningsloggar fram till det slutdatumet tas bort.
  • Om du vill ta bort dokumentspårningsloggarna anger du slutdatumet och UserEmail. All dokumentspårningsinformation som rör UserEmail fram till det slutdatumet tas bort. Reguljärt uttryck (Perl-format) för UserEmail stöds.

Att ta bort dessa data är en permanent åtgärd. Det finns inget sätt att återställa data när en borttagningsbegäran har bearbetats. Administratörer bör exportera nödvändiga data innan de skickar en borttagningsbegäran.

Steg 2: Vänta på verifiering Microsoft kontrollerar att din begäran om att ta bort en eller flera loggar är legitim. Den här processen kan ta upp till fem arbetsdagar.

Steg 3: Få bekräftelse på borttagningen av Microsoft Customer Support Services (CSS) skickar ett bekräftelsemeddelande om att data har tagits bort.

Exportera personuppgifter

När du använder AIPService- eller AADRM PowerShell-cmdletarna görs personuppgifterna tillgängliga för sökning och export som ett PowerShell-objekt. PowerShell-objektet kan konverteras till JSON och sparas med hjälp av cmdleten ConvertTo-Json .

Azure Information Protection följer Microsofts sekretessvillkor för profilering eller marknadsföring baserat på personliga data.

Granskning och rapportering

Endast användare som har tilldelats administratörsbehörigheter kan använda modulen AIPService eller ADDRM för sökning och export av personuppgifter. Dessa åtgärder registreras i administrationsloggen som kan laddas ned.

För borttagningsåtgärder fungerar supportbegäran som spårnings- och rapporteringsspår för de åtgärder som utförs av Microsoft. Efter borttagningen är de borttagna data inte tillgängliga för sökning och export, och administratören kan verifiera detta med hjälp av modulen Hämta cmdletar från AIPService.