Microsoft Information Protection (MIP)

Diese Dokumentfunktion ermöglicht es, beim Generieren von Word-, PowerPoint- und Excel-Dokumenten Vertraulichkeitsbezeichnungen (Sensitivity Labels) von Microsoft Information Protection (Microsoft Purview) anzuwenden. Der Benutzer wählt das Label beim Generieren im Eingabeformular aus; primedocs wendet die zugehörigen visuellen Markierungen (Kopf-/Fusszeilen, Wasserzeichen) und – falls aktiviert – den Rechteschutz an.

Voraussetzungen

• Eine Azure-AD-App-Registrierung, deren Client-ID in ApplicationId hinterlegt wird (für die MIP-SDK-Operationen).
• Für den Rechteschutz (EnableProtection) muss zusätzlich der Connected Service _System.MIP.Protection konfiguriert sein.
• Die Auswahl eines Labels durch den Benutzer kann eine vorgängige Anmeldung am Connected Service erfordern.
• Auf dem Server (bzw. dem System, das die MIP-Operationen ausführt) muss das Visual C++ Redistributable installiert sein, da das MIP-SDK dieses voraussetzt.

Grundaufbau

Die Konfiguration erfolgt im Vorlageneditor unter Dokumentfunktionen. Die Einstellungen können entweder direkt (lokal) oder über eine Globale Konfiguration referenziert werden – eine Mischung beider Varianten ist nicht zulässig.

<MipConfiguration>
  <ApplicationId>00000000-0000-0000-0000-000000000000</ApplicationId>
  <EnableProtection>true</EnableProtection>
</MipConfiguration>

Konfigurationselemente

Element	Pflicht	Beschreibung
ApplicationId	erforderlich	Client-ID der Azure-AD-App-Registrierung, die für die MIP-SDK-Operationen verwendet wird. Bei lokaler Konfiguration muss ApplicationId gesetzt sein; wird stattdessen über GlobalMipSettings referenziert, muss der globale Eintrag die ApplicationId liefern.
EnableProtection	optional	true, wenn Labels mit Rechteschutz (Rights Management) unterstützt werden sollen. Erfordert den Connected Service _System.MIP.Protection.
OverrideServiceUrl	optional	Überschreibt den MIP-Service-Endpunkt (z.B. für lokale Entwicklung).
GlobalMipSettings	optional	Referenz auf eine globale MIP-Konfiguration über das Attribut Key. Bei Verwendung werden alle Einstellungen aus dem referenzierten globalen Eintrag geladen; darf nicht mit lokalen Einstellungen kombiniert werden.

Globale MIP-Einstellungen wiederverwenden

Wird dieselbe MIP-Konfiguration in mehreren Vorlagen benötigt, lässt sie sich als globale Konfiguration vom Typ MipGlobalSettings zentral pflegen und über GlobalMipSettings referenzieren:

<MipConfiguration>
  <GlobalMipSettings Key="StandardMip" />
</MipConfiguration>

info

Die Auswahl der Vertraulichkeitsbezeichnung erscheint dem Benutzer als Feld im Generierungsformular. Welche Labels verfügbar sind, ergibt sich aus der MIP-/Purview-Konfiguration des Mandanten.

Serverseitige Anwendung (Dark Processing)

Vertraulichkeitsbezeichnungen werden nicht nur im Office-Client, sondern auch serverseitig bei der Dokumentgenerierung angewendet — insbesondere beim Document Creation Server (DCS) und bei der automatisierten Generierung über Connect («Dark Processing»), ohne dass ein lokales Office-Add-In beteiligt ist.

Die Anwendung erfolgt als letzter Schritt der Dokumentpipeline direkt auf dem Dokument-Bytestream. Grund: Ist Rechteschutz aktiv (EnableProtection), verschlüsselt MIP das Dokument, wodurch es kein reines Office-Open-XML mehr ist und nicht weiterverarbeitet werden kann. Unterstützt werden Word, PowerPoint und Excel.

Authentifizierung

Serverseitig stehen keine interaktiven Office-Anmeldungen zur Verfügung. Die Anmeldung läuft daher über Connected Services:

• Das OAuth-Access-Token des Benutzers wird als Connected Service serverseitig gespeichert und pro Benutzer entschlüsselt verwendet. Die Benutzeridentität wird aus dem Token (JWT) ermittelt.
• Pro Benutzer wird ein isolierter MIP-Cache verwendet (relevant für Terminalserver-/Citrix-Umgebungen).
• Ist der benötigte Connected Service nicht angemeldet, wird die Label-Auswahl blockiert (Anmelde-Hinweis). Bei aktiviertem EnableProtection müssen beide Dienste (_System.MIP und _System.MIP.Protection) angemeldet sein.

Verfügbare Labels

Die verfügbaren Vertraulichkeitsbezeichnungen werden zur Laufzeit direkt aus dem MIP-Dienst gelesen (nicht aus einer lokalen Kopie):

• Hierarchische Labels werden als Übergeordnet\Untergeordnet dargestellt.
• Nur aktive Labels erscheinen.
• Labels mit Rechteschutz erscheinen nur, wenn EnableProtection gesetzt ist.

Die Label-Auswahl im Generierungsformular des Desktop Clients. Der Eintrag Demo Group\Demo Label in Group zeigt die Darstellung eines hierarchischen Labels.

Dieselbe Auswahl in der Web-App, hier zusätzlich mit der Beschreibung je Label.

Visuelle Markierungen

Bei der serverseitigen Generierung werden keine visuellen Markierungen (Kopf-/Fusszeilen, Wasserzeichen) eingebrannt — es wird lediglich das Label (inkl. Rechteschutz) gesetzt. Die visuellen Markierungen werden beim Öffnen des Dokuments im Office-COM-Add-In nachgezogen (Relabeling).