Защита информации в Microsoft Office 2003 с помощью служб RMS и IRM

Основные понятия

Служба управления правами (Microsoft® Windows® Rights Management Services, RMS) ОС Windows Server™ 2003 представляет собой технологию защиты информации, которая используется с такими RMS-совместимыми приложениями, как Microsoft Office 2003.

RMS обеспечивает защиту цифровой информации от ее неправомочного использования независимо от того, где и как она используется: автономно или в закрытой брандмауэром сети, или за пределами этой сети. Комбинируя возможности Windows Server 2003, средств разработки и промышленных технологий безопасности (включая шифрование, сертификаты на основе языка XrML (eXtensible rights Markup Language) и проверку подлинности)

Служба управления правами на доступ к данным (Information Rights Management, IRM) расширяет возможности использования службы RMS в приложениях Microsoft Office 2003, а также в обозревателе Microsoft Internet Explorer. Служащие, работающие с информацией, теперь могут указывать тех, кому разрешено использовать документ.

Также они могут определять действия, которые разрешено производить с документом. Например, они могут предоставить права на открытие, внесение изменений, печать, пересылку документа, а также на выполнение ряда других действий. Организации могут создавать собственные шаблоны политик использования, например, шаблон «Конфиденциально – только для чтения», который можно применять непосредственно к финансовым отчетам, спецификациям продукции, информации о заказчике, сообщениям электронной почты и прочим важным документам.

Наверх страницы

Аннотация.

Служба управления правами на доступ к данным (Information Rights Management, IRM) представляет собой технологию, обеспечивающую стойкую защиту информации на уровне файлов, которая помогает защитить секретную информацию и цифровые данные, являющиеся интеллектуальной собственностью, от несанкционированного использования.

Служба IRM позволяет задействовать все возможности службы управления правами (Rights Management Services, RMS) Microsoft® Windows®, используемой в Window Server™ 2003, в обозревателе Microsoft Internet Explorer и во всех версиях Microsoft Office 2003.

Наиболее распространенные случаи использования irm и rms

С помощью IRM можно защитить информацию в различных ситуациях. Наиболее часто пользователи задействуют возможности IRM в Office 2003 в двух случаях:

Защита сообщений электронной почты. Электронная почта используется в качестве основного способа обмена информацией в организации и за ее пределами. Сотрудники используют электронную почту для связи с членами рабочей группы, других групп, потребителями и поставщиками.

Торговые агенты, занимающихся продажей на местах, используют электронную почту для связи с корпоративным офисом с целью согласования новых ценовых политик и обновлений продукции. Исполнительные менеджеры используют электронную почту для обмена информацией в пределах организации.

Однако именно из-за такой простоты обмена данными и увеличивается риск утечки информации. Сообщения электронной почты, содержащие конфиденциальную информацию (например, план выпуска новой продукции или сведения о готовящемся слиянии компаний) могут быть легко отосланы (даже просто случайно) конкуренту, поставщику или в средства массовой информации.

Негативные последствия, к которым могут привести подобные утечки информации, могут включать в себя потерю преимущества над конкурентами, снижение дохода, а также потерю доверия потребителей к выпускаемой продукции. Использование защиты электронной почты на основе прав использования позволяет избежать утечек информации, предотвращая случайную пересылку сообщений.

Также это исключает возможность возникновения ситуации, при которой злоумышленник может сослаться на незнание правил организации. Ниже на Рисунке 1 представлено сообщение электронной почты, защищенное с помощью шаблона «Не пересылать» (Do Not Forward). Получатели этого сообщения электронной почты не смогут переслать его, а также скопировать или распечатать его содержимое.

Рисунок 1 – Защита сообщения электронной почты с помощью шаблона «Не пересылать» (Do Not Forward) службы IRM

Защита документов. Огромный объем информации, создаваемой и используемой служащими, содержится в документах, созданных с помощью программ повседневного использования на настольных компьютерах. Менеджеры, сотрудники отдела продаж, отдела кадров, отдела разработки и исследования продукции используют программы из комплекта Office 2003 для создания финансовых прогнозов, планирования продаж, доходов, жизненного цикла товара и оценки работы подчиненных, а также для написания результатов исследований – для работы со всей той информацией, которая может представлять угрозу компании в том случае, если она попадет в чужие руки.

IRM предоставляет в распоряжение сотрудников, работающих с информацией, средство, позволяющее при использовании программ, входящих в состав Office 2003, устанавливать защиту в виде прав доступа к важной информации, а также определять тех, кому разрешено открывать документ или вносить в него изменения в течение заданного периода времени.

Для того чтобы применить защиту IRM, необходимо воспользоваться кнопкой, расположенной на панели инструментов, как это показано ниже на Рисунке 2:

Рисунок 2 – Кнопка Не распространять (Разрешения) (Permission), присутствующая в программах Office 2003

В случае, если служба RMS была развернута на предприятии, то при нажатии на эту кнопку откроется диалоговое окно Разрешения (Permission), показанное на Рисунке 3:

Рисунок 3 – Диалоговое окно Разрешения (Permission), в котором указаны пользователи и назначены им права

Главное окно определения полномочий позволяет Вам быстро и просто предоставить разным пользователям права на чтение (Read) и внесение изменений (Change). При этом для определения пользователей используется адрес их электронной почты, который хранится в Active Directory, но также можно использовать и список рассылки.

Кроме того, можно указывать внешние адреса в том случае, если в организации используется политика доверия, в которой они указаны. При нажатии на кнопку Дополнительные параметры (More Options) откроется диалоговое окно, представленное на Рисунке 4.

Рисунок 4 – Диалоговое окно Дополнительные параметры (More options)

С помощью первого дополнительного параметра можно установить срок истечения действия прав на использование документа. После указания даты те пользователи, у кого срок действия полномочий истек, не смогут открыть документ. Кроме указания срока действия прав в диалоговом окне Дополнительные параметры (More Options) авторы документов могут выборочно предоставить остальным служащим права на печать, копирование, а также на открытие документа программно.

По умолчанию в поле Дополнительные параметры (Additional settings) указан адрес электронной почты автора документа, благодаря чему получатели могут обращаться к нему за получением дополнительных прав на использование данного документа (ниже на Рисунке 5 изображена ссылка Идет запрос дополнительных разрешений…

(Request additional permissions)). Также автор документа может разрешить или запретить пользователям более ранних версий Office открывать документ для чтения. Наконец, автор документа может потребовать выполнять подключение при каждом открытии документа.

Когда пользователь Victoria, которой предоставлены права на чтение документа (см. Рисунок 4), получает документ и открывает его, Word 2003 устанавливает соединение с корпоративным RMS-сервером, на котором выполняется проверка ее прав. В случае подтверждения наличия прав на чтение документа, он будет открыт (если же обнаружится, что у нее нет соответствующих прав, то документ открыт не будет).

Рисунок 5 – Просмотр разрешений на работу с защищенным файлом

В случае применения IRM права на использование информации всегда сохраняются вместе с ней даже в том случае, если эта информация используется за пределами сети. Это означает, что права на использование будут применяться к защищенной информации даже в том случае, если сотрудник открывает сообщение электронной почты или документ автономно или когда он предварительно сохранил его на диске.

Общая информация

Необходимой составляющей концепции защищенных информационных систем (Trustworthy Computing) является наличие технологии, способной надежно защитить содержимое и сохранить конфиденциальность частной информации, представленной в цифровом виде. Служба IRM, используемая в Microsoft Office, предоставляет в распоряжение организаций и их сотрудников, работающих с информацией, механизм, с помощью которого они могут обеспечить защиту важной информации.

В данном документе описывается использование службы RMS в инфраструктуре организации, ее поддержка службы IRM, а также расширение возможностей защиты информации в Microsoft Office 2003. Целью данного документа является предоставление единого источника информации, позволяющего понять задачи, связанные с защитой информации посредством использования служб IRM и RMS, а также обозначить пути их решения.

Хотя информация, представленная в разделах данного документа, не может считаться всесторонне описывающей данный материал, ее вполне достаточно для того, чтобы обеспечить развертывание обычной конфигурации и ее управление. Кроме того, в документе приводятся ссылки на соответствующие разделы файлов помощи RMS и на те разделы веб-сайта RMS, которые содержат более полную информацию по рассматриваемым вопросам.

Указанные источники предоставляют значительно больше информации по данной теме. Например, там перечислены преимущества использования RMS и IRM для бизнеса, описана архитектура и возможности топологии, а также представлена прочая информация, которую необходимо учитывать при планировании развертывания.

Наверх страницы

Подача клиентскими компьютерами заявки на выполнение автономной публикации

Клиентские компьютеры могут выполнять подачу заявки в корневую инсталляцию или серверу лицензирования для получения сертификата лицензиара клиента RMS. Этот сертификат позволяет служащим публиковать защищенную информацию в случаях, когда их компьютер не подключен к корпоративной сети.

В процессе локальной подачи заявки выполняются следующие шаги:

Наверх страницы

Политики доверия

По умолчанию служба Windows RMS не обрабатывает запросы от пользователей, чьи сертификаты управления правами учетной записи (Rights management account certificates, RAC) были выданы другими инсталляциями Windows RMS. Тем не менее, Вы можете добавить домены пользователей в список доверяемых доменов пользователей, что позволит службе Windows RMS обрабатывать такие запросы.

Для каждого доверяемого домена Вы также можете указать (добавить или удалить) особых пользователей или группы пользователей. Кроме того, Вы можете удалить доверяемый домен пользователей, однако, Вы не сможете удалить кластер корневых сертификатов из доверяемых доменов пользователей для этого леса Active Directory.

Настройка политик доверия и управление ими

Для добавления доверяемого домена пользователя:

Принцип работы rms/irm

Для защиты данных с помощью Windows RMS служащим не нужно предпринимать никаких особых действий. Они работают точно так же, как и с обычной информацией.

Ниже на Рисунке 7 показан механизм работы RMS при публикации и использовании защищенной информации пользователями.

Рисунок 7 – Публикация и использование защищенной информации

В процессе публикации и использования информации выполняются следующие шаги (пронумерованные выше на рисунке):

Наверх страницы

Развертывание irm и rms

Поскольку IRM является функциональным расширением RMS, развертывание IRM напрямую зависит от развертывания RMS. Как только будет установлена RMS, развертывание IRM выполняется простой установкой клиента управления правами на рабочей станции. Затем клиентский компьютер и служащий получают сертификат, разрешающий использование IRM.

Процесс развертывания как RMS, так и IRM состоит из выполнения следующих основных шагов:

В последней части данного раздела, посвященного развертыванию, описывается настройка клиентских компьютеров для выполнения автономной публикации.

Регистрация событий

Windows RMS устанавливает поддержку регистрации событий во время начального процесса установки системы RMS. Служба регистрации включена по умолчанию и запускается автоматически. База данных регистрации системы RMS создана на основе продукта SQL Server, который также используется для базы данных конфигурации, а в MSMQ создается очередь частных сообщений для передачи сообщений службы регистрации в базу данных.

Администраторы могут включать и отключать службу регистрации в любое время. Когда служба регистрации включена, она отсылает все данные о RMS-запросах в базу данных регистрации. Администраторы могут использовать SQL-сценарии для уменьшения объема передаваемой информации, благодаря чему будет сохраняться только определенная информация, необходимая организации.

Система RMS регистрирует как успешно выполненные запросы на лицензии, так и запросы, которые завершились неудачно. С помощью журналов регистрации организации могут определить, какие служащие получали доступ к защищенной информации, а какие пытались получить к ней доступ, несмотря на то, что им доступ к ней запрещен.

Сертификация пользователей rms

В процессе сертификации создается сертификат управления правами учетной записи, устанавливающий взаимосвязь между учетной записью пользователя и определенным компьютером. Благодаря этому служащий, работающий с информацией, может получать и использовать защищенную информацию при работе за этим компьютером.

Первый раз, когда служащий публикует защищенную информацию или пытается получить доступ к защищенной информации с клиентского компьютера, используемое им RMS-совместимое приложение подает запрос на сертификат учетной записи в корневую инсталляцию Windows RMS.

Корневая инсталляция Windows RMS проверяет подлинность пользователя с помощью средств аутентификации Windows и создает сертификат учетной записи, в который включена пара ключей (открытый/закрытый), основанных на информации об учетных данных служащего.

Кроме того, закрытый ключ служащего шифруется с помощью открытого ключа сертификата клиентского компьютера и добавляется в сертификат учетной записи пользователя. После этого сертификат учетной записи выдается запросившему его приложению. Приложение хранит сертификат учетной записи на компьютере или устройстве, тем самым обеспечивается его доступность для последующей публикации или подачи запросов для получения лицензии на использование.

Поскольку для подачи запроса на сертификат учетной записи необходимо наличие сертификата клиентского компьютера, то сертификация пользователя выполняется после процесса активации компьютера. Служащему необходимо иметь сертификат учетной записи на каждом компьютере, который он использует.

Когда приложение запрашивает лицензию на использование, то в запрос включается сертификат учетной записи. Сервер лицензирования RMS использует открытый ключ сертификата учетной записи для шифрования симметричного ключа в лицензии на публикацию, который был изначально зашифрован с помощью открытого ключа сервера RMS. Благодаря этому только доверенные объекты могут получить доступ к лицензии на использование и использовать ее.

Стандартная топология системы rms

Стандартная топология системы RMS представлена одним или несколькими физическими серверами, которые составляют корневую инсталляцию или кластер Windows RMS. Корневая инсталляция предоставляет службы сертификации и лицензирования. В случае широкомасштабного развертывания можно использовать несколько физических серверов, объединенных в один кластер и использующих один общий URL-адрес (как это показано ниже на Рисунке 9).

Рисунок 9 – Пример топологии RMS

Все запросы сертификатов и лицензий направляются к корневому кластеру, имеющему один общий URL-адрес, назначенный этой группе серверов. Имеется большое количество различных вариантов реализации виртуальной адресации, например такие, как служба циклического распределения DNS (round-robin DNS, RRDNS), служба балансировки нагрузки сети (Windows Load Balancing Service), аппаратные решения и т. д.

Для хранения данных политики и своих конфигурационных данных Windows RMS использует такую базу данных, как Microsoft SQL Server 2000 с установленным третьим пакетом обновлений (Service Pack 3, SP3) или Microsoft SQL Server 2000 Desktop Engine (MSDE 2000) с пакетом обновлений SP3.

Использование MSDE рекомендуется только при наличии конфигурации с одним сервером. База данных используется для хранения, совместного использования и получения конфигурационных и прочих данных. Для каждого кластера серверов RMS используется одна база данных конфигурации.

Основной процесс развертывания RMS для топологии, приведенной в этом примере, в функциональном плане ничем не отличается от развертывания RMS в случае, когда используется один сервер. Для большей ясности мы будем рассматривать процесс развертывания в случае использования одного сервера.

Сценарии использования irm/rms

Сценарии использования представлены для того, чтобы облегчить понимание того, в каких случаях необходимо или рекомендуется изменить конфигурацию, используемую при базовом развертывании. Сценарии предоставляются в порядке нарастания сложности.

Базовый сценарий использования

Пусть в данном примере служащий использует возможности IRM в программе Microsoft Office Outlook® 2003. Он нажимает красную кнопку Разрешения (Permission) на панели инструментов и устанавливает необходимые права для доступа к своему сообщению электронной почты.

Он указывает, что служащие в корпоративном домене могут открывать вложение, точно так же, как и сообщение электронной почты. Кроме того, для данного сообщения служащий указывает срок действия. Служащие открывают сообщение электронной почты, при этом Outlook незаметно для них применяет к вложению установленные для вложений права использования и обеспечивает защиту лицензии.

Важными особенностями этого сценария является то, что:

Для данного сценария достаточно наличия выполненного базового развертывания RMS и установленных клиентских компонентов. Кроме того, как для этого, так и для других сценариев администраторы могут выбирать, необходимо ли использовать шаблоны политики прав, списки отзыва или политики исключения. Тем не менее, использование данных возможностей не является необходимым условием для данных сценариев использования.

Примечание. Описываемые здесь сценарии можно также использовать в окружении служб терминалов. Ключевое отличие при этом будет скорее техническое, чем функциональное: служащие будут использовать IRM точно так же, даже при том, что их сертификаты использования будут находиться на том же физическом сервере (серверах).

Междоменный сценарий использования

При наличии той же самой модели использования, что была описана выше (служащий назначает права для документа или сообщения электронной почты и отправляет их) мы рассмотрим случай, когда у некоторых получателей нет учетных записей в домене.

В таком случае администратору необходимо применить политику доверия. Об этом рассказывалось ранее в разделе «Политики доверия».

Сценарий использования старых версий Office

Этот сценарий продолжает междоменный сценарий. Если служащие, имеющие учетные записи в доверенном партнерском домене используют предыдущие версии Office, то они все равно смогут использовать защищенную информацию, воспользовавшись надстройкой «Управление правами» (Rights Management Add-On)

В рассмотренных сценариях указаны лишь возможные действия администраторов. В следующих разделах детально описываются все средства управления, а также приводятся руководства по их использованию.

Технический обзор irm и rms

На стороне сервера Windows RMS управляет функциями лицензирования, активации компьютеров, подачи заявок и администрирования. В своей работе RMS использует службу каталогов Windows Server Active Directory® (ОС Windows Server 2000 или более поздней), а также базу данных SQL, например, Microsoft SQL Server™ для хранения параметров конфигурации.

Для создания или просмотра защищенного содержимого на стороне рабочей станции требуется наличие RMS-совместимой программы. В Microsoft Office 2003 включены первые RMS-совместимые программы, разработанные корпорацией Microsoft. Для создания или просмотра защищенных документов, электронных таблиц, презентаций и сообщений электронной почты необходимо наличие Microsoft Office Professional 2003.

При использовании других версий Office 2003 получатели защищенных документов могут только работать с ними (но не создавать их) в случае, если автор документа предоставил им соответствующие для этого права. Надстройка Управление правами (Rights Management Add-on, RMA) для обозревателя Internet Explorer позволяет сотрудникам просматривать защищенную информацию даже в том случае, если у них не установлен Microsoft Office 2003.

Требования к развертыванию irm и rms

RMS разработана таким образом, чтобы максимально задействовать возможности всей имеющейся инфраструктуры, используя службу каталогов Active Directory для поиска служб, а Windows NT® LAN Manager (NTLM) – для аутентификации. Благодаря гибкости системы аутентификации, Windows RMS может использовать смарт-карты и другие биометрические устройства, наряду с прочими альтернативными методами аутентификации, поддерживаемыми Windows. Для того чтобы запустить RMS, необходимо:

На уровне сервера:

На уровне рабочей станции:

В Таблице 1 представлена минимальная аппаратная конфигурация, необходимая для развертывания RMS:

Таблица 1 – Требования к аппаратному обеспечению

В Таблице 2 указано необходимое для работы RMS программное обеспечение.

Таблица 2 – Требования к программному обеспечению

В Таблице 3 указаны дополнительные элементы, необходимые для работы RMS, которые должны присутствовать в инфраструктуре.

Таблица 3 – Требования к инфраструктуре

Наверх страницы

Установка ad rms:

Установка AD RMS должна быть выполнена на сервере R2 Windows Server 2008 R2. Перед установкой вам необходимо удостовериться, что выполнены следующие требования:

После этого переходим непосредственно к установке:

Откройте Server Manager и нажмите Add Roles, затем отметьте чекбокс Active Directory Rights Management Services и нажмите Next. Нажмите Add Required Role Services button как показано ниже.

Убедитесь что на странице  ‘Select Server Roles’ отмечена роль Active Directory Rights Management Services и нажмите Next.

Поскольку это – наша первая служба AD RMS в лесу AD, нам также необходимо создать новый кластер AD RMS:

Мы можем разделить два типа кластера:

Затем выберите сервер баз данных и нажмите Validate для проверки доступности.

Даже при том, что у нас есть возможность использовать Windows внутренняя база данных Windows рекомендуется вместо этого использовать отдельный сервер, чтобы разместить базу данных AD RMS. Основная причина для этого заключается в том, что внутренняя база данных не поддерживает удаленные соединения, и следовательно препятствует тому, чтобы Вы добавили второй сервер к кластеру AD RMS.

Затем, на странице Учетной записи Службы (Service Account), выберите учетную запись AD RMS:

Помните, что учетная запись службы AD RMS не может быть той же самой учетной записью как доменная учетная запись, используемая для установки AD RMS. Затем, выбирая хранилище ключей кластера (Cluster Key Storage), выберите UseAD RMS centrally managed key storage и введите пароль ключа кластера.

На странице Cluster Web Site уже выбран веб-сайт по умолчанию, этого вполне достаточно для первоначальной настройки, поэтому идем дальше и нажимаем Next. На странице Cluster Address выберите использование SSL и укажите FQDN, затем щелкните по кнопке Validate для проверки и предварительного просмотра URL.

На странице Server Authentication Certificate, щелкните по Choose an existing certificate for SSL encryptionи и нажмите Import, чтобы импортировать необходимый сертификат. Вы можете выбрать использование самоподписанный сертификат, но это не рекомендуется делать в производственной среде.

В следующем шаге, сохраните имя по умолчанию для Server Licensor Certificate и щелкните Next, перейдя к последнему шагу конфигурирования кластера AD RMS. Отметьте опцию Registerthe AD RMS service connection point now.

Далее вы перейдете к службам IIS, оставьте все значения по умолчанию и нажмите Next, после чего вы попадате на страницу Confirmation. Просмотрите все данные, убедитесь что все верно и нажмите Install. На странице результатов, удостоверьтесь, что установка успешно завершена:

Шаблоны политики прав

На сайте администрирования RMS-сервера администраторы могут создавать официальные шаблоны политики прав, удалять и вносить изменения в существующие шаблоны политики прав, а также определять положение шаблонов политик в системе RMS. Шаблоны могут включать в себя различные условия.

Например, они могут определять особых получателей или группы Active Directory, определять срок действия лицензия на использование, то, как долго после публикации информации ею можно будет пользоваться, и даже определять собственные значения, являющиеся важными для определенного RMS-совместимого приложения.

С помощью шаблона также может определяться список отзыва (описан ранее в разделе «Списки отзыва»). В шаблоне указывается URL-ссылка на файл со списком, а также указывается количество дней, в течение которых список считается действительным. При запросе получателем лицензии на использование, основанную на шаблоне, истема проверяет списки отзыва перед тем, как предоставить служащему доступ к защищенным данным.

Шаблоны политики прав хранятся как в базе данных конфигурации, так и на общих сетевых ресурсах. Когда автор запрашивает лицензию на публикацию, RMS-совместимое приложение копирует шаблон политики прав из общего сетевого ресурса. Когда получатель запрашивает лицензию на использование, RMS-сервер лицензирования применяет шаблон политики прав, хранящийся в базе данных. Это гарантирует, что условия лицензии на использование всегда будут соответствовать самой последней версии шаблона.

Создание шаблонов

Для создания шаблона политики прав:

Для получения дополнительной информации о создании шаблонов политики прав обратитесь к файлу помощи RMS.

Предоставление доступа к шаблонам с помощью групповой политики

После подготовки политик прав их необходимо разместить на совместно используемом ресурсе сервера, где ими смогут пользоваться все пользователи, или скопировать в локальную папку компьютера пользователя. Затем можно воспользоваться настройками политики IRM, определенными в шаблоне Office11.adm, для указания ресурса, на котором хранятся эти политики прав (как локально, так и на совместно используемом ресурсе сервера).

Для получения дополнительной информации об использовании групповой политики с программами Office 2003 обратитесь в разделу «Работа политик»How Policies Work (EN) пакета Office Resource Kit.

Имеется возможность задействовать и распространить настройки политик, указанных в разделе Manage Restricted Permissions шаблона политики Office11.adm. Когда политика IRM Specify Permission Policy Path применяется и распространяется с помощью службы каталогов Microsoft Active Directory, IRM автоматически выявляет все доступные шаблоны, находящиеся в указанном месте. В RMS-совместимых приложениях Office 2003 будут отображаться имеющиеся собственные политики прав.

Записи IRM в системном реестре

Ниже указаны базовые элементы системного реестра, связанные с IRM. Для большинства из них имеются дублирующие их записи политик.

Указанные ниже два элемента системного реестра находятся в разделе HKLMSoftwareMicrosoftOffice11.0CommonDRM:

Имя: CorpLicenseServer

Тип: REG_SZ

Значение:

Установка этого значения позволяет администратору переопределить расположение сервера лицензирования службы управления правами, указанное в Active Directory.

Имя: CorpCertificationServer

Тип: REG_SZ

Значение:

Установка этого значения позволяет администратору переопределить расположение сервера управления правами, указанное в Active Directory.

Указанные ниже записи реестра расположены в разделе HKCUSoftwareMicrosoftOffice11.0CommonDRM:

Имя: Disable

Тип: DWORD

Значение: [ 0 | 1 ]

Списки отзыва

Администраторы могут создавать списки отзыва, в которых они могут указать служащих, приложения, а также прочие доверенные объекты, которым дальнейший доступ к защищенной информации запрещен. Условие использования списка отзыва может определяться одним или более сертификатами, применяемыми при выдаче лицензий на публикацию и использование.

Любой сертификат может быть отозван. По умолчанию определено, что только тот объект, который выдал сертификат, может его отозвать. Таким образом, сертификат может быть отозван только списком отзыва, подписанным этим объектом. В качестве дополнительных параметров в сертификате также могут указываться:

Шаблонами политики прав могут также определяться условия использования списка отзыва. Например, организациям может понадобиться проверить списки отзыва для шаблонов, применяемых к важной для компании информации, и при этом не производить проверку списков отзыва для шаблонов, применяемых к менее важной информации.

В целях еще большей защиты информации в шаблоне можно указать необходимый срок действия списка отзыва. Например, в шаблоне можно указать, что для того, чтобы можно было использовать данный список отзыва, он должен быть создан в течение последних 10 дней.

Список отзыва создается в виде обычного текстового файла формата XML с использованием языка написания XrML. При этом он подписан закрытым ключом с использованием утилиты, предоставляемой Windows RMS. После создания списка отзыва, его можно использовать для отзыва любого доверяемого объекта, открытый ключ которого соответствует использованному для подписания закрытому ключу.

Файл помещают в место, доступное всем пользователям, которым он необходим. Например, можно указать URL-адрес, доступный как из сети Интернет, так и из внутренней корпоративной сети. Это обеспечивает возможность использование файла служащими, находящимися как в сети организации, так и за ее пределами.

Организации могут указывать доверяемые объекты в списке отзыва в следующих случаях:

Создание списков отзыва и управление ими

Для отзыва необходимо создать список отзыва, представляющий собой XML-документ, при написании которого использовался язык XrML. В списке перечислены доверяемые объекты, для которых необходимо закрыть доступ к защищенной информации. При создании списков отзыва Вам необходимо их подписывать и указывать для них штамп времени с помощью средства Revocation List Signing, предоставляемого системой Windows RMS.

Поскольку при создании списков отзыва используется большое количество настроек, рекомендуем обратиться к разделу Creating revocation lists файла помощи RMS.

Заключение

Развертывание RMS, включая установку и сопровождение, на практике выполняется удивительно легко и просто. Как было указано в этом документе ранее, имеется ряд параметров, необходимых для обслуживания и управления, которые необходимо использовать после установки системы в случае, если это необходимо для имеющегося окружения.

Прочие вопросы обслуживания, которые не рассмотрены в данном документе, являются более общими и касаются, в основном, обслуживания баз данных RMS. Например, администраторам может понадобиться создать планы обслуживания баз данных для выполнения резервного копирования данных и журналов, проверки целостности базы данных и пересылки записей журнала соответственно.

В целом, установка у клиентов программ Office 2003 и использование IRM является одной из самых простых задач по развертыванию на предприятии, с которыми когда-либо сталкивались администраторы. При этом преимущество очевидно: служащие могут начать использовать функциональные возможности IRM при совместной работе немедленно, прилагая для этого совсем незначительные усилия.

Наверх страницы