開始收集裝置中符合資料外洩防護原則的檔案

本文將逐步引導您完成裝置上檔案活動辨識項收集的必要條件和設定步驟，並介紹如何檢視複製和儲存的專案。

以下是針對裝置上的檔案活動設定和使用辨識項集合的高階步驟。

1. 將裝置上線
2. 瞭解您的需求建立受控 Azure 記憶體帳戶
3. 將 Azure 記憶體 Blob 新增至您的帳戶
4. 在Microsoft (預覽) 所管理的記憶體帳戶上啟用及設定辨識項集合
5. 設定 DLP 原則
6. 預覽辨識項

開始之前

開始這些程式之前，您應該檢閱 瞭解裝置上檔案活動的辨識項集合。

授權和訂用帳戶

開始使用 DLP 原則之前，請確認您的 Microsoft 365 訂閱 和任何附加元件。

如需授權的相關信息，請參閱 Microsoft 365、Office 365、Enterprise Mobility + Security 和 Windows 11 訂閱。

請參閱建立自定義角色型訪問控制 (RBAC) 所需的 Microsoft Entra ID P1 或 P2 的必要條件授權需求。

權限

Standard 需要 Microsoft Purview 資料外洩防護 (DLP) 許可權。 如需詳細資訊，請參閱＜權限＞。

將裝置上線

您必須先將 Windows 10/11 裝置上架到 Purview，才能使用複製相符的專案，請參閱將 Windows 裝置上線至 Microsoft 365 概觀。

瞭解您的需求

在設定 Azure 記憶體並將功能範圍設定給使用者之前，您應該有下列問題的解答。

您需要沿著角色或部門行區隔專案和存取嗎？

例如，如果您的組織想要有一組系統管理員或 DLP 事件調查員，以檢視您資深領導階層所儲存的檔案，以及另一組系統管理員或 DLP 事件調查員從人力資源儲存的專案，您應該為組織的資深領導階層建立一個 Azure 儲存器帳戶，併為人力資源部門建立另一個 Azure 儲存器帳戶。 這可確保 Azure 記憶體系統管理員或 DLP 事件調查人員只能從其各自的群組查看符合 DLP 原則的專案。

您要使用容器來組織儲存的專案嗎？

您可以在相同的記憶體帳戶內建立多個辨識項容器，以排序儲存的檔案。 例如，一個用於從人力資源部門儲存的檔案，另一個用於IT部門的檔案。

您有哪些策略可防止儲存的項目刪除或修改？

在 Azure 記憶體中，數據保護是指保護記憶體帳戶及其內數據免於遭到刪除或修改的策略，以及在刪除或修改數據之後還原數據的策略。 Azure 記憶體也提供災害復原選項，包括多層備援，以保護您的數據免於因硬體問題或天然災害而導致服務中斷。 如果主要區域中的數據中心變得無法使用，它也可以使用客戶管理的故障轉移來保護您的數據。 如需詳細資訊，請 參閱數據保護概觀。

您也可以為 Blob 資料設定不變性原則，以防止被覆寫或刪除的已儲存專案。 如需詳細資訊，請參閱 使用不可變記憶體儲存業務關鍵 Blob 數據

用於儲存和預覽辨識項的支援檔類型

將相符的項目儲存到您慣用的記憶體

若要儲存 Purview Microsoft在套用數據外洩防護原則時偵測到的辨識項，您需要設定記憶體。 執行這項作業的方法有兩種：

1. 建立客戶管理的記憶體
2. 建立Microsoft管理的記憶體 (預覽)

如需這兩種記憶體類型的詳細資訊和比較，請參閱 [ (預覽) 偵測到敏感性資訊時儲存辨識項] (dlp-copy-matched-items-learn.md#storing-evidence-when-sensitive-information-is-detected-on-policy match-preview) 。

建立客戶管理的記憶體

設定 Azure 記憶體帳戶、容器和 Blob 的程式記載於 Azure 檔集中。 以下是相關文章的連結，您可以參考以協助您開始使用：

1. Azure Blob 儲存體 簡介
2. 建立記憶體帳戶
3. 默認為 ，並使用 Microsoft Entra ID 授權存取 Blob
4. 使用 Azure 入口網站 管理 Blob 容器
5. 使用 PowerShell 管理區塊 Blob

請務必儲存 Azure Blob 容器的名稱和 URL。 若要檢視 URL，請開啟 Azure 記憶體入口網站 >首頁>記憶體帳戶>容器>屬性

Azure Blob 容器 URL 的格式為：https://storageAccountName.blob.core.windows.net/containerName。

將 Azure 記憶體 Blob 新增至您的帳戶

有數種方式可以將 Azure 記憶體 Blob 新增至您的帳戶。 選擇下列 其中一 種方法。

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

設定 Azure Blob 記憶體的許可權

使用 Microsoft Entra 授權，您必須在 Blob 上) (角色群組設定兩組許可權：

1. 一個供系統管理員和調查人員使用，以便檢視和管理辨識項
2. 一個適用於需要從其裝置將專案上傳至 Azure 的使用者

最佳做法是對所有使用者強制執行 最低許可權 ，而不論角色為何。 藉由強制執行最低許可權，您可以確保用戶權力僅限於其角色所需的許可權。 若要設定用戶權力，請在 適用於 Office 365 的 Microsoft Defender 中建立角色和角色群組，Microsoft Purview。

適用於系統管理員和調查人員的 Azure Blob 許可權

建立 DLP 事件調查人員的角色群組之後，您必須設定後續的處理 者動作 和調查 數據動作 一節中所述的許可權。

如需設定 Blob 存取的詳細資訊，請參閱下列文章：

• 如何授權存取 Azure 入口網站 中的 Blob 數據
• 指派共用層級許可權。

調查動作

設定這些物件和訴訟角色的動作權限：

調查數據動作

您用於這個角色群組的 JSON 看起來應該像這樣：

"permissions": [
            {
                "actions": [
                 "Microsoft.Storage/storageAccounts/blobServices/read",
                 "Microsoft.Storage/storageAccounts/blobServices/containers/read",
                 "Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action"
                ],
                "notActions": [],
                "dataActions": [
                    "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read"
                ],
                "notDataActions": []
            }
        ]

適用於使用者的 Azure Blob 許可權

將這些物件和動作權限指派給使用者角色的 Azure Blob：

使用者動作

用戶數據動作

使用者角色群組的 JSON 看起來應該像這樣：

"permissions": [
  {
     "actions": [
       "Microsoft.Storage/storageAccounts/blobServices/containers/read",
       "Microsoft.Storage/storageAccounts/blobServices/containers/write",
       "Microsoft.Storage/storageAccounts/blobServices/read"
     ],
     "notActions": [],
     "dataActions": [
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action",
         "Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write"
     ],
     "notDataActions": []
    }
 ]

在Microsoft (預覽) 所管理的記憶體帳戶上啟用和設定辨識項收集)

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

設定 DLP 原則

如往常般建立 DLP 原則。 如需原則設定範例，請 參閱建立和部署數據外洩防護原則。

使用下列設定來設定原則：

• 請確定 [裝置 ] 是唯一選取的位置。
• 在 [事件報告] 中，將 [當 規則相符時傳送警示給系統管理員 ] 切換為 [ 開啟]。
• 在 [事件報告] 中，選取 [收集原始檔案] 作為端點上所有所選檔案活動的辨識項。
• 選取您想要的記憶體帳戶。
• 選取您要將相符項目複製到 Azure 記憶體的活動，例如：
  • 貼到支持的瀏覽器
  • 上傳至雲端服務網域或存取不允許的瀏覽器
  • 複製到卸除式 USB 裝置
  • 複製到網路共用
  • Print
  • 使用不允許的藍牙應用程式複製或移動
  • 使用 RDP 複製或移動

預覽辨識項

視您選取的記憶體類型而定，預覽辨識項的方式不同。

透過活動總管預覽辨識項

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

透過合規性入口網站的 [警示] 頁面預覽辨識項

針對您使用的入口網站選取適當的索引標籤。 視您的Microsoft 365 方案而定，Microsoft Purview 合規性入口網站 即將淘汰或即將淘汰。

若要深入瞭解 Microsoft Purview 入口網站，請 參閱 Microsoft Purview 入口網站。 若要深入瞭解合規性入口網站，請參閱 Microsoft Purview 合規性入口網站。

已知行為

• 如果系統當機或重新啟動，儲存在裝置快取中的檔案將不會保存。
• 可以從裝置上傳的檔案大小上限為 500 MB。
• 如果在掃描的檔案上觸發 Just-In-Time Protection ，或如果檔案儲存在網路共用上，則不會收集辨識項檔案。
• 當多個檔案在相同程式中開啟 (非辦公室應用程式) ，且其中一個符合原則的檔案輸出時，會針對所有檔案觸發 DLP 事件。 未擷取任何辨識項。
• 如果在單一檔案中偵測到多個原則規則，只有在設定最嚴格的原則規則來收集辨識項時，才會儲存辨識項檔案。