Prevenzione della perdita di dati

Destinatari: amministratori di sistema e amministratori di Amazon Quick

Amazon Quick si integra con Microsoft Purview per applicare le politiche di prevenzione della perdita di dati (DLP) della tua organizzazione. Dopo aver collegato il Microsoft Purview tenant, Quick classifica e protegge i file sensibili condivisi tramite spazi, chat e knowledge base. I dati sensibili rimangono entro i limiti definiti dalle politiche di governance delle informazioni dell'organizzazione.

Concetti di prevenzione della perdita di dati

Prima di configurare DLP in Amazon Quick, acquisisci familiarità con i seguenti concetti.

Etichette di sensibilità

Le etichette di sensibilità sono classificazioni definite nel Microsoft Purview tenant per descrivere il livello di sensibilità dei contenuti, ad esempio Pubblico, Riservato o Altamente riservato. È possibile organizzare le etichette gerarchicamente con etichette principali e sottoetichette (etichette secondarie).

Azioni di applicazione

Le azioni di applicazione definiscono il modo in cui Quick gestisce un file con un'etichetta di riservatezza specifica.

• Blocca: Quick rifiuta il file e il file non può essere condiviso o caricato. Viene visualizzato un messaggio di errore.

• Avvisa: nelle funzionalità interattive, viene visualizzato un messaggio di avviso e puoi scegliere di procedere o annullare il caricamento.

• Consenti: Quick condivide il file senza restrizioni.

Azione predefinita

L'azione predefinita è l'azione di applicazione che Quick applica a qualsiasi file la cui etichetta di sensibilità non è stata esplicitamente mappata a un'azione specifica. L'azione predefinita viene impostata durante la configurazione. L'azione predefinita copre anche le nuove etichette in cui vengono pubblicate Microsoft Purview dopo l'installazione. Quick gestisce immediatamente i file che contengono tali etichette, in modo che nulla rimanga senza protezione. Per assegnare una propria azione a una nuova etichetta, modifica la configurazione e mappala in modo esplicito.

Azione di interruzione del provider

L'azione di interruzione del provider determina il modo in cui Quick gestisce i file quando il provider DLP (Microsoft Purview) è temporaneamente non disponibile. È possibile impostarlo su una delle seguenti azioni.

• Blocca: Quick rifiuta i file fino a quando il provider non sarà nuovamente disponibile.

• Avvisa: Quick consente il passaggio dei file e mostra un avviso durante l'interruzione.

• Consenti: Quick consente il passaggio dei file senza restrizioni.

Funzionalità

Le funzionalità sono le aree all'interno di Amazon Quick in cui Quick applica l'applicazione della DLP.

• Spazi: file che gli utenti caricano in aree di lavoro collaborative.

• Chat: file che gli utenti condividono tramite conversazioni in chat.

• Basi di conoscenza: contenuti sincronizzati tramite SharePoint e altri connettori. OneDrive

Ereditarietà delle etichette

Nella configurazione di mappatura delle etichette, è possibile assegnare a un'etichetta principale un'azione esplicita (Blocca o Avvisa) o lasciarla impostata sull'azione predefinita. Sub-labels (etichette secondarie) ereditano l'azione dell'etichetta principale. Un'etichetta che non hai mappato in modo esplicito segue l'azione dell'etichetta principale mappata, se ne esiste una. Altrimenti, viene applicata l'azione predefinita.

Prerequisiti

Preparate quanto segue prima di creare una configurazione DLP.

Microsoft Purview etichette di sensibilità

Devi già pubblicare le tue etichette di riservatezza (ad esempio, Pubbliche, Confidenziali e Altamente riservate) nel tuo Microsoft Purview o Microsoft 365 nel tenant. Quick legge queste etichette in diretta dal tuo inquilino.

A ID Microsoft Entra registrazione dell'app

Registra un'applicazione in Microsoft Entra ID (Azure AD) che Quick utilizza per leggere le etichette e classificare i file. Annota l'ID della directory (tenant) e l'ID dell'applicazione (client). Entrambi sono GUID necessari per creare una credenziale segreta per il cliente. È necessario concedere alla registrazione dell'app le seguenti autorizzazioni API.

Autorizzazione API	Tipo	Description
UnifiedPolicy.Tenant.Read	Richiesto	Leggi la politica unificata di protezione dei dati per il tenant.
SensitivityLabels.Read.All	Richiesto	Leggi tutte le etichette di sensibilità definite nel tenant.
Files.Read.All	Facoltativo	Obbligatorio solo se si utilizzano basi di conoscenza supportate da SharePoint oOneDrive.

Un record AWS Secrets Manager (segreto)

Memorizza Purview le credenziali in un segreto di AWS Secrets Manager nello stesso AWS account del tuo account Quick. Usa il seguente formato JSON per il valore segreto.

{
  "clientId": "abcdef12-3456-7890-abcd-ef1234567890",
  "clientSecret": "<client secret value>",
  "tenantId": "11111111-1111-1111-1111-111111111111"
}

Nota

Quick memorizza solo l'ARN del tuo segreto. Quick legge le credenziali in fase di esecuzione e non le visualizza mai nella console, le restituisce dall'API o le scrive nei log.

Importante

Usa esattamente questi tre nomi chiave: clientIdclientSecret, etenantId. Cerca rapidamente queste chiavi alla lettera, quindi una chiave rinominata o mancante causa il fallimento della convalida con un errore di campi mancanti. Memorizza il valore come singolo oggetto JSON.

Accedi per Quick al tuo segreto

Accedi al tuo AWS account come amministratore e apri la console di amministrazione di Quick. Quindi concedi a Quick il permesso di leggere il tuo segreto di Secrets Manager.

1. Scegli Autorizzazioni, quindi scegli AWS le risorse.

2. Seleziona AWS Secrets Manager dall'elenco dei servizi.

3. Scegli il tuo segreto.

4. Scegli Save (Salva).

Segreti crittografati con una chiave KMS gestita dal cliente

Se una chiave KMS gestita dal cliente crittografa il tuo segreto di Secrets Manager, Quick necessita anche kms:Decrypt dell'autorizzazione per quella chiave, oltre a. secretsmanager:GetSecretValue

Importante

La pagina Autorizzazioni e AWS risorse non può essere concessa. kms:Decrypt Modifica il ruolo del servizio Quick direttamente in IAM per aggiungerlo. Dopo aver modificato il ruolo manualmente, non puoi più gestirlo dalla pagina delle AWS risorse nella console di amministrazione.

Aggiungi una dichiarazione come la seguente al ruolo. Sostituisci l'ID dell'account, il nome segreto e l'ID chiave con i tuoi.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [ "secretsmanager:GetSecretValue" ],
      "Resource": [
        "arn:aws:secretsmanager:<home-region>:<account-id>:secret:<secret-name>",
        "arn:aws:secretsmanager:<other-region>:<account-id>:secret:<secret-name>"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [ "kms:Decrypt" ],
      "Resource": [ "arn:aws:kms:<other-region>:<account-id>:key/<key-id>" ]
    }
  ]
}

Replica del tuo segreto in tutte le regioni

Quick legge il tuo segreto Regione AWS ovunque valuta i file, quindi il segreto deve esistere in ciascuna di quelle regioni. Replicatelo utilizzando Replicate secret in altre regioni nella console Secrets Manager e assicuratevi che il ruolo conceda l'accesso a ogni ARN di replica.

Se una chiave KMS gestita dal cliente non crittografa il segreto, è sufficiente replicarlo. Se una chiave KMS gestita dal cliente crittografa il segreto, utilizza uno dei seguenti approcci.

Opzione 1: chiavi Single-Region

1. Replica il segreto nell'altra regione.

2. Stacca la replica dal segreto principale in modo che diventi autonoma.

3. Crea una chiave KMS nell'altra regione.

4. Allega quella chiave al segreto indipendente.

5. kms:DecryptConcedi la nuova chiave, come descritto inSegreti crittografati con una chiave KMS gestita dal cliente.

Opzione 2: Multi-Region chiave

1. Crea una chiave multiregionale nella tua regione d'origine.

2. Imposta la chiave multiregionale come chiave di crittografia del segreto.

3. Replica la chiave multiregionale nell'altra regione.

4. Replica il segreto in quella regione e seleziona la chiave multiregionale replicata come chiave di crittografia.

5. kms:DecryptConcedi la chiave di replica, come descritto in. Segreti crittografati con una chiave KMS gestita dal cliente

Creazione di una configurazione DLP

Accedi alla console di amministrazione. Scegli Governance, scegli Prevenzione della perdita di dati, quindi scegli Crea configurazione DLP per aprire la procedura guidata di configurazione. La procedura guidata è composta da quattro passaggi, elencati nel riquadro di navigazione. La tabella seguente descrive ogni passaggio.

Fase	Nome	Description
1	Provider	Selezionare il provider DLP (Microsoft Purview).
2	Credenziali	Assegna un nome alla configurazione e connettiti a AWS Secrets Manager.
3	Mappatura delle etichette	Applicazione dell'ambito e mappatura delle etichette di sensibilità alle azioni.
4	Verificare	Conferma le impostazioni e attiva la configurazione.

Fase 1: Fornitore

Seleziona Microsoft Purview come provider DLP, quindi scegli Continua.

Fase 2: Credenziali

Immetti le seguenti informazioni:

• Nome della configurazione: un nome descrittivo mostrato nella dashboard, ad esempio,. Knowledge base DLP

• ARN segreto: incolla l'ARN del tuo segreto Secrets Manager.

• Scegli Convalida per connetterti Purview con il segreto e verificare le autorizzazioni di lettura richieste.

Nota

Ogni autorizzazione richiesta mostra un segno di spunta verde quando la convalida ha esito positivo. Se manca un'autorizzazione o il segreto non è valido, Quick contrassegna il problema in linea in modo da poterlo correggere e riprovare.

Importante

Non puoi continuare con il passaggio successivo finché la convalida non ha esito positivo. Verifica che la registrazione dell'app disponga di tutte le autorizzazioni API richieste e che l'ARN segreto sia corretto prima di riprovare.

Fase 3: Mappatura delle etichette

Associa ogni etichetta di sensibilità a un'azione:

• Azione predefinita: scegli l'azione che Quick applica a qualsiasi etichetta che non mappi esplicitamente. Le opzioni sono Blocca, Avvisa o Consenti. Un punto di partenza conservativo è Block.

• Etichette sensibili: Quick carica l'elenco corrente delle etichette del tuo Purview inquilino. Per ogni etichetta, scegli la sua azione. Sub-labelsereditano l'azione dei genitori. Scegli Aggiorna se hai modificato di recente le etichette Purview e desideri recuperare l'elenco più recente.

• Azione di interruzione del provider: scegli cosa fa Quick quando non Purview è raggiungibile: Blocca (chiusura fallita: massima sicurezza), Avvisa o Consenti (apertura non riuscita). Per una knowledge base contenente materiale sensibile, Block è l'azione consigliata per interrompere l'attività del provider.

Scegli Rivedi.

La tabella seguente descrive le azioni di applicazione.

Consenso

Il file procede normalmente. Quick non applica restrizioni.

Warn

Il file procede, ma Quick ti avvisa nelle funzionalità interattive (Chat e Spaces) se è contrassegnato da un'etichetta sensibile.

Blocco

Quick rifiuta il file e non lo inserisce nell'indice Quick.

Fase 4: verifica

Rivedi il riepilogo: il provider, il nome della configurazione, il metodo di autenticazione, le funzionalità, la suddivisione label-to-action, l'azione predefinita e l'azione di interruzione del provider. Scegli il link di modifica accanto a qualsiasi sezione per tornare ad essa.

Usa l'interruttore Attivo/Inattivo per impostare se Quick applica la configurazione non appena la crei (l'impostazione predefinita è Attiva). Quick salva una configurazione inattiva ma non la applica finché non la attivi. Al termine, scegli Crea.

La configurazione ora appare come una scheda nella dashboard di prevenzione della perdita di dati. Se la lasci attiva, Quick inizia a applicarla ai nuovi file caricati nelle tue knowledge base.

Come funziona l'applicazione

Quando un file entra in una funzionalità Quick protetta da una configurazione DLP attiva, si verifica la seguente sequenza.

1. Un file entra in una funzionalità Quick protetta: ad esempio, Quick inserisce i documenti durante una sincronizzazione della knowledge base.

2. Quick DLP recupera l'etichetta di riservatezza del file. Microsoft Purview

3. Quick abbina l'etichetta alla mappatura etichetta-azione nella configurazione.

4. Quick applica l'azione risultante.

   • Consenti: il file procede normalmente.

   • Avvisa: il file procede, ma Quick ti avvisa nelle funzionalità interattive (Chat e Spaces) se è contrassegnato da un'etichetta sensibile.

   • Blocca: Quick rifiuta il file.

5. Per un'etichetta che non hai mappato in modo esplicito, Quick verifica la presenza di un'etichetta principale mappata. Se esiste un genitore mappato, Quick utilizza l'azione di quel genitore. Altrimenti, applica l'azione predefinita. Anche le nuove etichette pubblicate Purview dopo l'installazione sono coperte dall'azione predefinita, quindi Quick le gestisce immediatamente. Per assegnare a una nuova etichetta una propria azione, modificate la configurazione e mappatela in modo esplicito.

6. Se Quick non riesce a raggiungerloPurview, applica l'azione di interruzione del provider configurata.

Suggerimento

Per una knowledge base contenente materiale riservato, ti consigliamo di impostare sia l'azione predefinita che l'azione di interruzione del provider su Blocca. Ciò impedisce a Quick di ingerire file senza etichetta o file che arrivano durante un'interruzione. Purview

Applicazione per capacità

L'applicazione della DLP si applica a tre funzionalità: Chat, Spaces e Knowledge base. Le stesse azioni si applicano a tutte e tre. Ciò che viene visualizzato e la posizione in cui Quick registra il risultato dipende dal fatto che Quick esegua la scansione del file in modo interattivo o durante una sincronizzazione in background.

Funzionalità interattive: Chat e Spaces

Quick valuta i file man mano che li condividi o li carichi, mentre aspetti il risultato.

• Blocca: Quick rifiuta il file e viene visualizzato un messaggio di errore.

• Avvisa: viene visualizzato un messaggio di avviso e puoi scegliere di procedere o annullare.

• Consenti: Quick condivide il file senza restrizioni.

Knowledge base

Quick valuta i file durante l'inserimento, dopo l'avvio della sincronizzazione, in modo che nessun utente attenda il risultato. Seguono due conseguenze.

• Non è presente alcuna richiesta di avviso. Quick inserisce un file con un'etichetta mappata su Avvisa e l'azione Avvisa non ha alcun effetto visibile all'utente su questa funzionalità.

• I risultati vengono visualizzati nel rapporto Quick Observability. Per vedere cosa ha fatto DLP durante la sincronizzazione della knowledge base, apri il rapporto Quick Observability relativo a tale sincronizzazione. Il rapporto mostra uno stato per file.

BLOCCATO

Quick non ha inserito il file nell'indice. Lo stato BLOCCATO può indicare l'applicazione della DLP o un errore interno. Il messaggio di errore relativo agli errori interni è generico.

AGGIUNTO

Quick ha inserito un nuovo file. Questo stato include i file che corrispondono alle etichette Warn; il rapporto non li mostra separatamente.

MODIFICATO

Ha aggiornato e reinserito rapidamente un file esistente. I file che corrispondono alle etichette Warn vengono visualizzati come MODIFICATI se il file è stato modificato dall'ultima sincronizzazione.

Verifica della configurazione

Dalla scheda di configurazione sulla dashboard, scegli l'icona Test (file-scan). Fornisci l'URI Amazon S3 (ad esempios3://bucket/key) di un file etichettato e verifica che restituisca il risultato Allow, Warn o Block previsto prima di utilizzarlo in produzione.

Nota

L'azione di test viene eseguita a secco utilizzando l'attuale mappatura label-to-action. Non modifica il file né influisce sui dati in tempo reale.

Gestione delle configurazioni

Da ogni scheda del dashboard, puoi eseguire le seguenti azioni.

• Modifica (icona a forma di matita): modifica le credenziali, le funzionalità, le mappature delle etichette, l'azione predefinita o l'azione di interruzione del provider.

• Attiva/Disattiva (attiva o disattiva): attiva o disattiva l'applicazione. La disattivazione richiede una conferma, poiché interrompe la protezione delle funzionalità coperte.

• Elimina: rimuove completamente la configurazione (disponibile nella visualizzazione di modifica).

Nota

La scheda dashboard ti avvisa quando il Purview tenant ha nuove etichette che non hai ancora mappato. Finché non le mappi, seguono la tua azione predefinita.

Limiti e convalide

I seguenti limiti si applicano alla DLP in Amazon Quick.

• Configurazioni DLP per account: 10.

• Configurazioni DLP attive per account: 1.

• Dimensione massima del file scansionato: 500 MB. Quick non esegue la scansione di file più grandi.

Tipi di file supportati

Quick analizza i tipi di file che Microsoft Purview supporta l'etichettatura:Word,Excel,PowerPoint, PDF,,Visio,Project, formati di immagine comuni (JPEG, PNG, TIFF, DNG, PSD), XPS, Power BI (,) ed .pbit email (.dwfx,.pbix). .msg .eml Per un elenco autorevole, consulta i tipi di file supportati sul sito Web. https://learn.microsoft.com/en-us/information-protection/develop/concept-supported-filetypes Microsoft

Una distinzione è importante quando si legge questo elenco: rientrano nell'ambito di applicazione solo i tipi di file che Microsoft Purview supportano l'etichettatura. Quick non esegue la scansione dei file che richiedono Azure Rights Management la decrittografia o dei tipi di file che si applicano solo alle etichette protette.

Etichette protette

Se un file contiene un'etichetta con protezione abilitata, Quick non esegue la scansione del file e applica invece l'azione predefinita. Le etichette protette non vengono visualizzate nella fase di mappatura delle etichette nella console di amministrazione. Puoi comunque fornirli tramite l'CreateDlpSettingAPI, ma il risultato della valutazione è lo stesso: si applica l'azione predefinita.

Quando si applica l'azione predefinita

Oltre alle etichette che non hai mappato in modo esplicito, Quick torna all'azione predefinita quando si verifica una delle seguenti condizioni:

• Il file non riporta alcuna etichetta di riservatezza.

• Il tipo di file non è supportato (vediTipi di file supportati).

• Il file supera il limite di 500 MB.

• Il file è vuoto (0 byte).

• Il file è contrassegnato da un'etichetta protetta.

Nota

Nell'API pubblica, l'azione predefinita è il unmappedAction campo.

Best practice di sicurezza

• Utilizza una registrazione dell'app dedicata per DLP. Registra un'Microsoft Entra IDapplicazione separata per Quick DLP anziché riutilizzare una registrazione dell'app che serve altre integrazioni. Una registrazione dedicata consente di ruotare o revocare le credenziali in modo indipendente e di limitare l'ambito delle autorizzazioni.

• Concedi solo le autorizzazioni necessarie a DLP. Ambita la registrazione dell'app a SensitivityLabels.Read.All eUnifiedPolicy.Tenant.Read. Aggiungi Files.Read.All solo se utilizzi basi di conoscenza supportate da SharePoint oOneDrive; non è necessario elencare o mappare le etichette.

• Conserva le credenziali in Secrets Manager. Quick memorizza solo l'ARN del tuo segreto. Quick legge le credenziali in fase di esecuzione e non le visualizza mai nella console, le restituisce dall'API o le scrive nei log.

Guida di riferimento alle API

Per la gestione programmatica delle impostazioni DLP, consulta Amazon Quick API Reference.

Configurazione di Quick knowledge base

Per configurare le knowledge base di Quick Ingestion, segui le istruzioni per ciascun connettore:

• Integrazione della knowledge base di Google Drive

• Integrazione con Microsoft OneDrive Knowledge Base

• Integrazione con SharePoint la Knowledge Base di Microsoft

• Integrazione con Web Crawler

• Integrazione Amazon S3

• Integrazione della knowledge base di Atlassian Confluence Cloud

Risoluzione dei problemi

La tabella seguente elenca i problemi più comuni e come risolverli.

La convalida ha esito negativo con un errore di autorizzazione

Verifica che la registrazione all'app sia stata SensitivityLabels.Read.All concessa UnifiedPolicy.Tenant.Read e autorizzata dall'amministratore.

ARN segreto non trovato

Verifica che il segreto di Secrets Manager esista nello stesso AWS account di Quick e di aver concesso l'accesso rapido in Autorizzazioni, AWS risorse.

L'elenco delle etichette è vuoto o obsoleto

Usa Aggiorna nel passaggio 3 (mappatura delle etichette) per recuperare nuovamente l'elenco di etichette corrente dal tuo tenant. Purview

I file vengono bloccati in modo imprevisto durante la sincronizzazione della knowledge base

Controlla il rapporto Quick Observability per la sincronizzazione. Lo stato BLOCCATO può anche indicare un errore interno anziché l'applicazione della DLP. Controlla se il file contiene un'etichetta che hai mappato su Blocca, se l'azione predefinita è Blocca e l'azione di interruzione del provider se non è Purview stata raggiungibile durante la sincronizzazione.