Vereisten voor Azure Information Protection

Notitie

Zoekt u Microsoft Purview Informatiebeveiliging, voorheen Microsoft Information Protection (MIP)?

De Azure Information Protection-invoegtoepassing voor Office bevindt zich nu in de onderhoudsmodus en wordt in april 2024 buiten gebruik gesteld. In plaats daarvan raden we u aan labels te gebruiken die zijn ingebouwd in uw Office 365-apps en -services. Meer informatie over de ondersteuningsstatus van andere Azure Information Protection-onderdelen.

Voordat u Azure Information Protection implementeert, moet u ervoor zorgen dat uw systeem voldoet aan de volgende vereisten:

Als u Azure Information Protection wilt implementeren, moet de AIP-client zijn geïnstalleerd op computers waarop u AIP-functies wilt gebruiken. Zie De geïntegreerde Labelclient van Azure Information Protection installeren voor gebruikers en de clientzijde van Azure Information Protection voor meer informatie.

Abonnement voor Azure Information Protection

U moet een Azure Information Protection-plan hebben voor classificatie, labels en beveiliging met behulp van de Azure Information Protection-scanner of -client. Zie voor meer informatie:

Als uw vraag daar niet wordt beantwoord, neemt u contact op met uw Microsoft-accountmanager of Microsoft Ondersteuning.

Microsoft Entra ID

Als u verificatie en autorisatie voor Azure Information Protection wilt ondersteunen, moet u een Microsoft Entra-id hebben. Als u gebruikersaccounts uit uw on-premises directory (AD DS) wilt gebruiken, moet u ook adreslijstintegratie configureren.

  • Eenmalige aanmelding (SSO) wordt ondersteund voor Azure Information Protection, zodat gebruikers niet herhaaldelijk om hun referenties worden gevraagd. Als u een andere leverancieroplossing voor federatie gebruikt, neem dan contact op met die leverancier om deze te configureren voor Microsoft Entra-id. WS-Trust is een veelvoorkomende vereiste voor deze oplossingen ter ondersteuning van eenmalige aanmelding.

  • Meervoudige verificatie (MFA) wordt ondersteund met Azure Information Protection wanneer u de vereiste clientsoftware hebt en de MFA-ondersteunende infrastructuur correct hebt geconfigureerd.

Voorwaardelijke toegang wordt ondersteund in preview voor documenten die worden beveiligd door Azure Information Protection. Zie voor meer informatie: Ik zie dat Azure Information Protection wordt vermeld als een beschikbare cloud-app voor voorwaardelijke toegang. Hoe werkt dit?

Er zijn aanvullende vereisten vereist voor specifieke scenario's, zoals bij het gebruik van verificatie op basis van certificaten of meervoudige verificatie, of wanneer UPN-waarden niet overeenkomen met e-mailadressen van gebruikers.

Zie voor meer informatie:

Clientapparaten

Gebruikerscomputers of mobiele apparaten moeten worden uitgevoerd op een besturingssysteem dat Ondersteuning biedt voor Azure Information Protection.

Ondersteunde besturingssystemen voor clientapparaten

De Azure Information Protection-clients voor Windows worden ondersteund, zijn de volgende besturingssystemen:

  • Windows 11

  • Windows 10 (x86, x64). Handschrift wordt niet ondersteund in de Windows 10 RS4-build en hoger.

  • Windows Server 2019

  • Windows Server 2016

  • Windows Server 2012 R2 en Windows Server 2012

Neem contact op met uw Microsoft-account of ondersteuningsmedewerker voor meer informatie over ondersteuning in eerdere versies van Windows.

Notitie

Wanneer de Azure Information Protection-clients de gegevens beveiligen met behulp van de Azure Rights Management-service, kunnen de gegevens worden gebruikt door dezelfde apparaten die ondersteuning bieden voor de Azure Rights Management-service.

ARM64

ARM64 wordt momenteel niet ondersteund.

Virtuele machines

Als u met virtuele machines werkt, controleert u of de softwareleverancier voor uw virtuele bureaubladoplossing aanvullende configuraties heeft die nodig zijn voor het uitvoeren van geïntegreerde Azure Information Protection-labels of de Azure Information Protection-client.

Voor Citrix-oplossingen moet u bijvoorbeeld Citrix Application Programming Interface (API)-hooks uitschakelen voor Office, de geïntegreerde Azure Information Protection-labelclient of de Azure Information Protection-client.

Deze toepassingen gebruiken respectievelijk de volgende bestanden: winword.exe, excel.exe, outlook.exe, powerpnt.exe, msip.app.exe, msip.viewer.exe

Serverondersteuning

Voor elk van de hierboven genoemde serverversies worden Azure Information Protection-clients ondersteund voor Extern bureaublad-services.

Als u gebruikersprofielen verwijdert wanneer u de Azure Information Protection-clients met Extern bureaublad-services gebruikt, verwijdert u de map %Appdata%\Microsoft\Protect niet.

Daarnaast worden Server Core en Nano Server niet ondersteund.

Aanvullende vereisten per client

Elke Azure Information Protection-client heeft aanvullende vereisten. Zie deze artikelen voor meer informatie:

Toepassingen

De Azure Information Protection-clients kunnen documenten en e-mailberichten labelen en beveiligen met behulp van Microsoft Word, Excel, PowerPoint en Outlook vanuit een van de volgende Office-edities:

  • Office-app s, voor de versies die worden vermeld in de tabel met ondersteunde versies voor Microsoft 365-apps via updatekanaal, van Microsoft 365-apps voor Bedrijven of Microsoft 365 Business Premium, wanneer de gebruiker een licentie voor Azure Rights Management (ook wel Bekend als Azure Information Protection voor Office 365) krijgt toegewezen.

  • Microsoft 365-apps voor Ondernemingen

  • Office Professioneel Plus 2021

  • Office Professional Plus 2019

  • Office Professional Plus 2016 : aangezien Office 2016 niet meer algemeen wordt ondersteund, wordt AIP-ondersteuning uitgevoerd op basis van best effort en worden er geen oplossingen gedaan voor problemen die in versie 2016 zijn gedetecteerd. zie Microsoft Office 2016

  • Office Professional Plus 2013 met Service Pack 1

Andere edities van Office kunnen documenten en e-mailberichten niet beveiligen met behulp van een Rights Management-service. Voor deze edities wordt Azure Information Protection alleen ondersteund voor classificatie en worden labels die beveiliging toepassen niet weergegeven voor gebruikers.

Labels worden weergegeven in een balk boven aan het Office-document, die toegankelijk is via de knop Vertrouwelijkheid in de geïntegreerde labelclient.

  • PDF-bestanden die versie 1.4 en lager zijn, worden automatisch bijgewerkt naar versie 1.5 wanneer het bestand door de AIP-client wordt gelabeld.

Zie Toepassingen die ondersteuning bieden voor Azure Rights Management-gegevensbeveiliging voor meer informatie.

Office-functies en -mogelijkheden worden niet ondersteund

  • De Azure Information Protection-clients voor Windows bieden geen ondersteuning voor meerdere versies van Office op dezelfde computer of schakelen tussen gebruikersaccounts in Office.

  • De functie Afdruk samenvoegen van Office wordt niet ondersteund met een Azure Information Protection-functie.

Firewalls en netwerkinfrastructuur

Als u firewalls of vergelijkbare tussenliggende netwerkapparaten hebt die zijn geconfigureerd om specifieke verbindingen toe te staan, worden de netwerkverbindingsvereisten vermeld in dit Office-artikel: Microsoft 365 Common en Office Online.

Azure Information Protection heeft de volgende aanvullende vereisten:

  • Geïntegreerde labelclient. Als u labels en labelbeleid wilt downloaden, staat u de volgende URL toe via HTTPS: *.protection.outlook.com

  • Webproxy's. Als u een webproxy gebruikt waarvoor verificatie is vereist, moet u de proxy configureren om geïntegreerde Windows-verificatie te gebruiken met de Active Directory-aanmeldingsreferenties van de gebruiker.

    Als u proxy.pac-bestanden wilt ondersteunen wanneer u een proxy gebruikt om een token te verkrijgen, voegt u de volgende nieuwe registersleutel toe:

    • Pad: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIP\
    • Sleutel: UseDefaultCredentialsInProxy
    • Type: DWORD
    • Waarde: 1
  • TLS-client-naar-service-verbindingen. Beëindig geen TLS-client-naar-service-verbindingen, bijvoorbeeld om inspectie op pakketniveau uit te voeren, naar de aadrm.com URL. Als u die verbindingen verbreekt, wordt de certificaatkoppeling opgeheven die RMS-clients gebruiken met door Microsoft beheerde certificeringsinstanties om u te helpen de communicatie met de Azure Rights Management-service te beveiligen.

    Gebruik de volgende PowerShell-opdrachten om te bepalen of de clientverbinding wordt beëindigd voordat deze de Azure Rights Management-service bereikt:

    $request = [System.Net.HttpWebRequest]::Create("https://admin.na.aadrm.com/admin/admin.svc")
    $request.GetResponse()
    $request.ServicePoint.Certificate.Issuer
    

    Het resultaat moet laten zien dat de verlenende CA afkomstig is van een Microsoft-CA, bijvoorbeeld: CN=Microsoft Secure Server CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US

    Als u een verlenende CA-naam ziet die niet afkomstig is van Microsoft, is het waarschijnlijk dat uw beveiligde client-naar-service-verbinding wordt beëindigd en dat uw firewall opnieuw moet worden geconfigureerd.

  • TLS-versie 1.2 of hoger (alleen client voor geïntegreerde labels). De geïntegreerde labelclient vereist een TLS-versie van 1.2 of hoger om ervoor te zorgen dat cryptografisch beveiligde protocollen worden gebruikt en wordt afgestemd op de beveiligingsrichtlijnen van Microsoft.

  • Microsoft 365 Enhanced Configuration Service (ECS). AIP moet toegang hebben tot de config.edge.skype.com-URL , een Microsoft 365 Enhanced Configuration Service (ECS).

    ECS biedt Microsoft de mogelijkheid om AIP-installaties opnieuw te configureren zonder dat u AIP opnieuw hoeft te implementeren. Het wordt gebruikt om de geleidelijke implementatie van functies of updates te beheren, terwijl de impact van de implementatie wordt gecontroleerd op diagnostische gegevens die worden verzameld.

    ECS wordt ook gebruikt om beveiligings- of prestatieproblemen met een functie of update te beperken. ECS ondersteunt ook configuratiewijzigingen met betrekking tot diagnostische gegevens om ervoor te zorgen dat de juiste gebeurtenissen worden verzameld.

    Het beperken van de config.edge.skype.com URL kan van invloed zijn op de mogelijkheid van Microsoft om fouten te beperken en kan van invloed zijn op de mogelijkheid om preview-functies te testen.

    Zie Essentiële services voor Office - Office implementeren voor meer informatie.

  • Netwerkconnectiviteit van logboekregistratie controleren. AIP moet toegang hebben tot de volgende URL's om AIP-auditlogboeken te kunnen ondersteunen:

    • https://*.events.data.microsoft.com
    • https://*.aria.microsoft.com (Alleen Android-apparaatgegevens)

    Zie Vereisten voor AIP-rapportage voor meer informatie.

Co-existentie van AD RMS met Azure RMS

Het gebruik van AD RMS en Azure RMS naast elkaar, in dezelfde organisatie, om inhoud door dezelfde gebruiker in dezelfde organisatie te beveiligen, wordt alleen ondersteund in AD RMS voor HYOK-beveiliging (hold your own key) met Azure Information Protection.

Dit scenario wordt niet ondersteund tijdens de migratie. Ondersteunde migratiepaden zijn onder andere:

Tip

Als u Azure Information Protection implementeert en vervolgens besluit dat u deze cloudservice niet meer wilt gebruiken, raadpleegt u Azure Information Protection uit bedrijf nemen en deactiveren.

Voor andere, niet-migratiescenario's, waarbij beide services actief zijn in dezelfde organisatie, moeten beide services zodanig worden geconfigureerd dat slechts één van hen toestaat dat een bepaalde gebruiker inhoud beveiligt. Configureer dergelijke scenario's als volgt:

  • Omleidingen gebruiken voor een AD RMS-migratie naar Azure RMS

  • Als beide services tegelijkertijd actief moeten zijn voor verschillende gebruikers, gebruikt u configuraties aan de servicezijde om exclusiviteit af te dwingen. Gebruik de besturingselementen voor onboarding van Azure RMS in de cloudservice en een ACL op de publicatie-URL om de modus Alleen-lezen in te stellen voor AD RMS.

Servicetags

Als u een Azure-eindpunt en een NSG gebruikt, moet u toegang tot alle poorten toestaan voor de volgende servicetags:

  • AzureInformationProtection
  • AzureActiveDirectory
  • AzureFrontDoor.Frontend

Bovendien is de Azure Information Protection-service in dit geval ook afhankelijk van de volgende IP-adressen en poort:

  • 13.107.9.198
  • 13.107.6.198
  • 2620:1ec:4::198
  • 2620:1ec:a92::198
  • 13.107.6.181
  • 13.107.9.181
  • Poort 443 voor HTTPS-verkeer

Zorg ervoor dat u regels maakt waarmee uitgaande toegang tot deze specifieke IP-adressen en via deze poort wordt toegestaan.

Ondersteunde on-premises servers voor Azure Rights Management-gegevensbeveiliging

De volgende on-premises servers worden ondersteund met Azure Information Protection wanneer u de Microsoft Rights Management-connector gebruikt.

Deze connector fungeert als een communicatie-interface en relays tussen on-premises servers en de Azure Rights Management-service, die wordt gebruikt door Azure Information Protection om Office-documenten en e-mailberichten te beveiligen.

Als u deze connector wilt gebruiken, moet u adreslijstsynchronisatie configureren tussen uw Active Directory-forests en Microsoft Entra-id.

Ondersteunde servers zijn onder andere:

Servertype Ondersteunde versies
Exchange Server - Exchange Server 2019
- Exchange Server 2016
- Exchange Server 2013
Office SharePoint Server - Office SharePoint Server 2019
- Office SharePoint Server 2016
- Office SharePoint Server 2013
Bestandsservers waarop Windows Server wordt uitgevoerd en FCI (File Classification Infrastructure) gebruiken - Windows Server 2016
- Windows Server 2012 R2
- Windows Server 2012

Zie De Microsoft Rights Management-connector implementeren voor meer informatie.

Ondersteunde besturingssystemen voor Azure Rights Management

De volgende besturingssystemen ondersteunen de Azure Rights Management-service, die gegevensbeveiliging biedt voor AIP:

Besturingssysteem Ondersteunde versies
Windows-computers - Windows 10 (x86, x64)
- Windows 11 (x86, x64)
MacOS Minimale versie van macOS 10.8 (Mountain Lion)
Android-telefoons en -tablets Minimale versie van Android 6.0
i Telefoon en iPad Minimale versie van iOS 11.0
Windows-telefoons en -tablets Windows 10 Mobile

Zie Toepassingen die ondersteuning bieden voor Azure Rights Management-gegevensbeveiliging voor meer informatie.

Volgende stappen

Zodra u alle AIP-vereisten hebt gecontroleerd en hebt bevestigd dat uw systeem voldoet, gaat u verder met het voorbereiden van gebruikers en groepen voor Azure Information Protection.