如何在数据丢失防护中配置 Azure MIP

技术文章 ID: KB91833
上次修改时间: 2022-10-06 04:22:16 Etc/GMT

环境

Data Loss Prevention (DLP) Discover 11.4.x
DLP Endpoint 11.6.x 、 11.5.x

摘要

本文提供有关 DLP 探索 11.4.x 和 DLP Endpoint 11.6.x 中的 Azure Microsoft 信息保护（MIP）支持的信息， 11.5.x. 它还提供使用它所需的配置过程。

注意: 当您在 ePolicy Orchestrator （ePO）中注册多个 Azure 服务器时，可能会导致性能 slowness。我们建议您仅添加所需的 Azure 服务器。

执行以下任务：

向 Azure Active Directory （AD）注册客户端应用程序：
在 Azure AD for DLP 探索的情况下注册客户端应用程序
要在 DLP 探索服务器中使用 Azure MIP 函数，客户端应用程序必须使用 Azure AD 进行注册。要注册客户端应用程序，请执行以下步骤：
1. 使用在 Azure 中的组织帐户中定义为 超级用户 的用户登录到 Azure 门户。
2. 在左侧导航窗格中，选择 " Azure Active Directory 服务"，然后选择 " 应用程序注册"、" 新注册"。
3. 在 " 注册应用程序 " 页面中，输入您的应用程序的注册信息：
  - 名称（Name ）-输入向应用程序用户显示的有意义的应用程序名称。
  - 支持帐户类型 -仅限此组织目录中的选择帐户。
  - Redirect URl (optional) -您可以将此字段保留为空白。
4. 选择“注册”。Azure AD 将唯一的应用程序（客户端） ID 分配给您的应用程序，然后重定向到应用程序的概述页面。
5. 复制两个字段的值： 应用程序（客户端） id 和 目录（租户） id。您稍后需要使用它们来在 EPO 注册的服务器中创建 Azure 服务器配置。
6. 在管理下单击API 权限，然后单击添加权限。此时会出现 "请求 API 权限" 页面。
7. 添加应用程序在运行时所需的 MIP API 和权限：
  1. 在 选择 API 页面上，单击 Azure Rights Management Services。
  2. 在 " Azure Rights Management SERVICES API " 页面上，单击 应用程序权限。
  3. 在 选择权限 部分中，展开内容节点，然后选择 Content.DelegatedWriter和 内容 .SuperUser 权限。此选项允许应用程序为 Azure 中组织帐户中的所有用户创建和访问受保护的内容。
  4. 单击添加要保存的权限。
8. 重复上述步骤7，然后从 选择 API 页面中搜索API。
  1. 在 选择 API 页面上，单击 我的组织 API 使用。在搜索字段中，键入 Microsoft 信息保护同步服务 并将其选中。
  2. 在 Microsoft 信息保护同步服务 API "页面上，单击 应用程序权限。
  3. 展开 UnifiedPolicy 节点，并验证 UnifiedPolicy. 读取。
  4. 单击添加要保存的权限。
9. 在 " API 权限 " 页面上，单击 授予管理员同意（租户名称），然后单击是的。此项选择会预先同意使用此注册的应用程序，以访问指定权限下的 API。如果您以全局管理员身份登录，则会为运行该应用程序的租户中的所有用户记录同意。否则，它仅适用于您的用户帐户。
10. 在管理下单击 Certificates & secrets ，然后单击新建客户端机密：
  1. 添加客户端机密的描述，选择持续时间，然后单击添加。
  2. 复制并保存创建的客户端机密值。
  注意: 离开该页面后，该注册表项将再次显示。
向 DLP Endpoint 的 Azure AD 注册客户端应用程序
要将 Azure 功能与 DLP Endpoint 搭配使用，必须使用 Azure AD 注册客户端应用程序。要注册客户端应用程序，请执行以下步骤：

注意: 目前，DLP 仅支持使用混合 Azure AD （联合身份验证服务、密码哈希同步）的公司环境。
1. 使用在 Azure 中的组织帐户中定义为 超级用户 的用户登录到 Azure 门户。
2. 在左侧导航窗格中，选择 " Azure Active Directory 服务"，然后选择 " 应用程序注册"、" 新注册"。
3. 在 "注册应用程序" 页面中，输入您的应用程序的注册信息：
  - 名称： 输入向应用程序用户显示的有意义的应用程序名称。
  - 支持帐户类型： 仅在此组织目录中选择帐户。
  - Redirect URl (optional): 此字段可以保留为空白。
4. 选择“注册”。Azure AD 将唯一的应用程序（客户端） ID 分配给您的应用程序，然后重定向到应用程序的概述页面。
5. 复制两个字段的值： 应用程序（客户端） id 和 目录（租户） id。您稍后需要使用它们来在 EPO 注册的服务器中创建 Azure 服务器配置。
6. 在应用程序的页面列表中，选择清单，然后执行以下操作：
  1. 在清单编辑器中将 allowPublicClient 属性设置为 true 。
  2. 在清单编辑器上方的栏中单击保存。
  3. 验证 signInAudience 是否设置为 AzureADandPersonalMicrosoftAccount。
  4. 验证 accessTokenAcceptedVersion 是否设置为 2。
7. 在管理下单击API 权限，然后单击添加权限。此时会出现 " 请求 API 权限 " 页面。
8. 添加应用程序在运行时所需的 MIP API 和权限：
  1. 在 选择 API 页面上，单击 Azure Rights Management Services。
  2. 在 " Azure Rights Management SERVICES API " 页面上，单击 应用程序权限。
  3. 在 选择权限 部分，展开内容节点，然后选择 content. DelegatedWriter、 content、 Writer 和 content. 超级用户。此选项允许应用程序为 Azure 中组织帐户中的所有用户创建和访问受保护的内容。
  4. 将权限类型更改为 委派权限，然后选择 user_impersonation 权限。
  5. 单击添加要保存的权限。
9. 重复步骤7，从 选择 api 页面中搜索 api：
  1. 在 选择 API 页面上，单击 我的组织 API 使用。在搜索字段中，键入 Microsoft 信息保护同步服务 并将其选中。
  2. 在 Microsoft 信息保护同步服务 API "页面上，单击 应用程序权限。
  3. 展开 UnifiedPolicy 节点，然后选择 UnifiedPolicy. 读取。
  4. 更改为 委派权限，然后选择 UnifiedPolicy。
  5. 单击添加要保存的权限。
10. 重复步骤7，从 选择 api 页面中搜索 api：
  1. 在 选择 API 页面上，单击 Microsoft 图形。
  2. 在 Microsoft 图形 页面上，单击应用程序权限。
  3. 在 选择权限 部分，依次选择 用户. 读取. 全部、 策略。读取 .All 、隐藏、 InformationProtectionPolicy、读取. 全部、 组. 读取、读取、全部、读写。 all、 Device. ReadWrite、all、 application. readwrite. OwnedBy和 application. readwrite 。所有权限。
  4. 更改 委派权限的权限类型，然后选择 用户。读取、 用户. 读取. 全部、用户. ReadBasic和 组。读取。所有 权限。
  5. 单击添加要保存的权限。
11. 在 " API 权限 " 页面上，单击 授予管理员同意（租户名称） 和是的。此选择可让应用程序在指定权限下使用此注册访问 API，以此为前提。如果您以全局管理员身份登录，则会为运行该应用程序的租户中的所有用户记录同意。否则，它仅适用于您的用户帐户。
12. 在 "管理" 下单击 Certificates & secrets ，然后单击 "新建客户端机密"：
  1. 添加客户端机密的描述，选择持续时间，然后单击添加。
  2. 复制并保存创建的客户端机密值。
  注意: 离开该页面后，该注册表项将再次显示。
13. 请参阅信息保护，并在配置标签时执行以下操作：
  1. 如果将标签设置为加密，请确保使用该标签的用户至少拥有该标签上的 共同所有者 权限。
  2. 验证标签是否设置为已使用的策略：
    
    转至 " 标签策略 "，并检查 " 已发布标签 " 部分下的 "标签是否可见"。
    
    使用 编辑策略 选项分配标签，以防它不可见。
    有关如何创建和发布标签的详细信息，请参阅此 Microsoft 文档。

在 ePO 已注册的服务器中注册 Azure 服务器。

在 Azure 门户中创建客户端应用程序之后，您需要在 ePO 配置中定义 Azure 服务器。

注意: 请确保权限管理所有者是您正在使用的应用程序中的应用程序所有者。您可以在 "应用程序设置" 下的 "所有者" 选项卡中进行查看。

此外，在 Azure 中使用的标签必须手动添加到服务器定义中。

当您为 Azure 服务器定义 RM 策略反应时，可以选择这些标签。有关此任务的更多详细信息，请参阅产品版本的 " 数据丢失防护安装手册 "。
注册 Azure server 以 Microsoft 信息保护。

注意: 此主题适用于与 MVISION ePO 一起使用的 DLP Endpoint。用于 MVISION ePO 的 DLP Endpoint 可以与 Azure Microsoft 信息保护（MIP）集成。

注册 Azure 服务器和保护标签，以便您可以在规则反应中选择它以进行保护。
1. 在 MVISION ePO 中，依次选择 菜单、DLP 策略管理器、定义。
2. 在左侧窗格中的 RM 服务器类别中，选择 Microsoft 信息保护。单击 操作、新项目。
  1. 输入服务器配置的名称和可选描述。
  2. 输入应用程序(客户端) ID 和目录(租户) ID，如 Azure 应用程序注册详细信息中所定义。
  3. 输入 Azure 帐户中显示的每个 AIP 标签名称和 AIP 标签 ID 。
3. 完成配置后，单击保存。
您的 Azure 服务器和信息保护标签现已保存。

您可以使用 Azure 信息保护标签创建一个分类，并将其添加到数据保护规则中。

有关产品文档，请转至产品文档门户。

免责声明

本文内容源于英文。如果英文内容与其翻译内容之间存在差异，应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。

受影响的产品

语言:

此文章有以下语言版本：

Knowledge Center

如何在数据丢失防护中配置 Azure MIP

环境

摘要

相关信息

免责声明

受影响的产品

语言:

Title

Title

Knowledge Center

如何在数据丢失防护中配置 Azure MIP

环境

摘要

相关信息

免责声明

受影响的产品

语言:

选择您的区域

Title

Title