Руководство администратора. Настройка и использование отслеживания документов для защиты службы Rights Management с помощью устаревшего портала отслеживания

Если у вас есть подписка, которая поддерживает отслеживание документов, сайт отслеживания документов включен по умолчанию для всех пользователей в организации. Отслеживание документов предоставляет пользователям и администраторам сведения о том, когда был доступ к защищенному документу и при необходимости можно отозвать отслеживаемые документы.

Управление сайтом отслеживания документов с помощью PowerShell

В следующих разделах содержатся сведения об управлении сайтом отслеживания документов с помощью PowerShell. Инструкции по установке модуля PowerShell см. в разделе "Установка модуля AIPService PowerShell".

Дополнительные сведения о каждом из командлетов см. по указанным ссылкам.

Если отображение всех сведений об отслеживании документов запрещено в вашей организации из-за требований к конфиденциальности, вы можете отключить отслеживание документов с помощью командлета Disable-AipServiceDocumentTrackingFeature .

Этот командлет отключает доступ к сайту отслеживания документов, чтобы все пользователи в организации не могли отслеживать или отзывать доступ к защищенным документам. Вы можете повторно включить отслеживание документов в любое время с помощью Enable-AipServiceDocumentTrackingFeature и проверить, включено ли отслеживание документов в настоящее время или отключено с помощью Get-AipServiceDocumentTrackingFeature.

Если сайт отслеживания документов включен, по умолчанию на нем отображаются такие сведения, как адреса электронной почты людей, которые пытались получить доступ к защищенным документам, когда эти пользователи пытались получить к ним доступ, и их расположение. Этот уровень информации может быть полезен для определения того, как используются общие документы и следует ли отозвать их при обнаружении подозрительных действий. Однако из соображений конфиденциальности может потребоваться отключить эти сведения о пользователях для некоторых или всех пользователей.

Если у вас есть пользователи, которые не должны отслеживать это действие другими пользователями, добавьте их в группу, которая хранится в Azure AD, и укажите эту группу с помощью командлета Set-AipServiceDoNotTrackUserGroup . При выполнении этого командлета необходимо указать одну группу. Однако группа может содержать вложенные группы.

Для этих участников группы пользователи не могут видеть действия на сайте отслеживания документов, если это действие связано с документами, к которым они предоставили общий доступ. Кроме того, пользователю, который предоставил общий доступ к документу, уведомления по электронной почте не отправляются.

При использовании этой конфигурации все пользователи по-прежнему могут использовать сайт отслеживания документов и отзывать доступ к защищенным документам. Однако они не видят действия для пользователей, указанных с помощью Set-AipServiceDoNotTrackUserGroup командлета.

Этот параметр влияет только на конечных пользователей. Администраторы azure Information Protection всегда могут отслеживать действия всех пользователей, даже если эти пользователи указаны с помощью Set-AipServiceDoNotTrackUserGroup. Дополнительные сведения о том, как администраторы могут отслеживать документы для пользователей, см. в разделе "Отслеживание и отзыв документов для пользователей ".

Для скачивания сведений журнала с сайта отслеживания документов можно использовать следующие командлеты:

Этот командлет возвращает сведения об отслеживании защищенных документов для указанного пользователя, который защищает документы (издателя Rights Management) или который доступ к защищенным документам. Используйте этот командлет, чтобы ответить на вопрос "Какие защищенные документы отслеживал или выполнял ли указанный пользователь доступ?"

Этот командлет возвращает сведения о защите отслеживаемых документов для указанного пользователя, если этот пользователь защищает документы (издателя Rights Management) или был владельцем Rights Management для документов или защищенные документы настроены для предоставления доступа непосредственно пользователю. Используйте этот командлет, чтобы ответить на вопрос "Как защищены документы для указанного пользователя?"

URL-адреса назначения, используемые сайтом отслеживания документов

Следующие URL-адреса используются для отслеживания документов и должны быть разрешены на всех устройствах и службах между клиентами, на которых выполняется клиент Azure Information Protection и Интернет. Например, добавьте эти URL-адреса в брандмауэры или на надежные сайты, если вы используете Internet Explorer с повышенной безопасностью.

Эти URL-адреса являются стандартными для службы Azure Rights Management, за исключением URL-адреса virtualearth.net, который используется для Bing карт для отображения расположения пользователя.

Отслеживание и отзыв документов для пользователей

При входе на сайт отслеживания документов пользователи могут отслеживать и отзывать документы, защищенные с помощью Information Protection Azure. При входе в качестве глобального администратора Azure AD для клиента можно щелкнуть значок администратора, который переключиться в режим администратора. Другие роли администратора не поддерживают этот режим для сайта отслеживания документов.

Режим администратора позволяет просматривать документы, выбранные пользователями в организации для отслеживания с помощью Information Protection Azure.

Если вы не видите этот значок, несмотря на то, что вы глобальный администратор, это связано с тем, что вы еще не предоставили общий доступ к документам самостоятельно. В этом случае используйте следующий URL-адрес для доступа к сайту отслеживания документов: https://portal.azurerms.com/#/admin

Действия, выполняемые в режиме администратора, проверяются и регистрируются в файлах журналов использования, и необходимо подтвердить продолжение. Дополнительные сведения об этом ведении журнала см. в следующем разделе.

В режиме администратора можно выполнять поиск по пользователю или документу. При поиске по пользователю отображаются все документы, выбранные указанным пользователем для отслеживания с помощью Information Protection Azure.

При поиске по документу вы увидите всех пользователей в организации, которые отслеживали этот документ с помощью Information Protection Azure. Затем можно просмотреть результаты поиска, чтобы отслеживать документы, которые пользователи защищают, и при необходимости отозвать эти документы.

Чтобы выйти из режима администратора, щелкните X рядом с режимом выхода из режима администратора:

Инструкции по использованию сайта отслеживания документов см. в статье "Отслеживание и отзыв документов в руководстве пользователя".

Чтобы иметь возможность отслеживать и отзывать документ, сначала его необходимо зарегистрировать на сайте отслеживания документов. Это действие происходит, когда пользователи выбирают параметр Отслеживание и отменяют проводник или Office приложениях при использовании Information Protection Azure.

Если вы помечайте и защищаете файлы для пользователей с помощью командлета Set-AIPFileLabel , можно использовать параметр EnableTracking для регистрации файла на сайте отслеживания документов. Например:

Ведение журнала использования для сайта отслеживания документов

Для отслеживания документов применяются два поля в файлах журнала использования: AdminAction и ActingAsUser.

AdminAction — это поле имеет значение true, если администратор использует сайт отслеживания документов в режиме администратора, например, чтобы отозвать документ от имени пользователя или просмотреть, когда он был предоставлен общий доступ. Это поле пусто, когда пользователь входит на сайт отслеживания документов.

ActingAsUser . Если поле AdminAction имеет значение true, это поле содержит имя пользователя, от имени которого администратор выполняет поиск пользователя или владельца документа. Это поле пусто, когда пользователь входит на сайт отслеживания документов.

Существуют также типы запросов, которые регистрирует, как пользователи и администраторы используют сайт отслеживания документов. Например, RevokeAccess — это тип запроса, когда пользователь или администратор от имени пользователя отозвал документ на сайте отслеживания документов. Используйте этот тип запроса в сочетании с полем AdminAction, чтобы определить, отозвал ли пользователь собственный документ (поле AdminAction пусто) или администратор отозвал документ от имени пользователя (adminAction имеет значение true).

Дополнительные сведения о ведении журнала использования см. в разделе "Ведение журнала и анализ использования защиты из Azure Information Protection

Дальнейшие действия

Теперь, когда вы настроите сайт отслеживания документов для клиента Azure Information Protection, дополнительные сведения, которые могут потребоваться для поддержки этого клиента, см. в следующих статьях: