開始使用資訊保護掃描器

從 Microsoft Purview 資訊保護安裝掃描器之前，請確定您的系統符合 Azure Rights Management 服務的需求。

此外，掃描器還特定於下列需求：

• Windows Server 需求
• 服務帳戶需求
• SQL Server 需求
• 資訊保護用戶端需求
• 標籤設定需求
• SharePoint 需求
• Microsoft Office 需求
• 檔案路徑需求

如果您無法滿足掃描器列出的所有需求，因為組織的原則禁止這些需求，請參閱 替代組態 一節。

在生產環境中部署掃描器或測試多個掃描器的效能時，請參閱 SQL Server 的儲存體需求和容量規劃。

當您準備好開始安裝和部署掃描器時，請繼續 設定和安裝資訊保護掃描器。

Windows Server 需求

您必須有 Windows Server 電腦才能執行掃描器，其系統規格如下：

服務帳戶需求

您必須擁有服務帳戶，才能在 Windows Server 電腦上執行掃描器服務，以及向 Microsoft Entra ID 進行驗證，並下載掃描器的原則。

您的服務帳戶必須是 Active Directory 帳戶，並同步處理至 Microsoft Entra ID。

如果您因為組織原則而無法同步化此帳戶，請參閱 使用替代組態部署掃描器。

此服務帳戶具有下列需求：

SQL Server 需求

若要儲存掃描器組態資料，請使用具有下列需求的 SQL Server：

• 本機或遠端執行個體。

  建議您在不同的電腦上裝載 SQL Server 和掃描器服務，除非您使用的是小型部署。 此外，我們建議您使用專用的 SQL 執行個體，該執行個體僅為掃描器資料庫提供服務，且不會與其他應用程式共用。

  如果您在共用伺服器上工作，請確定 建議的核心數 是空閒的，掃描器資料庫才能運作。

  SQL Server 2016 是下列版本的最低版本：

  • SQL Server Enterprise

  • SQL Server Standard

  • SQL Server Express (建議僅用於測試環境)

• 具有系統管理員角色的帳戶，可安裝掃描器。

  系統管理員角色可讓安裝程序自動建立掃描器組態資料庫，並將必要的 db_owner 角色授與執行掃描器的服務帳戶。

  如果您無法獲得系統管理員角色，或您的組織原則需要手動建立和配置資料庫，請參閱 使用替代配置部署掃描器。

• 量。 如需容量指引，請參閱 SQL Server 的儲存體需求和容量規劃。

• 不區分大小寫的對照。

SQL Server 的儲存體需求和容量規劃

掃描器組態資料庫所需的磁碟空間量，以及執行 SQL Server 的電腦規格，每個環境可能會有所不同，因此建議您自行進行測試。 使用下列指引作為起點。

如需相關資訊，請參閱 最佳化掃描器效能。

掃描器組態資料庫的磁碟大小會因每個部署而異。 使用以下方程式作為指導：

100 KB + <file count> *(1000 + 4* <average file name length>)

例如，若要掃描平均檔名長度為 250 位元組的 1,000,000,000 個檔案，請配置 2 GB 磁碟空間。

對於多台掃描器：

• 最多 10 台掃描儀，使用：

  • 4 核心處理器
  • 建議使用 8 GB RAM

• 超過 10 台掃描儀 ( 最多 40) ，使用：

  • 8個核心工藝
  • 建議使用 16 GB RAM

資訊保護用戶端需求

針對生產網路，您必須在 Windows Server 電腦上安裝目前的正式發行版本 Microsoft Purview 資訊保護用戶端。

如需詳細資訊，請參閱 安裝或升級資訊保護用戶端。

標籤設定需求

您必須在 Microsoft Purview 入口網站中針對掃描器帳戶設定至少一個敏感度標籤，才能套用分類，並選擇性地加密。

掃描器帳戶是您將在設定掃描器時執行的 Set-Authentication Cmdlet 的 DelegatedUser 參數中指定的帳戶。

如果您的標籤沒有自動標記條件，請參閱下方 替代設定的指示 。

如需詳細資訊，請參閱：

• 了解敏感度標籤
• 自動將敏感度標籤套用至 Microsoft 365 資料
• 使用敏感度標籤中的加密來限制內容的存取
• 設定及安裝資訊保護掃描器

SharePoint 需求

若要掃描 SharePoint 文件庫和資料夾，請確保您的 SharePoint 伺服器符合下列需求：

避免 SharePoint 中的掃描器逾時

如果您在 SharePoint 2013 版或更新版本中有長檔案路徑，請確定 SharePoint 伺服器的 httpRuntime.maxUrlLength 值大於預設的 260 個字元。

此值定義在組態的 ASP.NETHttpRuntimeSection 類別中。

若要更新 HttpRuntimeSection 類別：

1. 備份您的 web.config 組態。

2. 視需要更新 maxUrlLength 值。 例如：

   <httpRuntime maxRequestLength="51200" requestValidationMode="2.0" maxUrlLength="5000"  />
   

3. 重新啟動 SharePoint 網頁伺服器，並確認其載入正確。

   例如，在 Windows Internet Information Server (IIS) 管理員中，選取您的網站，然後在 [管理網站] 底下，選取 [ 重新啟動]。

Microsoft Office 需求

若要掃描 Office 文件，您的文件必須採用下列其中一種格式：

• Microsoft Office 97-2003
• 適用於 Word、Excel 和 PowerPoint 的 Office Open XML 格式

如需詳細資訊，請參閱 支援的檔案類型。

檔案路徑需求

依預設，若要掃描檔案，檔案路徑必須有最多 260 個字元。

若要掃描檔案路徑超過 260 個字元的檔案，請在具有下列其中一個 Windows 版本的電腦上安裝掃描器，並視需要設定電腦：

使用替代配置部署掃描器

上面列出的先決條件是掃描器部署的預設需求，建議使用，因為它們支援最簡單的掃描器設定。

預設需求應該適合初始測試，以便您可以檢查掃描器的功能。

不過，在生產環境中，您組織的原則可能與預設需求不同。 掃描器可以透過其他設定來適應以下變更：

• 探索並掃描特定 URL 下的所有網站和子網站

• 限制： 掃描器伺服器無法連線到網際網路

• 限制： 掃描器服務帳戶無法同步至 Microsoft Entra ID，但伺服器具有網際網路連線

• 限制： 掃描器的服務帳戶無法授與本端登入權限

• 限制： 您無法獲得 Sysadmin 或必須手動建立和配置資料庫

• 限制： 您的標籤沒有自動標記條件

探索並掃描特定 URL 下的所有 SharePoint 網站和子網站

掃描器可以使用下列設定來探索和掃描特定 URL 下的所有 SharePoint 網站和子網站：

1. 啟動 SharePoint 管理中心。

2. 在 SharePoint 管理中心 網站上的 [ 應用程式管理 ] 區段中，按一下 [管理 Web 應用程式]。

3. 按一下 以反白顯示您要管理其權限原則層級的 Web 應用程式。

4. 選擇相關的伺服器陣列，然後選取 [管理許可權原則層級]。

5. 在 [網站集合權限] 選項中選取 [網站集合稽核器]，然後在 [權限] 清單中授與 [檢視應用程式頁面]，最後將新的原則層級命名為 [掃描器] 網站集合稽核員和檢視器。

6. 將您的掃描器使用者新增至新原則，並在 [權限] 清單中授與 網站集合 。

7. 新增裝載需要掃描之網站或子網站的 SharePoint URL。 如需詳細資訊，請參閱 設定掃描器設定。

若要深入瞭解如何管理 SharePoint 原則層級，請參閱管理 Web 應用程式的許可權原則。

限制： 掃描器伺服器無法連線到網際網路

雖然資訊保護用戶端無法在沒有因特網連線的情況下套用加密，但掃描器仍然可以根據匯入的原則套用標籤。

若要支援中斷連線的電腦，請使用下列其中一種方法：

• 盡可能使用建議的 Microsoft Purview 入口網站 ()

• 使用 PowerShell

將 Microsoft Purview 入口網站與中斷連線的電腦搭配使用

若要支援無法連線到 Microsoft Purview 入口網站的電腦，請執行下列步驟：

1. 在原則中設定標籤，然後使用 程式來支援中斷連線的電腦 ，以啟用離線分類和標籤。

2. 啟用內容工作的離線管理，如下所示：

   啟用內容掃描工作的離線管理：

   1. 使用 Set-ScannerConfiguration Cmdlet 將掃描器設定為在離線模式下運作。

   2. 建立掃描器叢集，在 Microsoft Purview 入口網站中設定掃描器。 如需詳細資訊，請參閱 設定掃描器設定。

   3. 使用 [匯出] 選項，從 [資訊保護 - 內容掃描作業] 窗格匯出您的內容作業。

   4. 使用 Import-ScannerConfiguration Cmdlet 匯入原則。

   離線內容掃描作業的結果位於： %localappdata%\Microsoft\MSIP\Scanner\Reports

將 PowerShell 與中斷連線的電腦搭配使用

執行下列程式，以僅支援使用 PowerShell 中斷連線的電腦。

僅使用 PowerShell 管理您的內容掃描作業：

1. 使用 Set-ScannerConfiguration Cmdlet 將掃描器設定為在離線模式下運作。

2. 使用 Set-ScannerContentScan Cmdlet 建立新的內容掃描作業，請務必使用必要 -Enforce On 參數。

3. 使用 Add-ScannerRepository Cmdlet 新增存放庫，以及您要新增的存放庫路徑。

   提示

   若要防止儲存庫繼承內容掃描工作的設定，請新增 OverrideContentScanJob On 參數以及其他設定的值。

   若要編輯現有儲存庫的詳細資料，請使用 Set-ScannerRepository 命令。

4. 使用 Get-ScannerContentScan 和 Get-ScannerRepository Cmdlet 來傳回內容掃描作業目前設定的相關資訊。

5. 使用 Set-ScannerRepository 指令來更新現有儲存庫的詳細資料。

6. 如有需要，請立即使用 Start-Scan Cmdlet 執行內容掃描作業。

   離線內容掃描作業的結果位於： %localappdata%\Microsoft\MSIP\Scanner\Reports

7. 如果您需要移除存放庫或整個內容掃描作業，請使用下列 Cmdlet：

   • 刪除掃描器內容掃描
   • 刪除掃描器存放庫

限制： 您無法獲得 Sysadmin 或必須手動建立和配置資料庫

使用下列程序手動建立資料庫，並視需要授與 db_owner 角色。

• 掃描器資料庫的程序

如果可以 暫時 授與系統管理員角色來安裝掃描器，則可以在掃描器安裝完成後移除此角色。

根據您組織的需求，執行下列其中一項：

此外：

• 您必須是將執行掃描器的伺服器上的本機管理員

• 將執行掃描器的服務帳戶必須獲得下列登錄機碼的完整控制權限：

  • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\MSIPC\Server
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MSIPC\Server

如果在設定這些權限之後，您在安裝掃描器時看到錯誤，則可以忽略該錯誤，您可以手動啟動掃描器服務。

手動為掃描器建立資料庫和使用者，並授db_owner權限

如果您需要手動建立掃描器資料庫和/或建立使用者並授予資料庫 db_owner 權限，請要求系統管理員執行以下步驟：

1. 建立掃描器資料庫：

   **CREATE DATABASE AIPScannerUL_[clustername]**
   
   **ALTER DATABASE AIPScannerUL_[clustername] SET TRUSTWORTHY ON**
   

2. 將權限授與執行安裝命令並用來執行掃描器管理命令的使用者。 使用下列指令碼：

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   USE DBName IF NOT EXISTS (select * from sys.database_principals where sid = SUSER_SID('domain\user')) BEGIN declare @X nvarchar(500) Set @X = 'CREATE USER ' + quotename('domain\user') + ' FROM LOGIN ' + quotename('domain\user'); exec sp_addrolemember 'db_owner', 'domain\user' exec(@X) END
   

3. 授予掃描器服務帳戶的權限。 使用下列指令碼：

   if not exists(select * from master.sys.server_principals where sid = SUSER_SID('domain\user')) BEGIN declare @T nvarchar(500) Set @T = 'CREATE LOGIN ' + quotename('domain\user') + ' FROM WINDOWS ' exec(@T) END
   

限制： 掃描器的服務帳戶無法授與本端登入權限

如果您的組織原則禁止服務帳戶的 本機登入 權限，請搭配 Set-Authentication 使用 OnBehalfOf 參數。

如需詳細資訊，請參閱 自動執行資訊保護標籤 Cmdlet。

限制： 掃描器服務帳戶無法同步至 Microsoft Entra ID，但伺服器具有網際網路連線

您可以使用一個帳戶來執行掃描器服務，並使用另一個帳戶向 Microsoft Entra ID 進行驗證：

• 對於掃描器服務帳戶，請使用本機 Windows 帳戶或 Active Directory 帳戶。

• 針對 Microsoft Entra 帳戶，請在 Set-Authentication Cmdlet 的 DelegatedUser 參數中指定 Microsoft Entra 使用者。

  如果您在掃描器帳戶以外的任何使用者下執行掃描，請務必在 OnBehalfOf 參數中也指定掃描器帳戶。

  如需詳細資訊，請參閱 自動執行資訊保護標籤 Cmdlet。

限制： 您的標籤沒有自動標記條件

如果您的標籤沒有任何自動標記條件，請計劃在配置掃描器時使用以下選項之一：

後續步驟

確認您的系統符合掃描器必要條件之後，請繼續 設定和安裝資訊保護掃描器。

如需掃描器的概觀，請參閱 瞭解資訊保護掃描器。