FAQ: Migration von durch Microsoft Purview geschützten Inhalten nach Nextcloud
Abschnitt betitelt „FAQ: Migration von durch Microsoft Purview geschützten Inhalten nach Nextcloud“So bereiten Sie SharePoint-Dateien, die durch Vertraulichkeitsbezeichnungen von Microsoft Purview geschützt sind, beim Umstieg auf Nextcloud mit SMART Migration vor, migrieren sie und dokumentieren den Vorgang.
KLASSIFIZIERUNG UND SCHUTZ SIND ZWEI VERSCHIEDENE DINGE
Wenn der Name einer Bezeichnung erhalten bleibt, bleibt damit nicht deren Sicherheitsdurchsetzung erhalten. Microsoft-Verschlüsselung, Klassifizierungsmetadaten und Nextcloud-Zugriffskontrollen müssen im Migrationsplan getrennt behandelt werden.
Geschützte Dateien identifizieren
Erfassen Sie die Bezeichnungen und ermitteln Sie, welche Dateien verschlüsselt sind. Der Name einer Klassifizierung allein sagt nicht aus, ob eine Verschlüsselung angewendet wird.
Nutzbare Inhalte vorbereiten
Entfernen Sie den Schutz, wo dies für die native Nutzung in Nextcloud erforderlich ist, mit autorisierten Microsoft-Werkzeugen.
Kontrollen im Ziel konfigurieren
Stimmen Sie die Zuordnung der Klassifizierungen ab und konfigurieren Sie die erforderlichen Zugriffs- und Schutzkontrollen in Nextcloud.
Die Herausforderung verstehen
Abschnitt betitelt „Die Herausforderung verstehen“Was ist Microsoft Purview?
Abschnitt betitelt „Was ist Microsoft Purview?“Microsoft Purview bietet Funktionen für Data Governance, Sicherheit und Compliance. Microsoft Purview Information Protection umfasst Vertraulichkeitsbezeichnungen, mit denen Dokumente und andere Inhalte klassifiziert und geschützt werden.
Was sind Vertraulichkeitsbezeichnungen?
Abschnitt betitelt „Was sind Vertraulichkeitsbezeichnungen?“Vertraulichkeitsbezeichnungen klassifizieren Inhalte und können je nach Konfiguration zusätzlichen Schutz anwenden.
Visuelle Kennzeichnungen wie Kopfzeilen, Fußzeilen oder Wasserzeichen anbringen.
Verschlüsselung mit Azure Rights Management anwenden.
Aktionen wie Öffnen, Bearbeiten, Drucken oder Kopieren einschränken.
Den Schutz auf Dateiebene beibehalten, wenn Inhalte heruntergeladen oder außerhalb von SharePoint geteilt werden.
Beispiele sind Öffentlich, Intern, Vertraulich, Eingeschränkt und Streng eingeschränkt. Diese Namen sind organisationsspezifisch; ihre Schutzeinstellungen müssen geprüft werden.
Können verschlüsselte Dateien direkt migriert werden?
Abschnitt betitelt „Können verschlüsselte Dateien direkt migriert werden?“Eine verschlüsselte Datei kann als Datei kopiert werden, durch das Kopieren wird der Microsoft-Schutz jedoch nicht entfernt. Zum Öffnen sind möglicherweise weiterhin eine autorisierte Identität und eine kompatible Microsoft-Anwendung erforderlich.
Wenn die Inhalte nativ in Nextcloud genutzt werden sollen, ohne von Microsoft Rights Management abhängig zu sein, muss der Schutz über einen genehmigten Prozess entfernt werden.
Der Zugriff auf SharePoint und die Berechtigung zum Entschlüsseln einer Datei sind getrennte Voraussetzungen. Eine Download-Berechtigung verleiht nicht automatisch die Rechte, die zum Entfernen des Schutzes erforderlich sind.
Vorbereitung der Migration
Abschnitt betitelt „Vorbereitung der Migration“Was muss vor der Migration verschlüsselter Inhalte geschehen?
Abschnitt betitelt „Was muss vor der Migration verschlüsselter Inhalte geschehen?“Legen Sie fest, ob verschlüsselte Kopien aufbewahrt werden oder ob der Schutz entfernt wird, um die native Nutzung in Nextcloud zu ermöglichen. Erfassen Sie die Klassifizierungsinformationen vor jedem Vorgang, bei dem die Bezeichnung entfernt werden könnte.
- Autorisierte Massenverarbeitung: Verwenden Sie eine geeignete Identität und Microsoft-Werkzeuge. Für eine zentral gesteuerte Verarbeitung kann ein Super-User-Zugriff für Azure Rights Management angemessen sein.
- Verarbeitung durch die Eigentümer: Benutzer mit ausreichenden Rechten entfernen den Schutz von den ausgewählten Dateien.
- Genehmigte Neubezeichnung: Wenden Sie mit unterstützten Werkzeugen eine abgestimmte Bezeichnung oder Schutzänderung an. Eine Änderung allein an der Konfiguration einer Bezeichnung entschlüsselt vorhandene Dateien nicht automatisch.
Wie konfigurieren wir den Super-User-Zugriff?
Abschnitt betitelt „Wie konfigurieren wir den Super-User-Zugriff?“Für den jeweils zutreffenden Azure-Rights-Management-Schutz kann der autorisierte Administrator des Kunden den Super-User-Zugriff konfigurieren. Das Konto bzw. der Dienstprinzipal muss zur gewählten Authentifizierungs- und Verarbeitungsmethode passen.
Das folgende Beispiel verwendet das PowerShell-Modul AIPService. Prüfen Sie das Vorgehen vor der Verwendung anhand des Tenants und der Schutzkonfiguration des Kunden.
PowerShell: Super-User-Zugriff konfigurieren
1. Mit einer autorisierten administrativen Identität verbinden
Abschnitt betitelt „1. Mit einer autorisierten administrativen Identität verbinden“Connect-AipService
2. Die Super-User-Funktion aktivieren
Abschnitt betitelt „2. Die Super-User-Funktion aktivieren“Enable-AipServiceSuperUserFeature
3. Das genehmigte Migrationsdienstkonto hinzufügen
Abschnitt betitelt „3. Das genehmigte Migrationsdienstkonto hinzufügen“Add-AipServiceSuperUser -EmailAddress “migration-service@contoso.com”
Alternative zu Schritt 3: Einen genehmigten Dienstprinzipal hinzufügen
Abschnitt betitelt „Alternative zu Schritt 3: Einen genehmigten Dienstprinzipal hinzufügen“Add-AipServiceSuperUser -ServicePrincipalId “<service-principal-id>”
4. Die Konfiguration überprüfen
Abschnitt betitelt „4. Die Konfiguration überprüfen“Get-AipServiceSuperUser
PRIVILEGIERTEN ZUGRIFF KONTROLLIEREN
Beschränken Sie erweiterte Zugriffsrechte auf den genehmigten Projektzeitraum, protokollieren Sie deren Nutzung und entziehen Sie sie nach Abschluss der Arbeiten. Klären Sie, ob die Dateien den Standardschutz von Azure Rights Management verwenden oder eine andere Schutzkonfiguration, die ein anderes Vorgehen erfordert.
Wie werden Dateien entschlüsselt?
Abschnitt betitelt „Wie werden Dateien entschlüsselt?“Verwenden Sie unterstützte Microsoft-Werkzeuge, etwa den Microsoft Purview Information Protection Client oder eine mit dem MIP SDK entwickelte Lösung. Die Identität muss über die erforderlichen Rechte verfügen.
Ein typisches stufenweises Vorgehen besteht darin, die ausgewählten Dateien herunterzuladen, den Schutz in einer kontrollierten Staging-Umgebung zu entfernen, die Lesbarkeit zu prüfen und die genehmigten Inhalte zu migrieren.
Das folgende Beispiel veranschaulicht den Befehl Remove-FileLabel. Die erforderliche Client-Installation, Authentifizierung, Richtlinieneinstellungen und Berechtigungen müssen zuvor konfiguriert werden.
PowerShell: Schutz von einer genehmigten Staging-Datei entfernen
Remove-FileLabel -Path “C:\Migration\Staging\ApprovedDocument.docx” -RemoveProtection
Microsoft-Dokumentation: Remove-FileLabel.
Migrationsprozess
Abschnitt betitelt „Migrationsprozess“Welchem Ablauf sollte das Projekt folgen?
Abschnitt betitelt „Welchem Ablauf sollte das Projekt folgen?“- Bestandsaufnahme: Identifizieren Sie bezeichnete Dateien und erfassen Sie die verfügbaren Klassifizierungs- und Schutzinformationen.
- Klassifizieren: Trennen Sie verschlüsselte Inhalte von bezeichneten Inhalten ohne Verschlüsselung.
- Vorbereiten: Stimmen Sie die Kontrollen im Ziel ab, genehmigen Sie Schutzänderungen und konfigurieren Sie die Verarbeitungswerkzeuge.
- Entschlüsseln: Erstellen Sie, wo erforderlich, lesbare Kopien in einer sicheren Staging-Umgebung.
- Migrieren: Übertragen Sie die ausgewählten Inhalte und die abgestimmten Metadaten mit SMART Migration.
- Kontrollen im Ziel anwenden: Konfigurieren Sie Zugriff und Schutz in Nextcloud, bevor Sie die Inhalte für die Benutzer freigeben.
- Prüfen: Kontrollieren Sie Migrationsergebnisse, Klassifizierungszuordnung, Lesbarkeit und Zugriffsbeschränkungen.
- Bereinigen: Entfernen Sie Staging-Kopien gemäß dem genehmigten Prozess und entziehen Sie temporäre privilegierte Zugriffsrechte.
Was geschieht mit den Metadaten der Vertraulichkeitsbezeichnungen?
Abschnitt betitelt „Was geschieht mit den Metadaten der Vertraulichkeitsbezeichnungen?“Klassifizierungsinformationen können zu Referenzzwecken erhalten bleiben, sofern sie in der Quelle verfügbar sind und von der abgestimmten Zuordnungskonfiguration unterstützt werden.
- Bezeichnungsnamen: Stimmen Sie die Zuordnung zu Nextcloud-Tags oder MetaVox-Eigenschaften ab und prüfen Sie sie anhand repräsentativer Dateien.
- Visuelle Kennzeichnungen: In Dokumente eingebettete Kennzeichnungen können im Dateiinhalt verbleiben. Prüfen Sie ihre Behandlung beim Entfernen des Schutzes.
- Verschlüsselung: Der Microsoft-Schutz wird nicht automatisch in eine Nextcloud-Verschlüsselung umgewandelt.
- Zugriffsrichtlinien: Konfigurieren Sie die erforderlichen Berechtigungen und Einschränkungen separat in Nextcloud.
EIN TAG IST KEINE SICHERHEITSRICHTLINIE
Ein Nextcloud-Tag oder eine MetaVox-Eigenschaft kann Klassifizierungsinformationen bewahren. Für sich genommen bildet sie jedoch weder die Verschlüsselung noch die Nutzungseinschränkungen von Microsoft Purview nach.
Kann SMART Migration Bezeichnungsinformationen bei der Migration nutzen?
Abschnitt betitelt „Kann SMART Migration Bezeichnungsinformationen bei der Migration nutzen?“Verfügbare Klassifizierungsdaten können in die Metadatenzuordnung und die Auswahl der Inhalte einfließen. Klären Sie mit MigrateDMS, welche Quelleigenschaften gelesen werden können und welche Zielzuordnungen in der gewählten Konfiguration unterstützt werden.
Testen Sie die Zuordnung von Bezeichnungen zu Tags, MetaVox-Eigenschaften und die klassifizierungsbasierte Weiterleitung vor der Produktivmigration. Zugriffsrechte und die Durchsetzung des Schutzes bleiben separate Konfigurationsaufgaben.
Überlegungen zur Architektur
Abschnitt betitelt „Überlegungen zur Architektur“Sollten sensible Inhalte eine separate Nextcloud-Instanz nutzen?
Abschnitt betitelt „Sollten sensible Inhalte eine separate Nextcloud-Instanz nutzen?“Eine separate Instanz kann sinnvoll sein, wenn der Kunde eine stärkere Trennung zwischen den Klassifizierungsstufen benötigt.
Getrennte Infrastruktur und getrennter Netzwerkzugang.
Eigene Administration und Zugriffsrichtlinien.
Abweichende Regelungen für Sicherung, Aufbewahrung und Wiederherstellung.
Eine klarere Abgrenzung für das Testen und Dokumentieren von Kontrollen.
Eine Trennung ist nur wirksam, wenn auch gemeinsam genutzte Identitäten, Administratoren, Sicherungen und Infrastruktur berücksichtigt werden. Stimmen Sie die Zielverbindungen und die Migrationskonfiguration für jede Instanz ab.
Welche Nextcloud-Kontrollen sollten berücksichtigt werden?
Abschnitt betitelt „Welche Nextcloud-Kontrollen sollten berücksichtigt werden?“Je nach installierten Apps, Clients und Bereitstellung kann das Zieldesign Freigabeberechtigungen, Gruppenbeschränkungen, Regeln zur Dateizugriffskontrolle und Verschlüsselungsoptionen umfassen.
Serverseitige Verschlüsselung und Ende-zu-Ende-Verschlüsselung erfüllen unterschiedliche Anforderungen und können betriebliche Einschränkungen mit sich bringen. Keine der beiden sollte als direkter Ersatz für sämtliche Funktionen von Microsoft RMS dargestellt werden.
Der Nextcloud-Administrator oder Sicherheitsspezialist des Kunden sollte die erforderlichen Kontrollen, die Anwendungskompatibilität und die Benutzerfreundlichkeit vor dem Produktiveinsatz prüfen.
Compliance und Governance
Abschnitt betitelt „Compliance und Governance“Was sollte dokumentiert werden?
Abschnitt betitelt „Was sollte dokumentiert werden?“- Quelldateien und ihre verfügbaren Klassifizierungs- und Schutzinformationen.
- Die Genehmigung zum Entfernen des Schutzes und der Umgang mit lesbaren Kopien.
- Wann und wie der Schutz entfernt wurde, einschließlich fehlgeschlagener Verarbeitungen.
- Wer privilegierten Zugriff erhalten hat und für wie lange.
- Die Zuordnung zwischen Quellklassifizierungen und Kontrollen im Ziel.
- Migrationsergebnisse und die Prüfung des Zugriffs im Ziel.
- Die Bereinigung des Staging-Bereichs und das Entfernen temporärer Zugriffsrechte.
Das Reporting von SMART Migration unterstützt den Prüfpfad der Migration. Protokollieren Sie die Aktivitäten zum Entfernen des Schutzes separat mit den gewählten Werkzeugen und den verfügbaren Audit-Funktionen.
Wer entscheidet, ob der Schutz entfernt werden darf?
Abschnitt betitelt „Wer entscheidet, ob der Schutz entfernt werden darf?“GOVERNANCE-ENTSCHEIDUNG DES KUNDEN
Der Kunde muss Änderungen am Schutz auf Grundlage der geltenden Verpflichtungen, Verträge und internen Richtlinien genehmigen. Das Migrationsteam setzt den genehmigten Handhabungsprozess und die Zielkonfiguration um.
Praktische Hinweise
Abschnitt betitelt „Praktische Hinweise“Wie viele Dateien haben Bezeichnungen, die eine Verschlüsselung erzwingen?
Abschnitt betitelt „Wie viele Dateien haben Bezeichnungen, die eine Verschlüsselung erzwingen?“Es gibt keinen verlässlichen allgemeingültigen Prozentsatz. Messen Sie die tatsächlichen Inhalte und die Bezeichnungskonfiguration des Kunden. Schließen Sie nicht aus Namen wie Vertraulich oder Eingeschränkt auf eine Verschlüsselung.
Was ist, wenn sich einige Dateien nicht entschlüsseln lassen?
Abschnitt betitelt „Was ist, wenn sich einige Dateien nicht entschlüsseln lassen?“- Untersuchen Sie den Eigentümer des Schutzes, den Tenant, die Identität und die erforderlichen Nutzungsrechte.
- Bitten Sie einen autorisierten Eigentümer oder Administrator, die Datei zu prüfen.
- Dokumentieren Sie die Ausnahme und stimmen Sie ab, wie der Kunde damit umgehen möchte.
- Bewahren Sie geschützte Kopien, wo erforderlich, an einem genehmigten Ort mit eingeschränktem Zugriff auf.
Eine aufbewahrte verschlüsselte Kopie darf nicht als erfolgreich in nativ in Nextcloud nutzbare Inhalte umgewandelt gemeldet werden.
Können die Benutzer während der Migration weiterarbeiten?
Abschnitt betitelt „Können die Benutzer während der Migration weiterarbeiten?“Ein phasenweises Projekt kann die weitere Nutzung der Quelle ermöglichen, Änderungen an Dateien und am Schutz müssen jedoch in den Migrationsplan einbezogen werden.
- Bewerten Sie neu erstellte, geänderte oder neu geschützte Dateien erneut.
- Stimmen Sie eine abschließende inkrementelle Verarbeitung und bei Bedarf ein Umstellungsfenster ab.
- Erläutern Sie, wie Zugriff und Klassifizierung nach der Migration gehandhabt werden.
SMART Migration und Verantwortlichkeiten des Kunden
Abschnitt betitelt „SMART Migration und Verantwortlichkeiten des Kunden“SMART Migration
Unterstützt die Übertragung von Inhalten, die konfigurierte Metadatenzuordnung, die Migrationsverarbeitung und das Reporting. Klären Sie die erforderlichen Klassifizierungszuordnungen für die gewählte Projektkonfiguration.
Kunde und Microsoft-Werkzeuge
Stellen Sie die Genehmigung, autorisierte Identitäten und die unterstützten Werkzeuge bereit, die zum Entfernen des Schutzes erforderlich sind. Führen Sie Aufzeichnungen über Verarbeitung und Zugriffe.
Nextcloud-Administration
Konfigurieren Sie Berechtigungen, Freigabebeschränkungen und Schutzkontrollen im Ziel. Prüfen Sie, ob die Umgebung die abgestimmten Anforderungen erfüllt.
Welche Informationen werden vom Kunden benötigt?
Abschnitt betitelt „Welche Informationen werden vom Kunden benötigt?“- Die verwendeten Vertraulichkeitsbezeichnungen und ihre Schutzeinstellungen.
- Der genehmigte Migrationsumfang und das Vorgehen zum Entfernen des Schutzes.
- Anforderungen an die Klassifizierungszuordnung für Tags, Metadaten und Zielorte.
- Zugriff auf die genehmigten Inhalte und eine etwaige kontrollierte Staging-Umgebung.
- Die Zielkonfiguration in Nextcloud, die Ordnerstruktur und das Berechtigungsmodell.
- Abnahmekriterien, Ausnahmebehandlung und Anforderungen an die Bereinigung.
Zusammenfassung
Abschnitt betitelt „Zusammenfassung“SCHUTZ ALS TEIL DER MIGRATION PLANEN
Ermitteln Sie verschlüsselte Inhalte, stimmen Sie ab, wie diese nutzbar gemacht werden, bewahren Sie die erforderlichen Klassifizierungsinformationen und konfigurieren Sie die Schutzmaßnahmen im Ziel.
SMART Migration unterstützt den Migrationsablauf und die Dokumentation. Das Aufheben des Schutzes erfolgt mit autorisierten Microsoft-Tools, während die Schutzmaßnahmen in Nextcloud separat konfiguriert werden.
Siehe auch