Configuración de derechos de uso para el servicio Azure Rights Management

En este artículo se describen los derechos de uso que puede configurar para que se apliquen automáticamente cuando los usuarios, administradores o servicios configurados seleccionan una etiqueta de confidencialidad de Microsoft Purview Information Protection.

Los derechos de uso se seleccionan al configurar etiquetas de confidencialidad o plantillas de administración de derechos para el cifrado. Por ejemplo, puede seleccionar roles que configuren una agrupación lógica de derechos de uso o configurar los derechos individuales por separado. Como alternativa, los usuarios pueden seleccionar y aplicar los propios derechos de uso.

Derechos de uso y descripciones

En la tabla siguiente se enumeran y describen los derechos de uso que admite Rights Management y cómo se usan e interpretan. Se enumeran por su nombre común, que normalmente es cómo puede ver el derecho de uso mostrado o al que se hace referencia, como una versión más fácil de usar del valor de palabra única que se usa en el código (el valor Codificación en la directiva ).

En esta tabla:

• Constante de API o Valor es el nombre del SDK para una llamada a la API del SDK de MSIPC o Microsoft Information Protection, que se usa al escribir una aplicación que comprueba un derecho de uso o agrega un derecho de uso a una directiva.

• Los nombres de las plantillas de AD RMS se incluyen para los clientes que realizan o migran desde la solución de administración de derechos local, Active Rights Management Services.

Derechos incluidos en los niveles de permisos

Algunas aplicaciones agrupan los derechos de uso en niveles de permisos para facilitar la selección de los derechos de uso que se suelen usar juntos. Estos niveles de permisos ayudan a abstraer un nivel de complejidad de los usuarios, por lo que pueden elegir opciones basadas en roles. Por ejemplo, visor y Editor restringidos. Aunque estas opciones suelen mostrar a los usuarios un resumen de los derechos, es posible que no incluyan todos los derechos que aparecen en la tabla anterior.

Use la tabla siguiente para obtener una lista de estos niveles de permisos y una lista completa de los derechos de uso que contienen. Los derechos de uso se enumeran por su nombre común.

Nota al pie 1

No se incluye en el portal de Microsoft Purview.

Nota al pie 2

No se incluye en el cuadro de diálogo de permisos personalizados en Word, Excel y PowerPoint para Windows (versión 2408+).

Nota al pie 3

El portal de Microsoft Purview y el cuadro de diálogo de permisos personalizados en Word, Excel y PowerPoint para Windows (versión 2411+) han actualizado la nomenclatura de nivel de permisos. El revisor ahora se denomina Editor restringido, el coautor ahora se denomina Editor y el copropietario ahora se denomina propietario. Otras aplicaciones siguen usando la nomenclatura de nivel de permisos original.

Nota al pie 4

No se incluye en el portal de Microsoft Purview.

Opción para correos electrónicos No reenviar

Los clientes y servicios de Exchange (por ejemplo, el cliente de Outlook, Outlook en la Web, las reglas de flujo de correo de Exchange y las acciones DLP para Exchange) tienen una opción adicional de protección de derechos de información para los correos electrónicos: No reenviar.

Aunque esta opción parece para los usuarios (y los administradores de Exchange) como si se tratara de una plantilla de Rights Management predeterminada que pueden seleccionar, No reenviar no es una plantilla. En su lugar, la opción No reenviar es un conjunto de derechos de uso que los usuarios aplican dinámicamente a sus destinatarios de correo electrónico.

Cuando se aplica la opción No reenviar a un correo electrónico, el correo electrónico se cifra y los destinatarios deben autenticarse. A continuación, los destinatarios no pueden reenviarlo, imprimirlo ni copiar desde él. Por ejemplo, en el cliente de Outlook, el botón Reenviar no está disponible, las opciones de menú Guardar como e Imprimir no están disponibles y no se pueden agregar ni cambiar destinatarios en los cuadros Para, Cc o Cco .

Los documentos de Office sin cifrar adjuntos al correo electrónico heredan automáticamente las mismas restricciones. Los derechos de uso aplicados a estos documentos son Editar contenido, Editar; Guardar; Ver, Abrir, Leer; y Permitir macros. Si desea derechos de uso diferentes para los datos adjuntos, o si los datos adjuntos no son un documento de Office que admita este cifrado heredado, cifre el archivo antes de adjuntarlo al correo electrónico. A continuación, puede asignar los derechos de uso específicos que necesita para el archivo.

Diferencia entre no reenviar y no conceder el derecho de uso de reenvío

Hay una distinción importante entre aplicar la opción No reenviar y aplicar una plantilla de administración de derechos que no concede el derecho de uso de reenvío a un correo electrónico: la opción No reenviar usa una lista dinámica de usuarios autorizados que se basa en los destinatarios elegidos por el usuario del correo electrónico original; mientras que los derechos de la plantilla tienen una lista estática de usuarios autorizados que el administrador ha especificado anteriormente. ¿Cuál es la diferencia? Veamos un ejemplo:

Un usuario quiere enviar por correo electrónico información a personas específicas del departamento de marketing que no deben compartirse con nadie más. ¿Deben proteger el correo electrónico con una plantilla de administración de derechos que restrinja los derechos (ver, responder y guardar) al departamento de marketing? ¿O deben elegir la opción No reenviar ? Ambas opciones provocarían que los destinatarios no pudieran reenviar el correo electrónico.

• Si aplicaron la plantilla, los destinatarios podrían compartir la información con otros usuarios del departamento de marketing. Por ejemplo, un destinatario podría usar el Explorador para arrastrar y colocar el correo electrónico en una ubicación compartida o una unidad USB. Ahora, cualquier persona del departamento de marketing (y el propietario del correo electrónico) que tenga acceso a esta ubicación puede ver la información en el correo electrónico.

• Si aplicaron la opción No reenviar , los destinatarios no podrán compartir la información con nadie más en el departamento de marketing moviendo el correo electrónico a otra ubicación. En este escenario, solo los destinatarios originales (y el propietario del correo electrónico) podrán ver la información en el correo electrónico.

Opción de solo cifrado para correos electrónicos

Cuando Exchange Online usa Cifrado de mensajes de Microsoft Purview, está disponible una nueva opción Cifrar correo electrónico para cifrar los datos sin restricciones adicionales.

Esta opción está disponible para los inquilinos que usan Exchange Online y se pueden seleccionar de la siguiente manera:

• En Outlook en la Web con la opción Cifrar o una etiqueta de confidencialidad configurada para Permitir a los usuarios asignar permisos y la opción Cifrar solo
• Como otra opción de protección de derechos para una regla de flujo de correo
• Como acción DLP de Microsoft Purview
• Desde la aplicación outlook para escritorios y dispositivos móviles:
  • Con una etiqueta de confidencialidad configurada para Permitir a los usuarios asignar permisos y la opción Solo cifrado , para Windows, macOS, iOS y Android cuando se usan etiquetas de confidencialidad con las versiones mínimas enumeradas en la tabla para las funcionalidades de etiquetas de confidencialidad en Outlook.
  • Con la opción Cifrar en Windows y macOS, para las versiones enumeradas en la tabla de versiones admitidas para Aplicaciones Microsoft 365 por canal de actualización.

Para obtener más información sobre la opción de solo cifrado, vea la siguiente entrada de blog cuando se anunció por primera vez desde el equipo de Office: Cifrar solo se implementa en Office 365 cifrado de mensajes.

Cuando se selecciona esta opción, el correo electrónico se cifra y los destinatarios deben autenticarse. A continuación, los destinatarios tienen todos los derechos de uso excepto Guardar como, Exportar y Control total. Esta combinación de derechos de uso significa que los destinatarios no tienen restricciones, salvo que no pueden quitar el cifrado. Por ejemplo, un destinatario puede copiar del correo electrónico, imprimirlo y reenviarlo.

De forma similar, de forma predeterminada, los documentos de Office sin cifrar adjuntos al correo electrónico heredan los mismos permisos. Estos documentos son cifrados automáticamente y, cuando se descargan, los destinatarios pueden guardarlos, editarlos, copiarlos e imprimirlos desde las aplicaciones de Office. Cuando un destinatario guarda el documento, se puede guardar en un nombre nuevo e incluso en un formato diferente. Sin embargo, solo los formatos de archivo que admiten el cifrado de Rights Management están disponibles para que el documento no se pueda guardar sin el cifrado original. Si desea derechos de uso diferentes para los datos adjuntos, o si los datos adjuntos no son un documento de Office que admita este cifrado heredado, cifre el archivo antes de adjuntarlo al correo electrónico. A continuación, puede asignar los derechos de uso específicos que necesita para el archivo.

Como alternativa, puede cambiar esta herencia de cifrado de documentos especificando Set-IRMConfiguration -DecryptAttachmentForEncryptOnly $true con Exchange Online PowerShell. Use esta configuración cuando no necesite conservar el cifrado original para el documento después de autenticar al usuario. Cuando los destinatarios abren el mensaje de correo electrónico, el documento no se cifra.

Cifrado automático de documentos PDF con Exchange Online

Cuando Exchange Online usa Cifrado de mensajes de Microsoft Purview, puede cifrar automáticamente los documentos PDF cuando se adjuntan a un correo electrónico cifrado. El documento hereda los mismos permisos que los del mensaje de correo electrónico. Para habilitar esta configuración, establezca EnablePdfEncryption $True con Set-IRMConfiguration.

Los destinatarios pueden usar Microsoft Edge para ver el documento PDF cifrado. Como alternativa, los destinatarios pueden leer el documento PDF cifrado en el portal de OME.

Emisor de Rights Management y propietario de Rights Management

Cuando un elemento se cifra mediante el servicio Azure Rights Management, la cuenta que cifra ese contenido se convierte automáticamente en emisor de Rights Management para ese contenido. Esta cuenta se registra como el campo emisor en los registros de uso.

Al emisor de Rights Management siempre se le concede el derecho de uso control total para el elemento y, además:

• Si la configuración de cifrado incluye una fecha de expiración, el emisor de Rights Management todavía puede abrir y editar el documento o correo electrónico después de esa fecha.

• El emisor de administración de derechos siempre puede acceder al documento o correo electrónico sin conexión.

• El emisor de administración de derechos puede seguir abriendo un documento después de que se revoque.

De forma predeterminada, esta cuenta también es el propietario de Rights Management para ese contenido, que es el caso cuando un usuario que creó el elemento inicia el cifrado. Pero hay algunos escenarios en los que un administrador o servicio puede cifrar el contenido en nombre de los usuarios. Por ejemplo:

• Un administrador cifra en bloque los archivos de un recurso compartido de archivos: la cuenta de administrador de Microsoft Entra id. cifra los documentos para los usuarios.

• El conector de Rights Management cifra los documentos de Office en una carpeta Windows Server: la cuenta de entidad de servicio en Microsoft Entra id. que se crea para el conector de Rights Management cifra los documentos para los usuarios.

En estos escenarios, el emisor de Rights Management puede asignar el propietario de Rights Management a otra cuenta mediante los SDK de Microsoft Information Protection o PowerShell. Por ejemplo, al usar el cmdlet Set-LabelFile de PowerShell con el cliente Microsoft Purview Information Protection, puede especificar el parámetro Owner para asignar el propietario de Rights Management a otra cuenta.

Cuando el emisor de Rights Management cifra en nombre de los usuarios, la asignación del propietario de Rights Management garantiza que el propietario del elemento original tenga el mismo nivel de control para su contenido cifrado que si iniciara el cifrado por sí mismo.

Por ejemplo, el usuario que creó el documento puede imprimirlo, aunque ahora esté etiquetado con la configuración de cifrado que no incluya el derecho de uso de impresión. El mismo usuario siempre puede acceder a su documento, independientemente de la configuración de acceso sin conexión o la fecha de expiración que se hayan configurado en la configuración de cifrado. Además, dado que el propietario de Rights Management tiene el derecho de uso control total, este usuario también puede volver a cifrar el documento para conceder acceso a usuarios adicionales (momento en el que el usuario se convierte en el emisor de Rights Management, así como en el propietario de Rights Management), e incluso puede quitar el cifrado. Sin embargo, solo el emisor de Rights Management puede realizar un seguimiento y revocar un documento.

El propietario de Rights Management para un elemento se registra como el campo owner-email en los registros de uso.

Licencia de uso de administración de derechos

Cuando un usuario abre un elemento cifrado por el servicio Azure Rights Management, se concede al usuario una licencia de uso de Rights Management para ese contenido. Esta licencia de uso es un certificado que contiene los derechos de uso del usuario para el elemento y la clave de cifrado que se usó para cifrar el contenido. La licencia de uso también contiene una fecha de expiración si se ha establecido y cuánto tiempo es válida la licencia de uso.

Un usuario debe tener una licencia de uso válida para abrir el contenido además de su certificado de cuenta de derechos (RAC), que es un certificado que se concede cuando se inicializa el entorno de usuario y, a continuación, se renueva cada 31 días.

Mientras dure la licencia de uso, el usuario no se vuelve a autenticar ni vuelve a autenticar para el contenido. Esto permite al usuario seguir abriendo el elemento cifrado sin conexión a Internet. Cuando expire el período de validez de la licencia de uso, la próxima vez que el usuario acceda al elemento cifrado, el usuario debe volver a autenticarse y volver a autenticarse.

Cuando los elementos se cifran mediante una etiqueta de confidencialidad que define la configuración de cifrado, puede cambiar esta configuración en la etiqueta de confidencialidad sin tener que volver a cifrar el contenido. Si el usuario ya ha accedido al contenido, los cambios surten efecto después de que haya expirado su licencia de uso. Sin embargo, cuando los usuarios aplican permisos por sí mismos (también conocidos como permisos definidos por el usuario, permisos personalizados o una directiva de derechos ad hoc) y estos permisos deben cambiar después de cifrar el elemento, ese contenido debe cifrarse de nuevo con los nuevos permisos. Los permisos definidos por el usuario para un mensaje de correo electrónico se implementan con la opción No reenviar.

El período de validez de licencia de uso predeterminado para un inquilino es de 30 días y puede configurar este valor mediante el cmdlet de PowerShell Set-AipServiceMaxUseLicenseValidityTime. Puede configurar una configuración más restrictiva para cuando se aplique el cifrado mediante una etiqueta de confidencialidad configurada para asignar permisos ahora, o bien una plantilla de administración de derechos:

• Al configurar una etiqueta de confidencialidad, el período de validez de la licencia de uso toma su valor de la configuración Permitir acceso sin conexión .

  Para obtener más información e instrucciones para configurar esta configuración para una etiqueta de confidencialidad, consulte la tabla de recomendaciones de las instrucciones sobre cómo configurar permisos ahora para una etiqueta de confidencialidad.

• Al configurar una plantilla de administración de derechos mediante PowerShell, el período de validez de la licencia de uso toma su valor del parámetro LicenseValidityDuration en los cmdlets Set-AipServiceTemplateProperty y Add-AipServiceTemplate .

  Para obtener más información e instrucciones para configurar esta configuración mediante PowerShell, consulte la ayuda de cada cmdlet.

Documentación relacionada

• Restringir el acceso al contenido mediante el uso de etiquetas de confidencialidad para aplicar el cifrado
• Configuración Azure Rights Management superusuarios para los servicios de detección o la recuperación de datos