Метка конфиденциальности не применяется: устранение неполадок и решения для Microsoft 365 и Power BI

By Mirko Peters · 2026-04-21

В этой статье подробно разбирается, почему метки конфиденциальности могут работать не так, как вы ожидаете, в Microsoft 365, Power BI и связанных приложениях. Если вы ломаете голову над отсутствующими вариантами меток, сбоями автоматической маркировки или упорными проблемами конфигурации, вы попали по адресу. Мы пройдём практические шаги по устранению неполадок, укажем требования к лицензиям и кон

Automatically translated with AI from the original post. Read the English original

Cover: Build Audit-Ready Document Management with SharePoint and Purview

Вас ждут конкретные ответы, понятные списки того, что нужно проверить, и рекомендации по сложным проблемам, которые ставят в тупик даже опытных специалистов. Поддерживаете ли вы обычных пользователей или внедряете политики безопасности во всей организации, здесь вы найдёте решения, которые помогут защитить конфиденциальные данные, а вашей команде комплаенса дадут спокойно выдохнуть. Если вы подозревали, что «одной настройки, которая всё решит», не существует, этот материал покажет, где искать дальше.

Понимание меток конфиденциальности и типичных сбоев применения

Метки конфиденциальности стали краеугольным камнем защиты данных в современном мире Microsoft 365. Киберугрозы становятся всё коварнее, а всё больше данных перемещается в SharePoint, OneDrive и Power BI, поэтому важно понимать, что именно делают метки конфиденциальности и как выглядит ситуация, когда они работают неправильно.

Microsoft Purview помогает сосредоточиться на конфиденциальности данных: он позволяет организациям классифицировать и защищать файлы, письма и даже содержимое Power BI. Но то, что метки настроены, не означает, что они всегда работают так, как вам нужно. Возможны реальные сюрпризы: пропадают кнопки, политики меток по умолчанию дают сбой или некоторые файлы и пользователи оказываются вне действия меток.

Этот раздел начинается с основ: для чего предназначены метки конфиденциальности, почему они так важны для соответствия нормативным требованиям и приватности и по каким признакам можно понять, что что-то сломалось. Вы узнаете ключевые модели сбоев: от простого «метка не отображается» до более сложных проблем, таких как проблемы наследования или сломанная автоматизация, особенно в Power BI и совместных средах SharePoint и OneDrive.

Если вы когда-либо спрашивали себя «почему это не работает?», оставайтесь с нами. Следующие подразделы разберут типичные признаки проблем, базовые определения и главные причины сбоев автоматической маркировки, в том числе те, которых вы можете не ожидать. К концу вы получите основу, необходимую, чтобы находить и устранять проблемы с метками конфиденциальности в вашей экосистеме Microsoft.

Что такое метка конфиденциальности и как она должна работать?

Метка конфиденциальности — это тег, который можно применять к файлам, письмам и различному облачному содержимому в Microsoft 365, чтобы классифицировать информацию, защищать её и контролировать способ её использования. Эти метки управляются через Microsoft Purview и помогают держать под замком конфиденциальные данные, такие как финансовая информация, данные клиентов или интеллектуальная собственность.

После применения метки конфиденциальности могут автоматически шифровать содержимое, ограничивать права на доступ к файлу или его редактирование и даже запускать уведомления, если с данными обращаются неправильно. Работаете ли вы в Outlook, Word, Teams, SharePoint или Power BI, метки служат одновременно видимым сигналом и невидимым щитом, следуя за документом или сообщением куда бы они ни попали.

Метки могут назначать сами пользователи (ручная маркировка) или применять автоматически по заранее заданным правилам (автоматическая маркировка). Цель — бесшовный рабочий процесс: как только метка установлена, политики безопасности и соответствия начинают работать за кулисами, давая организации спокойствие независимо от того, где окажется файл.

Метки занимают центральное место в стратегиях соответствия нормативным требованиям, обеспечивая ключевые механизмы контроля для аудитов и юридической защиты. Если ваша цель — предотвратить хаос в документах и держать риски под контролем, построение продуманной программы маркировки конфиденциальности с Microsoft Purview — фундаментальный шаг. Практические советы по защите файлов в SharePoint и Teams можно найти в этом подкасте: остановите хаос в документах с помощью вашего щита Purview.

Распространённые проблемы с метками конфиденциальности и на что обращать внимание

Метки не отображаются: ожидаемые варианты меток не появляются в таких приложениях, как Word, Excel или Power BI, часто из-за неправильно настроенных политик или проблем с доступом пользователей.
Кнопка метки неактивна: пользователи видят кнопку метки конфиденциальности, но не могут её выбрать. Причиной могут быть отсутствующие лицензии, устаревший клиент или конфликты политик клиента.
Метки не наследуются: производный контент (экспорт, отчёты или общие файлы) не получает метку конфиденциальности родительского элемента. Обычно это происходит, когда наследование работает не так, как задумано, или не поддерживается в данном сценарии.
Автоматическая маркировка не работает: метки, которые должны применяться по умолчанию или на основании ключевых слов, не назначаются новому контенту. Это признак проблем с синхронизацией или неправильной настройки политик меток.
Пробелы в принудительном применении меток: пользователи работают с защищённым контентом, но защита шифрованием или доступом не срабатывает. Это подвергает данные риску и указывает на сбой в параметрах принудительного применения.

Почему моя метка конфиденциальности не применяется автоматически?

Политики автоматической маркировки настроены неверно. Если вы создали политики в Microsoft Purview, но не указали точных пользователей, группы или расположения, метки не будут применяться, даже если настройка выглядит правильной на первый взгляд.
Ограничения лицензирования блокируют метки. Пользователи без нужных лицензий Microsoft 365 или Purview не увидят метки и не смогут использовать автоматическую маркировку. Например, для эффективной маркировки в Power BI часто требуется Power BI Pro или Premium Per User.
Задержки синхронизации политик нарушают работу. После изменения политики или добавления новой метки применение изменений на всех устройствах и клиентах может занять от нескольких часов до нескольких дней. Пока синхронизация не завершится, автоматическая маркировка может просто не срабатывать.
Наследование для производного контента не поддерживается или настроено неверно. Даже если в Power BI отмечен параметр «downstream inheritance enabled», не все экспорты, отчёты и модели поддерживают корректное распространение. Некоторые типы контента, например постраничные отчёты или определённые экспортированные файлы, не получают метку родительского элемента автоматически.
Контекст устройства или входа ограничивает применение меток. Политики условного доступа или Intune часто ограничивают использование меток на неуправляемых или несоответствующих требованиям устройствах. Поэтому даже хорошо настроенная автоматическая маркировка может тихо не работать, если устройства не соответствуют требованиям.
Локальный кэш или повреждение метаданных в настольных приложениях. Иногда клиенты Office или Power BI Desktop сохраняют устаревшие списки меток, из-за чего новые или обновлённые правила автоматической маркировки не отображаются и не применяются, пока кэш не будет очищен или приложение не перезапущено.
Проблемы с разрешениями для пользователей B2B и гостей. Гости и внешние пользователи часто не могут применять, видеть или наследовать метки, даже имея права на редактирование, из-за границ между клиентами, политик или лицензирования.

Если сомневаетесь, аудит действий пользователей, например, как в этом руководстве по аудиту в Purview, поможет найти место, где автоматизация и наследование дают сбой.

Требования к лицензированию и настройке для меток конфиденциальности

Прежде чем рассчитывать на бесперебойную работу меток конфиденциальности в Microsoft 365 и Power BI, нужно правильно подготовить основу. Это означает, что лицензии, параметры клиента и настройки служб должны быть согласованы между собой. Отсутствие даже одного требования может помешать пользователям видеть или применять метки, даже если политики в центре администрирования выглядят идеально.

В этом разделе рассматривается «внутренняя кухня» системы меток: какие продукты и роли требуют премиум-лицензий, какие разрешения нужны для просмотра и использования меток и как политики меток охватывают нужных пользователей и службы. Вы также увидите, почему пропуск этих шагов часто приводит к необъяснимо отсутствующим функциям, неактивным кнопкам или несогласованному опыту работы с метками в разных приложениях.

Если вы устраняете неполадки с метками или готовитесь к масштабному внедрению, проверка этих требований к лицензированию и настройке обязательна. Ниже разобраны все элементы, чтобы вы точно знали, что проверить, прежде чем углубляться в технические проблемы. Чтобы лучше понять скрытые сложности в соблюдении требований и применении политик, ознакомьтесь с материалом о дрейфе соответствия требованиям в Microsoft 365.

Требования к лицензированию для просмотра и применения меток конфиденциальности

Лицензирование Microsoft Purview Information Protection (MIP): Маркировка конфиденциальности в Microsoft 365 требует, чтобы каждый пользователь, которому нужно просматривать, применять или автоматически применять метки, имел одну из следующих лицензий:

Microsoft 365 E5, A5 или G5
Microsoft 365 E3 с надстройкой Information Protection and Governance
Azure Information Protection P1/P2 или сопоставимый пакет
Требования для отдельных приложений: Для Power BI требуется лицензия Pro или Premium Per User (PPU) для создания, применения и наследования меток конфиденциальности в файлах PBIX или в содержимом рабочих областей.
Пользователям, которые только работают с помеченным содержимым в Power BI (но не создают и не изменяют метки), может хватить лицензии более низкого уровня в зависимости от настройки рабочей области.
Лицензирование для администраторов и автоматизации: Администраторы, которые создают и управляют метками конфиденциальности в портале Purview, также должны иметь соответствующую лицензию и могут нуждаться в дополнительных разрешениях для автоматизации через PowerShell или REST API.
Типичные пробелы: Пользователи в средах со смешанным лицензированием часто теряют доступ к меткам или автоматической маркировке, если их уровень лицензии недостаточен или назначен неправильно.
Гостевые учетные записи B2B и субъекты-службы, как правило, требуют особой настройки, поскольку большинство лицензий Microsoft 365 назначается пользователям и не покрывает такие сценарии автоматически. Здесь важную роль играют доступ к данным, владение и управление.

Как создать метку конфиденциальности и определить область действия

Откройте портал Microsoft Purview — начните с перехода в центр соответствия требованиям Purview и выберите «Information protection» в разделе Data lifecycle management.
Создайте новую метку и задайте её свойства — дайте метке понятное имя и описание, выберите подходящую область действия (файлы, письма, содержимое Power BI или всё вместе). Определите, какие меры защиты применять: шифрование, водяные знаки и разрешения на доступ.
Настройте назначение политики меток — определите, кто может видеть и использовать метку, выбрав конкретных пользователей, группы или всех владельцев учетных записей. Проверьте назначения, чтобы метка появлялась там, где она нужна, и случайно не оставалась скрытой.
Настройте метки по умолчанию и обязательную маркировку — включите маркировку по умолчанию для сценариев, когда все новые документы должны изначально иметь определенный уровень защиты. Включите обязательную маркировку, чтобы пользователи применяли метку перед сохранением или отправкой содержимого.
Опубликуйте политику и отслеживайте внедрение — когда вы будете уверены в настройках, опубликуйте политику и сообщите пользователям о изменениях. Регулярно проверяйте статистику использования и помеченного содержимого, чтобы вовремя заметить ошибки, — об этом также говорится в этом руководстве по управлению документами, готовыми к аудиту.

Устранение неполадок при применении меток конфиденциальности в Power BI

Power BI создает собственные сложности, когда речь заходит о метках конфиденциальности, и это касается даже опытных администраторов. Вы могли правильно все настроить в Microsoft Purview и во всем клиенте Microsoft 365, но Power BI все равно иногда преподносит новые проблемы. Они могут варьироваться от необъяснимо неактивной кнопки метки до защищенных файлов PBIX, которые не открываются или не публикуются.

Среди других болевых точек: метки по умолчанию и обязательные метки не применяются как ожидалось, переносы между Power BI Desktop и службой нарушают наследование меток или экспортированные отчеты теряют ключевые меры защиты. Есть также особые сценарии с гостевыми пользователями B2B, безопасностью на уровне строк или доступом к содержимому, которые могут запутать ваши планы управления.

Этот раздел охватывает все основные проблемы с метками конфиденциальности в Power BI, с которыми вы, скорее всего, столкнётесь. Каждый вложенный заголовок разбирает реальные причины и способы решения таких проблем, как недоступные из-за серого цвета элементы управления, пропущенное применение политик или невозможность работы с защищёнными файлами и повышенными параметрами безопасности. Не волнуйтесь: мы не просто перечисляем сообщения об ошибках, а помогаем закрыть пробелы, чтобы ваша стратегия соответствия требованиям и безопасности оставалась на верном пути. Интересуетесь более широкой картиной управления? Посмотрите, какие проблемы выявляют неэффективные средства контроля, в статье The Fabric governance illusion.

Почему кнопка метки конфиденциальности неактивна или отсутствует в Power BI

Устаревшая версия Power BI Desktop: Функция меток требует последней версии клиента Desktop. Если у вас старая версия, кнопка может вообще не отображаться.
Отсутствие лицензии или недостаточная область действия политики: Нужны Power BI Pro, Premium Per User или подходящая лицензия Microsoft Purview. Без лицензии варианты меток не появятся.
Файл PBIX хранится в неподдерживаемом расположении: Некоторые функции работают только с файлами, сохранёнными в OneDrive или SharePoint, но не на локальных дисках.
Политика меток клиента не опубликована или не применяется к вашему пользователю: Если администратор не включил вас (или рабочую область) в политику, метки будут отсутствовать.
Отсутствие подключения к Интернету или автономный режим: Функции меток зависят от синхронизации облачных политик. Если вы работаете офлайн, метки могут не отображаться.

Обязательные и метки по умолчанию не применяются к файлам PBIX в Power BI

Обязательная или метка по умолчанию не настроена на уровне клиента: Для принудительного применения Power BI требуются определённые параметры клиента; если их нет, файлы PBIX остаются без меток.
Включено ручное изменение меток: Если пользователи могут удалять или менять метки, принудительное применение обходится, несмотря на кажущиеся «обязательные» настройки.
Исключения рабочих областей: Принудительное применение может быть ограничено только некоторыми рабочими областями; остальные выпадают из охвата, если они не включены.
Задержка синхронизации между Desktop и службой: Недавно опубликованное или созданное содержимое может не сразу получить метку из-за задержек серверной обработки.

Проблемы с защищёнными файлами PBIX и доступом к содержимому

Шифрование блокирует операции с файлом: Если PBIX защищён меткой с шифрованием, пользователи могут не иметь возможности открывать, сохранять или публиковать файл, пока они не добавлены в нужную группу доступа.
Ограничения для B2B и гостевых пользователей: Внешние участники, как правило, могут открывать или редактировать защищённое содержимое только в том случае, если их учётные записи явно включены в политику доступа метки; иначе файлы не загружаются или не могут быть опубликованы.
Трудности с субъектами-службами и автоматизацией: Автоматизированные процессы с использованием субъектов-служб не всегда могут применять или удалять метки из-за неподдерживаемых сценариев или отсутствующих разрешений RBAC.
Несовместимые устаревшие файлы: Файлы PBIX, созданные или сохранённые в ранних версиях Power BI Desktop, могут не работать с новой защитой меток, что приводит к ошибкам импорта или доступа.
Ошибки сохранения и публикации для локального хранилища: Если файл PBIX сохранён на локальном диске или в расположении вне облака, защита метки конфиденциальности не переносится вместе с файлом, что вызывает ошибки доступа на других устройствах или в Power BI Service.
Расхождения конфигурации клиента: Расхождение политик между Microsoft Purview и параметрами клиента Power BI может блокировать синхронизацию меток, приводя к ошибкам «функция недоступна» или сбоям при доступе к защищённым файлам.
Сбои при согласовании безопасности на уровне строк и источника данных: Когда безопасность на уровне строк сочетается с защищёнными файлами, экспорт и доступ нарушаются, если роли и политики меток не согласованы идеально. Рекомендации по этому вопросу см. в статье Implementing RLS in Power BI.

Проблемы наследования меток и их распространения на вложенные элементы

В идеальном мире, однажды применив метку конфиденциальности к набору данных или отчёту, каждый производный файл или экспортированный элемент должен нести ту же «метку» безопасности, куда бы он ни попал. Но реальность такова: наследование не так надёжно, как многим кажется, особенно при экспорте, в постраничных отчётах и когда содержимое переделывается в Power BI или других приложениях.

Здесь мы задаем контекст того, где распространение меток обычно дает сбой. Одни проблемы технические (например, неподдерживаемые типы файлов), а другие связаны исключительно с политиками (например, когда наследование не настроено или переопределено параметрами экспорта). Это сложная игра «догоняй лидера»: если наследование нарушено, ваш конфиденциальный контент остается без ожидаемой защиты.

В следующих подразделах подробно объясняется, почему некоторые экспортированные листы Excel или отчеты Power BI теряют метку конфиденциальности, несмотря на то что это «производный контент». Мы также рассмотрим особенности пагинированных отчетов и наследование меток на основе модели, чтобы вы знали, на что обратить внимание и куда направить усилия по устранению неполадок для наибольшего общего эффекта.

Почему производный контент не наследует метки конфиденциальности

Неподдерживаемые форматы экспорта: многие производные экспорты, например CSV или PDF из Power BI, не сохраняют исходные метки конфиденциальности, поскольку формат не поддерживает метаданные меток.
Наследование включено не для всех типов контента: даже если «наследование для производного контента» включено в параметрах Purview, в процессе участвуют только поддерживаемые типы файлов и потоки данных. Пагинированные и некоторые гибридные отчеты часто разрывают эту цепочку.
Ручное переопределение при экспорте: если пользователи выбирают «Скачать без метки» или используют сторонние инструменты, унаследованные метки не сохраняются.
Ошибки в настройке политик: пробелы в области действия политик меток или в конфигурации клиента позволяют некоторым файлам или экспортам «проскользнуть» и выйти из-под действия правил распространения меток.
Задержка синхронизации клиентских приложений: если данные о метках не обновились в приложении, только что созданные или унаследованные метки могут не отображаться до следующего распространения политики.

Сбои в пагинированных отчетах и наследовании меток на основе модели

В пагинированных отчетах нет корректных механизмов наследования: когда пагинированный отчет построен на помеченном наборе данных, наследование не всегда происходит автоматически, особенно если подключение непрямое или источники данных не поддерживают метки.
Экспорт пагинированного контента удаляет метки: экспорт в PDF, CSV или Excel из пагинированных отчетов часто не сохраняет метки конфиденциальности из-за ограничений самого процесса экспорта.
Изоляция источников данных и модели: если модель отчета получает данные из нескольких источников, помеченных и непомеченных, правила наследования становятся неоднозначными, что приводит к резервной метке или к отсутствию метки вообще.
Проблемы с пользовательскими коннекторами: отчеты, использующие пользовательские коннекторы или внешние API, могут не передавать метаданные меток, что прерывает автоматическое распространение.
Пробелы в политиках для гибридных источников: гибридные среды (сочетание локальной инфраструктуры и облака) или использование нескольких клиентов часто приводят к несоответствию политик, при котором наследование просто не применяется или не поддерживается.
Рекомендуемое обходное решение: регулярно проверяйте политики Purview и настройки экспорта Power BI. Обучайте пользователей, по возможности, вручную применять метку и к модели, и ко всем производным отчетам, а также отслеживайте непомеченные экспорты: полагаться только на автоматическое наследование рискованно. Для более глубокого взгляда на управление загляните в этот материал об управлении в Microsoft Fabric.

Безопасность, защита и интеграция с Defender for Cloud Apps

Метки конфиденциальности — это не просто наклейка на файл: они дают реальные инструменты для расширенной безопасности, например шифрование и автоматическое применение защиты на устройствах и в облачных сервисах. Но чем мощнее эти настройки защиты, тем сложнее ИT-командам добиться, чтобы все работало согласованно.

В этом разделе рассматривается, как параметры защиты и шифрования, связанные с метками конфиденциальности, влияют на содержимое в Microsoft 365, Power BI и интегрированных инструментах, таких как Microsoft Defender for Cloud Apps. Когда метка добавляет шифрование к файлу, меняется то, кто может получить доступ к документу, редактировать его и даже видеть, и иногда это приводит к новым сложностям при устранении неполадок, если все настроено не совсем правильно.

Также мы рассмотрим, как отслеживать соответствие требованиям для помеченного контента, проверять доступ и получать оповещения о подозрительной активности с помощью инструментов Defender for Cloud Apps и Purview. Считайте это набором инструментов для проактивного управления рисками и обеспечения видимости. Если вы хотите больше узнать о том, как не отставать от отклонений от требований и интегрировать отчётность, ознакомьтесь с тем, как отслеживать соответствие требованиям с Defender for Cloud.

Как параметры защиты и шифрование влияют на поведение метки

Когда вы назначаете метку конфиденциальности с шифрованием, вы применяете новый набор правил, которые следуют за контентом independently of его местонахождения. Для документов и писем шифрование контролирует, кто может открывать, печатать или пересылать файлы, и ограничивает доступ даже за пределами вашей организации.

Эти меры защиты могут заблокировать редактирование или доступ, если пользователь не попадает под действие политики метки. Для файлов Power BI PBIX шифрование может не позволить пользователям публиковать или сохранять содержимое, если они не включены в разрешённую группу. В совместной работе, например при внешнем обмене или B2B-партнёрстве, метки с высоким уровнем защиты могут заблокировать даже пользователей с привилегированным доступом.

Некоторые параметры меток могут также отключать функции приложений. Например, если файл зашифрован, вы можете потерять возможность просмотра файла в SharePoint или Teams. А в Power BI функции безопасности на уровне строк и метки конфиденциальности должны работать вместе, иначе всё может сломаться, особенно при доступе с мобильных устройств или во встроенных сценариях.

Параметры защиты также тесно связаны с другими функциями безопасности: условным доступом, Microsoft Defender или правилами DLP. Эта интеграция гарантирует, что файл, помеченный как конфиденциальный, вызывает оповещения, блокирует рискованные действия или, при необходимости, полностью ограничивает доступ к содержимому. Подробнее о том, как все эти элементы вместе защищают рабочее пространство, не раздражая пользователей, читайте в этом разборе безопасности M365.

Мониторинг меток конфиденциальности с Defender for Cloud Apps

Аудит действий с метками: Defender for Cloud Apps и Microsoft Purview отслеживают действия, связанные с метками, что помогает оперативно выявлять несанкционированное удаление меток или неудачное назначение меток.
Настройка политик и оповещений: Настройте оповещения, чтобы уведомлять группы безопасности всякий раз, когда к конфиденциальной информации обращаются, её загружают или передают за пределы установленных политикой границ.
Обнаружение контента в масштабе: Используйте автоматическое обнаружение, чтобы находить незащищённый контент или проверять соответствие политикам меток во всём вашем облачном окружении.
Непрерывный контроль соответствия: Отслеживайте отклонения от требований и получайте варианты автоматического устранения, как подробно описано в этом руководстве по соответствию требованиям в Defender for Cloud.

Сложные сценарии и ограничения для отдельных сред

Большинство организаций использует метки конфиденциальности в простых конфигурациях Microsoft 365. Но если вы переходите к суверенным облакам, совместному использованию между клиентами (B2B) или пытаетесь автоматизировать действия с метками через API или сервисные учётные записи, то задача становится совсем другой. Эти сложные сценарии создают собственные ограничения, иногда технические, иногда связанные с политиками, которые могут сорвать даже лучше всего продуманные планы использования меток конфиденциальности.

В этом разделе описано, чего ожидать в специализированных средах. Вы узнаете, где маркировка просто не работает (или требует много дополнительной настройки), в том числе в клиентах облака для государственных учреждений США или Германии, при совместной работе с внешними пользователями B2B и в скриптах автоматизации с использованием service principal. Из-за этого могут возникать вопросы, почему функции меток просто исчезают или молча перестают работать.

Каждый подраздел описывает уникальные ограничения и рекомендует стратегии, которые помогают обойти или минимизировать эти барьеры. Это особенно актуально, если вы работаете в регулируемых отраслях или управляете несколькими клиентами и должны закрывать пробелы в безопасности, оставаясь готовыми к аудиту. Интересуют риски соответствия требованиям, связанные с неуправляемыми гостевыми учётными записями? Ознакомьтесь с этим разбором управления жизненным циклом гостевых учётных записей.

Метки конфиденциальности в суверенных облаках и B2B-совместной работе

Ограничения суверенных облаков: версии Microsoft 365 для государственных организаций США и Германии зачастую не поддерживают метки конфиденциальности в полном объёме или поддерживают лишь часть функций по сравнению с глобальными клиентами.
Пробелы для внешних пользователей и B2B: гости B2B часто не видят метки и не могут их применять, даже при правах на редактирование, если политика меток явно не включает их или в клиенте не настроен межклиентский доступ.
Расхождение политик при совместной работе: политики, заданные в одном клиенте, могут не переноситься вместе с файлами между клиентами, из-за чего метки теряются или применяются небезопасные настройки по умолчанию.
Обходные пути: применяйте метки вручную, обучайте внешних участников совместной работы и пересмотрите таргетинг политик меток, чтобы полнее охватить гостевых и партнёрских пользователей.

Автоматизация меток конфиденциальности с помощью REST API и субъектов-служб

Ограничения конечных точек API: некоторые конечные точки REST API пока не поддерживают чтение или запись метаданных меток, особенно в Power BI и SharePoint.
Проблемы с разрешениями и RBAC: субъектам-службам нужны одновременно нужная роль Azure и делегированные разрешения для управления метками, поэтому настройка бывает непростой.
Автоматизация гигиены меток: для массового назначения (или снятия) меток используйте PowerShell или Graph API, но всегда проверяйте особенности поведения в своей среде: учётные записи служб не могут повторить все действия, которые выполняет пользователь вручную.
Непонятные сообщения об ошибках: необъяснимые сбои в автоматизации встречаются часто, поэтому журналируйте всё и регулярно проверяйте документацию API и недавние обновления. Рекомендации по автоматизации управления M365 могут меняться, о чём рассказывается в этом материале об автоматизации PowerShell (если он доступен).

Ограничения пользователя и контекста устройства, влияющие на применение меток конфиденциальности

Иногда метки конфиденциальности не работают не из-за неверной лицензии или настройки администратора, а из-за контекста, в котором работает пользователь. Такие факторы, как соответствие требованиям устройства, условный доступ и состояние входа, могут заблокировать функции меток без предупреждения и видимых ошибок.

Этот раздел посвящён проблемам, которые можно найти только в мелком шрифте: например, когда пользователь входит с неуправляемого ноутбука или гостевой пользователь не видит параметров меток, как бы вы ни настраивали его разрешения. Такие блокировки часто контролируются Intune (для соответствия требованиям устройства) и политиками условного доступа Azure, которые могут ужесточать контроль для гостей, несоответствующих устройств или сценариев внешнего совместного доступа.

Разберём, какие политики незаметно «отключают» метки и как диагностировать происходящее, когда все очевидные настройки выглядят правильно. Речь идёт не только о документах: это Power BI, Teams, Outlook и любые места, где метки должны отображаться, но не отображаются. Если вы хотите вернуться к деталям построения доверия в политиках условного доступа, см. это руководство по политикам условного доступа с акцентом на доверие.

Условный доступ, соответствие требованиям устройства и доступность меток

Принудительное соответствие требованиям устройства: условный доступ и Intune могут требовать, чтобы устройства соответствовали требованиям (были управляемыми, зашифрованными или зарегистрированными), прежде чем разрешить любые действия с метками в приложениях Office или Power BI.
Блокировка неуправляемых устройств: если пользователь входит с устройства вне контроля Intune или Entra ID, возможность применять метки конфиденциальности может исчезнуть или стать неактивной без явного сообщения об ошибке.
Пользовательский контекст аутентификации: политики условного доступа, требующие MFA или правила на основе местоположения, могут ограничивать работу с метками только определёнными сценариями: применение метки не сработает, если сеанс не является полностью доверенным.
Диагностика: администраторам стоит проверить назначения политик условного доступа и журналы входа. Если действия с метками не работают только для отдельных пользователей, вероятная причина — пробелы в соответствии требованиям устройства или ограничительные политики. В сложных случаях для контроля расхождения политик безопасности идентификации может понадобиться цикл контроля; рекомендации по этому вопросу см. в этом выпуске о безопасности Entra ID.

Ограничения для гостевых и внешних пользователей при работе с метками конфиденциальности

Нет поддержки меток по умолчанию: внешние пользователи и партнёры (B2B) часто не могут применять метки или даже видеть их, если в политиках меток специально не указаны их учётные записи или внешние домены.
Пробелы в политиках и разрешениях: даже при наличии прав на редактирование гостевые пользователи могут не получить поддержку меток из-за ограничительных параметров клиента по умолчанию или отсутствия назначенной лицензии.
Риски безопасности из-за неиспользуемых гостевых учётных записей: устаревшие или неуправляемые гостевые учётные записи могут обходить политики или полностью лишиться применения меток; проверяйте жизненный цикл гостевых учётных записей и ограничивайте его, как описано в этом предупреждении о гостевых учётных записях.
Рекомендации по настройке: регулярно проверяйте таргетинг меток, задавайте гостевой доступ с ограничением по времени и включайте гостей туда, где это необходимо, но строго проводите проверки доступа ради соответствия требованиям.

Сбои применения меток из-за кэширования приложений и задержек синхронизации политик

Многие руководства упускают из виду одну вещь: проблемы на стороне приложений, связанные с кэшированием меток или медленной синхронизацией политик, могут мешать отображению или обновлению меток конфиденциальности, даже если настройки администрирования выглядят правильно. Такие проблемы особенно часто встречаются в классических приложениях Office и Power BI Desktop, где локальные метаданные или файлы кэша «устаревают» после изменения политик.

Если обновление политики не дошло до приложения, новые метки конфиденциальности могут не появляться, старые могут «застрять», а прежние правила автоматической маркировки продолжают применяться. Пользователи в такой ситуации начинают думать: «Проблема только у меня», хотя на самом деле это широко распространённая проблема синхронизации политик или кэша.

В этом разделе рассматриваются такие скрытые проблемы: очистка кэша меток и понимание сроков распространения политик на устройствах и платформах. Если вы (или ваши пользователи) заметили странности с метками после изменения политик администратором, это первое, что стоит проверить, прежде чем обращаться в поддержку.

Очистка кэша меток конфиденциальности в классических приложениях Office

Закройте все приложения Office, включая Word, Excel и Outlook. Откройте диспетчер задач и убедитесь, что процессы Office не остались запущенными.
Перейдите к расположению кэша меток: откройте %localappdata%\Microsoft\MSIP и/или %localappdata%\Microsoft\Office\16.0\LabeledDocuments (для сборок Office 365).
Удалите или переименуйте папки кэша, включая подпапки «Policy» или «Labels» в зависимости от ситуации. Это очищает устаревшие или повреждённые метаданные меток для приложений Office.
Перезапустите приложение Office. Оно автоматически получит политики меток из облака и сразу загрузит все новые или обновлённые метки конфиденциальности.
Когда применять: это решение необходимо после изменения политик меток, при обновлении каталогов меток или если новые метки не видны в средстве выбора меток. Это быстрое решение, которое стоит попробовать до более глубокой технической диагностики.

Задержки распространения политик на клиентах

Классические приложения Office: новые политики или метки могут распространяться до 24 часов, особенно после крупных изменений на портале Purview.
Веб-приложения (Office Online, служба Power BI): обновления политик применяются быстрее, обычно в течение 1–2 часов, но остаточный кэш браузера может задерживать их отображение.
Мобильные и гибридные клиенты: мобильные приложения могут хранить данные политик в кэше дольше. Принудительный выход и повторный вход могут ускорить обновление.
Как проверить: сравните списки меток в классических приложениях Office, веб-версиях и Power BI, чтобы выявить задержки синхронизации. Если задержки сохраняются, обратитесь к ИТ-администратору для проверки работоспособности синхронизации клиента.

Скрытые сбои и журналирование попыток применения меток конфиденциальности

Иногда самые сложные проблемы с метками конфиденциальности — это те, которых вы не видите: без сообщений об ошибках метка просто не применяется или не сохраняется. Такие «скрытые сбои» могут довести до отчаяния и пользователей, и администраторов, особенно в регулируемых отраслях или при прохождении внешнего аудита.

В этом разделе объясняется, где искать причину, если применение меток не работает, но явной ошибки нет. Речь идёт о журналах аудита Microsoft 365, локальных журналах на пользовательских устройствах (из клиента MIP или приложений Office) и разборе трассировок ошибок. Это продвинутый уровень диагностики, но именно здесь часто находится недостающий фрагмент головоломки, когда всё остальное выглядит правильно.

Расскажем, как получить доступ к единым журналам аудита Microsoft Purview и использовать их, чтобы найти неудачные или неполные назначения меток. Также вы получите подсказки по интерпретации журналов MIP и приложений Office, если интерфейс показывает «успех», но вы знаете, что результат неверный. Если вам важно понимать, что происходит за кулисами, загляните в мир аудита и криминалистического отслеживания: аудит действий пользователей в Purview.

Использование журналов аудита для отслеживания сбоев меток конфиденциальности

Откройте журналы аудита Microsoft 365: перейдите в портал соответствия требованиям Purview и откройте раздел «Аудит». Для этого нужны разрешения на просмотр журналов аудита.
Отфильтруйте действия с метками конфиденциальности: выполните поиск событий вроде «Sensitivity label applied», «Label changed» или «Label removed». Обратите внимание на записи, в которых «status» имеет значение failed или incomplete.
Изучите историю пользователя и файла: детально просмотрите неудачные события и зафиксируйте учетную запись пользователя, устройство, затронутый файл и ошибку (если она есть).
Выделите первопричины: ищите закономерности: сбои всегда возникают у определенных пользователей, с определенным типом файлов или после обновления политики? Так можно выделить проблемы политики, лицензий или клиентской стороны.
Рекомендации: если от соответствия требованиям многое зависит, перейдите на Purview Audit Premium для более подробных сигналов и более длительного хранения. Подробнее о криминалистическом отслеживании см. это пошаговое руководство по аудиту.

Анализ журналов клиента MIP и приложений Office для поиска скрытых ошибок

Включите подробное журналирование: в MIP и приложениях Office активируйте режимы подробного или отладочного журналирования через параметры реестра или ключи командной строки.
Найдите локальные журналы: ключевые файлы находятся в %localappdata%\Microsoft\MSIP\Logs для клиента MIP, а журналы Office хранятся в подпапках \Logs.
Проверьте ошибки после действия с меткой: ищите коды ошибок вроде 0x80070005 (доступ запрещен) или сообщение «label application failed» после того, как пользователь выполнил действие.
Передайте данные в поддержку: если диагностика на стороне пользователя не помогает, отправьте в Microsoft журналы и временные метки для углубленного анализа.

Итоговые проверки, обратная связь и рекомендуемые ресурсы

Вы прошли основные шаги по устранению неполадок с метками конфиденциальности в Microsoft 365 и Power BI. Прежде чем сдаваться или открывать обращение в поддержку, полезно систематически проверить настройки конфигурации и политик. Часто последний пропущенный параметр или забытое разрешение и есть причина проблемы, и глубокое погружение для этого не требуется.

В этом разделе перечислены обязательные проверки перед эскалацией: таргетинг политик, публикация меток, назначение лицензий и параметры принудительного применения. Здесь также есть ссылки на каналы обратной связи, службы поддержки и официальные рекомендации по best practices для дальнейшего изучения.

Считайте это остановкой для технического обслуживания и мостом к дальнейшей помощи. Для сложных случаев, когда нужно копнуть глубже или сообщить о новой проблеме, включены ссылки на авторитетные сообщества, рекомендуемые статьи и официальную документацию Microsoft. Больше советов по управлению документами, готовыми к аудиту, см. в материале о решениях Purview и SharePoint для наведения порядка в документах.

Чеклист для проверки настроек меток конфиденциальности и требований к лицензированию

Проверьте настройки клиента: убедитесь, что функция маркировки конфиденциальности включена и централизованно управляется через Microsoft Purview. Перепроверьте область действия клиента и переключатели функций.
Проверьте назначения политик меток: убедитесь, что политики меток охватывают всех нужных пользователей, группы или гостевые учетные записи. Ошибки в области действия политик – одна из главных причин, по которой метки не появляются там, где должны.
Подтвердите назначение лицензий: убедитесь, что каждый пользователь и администратор лицензирован для Purview Information Protection, Power BI Pro/Premium или других подписок, поддерживающих метки.
Проверьте распространение политик и синхронизацию: узнайте, дошли ли недавние изменения меток или политик до всех клиентов и видны ли они в средстве выбора меток конфиденциальности в ключевых приложениях.
Обязательное и принудительное применение меток по умолчанию: Убедитесь, что настройки обязательного и принудительного применения меток по умолчанию активны, особенно в Power BI и SharePoint, чтобы контент не создавался без метки.
Охват гостевых и B2B-пользователей: Проверьте, включены ли внешние коллаборанты в политики меток и как именно. Удалите неиспользуемые гостевые учетные записи — подробнее об этом читайте в статье the hidden danger of M365 guest accounts.
Изучите журналы аудита и активности: Просмотрите журналы аудита Microsoft 365 на предмет неудачных или неполных назначений меток. Этот шаг важен для регулируемых организаций и для проактивного мониторинга ИТ-инфраструктуры.
Очистите кэш меток при необходимости: После изменения политик используйте метод «очистки кэша», чтобы пользователи не сталкивались с проблемами из-за старых меток, которые продолжают отображаться.
Протестируйте все сценарии: Проверьте применение меток на управляемых и неуправляемых устройствах, для гостевых пользователей, а также в веб-версиях, классических приложениях и мобильных платформах там, где это необходимо.

Как отправить отзыв и получить рекомендованные статьи

Каналы обратной связи Microsoft: Используйте инструмент обратной связи в центре администрирования Microsoft 365 или посетите форумы сообщества, чтобы сообщить о новых проблемах и повлиять на дорожную карту функций.
Эскалация в службу поддержки: Открывайте обращения в службу поддержки через портал администрирования Microsoft 365 для нерешенных или критических проблем с метками конфиденциальности. Будьте готовы предоставить журналы и подробное описание шагов.
Лучшие практики и статьи: Найдите подробные разборы и обсуждения с экспертами, например, это руководство по аудиту действий пользователей с помощью guide to auditing user activity with Purview или пошаговый подход к building your Purview shield.
Обучение у сообщества: Следите за актуальными стратегиями работы с метками и советами по устранению неполадок, добавив в закладки рекомендованные страницы документации Microsoft и авторитетные форумы.