Vereisten voor Azure Information Protection
Notitie
Zoekt u Microsoft Purview Informatiebeveiliging, voorheen Microsoft Information Protection (MIP)?
De Azure Information Protection-invoegtoepassing voor Office bevindt zich nu in de onderhoudsmodus en wordt in april 2024 buiten gebruik gesteld. In plaats daarvan raden we u aan labels te gebruiken die zijn ingebouwd in uw Office 365-apps en -services. Meer informatie over de ondersteuningsstatus van andere Azure Information Protection-onderdelen.
Voordat u Azure Information Protection implementeert, moet u ervoor zorgen dat uw systeem voldoet aan de volgende vereisten:
- Abonnement voor Azure Information Protection
- Microsoft Entra ID
- Clientapparaten
- Toepassingen
- Firewalls en netwerkinfrastructuur
Als u Azure Information Protection wilt implementeren, moet de AIP-client zijn geïnstalleerd op computers waarop u AIP-functies wilt gebruiken. Zie De geïntegreerde Labelclient van Azure Information Protection installeren voor gebruikers en de clientzijde van Azure Information Protection voor meer informatie.
Abonnement voor Azure Information Protection
U moet een Azure Information Protection-plan hebben voor classificatie, labels en beveiliging met behulp van de Azure Information Protection-scanner of -client. Zie voor meer informatie:
- Microsoft 365-licentierichtlijnen voor beveiliging en naleving
- Vergelijking van modern werkplan (PDF-download)
Als uw vraag daar niet wordt beantwoord, neemt u contact op met uw Microsoft-accountmanager of Microsoft Ondersteuning.
Microsoft Entra ID
Als u verificatie en autorisatie voor Azure Information Protection wilt ondersteunen, moet u een Microsoft Entra-id hebben. Als u gebruikersaccounts uit uw on-premises directory (AD DS) wilt gebruiken, moet u ook adreslijstintegratie configureren.
Eenmalige aanmelding (SSO) wordt ondersteund voor Azure Information Protection, zodat gebruikers niet herhaaldelijk om hun referenties worden gevraagd. Als u een andere leverancieroplossing voor federatie gebruikt, neem dan contact op met die leverancier om deze te configureren voor Microsoft Entra-id. WS-Trust is een veelvoorkomende vereiste voor deze oplossingen ter ondersteuning van eenmalige aanmelding.
Meervoudige verificatie (MFA) wordt ondersteund met Azure Information Protection wanneer u de vereiste clientsoftware hebt en de MFA-ondersteunende infrastructuur correct hebt geconfigureerd.
Voorwaardelijke toegang wordt ondersteund in preview voor documenten die worden beveiligd door Azure Information Protection. Zie voor meer informatie: Ik zie dat Azure Information Protection wordt vermeld als een beschikbare cloud-app voor voorwaardelijke toegang. Hoe werkt dit?
Er zijn aanvullende vereisten vereist voor specifieke scenario's, zoals bij het gebruik van verificatie op basis van certificaten of meervoudige verificatie, of wanneer UPN-waarden niet overeenkomen met e-mailadressen van gebruikers.
Zie voor meer informatie:
- Aanvullende Microsoft Entra-vereisten voor Azure Information Protection.
- Wat is Microsoft Entra Directory?
- Integreer on-premises Active Directory-domeinen met Microsoft Entra ID.
Clientapparaten
Gebruikerscomputers of mobiele apparaten moeten worden uitgevoerd op een besturingssysteem dat Ondersteuning biedt voor Azure Information Protection.
- Ondersteunde besturingssystemen voor clientapparaten
- ARM64
- Virtuele machines
- Serverondersteuning
- Aanvullende vereisten per client
Ondersteunde besturingssystemen voor clientapparaten
De Azure Information Protection-clients voor Windows worden ondersteund, zijn de volgende besturingssystemen:
Windows 11
Windows 10 (x86, x64). Handschrift wordt niet ondersteund in de Windows 10 RS4-build en hoger.
Windows Server 2019
Windows Server 2016
Windows Server 2012 R2 en Windows Server 2012
Neem contact op met uw Microsoft-account of ondersteuningsmedewerker voor meer informatie over ondersteuning in eerdere versies van Windows.
Notitie
Wanneer de Azure Information Protection-clients de gegevens beveiligen met behulp van de Azure Rights Management-service, kunnen de gegevens worden gebruikt door dezelfde apparaten die ondersteuning bieden voor de Azure Rights Management-service.
ARM64
ARM64 wordt momenteel niet ondersteund.
Virtuele machines
Als u met virtuele machines werkt, controleert u of de softwareleverancier voor uw virtuele bureaubladoplossing aanvullende configuraties heeft die nodig zijn voor het uitvoeren van geïntegreerde Azure Information Protection-labels of de Azure Information Protection-client.
Voor Citrix-oplossingen moet u bijvoorbeeld Citrix Application Programming Interface (API)-hooks uitschakelen voor Office, de geïntegreerde Azure Information Protection-labelclient of de Azure Information Protection-client.
Deze toepassingen gebruiken respectievelijk de volgende bestanden: winword.exe, excel.exe, outlook.exe, powerpnt.exe, msip.app.exe, msip.viewer.exe
Serverondersteuning
Voor elk van de hierboven genoemde serverversies worden Azure Information Protection-clients ondersteund voor Extern bureaublad-services.
Als u gebruikersprofielen verwijdert wanneer u de Azure Information Protection-clients met Extern bureaublad-services gebruikt, verwijdert u de map %Appdata%\Microsoft\Protect niet.
Daarnaast worden Server Core en Nano Server niet ondersteund.
Aanvullende vereisten per client
Elke Azure Information Protection-client heeft aanvullende vereisten. Zie deze artikelen voor meer informatie:
Toepassingen
De Azure Information Protection-clients kunnen documenten en e-mailberichten labelen en beveiligen met behulp van Microsoft Word, Excel, PowerPoint en Outlook vanuit een van de volgende Office-edities:
Office-app s, voor de versies die worden vermeld in de tabel met ondersteunde versies voor Microsoft 365-apps via updatekanaal, van Microsoft 365-apps voor Bedrijven of Microsoft 365 Business Premium, wanneer de gebruiker een licentie voor Azure Rights Management (ook wel Bekend als Azure Information Protection voor Office 365) krijgt toegewezen.
Microsoft 365-apps voor Ondernemingen
Office Professioneel Plus 2021
Office Professional Plus 2019
Office Professional Plus 2016 : aangezien Office 2016 niet meer algemeen wordt ondersteund, wordt AIP-ondersteuning uitgevoerd op basis van best effort en worden er geen oplossingen gedaan voor problemen die in versie 2016 zijn gedetecteerd. zie Microsoft Office 2016
Office Professional Plus 2013 met Service Pack 1
Andere edities van Office kunnen documenten en e-mailberichten niet beveiligen met behulp van een Rights Management-service. Voor deze edities wordt Azure Information Protection alleen ondersteund voor classificatie en worden labels die beveiliging toepassen niet weergegeven voor gebruikers.
Labels worden weergegeven in een balk boven aan het Office-document, die toegankelijk is via de knop Vertrouwelijkheid in de geïntegreerde labelclient.
- PDF-bestanden die versie 1.4 en lager zijn, worden automatisch bijgewerkt naar versie 1.5 wanneer het bestand door de AIP-client wordt gelabeld.
Zie Toepassingen die ondersteuning bieden voor Azure Rights Management-gegevensbeveiliging voor meer informatie.
Office-functies en -mogelijkheden worden niet ondersteund
De Azure Information Protection-clients voor Windows bieden geen ondersteuning voor meerdere versies van Office op dezelfde computer of schakelen tussen gebruikersaccounts in Office.
De functie Afdruk samenvoegen van Office wordt niet ondersteund met een Azure Information Protection-functie.
Firewalls en netwerkinfrastructuur
Als u firewalls of vergelijkbare tussenliggende netwerkapparaten hebt die zijn geconfigureerd om specifieke verbindingen toe te staan, worden de netwerkverbindingsvereisten vermeld in dit Office-artikel: Microsoft 365 Common en Office Online.
Azure Information Protection heeft de volgende aanvullende vereisten:
Geïntegreerde labelclient. Als u labels en labelbeleid wilt downloaden, staat u de volgende URL toe via HTTPS: *.protection.outlook.com
Webproxy's. Als u een webproxy gebruikt waarvoor verificatie is vereist, moet u de proxy configureren om geïntegreerde Windows-verificatie te gebruiken met de Active Directory-aanmeldingsreferenties van de gebruiker.
Als u proxy.pac-bestanden wilt ondersteunen wanneer u een proxy gebruikt om een token te verkrijgen, voegt u de volgende nieuwe registersleutel toe:
- Pad:
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\
- Sleutel:
UseDefaultCredentialsInProxy
- Type:
DWORD
- Waarde:
1
- Pad:
TLS-client-naar-service-verbindingen. Beëindig geen TLS-client-naar-service-verbindingen, bijvoorbeeld om inspectie op pakketniveau uit te voeren, naar de aadrm.com URL. Als u die verbindingen verbreekt, wordt de certificaatkoppeling opgeheven die RMS-clients gebruiken met door Microsoft beheerde certificeringsinstanties om u te helpen de communicatie met de Azure Rights Management-service te beveiligen.
Gebruik de volgende PowerShell-opdrachten om te bepalen of de clientverbinding wordt beëindigd voordat deze de Azure Rights Management-service bereikt:
$request = [System.Net.HttpWebRequest]::Create("https://admin.na.aadrm.com/admin/admin.svc") $request.GetResponse() $request.ServicePoint.Certificate.Issuer
Het resultaat moet laten zien dat de verlenende CA afkomstig is van een Microsoft-CA, bijvoorbeeld:
CN=Microsoft Secure Server CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US
Als u een verlenende CA-naam ziet die niet afkomstig is van Microsoft, is het waarschijnlijk dat uw beveiligde client-naar-service-verbinding wordt beëindigd en dat uw firewall opnieuw moet worden geconfigureerd.
TLS-versie 1.2 of hoger (alleen client voor geïntegreerde labels). De geïntegreerde labelclient vereist een TLS-versie van 1.2 of hoger om ervoor te zorgen dat cryptografisch beveiligde protocollen worden gebruikt en wordt afgestemd op de beveiligingsrichtlijnen van Microsoft.
Microsoft 365 Enhanced Configuration Service (ECS). AIP moet toegang hebben tot de config.edge.skype.com-URL , een Microsoft 365 Enhanced Configuration Service (ECS).
ECS biedt Microsoft de mogelijkheid om AIP-installaties opnieuw te configureren zonder dat u AIP opnieuw hoeft te implementeren. Het wordt gebruikt om de geleidelijke implementatie van functies of updates te beheren, terwijl de impact van de implementatie wordt gecontroleerd op diagnostische gegevens die worden verzameld.
ECS wordt ook gebruikt om beveiligings- of prestatieproblemen met een functie of update te beperken. ECS ondersteunt ook configuratiewijzigingen met betrekking tot diagnostische gegevens om ervoor te zorgen dat de juiste gebeurtenissen worden verzameld.
Het beperken van de config.edge.skype.com URL kan van invloed zijn op de mogelijkheid van Microsoft om fouten te beperken en kan van invloed zijn op de mogelijkheid om preview-functies te testen.
Zie Essentiële services voor Office - Office implementeren voor meer informatie.
Netwerkconnectiviteit van logboekregistratie controleren. AIP moet toegang hebben tot de volgende URL's om AIP-auditlogboeken te kunnen ondersteunen:
https://*.events.data.microsoft.com
https://*.aria.microsoft.com
(Alleen Android-apparaatgegevens)
Zie Vereisten voor AIP-rapportage voor meer informatie.
Co-existentie van AD RMS met Azure RMS
Het gebruik van AD RMS en Azure RMS naast elkaar, in dezelfde organisatie, om inhoud door dezelfde gebruiker in dezelfde organisatie te beveiligen, wordt alleen ondersteund in AD RMS voor HYOK-beveiliging (hold your own key) met Azure Information Protection.
Dit scenario wordt niet ondersteund tijdens de migratie. Ondersteunde migratiepaden zijn onder andere:
Tip
Als u Azure Information Protection implementeert en vervolgens besluit dat u deze cloudservice niet meer wilt gebruiken, raadpleegt u Azure Information Protection uit bedrijf nemen en deactiveren.
Voor andere, niet-migratiescenario's, waarbij beide services actief zijn in dezelfde organisatie, moeten beide services zodanig worden geconfigureerd dat slechts één van hen toestaat dat een bepaalde gebruiker inhoud beveiligt. Configureer dergelijke scenario's als volgt:
Omleidingen gebruiken voor een AD RMS-migratie naar Azure RMS
Als beide services tegelijkertijd actief moeten zijn voor verschillende gebruikers, gebruikt u configuraties aan de servicezijde om exclusiviteit af te dwingen. Gebruik de besturingselementen voor onboarding van Azure RMS in de cloudservice en een ACL op de publicatie-URL om de modus Alleen-lezen in te stellen voor AD RMS.
Servicetags
Als u een Azure-eindpunt en een NSG gebruikt, moet u toegang tot alle poorten toestaan voor de volgende servicetags:
- AzureInformationProtection
- AzureActiveDirectory
- AzureFrontDoor.Frontend
Bovendien is de Azure Information Protection-service in dit geval ook afhankelijk van de volgende IP-adressen en poort:
- 13.107.9.198
- 13.107.6.198
- 2620:1ec:4::198
- 2620:1ec:a92::198
- 13.107.6.181
- 13.107.9.181
- Poort 443 voor HTTPS-verkeer
Zorg ervoor dat u regels maakt waarmee uitgaande toegang tot deze specifieke IP-adressen en via deze poort wordt toegestaan.
Ondersteunde on-premises servers voor Azure Rights Management-gegevensbeveiliging
De volgende on-premises servers worden ondersteund met Azure Information Protection wanneer u de Microsoft Rights Management-connector gebruikt.
Deze connector fungeert als een communicatie-interface en relays tussen on-premises servers en de Azure Rights Management-service, die wordt gebruikt door Azure Information Protection om Office-documenten en e-mailberichten te beveiligen.
Als u deze connector wilt gebruiken, moet u adreslijstsynchronisatie configureren tussen uw Active Directory-forests en Microsoft Entra-id.
Ondersteunde servers zijn onder andere:
Servertype | Ondersteunde versies |
---|---|
Exchange Server | - Exchange Server 2019 - Exchange Server 2016 - Exchange Server 2013 |
Office SharePoint Server | - Office SharePoint Server 2019 - Office SharePoint Server 2016 - Office SharePoint Server 2013 |
Bestandsservers waarop Windows Server wordt uitgevoerd en FCI (File Classification Infrastructure) gebruiken | - Windows Server 2016 - Windows Server 2012 R2 - Windows Server 2012 |
Zie De Microsoft Rights Management-connector implementeren voor meer informatie.
Ondersteunde besturingssystemen voor Azure Rights Management
De volgende besturingssystemen ondersteunen de Azure Rights Management-service, die gegevensbeveiliging biedt voor AIP:
Besturingssysteem | Ondersteunde versies |
---|---|
Windows-computers | - Windows 10 (x86, x64) - Windows 11 (x86, x64) |
MacOS | Minimale versie van macOS 10.8 (Mountain Lion) |
Android-telefoons en -tablets | Minimale versie van Android 6.0 |
i Telefoon en iPad | Minimale versie van iOS 11.0 |
Windows-telefoons en -tablets | Windows 10 Mobile |
Zie Toepassingen die ondersteuning bieden voor Azure Rights Management-gegevensbeveiliging voor meer informatie.
Volgende stappen
Zodra u alle AIP-vereisten hebt gecontroleerd en hebt bevestigd dat uw systeem voldoet, gaat u verder met het voorbereiden van gebruikers en groepen voor Azure Information Protection.
Feedback
https://aka.ms/ContentUserFeedback voor meer informatie.
Binnenkort beschikbaar: in de loop van 2024 zullen we GitHub-problemen geleidelijk uitfaseren als het feedbackmechanisme voor inhoud en deze vervangen door een nieuw feedbacksysteem. ZieFeedback verzenden en weergeven voor