Veelgestelde vragen: met Microsoft Purview beveiligde content migreren naar Nextcloud
Section titled “Veelgestelde vragen: met Microsoft Purview beveiligde content migreren naar Nextcloud”Hoe u SharePoint-bestanden die zijn beveiligd met Microsoft Purview-gevoeligheidslabels voorbereidt, migreert en documenteert bij de overstap naar Nextcloud met SMART Migration.
CLASSIFICATIE EN BEVEILIGING ZIJN TWEE VERSCHILLENDE ZAKEN
Het behouden van een labelnaam betekent niet dat de bijbehorende beveiliging behouden blijft. Microsoft-versleuteling, classificatiemetadata en toegangsbeheer in Nextcloud moeten afzonderlijk in het migratieplan worden behandeld.
Beveiligde bestanden identificeren
Inventariseer de labels en stel vast welke bestanden versleuteld zijn. Een classificatienaam alleen zegt niet of er versleuteling is toegepast.
Bruikbare content voorbereiden
Gebruik geautoriseerde Microsoft-tooling om de beveiliging te verwijderen waar dat nodig is voor native gebruik in Nextcloud.
Beveiligingsmaatregelen in het doel configureren
Spreek de classificatiemapping af en configureer de vereiste toegangs- en beveiligingsmaatregelen in Nextcloud.
De uitdaging begrijpen
Section titled “De uitdaging begrijpen”Wat is Microsoft Purview?
Section titled “Wat is Microsoft Purview?”Microsoft Purview biedt functies voor datagovernance, beveiliging en compliance. Microsoft Purview Information Protection omvat gevoeligheidslabels voor het classificeren en beveiligen van documenten en andere content.
Wat zijn gevoeligheidslabels?
Section titled “Wat zijn gevoeligheidslabels?”Gevoeligheidslabels classificeren content en kunnen, afhankelijk van hun configuratie, aanvullende beveiliging toepassen.
Visuele markeringen toepassen, zoals kopteksten, voetteksten of watermerken.
Versleuteling toepassen met Azure Rights Management.
Handelingen beperken, zoals openen, bewerken, afdrukken of kopiëren.
De beveiliging op bestandsniveau behouden wanneer content wordt gedownload of buiten SharePoint wordt gedeeld.
Voorbeelden zijn Public, Internal, Confidential, Restricted en Highly Restricted. Deze namen verschillen per organisatie; de bijbehorende beveiligingsinstellingen moeten worden gecontroleerd.
Kunnen versleutelde bestanden direct worden gemigreerd?
Section titled “Kunnen versleutelde bestanden direct worden gemigreerd?”Een versleuteld bestand kan als bestand worden gekopieerd, maar door het te kopiëren wordt de Microsoft-beveiliging niet verwijderd. Om het te openen kunnen nog steeds een geautoriseerde identiteit en een compatibele Microsoft-applicatie nodig zijn.
Als het doel is de content native in Nextcloud te gebruiken zonder afhankelijk te zijn van Microsoft Rights Management, moet de beveiliging via een goedgekeurd proces worden verwijderd.
Toegang tot SharePoint en toestemming om een bestand te ontsleutelen zijn afzonderlijke vereisten. Downloadrechten geven niet automatisch de rechten die nodig zijn om de beveiliging te verwijderen.
Voorbereiden op de migratie
Section titled “Voorbereiden op de migratie”Wat moet er gebeuren voordat versleutelde content wordt gemigreerd?
Section titled “Wat moet er gebeuren voordat versleutelde content wordt gemigreerd?”Spreek af of versleutelde kopieën worden bewaard of dat de beveiliging wordt verwijderd om native gebruik in Nextcloud mogelijk te maken. Leg de classificatiegegevens vast vóór elke bewerking waarbij het label kan worden verwijderd.
- Geautoriseerde bulkverwerking: gebruik een geschikte identiteit en Microsoft-tooling. Super User-toegang voor Azure Rights Management kan geschikt zijn voor centraal beheerde verwerking.
- Verwerking door eigenaren: gebruikers met voldoende rechten verwijderen de beveiliging van de geselecteerde bestanden.
- Goedgekeurde herlabeling: pas een afgesproken label- of beveiligingswijziging toe met ondersteunde tooling. Alleen het wijzigen van de configuratie van een label ontsleutelt bestaande bestanden niet automatisch.
Hoe configureren we Super User-toegang?
Section titled “Hoe configureren we Super User-toegang?”Voor toepasselijke beveiliging met Azure Rights Management kan de geautoriseerde beheerder van de klant Super User-toegang configureren. Het account of de service principal moet passen bij de gekozen authenticatie- en verwerkingsmethode.
Het volgende voorbeeld gebruikt de PowerShell-module AIPService. Valideer de aanpak vóór gebruik aan de hand van de tenant en de beveiligingsconfiguratie van de klant.
PowerShell: Super User-toegang configureren
1. Verbinding maken met een geautoriseerde beheerdersidentiteit
Section titled “1. Verbinding maken met een geautoriseerde beheerdersidentiteit”Connect-AipService
2. De Super User-functie inschakelen
Section titled “2. De Super User-functie inschakelen”Enable-AipServiceSuperUserFeature
3. Het goedgekeurde migratieserviceaccount toevoegen
Section titled “3. Het goedgekeurde migratieserviceaccount toevoegen”Add-AipServiceSuperUser -EmailAddress “migration-service@contoso.com”
Alternatief voor stap 3: een goedgekeurde service principal toevoegen
Section titled “Alternatief voor stap 3: een goedgekeurde service principal toevoegen”Add-AipServiceSuperUser -ServicePrincipalId “<service-principal-id>”
4. De configuratie controleren
Section titled “4. De configuratie controleren”Get-AipServiceSuperUser
BEHEER BEVOORRECHTE TOEGANG
Beperk verhoogde toegang tot de goedgekeurde projectperiode, leg het gebruik ervan vast en trek de toegang in wanneer het werk is afgerond. Controleer of de bestanden standaardbeveiliging van Azure Rights Management gebruiken of een andere beveiligingsconfiguratie die een andere aanpak vereist.
Hoe worden bestanden ontsleuteld?
Section titled “Hoe worden bestanden ontsleuteld?”Gebruik ondersteunde Microsoft-tooling, zoals de Microsoft Purview Information Protection-client of een oplossing die met de MIP SDK is gebouwd. De identiteit moet over de vereiste rechten beschikken.
Een gebruikelijke gefaseerde aanpak is: de geselecteerde bestanden downloaden, de beveiliging verwijderen in een gecontroleerde stagingomgeving, de leesbaarheid controleren en de goedgekeurde content migreren.
Het onderstaande voorbeeld illustreert de opdracht Remove-FileLabel. De vereiste clientinstallatie, authenticatie, beleidsinstellingen en rechten moeten eerst worden geconfigureerd.
PowerShell: beveiliging verwijderen van een goedgekeurd stagingbestand
Remove-FileLabel -Path “C:\Migration\Staging\ApprovedDocument.docx” -RemoveProtection
Microsoft-documentatie: Remove-FileLabel.
Migratieproces
Section titled “Migratieproces”Welke werkwijze moet het project volgen?
Section titled “Welke werkwijze moet het project volgen?”- Inventariseren: identificeer gelabelde bestanden en leg de beschikbare classificatie- en beveiligingsgegevens vast.
- Classificeren: scheid versleutelde content van gelabelde content zonder versleuteling.
- Voorbereiden: spreek de beveiligingsmaatregelen in het doel af, autoriseer beveiligingswijzigingen en configureer de verwerkingstools.
- Ontsleutelen: maak waar nodig leesbare kopieën in een beveiligde stagingomgeving.
- Migreren: gebruik SMART Migration om de geselecteerde content en de afgesproken metadata over te zetten.
- Beveiligingsmaatregelen in het doel toepassen: configureer toegang en beveiliging in Nextcloud voordat de content voor gebruikers wordt vrijgegeven.
- Verifiëren: controleer migratieresultaten, classificatiemapping, leesbaarheid en toegangsbeperkingen.
- Opschonen: verwijder stagingkopieën volgens het goedgekeurde proces en trek tijdelijke bevoorrechte toegang in.
Wat gebeurt er met de metadata van gevoeligheidslabels?
Section titled “Wat gebeurt er met de metadata van gevoeligheidslabels?”Classificatiegegevens kunnen ter referentie worden behouden wanneer ze in de bron beschikbaar zijn en door de afgesproken mappingconfiguratie worden ondersteund.
- Labelnamen: spreek de mapping naar Nextcloud-tags of MetaVox-eigenschappen af en valideer deze met representatieve bestanden.
- Visuele markeringen: in het document ingesloten markeringen kunnen in de bestandsinhoud achterblijven. Controleer hoe ze worden behandeld bij het verwijderen van de beveiliging.
- Versleuteling: Microsoft-beveiliging wordt niet automatisch omgezet in Nextcloud-versleuteling.
- Toegangsbeleid: configureer de vereiste rechten en beperkingen afzonderlijk in Nextcloud.
EEN TAG IS GEEN BEVEILIGINGSBELEID
Een Nextcloud-tag of MetaVox-eigenschap kan classificatiegegevens behouden. Op zichzelf reproduceert deze niet de versleuteling of gebruiksbeperkingen van Microsoft Purview.
Kan SMART Migration labelgegevens in de migratie gebruiken?
Section titled “Kan SMART Migration labelgegevens in de migratie gebruiken?”Beschikbare classificatiegegevens kunnen deel uitmaken van de metadatamapping en de selectie van content. Spreek met MigrateDMS af welke broneigenschappen kunnen worden gelezen en welke doelmappings in de gekozen configuratie worden ondersteund.
Test de mapping van labels naar tags, MetaVox-eigenschappen en routering op basis van classificatie vóór de productiemigratie. Toegangsrechten en het afdwingen van beveiliging blijven afzonderlijke configuratietaken.
Architectuuroverwegingen
Section titled “Architectuuroverwegingen”Moet gevoelige content een aparte Nextcloud-instantie gebruiken?
Section titled “Moet gevoelige content een aparte Nextcloud-instantie gebruiken?”Een aparte instantie kan geschikt zijn wanneer de klant een sterkere scheiding tussen classificatieniveaus vereist.
Gescheiden infrastructuur en netwerktoegang.
Eigen beheer en eigen toegangsbeleid.
Afwijkende afspraken voor back-up, bewaring en herstel.
Een duidelijkere afbakening voor het testen en documenteren van maatregelen.
Scheiding is alleen effectief wanneer ook gedeelde identiteiten, beheerders, back-ups en infrastructuur worden meegenomen. Spreek per instantie de doelverbindingen en de migratieconfiguratie af.
Welke Nextcloud-maatregelen moeten worden overwogen?
Section titled “Welke Nextcloud-maatregelen moeten worden overwogen?”Afhankelijk van de geïnstalleerde apps, clients en de implementatie kan het doelontwerp deelrechten, groepsbeperkingen, regels voor bestandstoegangsbeheer en versleutelingsopties omvatten.
Server-side versleuteling en end-to-end-versleuteling dienen verschillende doelen en kunnen operationele beperkingen hebben. Geen van beide mag worden gepresenteerd als directe vervanging voor elke functie van Microsoft RMS.
De Nextcloud-beheerder of beveiligingsspecialist van de klant moet de vereiste maatregelen, de compatibiliteit van applicaties en de gebruikerservaring valideren vóór productiegebruik.
Compliance en governance
Section titled “Compliance en governance”Wat moet er worden gedocumenteerd?
Section titled “Wat moet er worden gedocumenteerd?”- Bronbestanden en de beschikbare classificatie- en beveiligingsgegevens.
- Goedkeuring voor het verwijderen van beveiliging en de omgang met leesbare kopieën.
- Wanneer en hoe de beveiliging is verwijderd, inclusief mislukte verwerkingen.
- Wie bevoorrechte toegang heeft gekregen en voor hoelang.
- De mapping tussen bronclassificaties en beveiligingsmaatregelen in het doel.
- Migratieresultaten en verificatie van de toegang in de bestemming.
- Opschoning van staging en verwijdering van tijdelijke toegang.
De rapportage van SMART Migration ondersteunt het audittrail van de migratie. Leg activiteiten voor het verwijderen van beveiliging afzonderlijk vast met de gekozen tooling en de beschikbare auditvoorzieningen.
Wie beslist of beveiliging mag worden verwijderd?
Section titled “Wie beslist of beveiliging mag worden verwijderd?”GOVERNANCEBESLISSING VAN DE KLANT
De klant moet wijzigingen in de beveiliging goedkeuren op basis van toepasselijke verplichtingen, contracten en interne beleidsregels. Het migratieteam voert het goedgekeurde verwerkingsproces en de doelconfiguratie uit.
Praktische overwegingen
Section titled “Praktische overwegingen”Hoeveel bestanden hebben labels die versleuteling afdwingen?
Section titled “Hoeveel bestanden hebben labels die versleuteling afdwingen?”Er bestaat geen betrouwbaar universeel percentage. Meet de daadwerkelijke content en labelconfiguratie van de klant. Leid versleuteling niet af uit namen als Confidential of Restricted.
Wat als sommige bestanden niet kunnen worden ontsleuteld?
Section titled “Wat als sommige bestanden niet kunnen worden ontsleuteld?”- Onderzoek de eigenaar van de beveiliging, de tenant, de identiteit en de vereiste gebruiksrechten.
- Vraag een geautoriseerde eigenaar of beheerder het bestand te beoordelen.
- Leg de uitzondering vast en spreek af hoe de klant deze wil laten afhandelen.
- Bewaar beveiligde kopieën waar nodig op een goedgekeurde, afgeschermde locatie.
Een bewaarde versleutelde kopie mag niet worden gerapporteerd als succesvol omgezet naar content die native in Nextcloud bruikbaar is.
Kunnen gebruikers tijdens de migratie blijven werken?
Section titled “Kunnen gebruikers tijdens de migratie blijven werken?”Bij een gefaseerd project kan de bron in gebruik blijven, maar wijzigingen in bestanden en beveiliging moeten in het migratieplan worden opgenomen.
- Beoordeel nieuw aangemaakte, gewijzigde of nieuw beveiligde bestanden opnieuw.
- Spreek waar nodig een laatste incrementele verwerking en een cutover-venster af.
- Leg uit hoe toegang en classificatie na de migratie worden afgehandeld.
Verantwoordelijkheden van SMART Migration en de klant
Section titled “Verantwoordelijkheden van SMART Migration en de klant”SMART Migration
Ondersteunt contentoverdracht, geconfigureerde metadatamapping, migratieverwerking en rapportage. Bevestig de vereiste classificatiemappings voor de gekozen projectconfiguratie.
Klant en Microsoft-tooling
Zorgen voor goedkeuring, geautoriseerde identiteiten en de ondersteunde tooling die nodig is om beveiliging te verwijderen. Houden verwerkings- en toegangsregistraties bij.
Nextcloud-beheer
Configureert rechten, deelbeperkingen en beveiligingsmaatregelen in de bestemming. Valideert dat de omgeving aan de afgesproken eisen voldoet.
Welke informatie is van de klant nodig?
Section titled “Welke informatie is van de klant nodig?”- De gebruikte gevoeligheidslabels en hun beveiligingsinstellingen.
- De goedgekeurde migratiescope en de aanpak voor het verwijderen van beveiliging.
- Eisen voor classificatiemapping naar tags, metadata en doellocaties.
- Toegang tot de goedgekeurde content en een eventuele gecontroleerde stagingomgeving.
- Doelconfiguratie van Nextcloud, mappenstructuur en rechtenmodel.
- Acceptatiecriteria, afhandeling van uitzonderingen en eisen voor opschoning.
Samenvatting
Section titled “Samenvatting”PLAN BEVEILIGING ALS ONDERDEEL VAN DE MIGRATIE
Identificeer versleutelde content, spreek af hoe deze bruikbaar wordt gemaakt, behoud de vereiste classificatiegegevens en configureer de beveiligingsmaatregelen in de bestemming.
SMART Migration ondersteunt de migratiewerkwijze en de documentatie. Geautoriseerde Microsoft-tooling verzorgt het verwijderen van de beveiliging, terwijl de Nextcloud-maatregelen afzonderlijk worden geconfigureerd.
Zie ook