为 Azure Rights Management 服务配置使用权限

本文介绍用户、管理员或配置的服务选择Microsoft Purview 信息保护中的敏感度标签时，可以配置为自动应用的使用权限。

配置敏感度标签或权限管理模板进行加密时，会选择使用权限。 例如，可以选择配置使用权限逻辑分组的角色，或单独配置单个权限。 或者，用户可以自行选择并应用使用权限。

使用权限和说明

下表列出了 Rights Management 支持的使用权限，以及如何使用和解释这些权限。 它们按 其公用名列出，这通常是显示或引用的使用权限的方式，作为代码中使用的更友好的单字值版本， (编码策略 值) 。

在此表中：

• API 常量或值是 MSIPC 或 Microsoft 信息保护 SDK API 调用的 SDK 名称，在编写用于检查使用权限的应用程序或向策略添加使用权限时使用。

• AD RMS 模板 中的名称包含在 本地权限管理解决方案 Active Rights Rights Management Services 上或从中迁移的客户。

权限级别中包含的权限

某些应用程序将使用权限分组到权限级别，以便更轻松地选择通常一起使用的使用权限。 这些权限级别有助于从用户中抽象出一定程度的复杂性，以便他们可以选择基于角色的选项。 例如，查看器和受限编辑器。 尽管这些选项通常向用户显示权限的摘要，但它们可能不会包括上表中列出的每个权限。

使用下表获取这些权限级别的列表以及它们包含的使用权限的完整列表。 使用权限按 公用名列出。

脚注 1

不包括在 Microsoft Purview 门户中。

脚注 2

未包含在 Word、Excel 和 PowerPoint for Windows (版本 2408+) 中的自定义权限对话框中。

脚注 3

Microsoft Purview 门户以及 Word、Excel 和 PowerPoint for Windows (版本 2411+) 中的自定义权限对话框已更新权限级别命名。 审阅者现在称为受限编辑器，共同作者现在称为编辑器，共同所有者现在称为所有者。 其他应用程序继续使用原始权限级别命名。

脚注 4

不包括在 Microsoft Purview 门户中。

电子邮件的不转发选项

Exchange 客户端和服务 (例如，Outlook 客户端、Outlook 网页版、Exchange 邮件流规则和 Exchange) DLP作对电子邮件具有额外的信息权限保护选项：请勿转发。

尽管此选项对用户 (和 Exchange 管理员) 显示为他们可以选择的默认 Rights Management 模板一样，但 “请勿转发 ”不是模板。 相反，“ 请勿转发 ”选项是由用户动态应用于其电子邮件收件人的一组使用权限。

将“ 不转发 ”选项应用于电子邮件时，电子邮件已加密，收件人必须进行身份验证。 然后，收件人无法转发、打印或复制它。 例如，在 Outlook 客户端中，“转发”按钮不可用，“ 另存为 ”和“ 打印 ”菜单选项不可用，并且无法在“ 收件人”、“ 抄送”或“ 密件抄送 ”框中添加或更改收件人。

附加到电子邮件的未加密 Office 文档 会自动继承相同的限制。 应用于这些文档的使用权限为 “编辑内容”、“编辑”; 保存; 查看、打开、读取;和 “允许宏”。 如果希望附件具有不同的使用权限，或者附件不是支持此继承加密的 Office 文档，请先加密文件，然后再将其附加到电子邮件。 然后，可以分配文件所需的特定使用权限。

“不转发”和“不授予转发”使用权限之间的区别

应用 “请勿转发 ”选项和应用不向电子邮件授予 转发 使用权限的权限管理模板之间有一个重要的区别：“ 不转发 ”选项使用基于用户所选的原始电子邮件收件人的授权用户的动态列表;而模板中的权限具有管理员先前指定的已授权用户的静态列表。 有什么区别？ 让我们以一个示例为例：

用户希望通过电子邮件将一些不应与其他人共享的信息发送给营销部门中的特定人员。 他们是否应使用权限管理模板保护电子邮件，该模板限制 (查看、答复和保存) 到营销部门的权限？ 还是应选择“ 不转发” 选项？ 这两个选项都会导致收件人无法转发电子邮件。

• 如果他们应用了模板，则收件人仍然可以与营销部门的其他人共享信息。 例如，收件人可以使用资源管理器将电子邮件拖放到共享位置或 U 盘。 现在，任何来自营销部门的 (和电子邮件所有者) 谁有权访问此位置，都可以查看电子邮件中的信息。

• 如果他们应用了 “不转发” 选项，收件人将无法通过将电子邮件移动到其他位置来与营销部门中的其他人共享信息。 在这种情况下，只有原始收件人 (且电子邮件所有者) 才能查看电子邮件中的信息。

电子邮件的“仅加密”选项

当Exchange Online使用Microsoft Purview 邮件加密时，新的“加密电子邮件”选项将变为可用，以在没有任何其他限制的情况下加密数据。

此选项可供使用 Exchange Online 的租户使用，可按如下所示进行选择：

• 在 Outlook 网页版，其中包含“加密”选项或为“允许用户分配权限”和“仅加密”选项配置的敏感度标签
• 作为邮件流规则的另一个权限保护选项
• Microsoft Purview DLP作
• 从适用于桌面和移动设备的 Outlook 应用中：
  • 使用敏感度标签，该标签配置为 “允许用户分配权限 ”和“ 仅加密” 选项，适用于 Windows、macOS、iOS 和 Android，而敏感度标签与 Outlook 中敏感度标签功能表中列出的最低版本。
  • 使用 Windows 和 macOS 上的“加密”选项，对于按更新通道Microsoft 365 应用版支持的版本表中列出的版本。

有关仅加密选项的详细信息，请参阅 Office 团队首次宣布的以下博客文章：仅在Office 365邮件加密中推出加密。

选择此选项后，将加密电子邮件，并且收件人必须进行身份验证。 然后，收件人拥有除 “另存为”、“导出 ”和 “完全控制”之外的所有使用权限。 这种使用权限的组合意味着收件人除了无法删除加密之外没有限制。 例如，收件人可以从邮件中复制、打印和转发。

同样，默认情况下，附加到电子邮件的未加密 Office 文档 将继承相同的权限。 这些文档会自动加密，下载后，收件人可以从 Office 应用程序中保存、编辑、复制和打印这些文档。 当收件人保存文档时，可以将其保存为新名称，甚至可以保存为不同的格式。 但是，只有支持 Rights Management 加密的文件格式可用，因此如果没有原始加密，文档就无法保存。 如果希望附件具有不同的使用权限，或者附件不是支持此继承加密的 Office 文档，请先加密文件，然后再将其附加到电子邮件。 然后，可以分配文件所需的特定使用权限。

或者，可以通过使用 Exchange Online PowerShell 指定Set-IRMConfiguration -DecryptAttachmentForEncryptOnly $true来更改文档的此加密继承。 在对用户进行身份验证后，无需保留文档的原始加密时，请使用此配置。 当收件人打开电子邮件时，文档未加密。

使用Exchange Online自动加密 PDF 文档

当Exchange Online使用Microsoft Purview 邮件加密时，可以在 PDF 文档附加到加密电子邮件时自动对其进行加密。 文档继承与电子邮件相同的权限。 若要启用此配置，请使用 Set-IRMConfiguration 设置 EnablePdfEncryption $True。

收件人可以使用 Microsoft Edge 查看加密的 PDF 文档。 或者，收件人可以在 OME 门户中读取加密的 PDF 文档。

Rights Management 颁发者和 Rights Management 所有者

使用 Azure Rights Management 服务加密项目时，加密该内容的帐户将自动成为该内容的权限管理颁发者。 此帐户在使用情况日志中记录为颁发者字段。

始终向 Rights Management 颁发者授予项的“完全控制”使用权限，此外：

• 如果加密设置包含到期日期，则 Rights Management 颁发者仍然可以在该日期之后打开和编辑文档或电子邮件。

• Rights Management 颁发者可以始终在脱机状态下访问文档或电子邮件。

• 在文档被撤销后，Rights Management 颁发者仍然可以打开该文档。

默认情况下，此帐户也是该内容 的权限管理所有者 ，即创建项的用户启动加密时的情况。 但在某些情况下，管理员或服务可以代表用户加密内容。 例如：

• 管理员批量加密文件共享上的文件：Microsoft Entra ID 中的管理员帐户对用户的文档进行加密。

• Rights Management 连接器加密Windows Server文件夹中的 Office 文档：为 Rights Management 连接器创建的 Microsoft Entra ID 中的服务主体帐户为用户加密文档。

在这些方案中，Rights Management 颁发者可以使用 Microsoft 信息保护 SDK 或 PowerShell 将 Rights Management 所有者分配到另一个帐户。 例如，将 Set-LabelFile PowerShell cmdlet 与 Microsoft Purview 信息保护 客户端一起使用时，可以指定 Owner 参数将 Rights Management 所有者分配到另一个帐户。

当权限管理颁发者代表用户加密时，分配 Rights Management 所有者可确保原始项目所有者对其加密内容具有与其自己启动加密相同的控制级别。

例如，创建文档的用户可以打印文档，即使现在标记了不包含“打印使用”权限的加密设置。 无论在加密设置中配置的脱机访问设置或到期日期如何，同一用户始终都可以访问其文档。 此外，由于 Rights Management 所有者具有“完全控制”使用权限，因此此用户还可以重新加密文档以授予其他用户访问权限 (此时用户将成为 Rights Management 颁发者以及权限管理所有者) ，此用户甚至可以删除加密。 但是，只有 Rights Management 颁发者才能跟踪和撤销文档。

项的 Rights Management 所有者将记录为使用情况日志中的所有者电子邮件字段。

权限管理使用许可证

当用户打开已由 Azure Rights Management 服务加密的项目时，将向用户授予权限管理使用该内容的许可证。 此使用许可证是包含用户对项目的使用权限的证书，以及用于加密内容的加密密钥。 如果已设置此日期，则使用许可证还包含到期日期以及使用许可证的有效期。

除了权限帐户证书 (RAC) 之外，用户还必须具有有效的使用许可证才能打开内容，该证书是在 初始化用户环境 后每 31 天续订一次时授予的证书。

在使用许可证期间，用户不会对内容重新进行身份验证或重新授权。 这允许用户在没有 Internet 连接的情况下继续打开加密项。 当使用许可证有效期到期时，用户下次访问加密项目时，必须重新进行身份验证并重新授权用户。

使用定义加密设置的敏感度标签加密项目时，可以在敏感度标签中更改这些设置，而无需再次加密内容。 如果用户已访问内容，则更改在其使用许可证过期后生效。 但是，如果用户自行应用权限 (也称为用户定义权限、自定义权限或临时权限策略) 并且这些权限需要在项目加密后进行更改，则必须使用新权限再次加密该内容。 电子邮件的用户定义权限是使用“不转发”选项实现的。

租户的默认使用许可证有效期为 30 天，可以使用 PowerShell cmdlet Set-AipServiceMaxUseLicenseValidityTime 配置此值。 可以使用配置为立即分配权限的敏感度标签或权限管理模板，为何时应用加密配置更严格的设置：

• 配置敏感度标签时，使用许可证有效期取自 “允许脱机访问” 设置的值。

  有关为敏感度标签配置此设置的详细信息和指南，请参阅说明如何立即为敏感度标签 配置权限 的建议表。

• 使用 PowerShell 配置权限管理模板时，使用许可证有效期取自 Set-AipServiceTemplateProperty 和 Add-AipServiceTemplate cmdlet 中的 LicenseValidityDuration 参数的值。

  有关使用 PowerShell 配置此设置的详细信息和指南，请参阅每个 cmdlet 的帮助。

相关文档

• 通过敏感度标签应用加密，从而限制对内容的访问
• 为发现服务或数据恢复配置 Azure Rights Management 超级用户