FAQ : Migrer vers Nextcloud du contenu protégé par Microsoft Purview
Section intitulée « FAQ : Migrer vers Nextcloud du contenu protégé par Microsoft Purview »Comment préparer, migrer et documenter les fichiers SharePoint protégés par des étiquettes de confidentialité Microsoft Purview lors d’une migration vers Nextcloud avec SMART Migration.
CLASSIFICATION ET PROTECTION SONT DEUX CHOSES DIFFÉRENTES
Conserver le nom d’une étiquette ne préserve pas l’application de la sécurité qui lui est associée. Le chiffrement Microsoft, les métadonnées de classification et les contrôles d’accès Nextcloud doivent être traités séparément dans le plan de migration.
Identifier les fichiers protégés
Inventoriez les étiquettes et déterminez quels fichiers sont chiffrés. Le seul nom d’une classification ne permet pas d’établir si un chiffrement est appliqué.
Préparer un contenu exploitable
Utilisez des outils Microsoft autorisés pour supprimer la protection lorsque cela est nécessaire à une utilisation native dans Nextcloud.
Configurer les contrôles cibles
Convenez de la correspondance des classifications et configurez les contrôles d’accès et de protection requis dans Nextcloud.
Comprendre l’enjeu
Section intitulée « Comprendre l’enjeu »Qu’est-ce que Microsoft Purview ?
Section intitulée « Qu’est-ce que Microsoft Purview ? »Microsoft Purview fournit des fonctionnalités de gouvernance des données, de sécurité et de conformité. Microsoft Purview Information Protection comprend des étiquettes de confidentialité permettant de classifier et de protéger les documents et d’autres contenus.
Que sont les étiquettes de confidentialité ?
Section intitulée « Que sont les étiquettes de confidentialité ? »Les étiquettes de confidentialité classifient le contenu et peuvent appliquer une protection supplémentaire selon leur configuration.
Appliquer des marquages visuels tels que des en-têtes, des pieds de page ou des filigranes.
Appliquer un chiffrement à l’aide d’Azure Rights Management.
Restreindre des actions telles que l’ouverture, la modification, l’impression ou la copie.
Conserver la protection au niveau du fichier lorsque le contenu est téléchargé ou partagé en dehors de SharePoint.
Exemples : Public, Interne, Confidentiel, Restreint et Hautement restreint. Ces noms sont propres à chaque organisation ; leurs paramètres de protection doivent être vérifiés.
Les fichiers chiffrés peuvent-ils être migrés directement ?
Section intitulée « Les fichiers chiffrés peuvent-ils être migrés directement ? »Un fichier chiffré peut être copié en tant que fichier, mais cette copie ne supprime pas la protection Microsoft. Son ouverture peut toujours nécessiter une identité autorisée et une application Microsoft compatible.
Si l’objectif est d’utiliser le contenu de manière native dans Nextcloud sans dépendre de Microsoft Rights Management, la protection doit être supprimée selon un processus approuvé.
L’accès à SharePoint et l’autorisation de déchiffrer un fichier sont deux exigences distinctes. Un droit de téléchargement ne confère pas automatiquement les droits nécessaires pour supprimer la protection.
Préparer la migration
Section intitulée « Préparer la migration »Que faut-il faire avant de migrer du contenu chiffré ?
Section intitulée « Que faut-il faire avant de migrer du contenu chiffré ? »Décidez si des copies chiffrées seront conservées ou si la protection sera supprimée pour permettre une utilisation native dans Nextcloud. Consignez les informations de classification avant toute opération susceptible de supprimer l’étiquette.
- Traitement en masse autorisé : utilisez une identité appropriée et des outils Microsoft. Un accès super utilisateur Azure Rights Management peut convenir pour un traitement géré de manière centralisée.
- Traitement par les propriétaires : les utilisateurs disposant de droits suffisants suppriment la protection des fichiers sélectionnés.
- Réétiquetage approuvé : appliquez une modification d’étiquette ou de protection convenue à l’aide d’outils pris en charge. La seule modification de la configuration d’une étiquette ne déchiffre pas automatiquement les fichiers existants.
Comment configurer l’accès super utilisateur ?
Section intitulée « Comment configurer l’accès super utilisateur ? »Pour une protection Azure Rights Management applicable, l’administrateur autorisé du client peut configurer l’accès super utilisateur. Le compte ou le principal de service doit correspondre à la méthode d’authentification et de traitement choisie.
L’exemple suivant utilise le module PowerShell AIPService. Validez l’approche au regard du tenant et de la configuration de protection du client avant utilisation.
PowerShell : configurer l’accès super utilisateur
1. Se connecter avec une identité d’administration autorisée
Section intitulée « 1. Se connecter avec une identité d’administration autorisée »Connect-AipService
2. Activer la fonctionnalité super utilisateur
Section intitulée « 2. Activer la fonctionnalité super utilisateur »Enable-AipServiceSuperUserFeature
3. Ajouter le compte de service de migration approuvé
Section intitulée « 3. Ajouter le compte de service de migration approuvé »Add-AipServiceSuperUser -EmailAddress “migration-service@contoso.com”
Alternative à l’étape 3 : ajouter un principal de service approuvé
Section intitulée « Alternative à l’étape 3 : ajouter un principal de service approuvé »Add-AipServiceSuperUser -ServicePrincipalId “<service-principal-id>”
4. Vérifier la configuration
Section intitulée « 4. Vérifier la configuration »Get-AipServiceSuperUser
CONTRÔLER LES ACCÈS PRIVILÉGIÉS
Limitez les accès à privilèges élevés à la période approuvée du projet, consignez leur utilisation et révoquez-les une fois le travail terminé. Vérifiez si les fichiers utilisent la protection standard Azure Rights Management ou une autre configuration de protection nécessitant une approche différente.
Comment les fichiers sont-ils déchiffrés ?
Section intitulée « Comment les fichiers sont-ils déchiffrés ? »Utilisez des outils Microsoft pris en charge, comme le client Microsoft Purview Information Protection ou une solution développée avec le MIP SDK. L’identité doit disposer des droits requis.
Une approche par étapes courante consiste à télécharger les fichiers sélectionnés, à supprimer la protection dans un environnement intermédiaire contrôlé, à vérifier leur lisibilité, puis à migrer le contenu approuvé.
L’exemple ci-dessous illustre la commande Remove-FileLabel. L’installation du client, l’authentification, les paramètres de stratégie et les autorisations requis doivent être configurés au préalable.
PowerShell : supprimer la protection d’un fichier intermédiaire approuvé
Remove-FileLabel -Path “C:\Migration\Staging\ApprovedDocument.docx” -RemoveProtection
Documentation Microsoft : Remove-FileLabel.
Processus de migration
Section intitulée « Processus de migration »Quel déroulement le projet doit-il suivre ?
Section intitulée « Quel déroulement le projet doit-il suivre ? »- Inventaire : identifiez les fichiers étiquetés et consignez les informations de classification et de protection disponibles.
- Classification : séparez le contenu chiffré du contenu étiqueté qui n’utilise pas de chiffrement.
- Préparation : convenez des contrôles cibles, autorisez les modifications de protection et configurez les outils de traitement.
- Déchiffrement : le cas échéant, préparez des copies lisibles dans un environnement intermédiaire sécurisé.
- Migration : utilisez SMART Migration pour transférer le contenu sélectionné et les métadonnées convenues.
- Application des contrôles cibles : configurez l’accès et la protection Nextcloud avant de mettre le contenu à disposition des utilisateurs.
- Vérification : contrôlez les résultats de la migration, la correspondance des classifications, la lisibilité et les restrictions d’accès.
- Nettoyage : supprimez les copies intermédiaires conformément au processus approuvé et révoquez les accès privilégiés temporaires.
Que deviennent les métadonnées des étiquettes de confidentialité ?
Section intitulée « Que deviennent les métadonnées des étiquettes de confidentialité ? »Les informations de classification peuvent être conservées à titre de référence lorsqu’elles sont disponibles dans la source et prises en charge par la configuration de correspondance convenue.
- Noms d’étiquettes : convenez de leur correspondance avec des étiquettes Nextcloud ou des propriétés MetaVox et validez-la avec des fichiers représentatifs.
- Marquages visuels : les marquages intégrés aux documents peuvent subsister dans le contenu du fichier. Vérifiez leur traitement lors de la suppression de la protection.
- Chiffrement : la protection Microsoft n’est pas convertie automatiquement en chiffrement Nextcloud.
- Stratégies d’accès : configurez séparément dans Nextcloud les autorisations et restrictions requises.
UNE ÉTIQUETTE N’EST PAS UNE STRATÉGIE DE SÉCURITÉ
Une étiquette Nextcloud ou une propriété MetaVox peut conserver des informations de classification. Elle ne reproduit pas, à elle seule, le chiffrement ni les restrictions d’utilisation de Microsoft Purview.
SMART Migration peut-il exploiter les informations d’étiquette lors de la migration ?
Section intitulée « SMART Migration peut-il exploiter les informations d’étiquette lors de la migration ? »Les données de classification disponibles peuvent faire partie de la correspondance des métadonnées et de la sélection du contenu. Convenez avec MigrateDMS des propriétés source pouvant être lues et des correspondances cibles prises en charge dans la configuration retenue.
Testez la correspondance entre étiquettes de confidentialité et étiquettes Nextcloud, les propriétés MetaVox et l’acheminement basé sur la classification avant la migration en production. Les droits d’accès et l’application de la protection restent des tâches de configuration distinctes.
Considérations d’architecture
Section intitulée « Considérations d’architecture »Le contenu sensible doit-il utiliser une instance Nextcloud distincte ?
Section intitulée « Le contenu sensible doit-il utiliser une instance Nextcloud distincte ? »Une instance distincte peut être appropriée lorsque le client exige une séparation plus forte entre les niveaux de classification.
Infrastructure et accès réseau distincts.
Administration et stratégies d’accès dédiées.
Dispositions différentes en matière de sauvegarde, de conservation et de restauration.
Une frontière plus claire pour tester et documenter les contrôles.
La séparation n’est efficace que si les identités, les administrateurs, les sauvegardes et l’infrastructure partagés sont également pris en compte. Convenez des connexions cibles et de la configuration de migration pour chaque instance.
Quels contrôles Nextcloud faut-il envisager ?
Section intitulée « Quels contrôles Nextcloud faut-il envisager ? »Selon les applications installées, les clients et le déploiement, la conception cible peut inclure des autorisations de partage, des restrictions de groupe, des règles de contrôle d’accès aux fichiers et des options de chiffrement.
Le chiffrement côté serveur et le chiffrement de bout en bout répondent à des exigences différentes et peuvent présenter des limites opérationnelles. Aucun des deux ne doit être présenté comme un remplacement direct de chaque fonctionnalité de Microsoft RMS.
L’administrateur Nextcloud ou le spécialiste sécurité du client doit valider les contrôles requis, la compatibilité des applications et l’expérience utilisateur avant la mise en production.
Conformité et gouvernance
Section intitulée « Conformité et gouvernance »Que faut-il documenter ?
Section intitulée « Que faut-il documenter ? »- Les fichiers source et leurs informations de classification et de protection disponibles.
- L’approbation de la suppression de la protection et le traitement des copies lisibles.
- Quand et comment la protection a été supprimée, y compris les échecs de traitement.
- Qui a reçu un accès privilégié et pour quelle durée.
- La correspondance entre les classifications source et les contrôles cibles.
- Les résultats de la migration et la vérification de l’accès à la destination.
- Le nettoyage de l’environnement intermédiaire et la suppression des accès temporaires.
Les rapports de SMART Migration alimentent la piste d’audit de la migration. Consignez séparément les activités de suppression de protection à l’aide des outils retenus et des fonctions d’audit disponibles.
Qui décide si la protection peut être supprimée ?
Section intitulée « Qui décide si la protection peut être supprimée ? »DÉCISION DE GOUVERNANCE DU CLIENT
Le client doit approuver les modifications de protection en fonction des obligations, des contrats et des politiques internes applicables. L’équipe de migration met en œuvre le processus de traitement approuvé et la configuration cible.
Considérations pratiques
Section intitulée « Considérations pratiques »Combien de fichiers portent des étiquettes imposant un chiffrement ?
Section intitulée « Combien de fichiers portent des étiquettes imposant un chiffrement ? »Il n’existe pas de pourcentage universel fiable. Mesurez le contenu réel et la configuration des étiquettes du client. Ne déduisez pas la présence d’un chiffrement de noms tels que Confidentiel ou Restreint.
Que faire si certains fichiers ne peuvent pas être déchiffrés ?
Section intitulée « Que faire si certains fichiers ne peuvent pas être déchiffrés ? »- Identifiez le propriétaire de la protection, le tenant, l’identité et les droits d’utilisation requis.
- Demandez à un propriétaire ou à un administrateur autorisé d’examiner le fichier.
- Consignez l’exception et convenez avec le client de la manière de la traiter.
- Conservez les copies protégées dans un emplacement restreint approuvé si nécessaire.
Une copie chiffrée conservée ne doit pas être déclarée comme convertie avec succès en contenu utilisable nativement dans Nextcloud.
Les utilisateurs peuvent-ils continuer à travailler pendant la migration ?
Section intitulée « Les utilisateurs peuvent-ils continuer à travailler pendant la migration ? »Un projet par phases peut permettre de continuer à utiliser la source, mais les modifications des fichiers et de la protection doivent être intégrées au plan de migration.
- Réévaluez les fichiers nouvellement créés, modifiés ou nouvellement protégés.
- Convenez d’un traitement incrémentiel final et, si nécessaire, d’une fenêtre de bascule.
- Expliquez comment l’accès et le traitement des classifications fonctionneront après la migration.
SMART Migration et responsabilités du client
Section intitulée « SMART Migration et responsabilités du client »SMART Migration
Prend en charge le transfert du contenu, la correspondance des métadonnées configurée, le traitement de la migration et les rapports. Confirmez les correspondances de classification requises pour la configuration du projet retenue.
Client et outils Microsoft
Fournir l’approbation, les identités autorisées et les outils pris en charge nécessaires à la suppression de la protection. Tenir à jour les registres de traitement et d’accès.
Administration Nextcloud
Configurer les autorisations de destination, les restrictions de partage et les contrôles de protection. Vérifier que l’environnement répond aux exigences convenues.
Quelles informations faut-il obtenir du client ?
Section intitulée « Quelles informations faut-il obtenir du client ? »- Les étiquettes de confidentialité utilisées et leurs paramètres de protection.
- Le périmètre de migration approuvé et l’approche de suppression de la protection.
- Les exigences de correspondance des classifications pour les étiquettes, les métadonnées et les emplacements cibles.
- L’accès au contenu approuvé et à tout environnement intermédiaire contrôlé.
- La configuration cible Nextcloud, l’arborescence des dossiers et le modèle d’autorisations.
- Les critères d’acceptation, le traitement des exceptions et les exigences de nettoyage.
PLANIFIER LA PROTECTION DANS LE CADRE DE LA MIGRATION
Identifiez le contenu chiffré, convenez de la manière dont il sera rendu exploitable, conservez les informations de classification requises et configurez les contrôles côté destination.
SMART Migration prend en charge le processus de migration et sa documentation. Les outils Microsoft autorisés se chargent de la suppression de la protection, tandis que les contrôles Nextcloud sont configurés séparément.
Voir aussi