Verwendungsprotokollierung für den Azure Rights Management-Dienst

Verwenden Sie diese Informationen, um zu verstehen, wie Sie die Verwendungsprotokollierung für den Verschlüsselungsdienst Azure Rights Management von Microsoft Purview Information Protection verwenden können. Dieser Verschlüsselungsdienst bietet zusätzlichen Datenschutz für Die Elemente Ihrer organization wie Dokumente und E-Mails und kann jede Anforderung protokollieren. Zu diesen Anforderungen gehören:

• Wenn Benutzer Elemente verschlüsseln, um sie zu schützen, und entschlüsseln, um sie zu lesen oder die Verschlüsselung zu entfernen.
• Aktionen, die von Ihren Administratoren ausgeführt werden, um den Azure Rights Management-Dienst zu verwalten, und Aktionen, die von Microsoft-Operatoren zur Unterstützung des Diensts ausgeführt werden.

Anschließend können Sie diese Verwendungsprotokolle verwenden, um die folgenden Geschäftsszenarien zu unterstützen:

• Analysieren für geschäftliche Erkenntnisse

  Die von Azure Rights Management generierten Protokolle können in ein Repository Ihrer Wahl (z. B. eine Datenbank, ein OLAP-System (Online Analytical Processing) oder ein Map-Reduce-System importiert werden, um die Informationen zu analysieren und Berichte zu erstellen. Als Beispiel könnten Sie ermitteln, wer auf Ihre verschlüsselten Daten zugreift. Sie können bestimmen, auf welche verschlüsselten Daten Personen zugreifen und von welchen Geräten und von wo aus. Sie können herausfinden, ob Personen verschlüsselte Inhalte erfolgreich lesen können. Sie können auch ermitteln, welche Personen ein wichtiges Verschlüsseltes Dokument gelesen haben.

• um auf Updates zu prüfen

  Protokollierungsinformationen zur Verwendung des Azure Rights Management-Diensts stehen Ihnen nahezu in Echtzeit zur Verfügung, sodass Sie die Nutzung des Diensts durch Ihr Unternehmen kontinuierlich überwachen können. 99,9 % der Protokolle sind innerhalb von 15 Minuten nach einer initiierten Aktion für den Dienst verfügbar.

  Sie können z. B. benachrichtigt werden, wenn es einen plötzlichen Anstieg von Personen gibt, die verschlüsselte Daten außerhalb der Standardarbeitszeit lesen, was darauf hindeuten könnte, dass ein böswilliger Benutzer Informationen sammelt, um sie an Wettbewerber zu verkaufen. Oder, wenn derselbe Benutzer anscheinend innerhalb eines kurzen Zeitraums von zwei verschiedenen IP-Adressen auf Daten zugreift, könnte dies darauf hindeuten, dass ein Benutzerkonto kompromittiert wurde.

• um forensische Analysen durchzuführen

  Wenn Sie ein Informationsleck haben, werden Sie wahrscheinlich gefragt, wer kürzlich auf bestimmte Dokumente zugegriffen hat und auf welche Informationen eine verdächtigte Person kürzlich zugegriffen hat. Sie können diese Arten von Fragen beantworten, wenn Sie die Azure Rights Management-Nutzungsprotokollierung verwenden, da Personen, die verschlüsselte Inhalte verwenden, immer eine Rights Management-Nutzungslizenz zum Öffnen von Elementen erhalten müssen, die von Azure Rights Management verschlüsselt werden, auch wenn diese Elemente per E-Mail verschoben oder auf USB-Laufwerke oder andere Speichergeräte kopiert werden. Dies bedeutet, dass Sie diese Protokolle als endgültige Informationsquelle für die forensische Analyse verwenden können, wenn Sie Ihre Daten mithilfe des Azure Rights Management-Diensts schützen.

Zusätzliche Protokollierungsoptionen für den Azure Rights Management-Dienst:

In den folgenden Abschnitten erfahren Sie mehr über die Verwendungsprotokollierung für den Azure Rights Management-Dienst.

Zugreifen auf und Verwenden Ihrer Azure Rights Management-Nutzungsprotokolle

Die Azure Rights Management-Nutzungsprotokollierung ist standardmäßig für alle Kunden aktiviert. Es fallen keine zusätzlichen Kosten für den Protokollspeicher oder die Protokollierungsfunktion an.

Der Azure Rights Management-Dienst schreibt Protokolle als eine Reihe von Blobs in ein Azure-Speicherkonto, das automatisch für Ihren Mandanten erstellt wird. Jedes Blob enthält einen oder mehrere Protokolldatensätze im erweiterten W3C-Protokollformat. Die Blobnamen sind Zahlen in der Reihenfolge, in der sie erstellt wurden. Der Abschnitt Interpretieren Ihrer Azure Rights Management-Nutzungsprotokolle weiter unten in diesem Dokument enthält weitere Informationen zum Protokollinhalt und deren Erstellung.

Es kann eine Weile dauern, bis Protokolle nach einer Azure Rights Management-Aktion in Ihrem Speicherkonto angezeigt werden. Die meisten Protokolle werden innerhalb von 15 Minuten angezeigt. Verwendungsprotokolle sind nur verfügbar, wenn der Feldname "date" den Wert eines vorherigen Datums (in UTC-Zeit) enthält. Nutzungsprotokolle ab dem aktuellen Datum sind nicht verfügbar. Es wird empfohlen, die Protokolle in den lokalen Speicher herunterzuladen, z. B. in einen lokalen Ordner, eine Datenbank oder ein Map-Reduce-Repository.

Zum Herunterladen Ihrer Nutzungsprotokolle verwenden Sie das PowerShell-Modul AIPService für Microsoft Purview Information Protection. Installationsanweisungen finden Sie unter Installieren des PowerShell-Moduls AIPService für den Azure Right Management-Dienst.

So laden Sie Ihre Nutzungsprotokolle mithilfe von PowerShell herunter

1. Starten Sie Windows PowerShell mit der Option Als Administrator ausführen, und verwenden Sie das Cmdlet Connect-AipService, um eine Verbindung mit dem Azure Rights Management-Dienst herzustellen:

   Connect-AipService
   

2. Führen Sie den folgenden Befehl aus, um die Protokolle für ein bestimmtes Datum herunterzuladen:

   Get-AipServiceUserLog -Path <location> -fordate <date>
   

   Nach dem Erstellen eines Ordners mit dem Namen Logs auf Laufwerk E:

   • Führen Sie den folgenden Befehl aus, um Protokolle für ein bestimmtes Datum (z. B. den 01.02.2025) herunterzuladen: Get-AipServiceUserLog -Path E:\Logs -fordate 2/1/2025

   • Führen Sie den folgenden Befehl aus, um Protokolle für einen Datumsbereich (z. B. vom 01.02.2025 bis zum 14.02.2025) herunterzuladen: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025

Wenn Sie wie in unseren Beispielen nur den Tag angeben, wird davon ausgegangen, dass die Uhrzeit 00:00:00 in Ihrer Ortszeit ist und dann in UTC konvertiert wird. Wenn Sie eine Uhrzeit mit den Parametern -fromdate oder -todate angeben (z. B. -fordate "1.02.2025 15:00:00"), werden datum und uhrzeit in UTC konvertiert. Der befehl Get-AipServiceUserLog ruft dann die Protokolle für diesen UTC-Zeitraum ab.

Sie können nicht weniger als einen ganzen Tag zum Herunterladen angeben.

Standardmäßig verwendet dieses Cmdlet drei Threads, um die Protokolle herunterzuladen. Wenn Sie über ausreichende Netzwerkbandbreite verfügen und die zum Herunterladen der Protokolle erforderliche Zeit verkürzen möchten, verwenden Sie den Parameter -NumberOfThreads, der einen Wert von 1 bis 32 unterstützt. Wenn Sie beispielsweise den folgenden Befehl ausführen, erzeugt das Cmdlet 10 Threads zum Herunterladen der Protokolle: Get-AipServiceUserLog -Path E:\Logs -fromdate 2/1/2025 –todate 2/14/2025 -numberofthreads 10

So interpretieren Sie Ihre Nutzungsprotokolle

Verwenden Sie die folgenden Informationen, um die Azure Rights Management-Nutzungsprotokolle zu interpretieren.

Die Protokollsequenz

Der Azure Rights Management-Dienst schreibt die Protokolle als eine Reihe von Blobs.

Jeder Eintrag im Protokoll weist einen UTC-Zeitstempel auf. Da der Dienst auf mehreren Servern in mehreren Rechenzentren ausgeführt wird, scheinen die Protokolle manchmal nicht in der Reihenfolge zu sein, selbst wenn sie nach ihrem Zeitstempel sortiert sind. Der Unterschied ist jedoch gering und in der Regel innerhalb einer Minute. In den meisten Fällen ist dies kein Problem, das für die Protokollanalyse ein Problem wäre.

Das Blobformat

Jedes Blob weist das erweiterte W3C-Protokollformat auf. Es beginnt mit den folgenden zwei Zeilen:

#Software: RMS

#Version: 1.1

Die erste Zeile gibt an, dass es sich hierbei um Nutzungsprotokolle von Azure Rights Management handelt. Die zweite Zeile gibt an, dass der Rest des Blobs der Spezifikation der Version 1.1 entspricht. Es wird empfohlen, dass alle Anwendungen, die diese Protokolle analysieren, diese beiden Zeilen überprüfen, bevor sie mit der Analyse des restlichen Blobs fortfahren.

Die dritte Zeile listet eine Liste von Feldnamen auf, die durch Registerkarten getrennt sind:

#Fields: Datum Uhrzeit Zeilen-ID Anforderungstyp Benutzer-ID Ergebnis Korrelations-ID Content-ID Besitzer-E-Mail-Aussteller Vorlage-ID Dateiname Datum-Veröffentlicht c-info c-ip admin-action acting-as-user

Jede der nachfolgenden Zeilen ist ein Protokolldatensatz. Die Werte der Felder weisen dieselbe Reihenfolge wie die vorherige Zeile auf und sind durch Registerkarten getrennt. Verwenden Sie die folgende Tabelle, um die Felder zu interpretieren.

Ausnahmen für das Feld "user-id"

Obwohl das Feld user-id normalerweise den Benutzer angibt, der die Anforderung gestellt hat, gibt es zwei Ausnahmen, bei denen der Wert keinem echten Benutzer zugeordnet ist:

• Der Wert 'microsoftrmsonline@<YourTenantID.rms>.<region.aadrm.com>".

  Dies weist darauf hin, dass ein Microsoft 365-Dienst, z. B. Exchange oder SharePoint, die Anforderung sendet. In der Zeichenfolge <ist YourTenantID> die GUID für Ihren Mandanten, und <region> ist die Region, in der Ihr Mandant registriert ist. Na steht beispielsweise für Nordamerika, eu für Europa und ap für Asien.

• Wenn Sie den Rights Management-Connector verwenden.

  Anforderungen von diesem Connector werden mit dem Dienstprinzipalnamen Aadrm_S-1-7-0 protokolliert, der automatisch generiert wird, wenn Sie den Rights Management-Connector installieren.

Typische Anforderungstypen

Es gibt viele Anforderungstypen für den Azure Rights Management-Dienst, aber in der folgenden Tabelle sind einige der am häufigsten verwendeten Anforderungstypen aufgeführt.

Azure Rights Management-Nutzungsprotokolle und Microsoft Purview-Überwachung

Dateizugriffs- und verweigerte Ereignisse enthalten nicht den Dateinamen und sind im einheitlichen Microsoft Purview-Überwachungsprotokoll nicht zugänglich.

PowerShell-Referenz

Nachdem Sie eine Verbindung mit dem Azure Rights Management-Dienst hergestellt haben, ist Get-AipServiceUserLog das einzige PowerShell-Cmdlet, das Sie für den Zugriff auf Ihre Azure Rights Management-Nutzungsprotokollierung benötigen.

Weitere Informationen zur Verwendung von PowerShell für den Azure Rights Management-Dienst finden Sie unter Verwalten des Azure Rights Management-Diensts mithilfe von PowerShell.