【正文】 s Server 2008 R2 上的 AD RMS 服務角色不支持 Microsoft SQL Server 2000。注：DC及SQL服務器上的軟件環(huán)境這里不多做敘述，前面我有說明如果你的客戶端是較早的操作系統(tǒng)，記得要去微軟官網(wǎng)下載RMS Client（目前最新的是with SP2版本）安裝 清楚并滿足了AD RMS服務器的軟硬件需求，便可以進入AD RMS的預安裝階段。在預安裝階段，我們首先應在DC上建立一個AD RMS安裝帳號（這里我設定為adrmsadmin）。此安裝帳號要加入進AD RMS服務器的本地管理員組，并且具有SQL Server的本地管理員權(quán)限以及系統(tǒng)管理員數(shù)據(jù)庫角色。如果需要在安裝過程中注冊服務連接點（SCP），此帳號還需具有網(wǎng)域Enterprise Admins組成員身份。建立好AD RMS安裝帳號，我們還要創(chuàng)建一個用作AD RMS服務帳號的域帳號（這里我設定為adrmssrvc），此帳號并不要求額外的權(quán)限，domain users成員就好。 同時,因為域控操作系統(tǒng)是Windows Server 2003,這里要確認域功能級別以提升至2003當然,如果你的域控建立在Windows Server 2008之上的話就不用檢查或者提升了 為了使讀者能清晰地看到最終實驗效果，我在contoso域中會使用三個域用戶/組來進行授權(quán)和獲取授權(quán)等操作的演示。做好了上面的鋪墊工作，就可以開始在Windows Server 2008 上開始安裝AD RMS服務器角色了。注:關(guān)于SQL Server 2008的安裝及配置,客戶機上的Office 2007軟件的安裝等過程這里就不再多做敘述了,這些并非本文重點. 用前面建立好并且已經(jīng)授予相應權(quán)限的ADRMSADMIN賬號登陸Windows Server 2008服務器打開服務器管理器,選擇添加角色 可以看到排在榜首的Active Directory Rights Management Services,我們安裝的就是它,勾選可以看到,我們前面提到的AD RMS依賴的組件都自動地列了出來以供安裝,非常方便! 開始安裝這里還可以選擇是否安裝聯(lián)合身份驗證支持,聯(lián)合身份驗證可以實現(xiàn)與建立了信任關(guān)系但是沒有部署AD RMS的其他組織實現(xiàn)AD RMS功能.全新創(chuàng)建AD RMS群集,下一步 選擇后臺數(shù)據(jù)庫,可以在AD RMS服務器上直接創(chuàng)建Windows internal database,這種數(shù)據(jù)庫的局限性較大,應為其不能遠程連接控制,所以如果選擇了使用這種數(shù)據(jù)庫,AD RMS群集中就只能容納一臺AD RMS認證服務器.我這里選擇連接到專門的一臺安裝好SQL Server 2008 服務器,并選擇默認實例.要注意的是如果遠程數(shù)據(jù)庫服務器上啟用防火墻的時候,需要開放1433,445這些數(shù)據(jù)庫連接訪問常規(guī)端口.點擊驗證后下一步按鈕才可點選. 輸入AD RMS服務帳戶及其密碼 配置AD RMS群集鍵存儲方式,當AD RMS服務器的災難恢復及其他AD RMS加入群集時候會需要這個密鑰. 為保護群集鍵設定AD RMS群集密碼. 選擇AD RMS群集網(wǎng)站,選擇默認網(wǎng)站從而創(chuàng)建虛擬目錄 設定群集的URL地址,如果你的環(huán)境中有證書服務器的話可以申請證書以使用SSL加密連接.建議在生產(chǎn)環(huán)境中實施AD RMS的時候選擇此方式在試驗環(huán)境中這里我選擇了使用未加密的連接.這里我沒有使用AD RMS服務名作為內(nèi)部地址,而是起了一個新的FQDN.只要在DNS中添加相應的A記錄即可 命名服務器許可方證書,保持默認即可,下一步 選擇自動注冊SCP 安裝Web服務器角色 保持默認即可 確認開始安裝 耐心等待,安裝進行中... 安裝完成,提示需要注銷AD RMS安裝賬號重新登錄 重新登錄后可以以控制臺方式直接管理AD RMS控制臺中可以配置信任策略，配置排除策略以及創(chuàng)建權(quán)限策略模板.AD RMS服務器端基本配置完成.================================================== 我們回到客戶端上,使用普通域用戶cto登錄 需要先進行的操作是把AD RMS群集的URL地址添加到本地intranet信任站點中 然后新建一個Office word 2007,cto用戶想要達到的效果是cfo可以查看這個他授權(quán)的文件,但是不能修改,復制,打印這個文件,其他用戶則是看都不能看 和上文中的IRM步驟一樣,點擊準備限制權(quán)限限制訪問 客戶端會查詢SCP以查找AD RMS群集并下載權(quán)限帳戶證書(RAC) 接下來和IRM一樣,選擇要授權(quán)的用戶及授予什么樣的權(quán)限.稍微不同的是這里我們不用再去使用Windows Live ID了,而是域用戶的電子郵件地址 權(quán)限已經(jīng)設好,可以看到文檔中限制訪問的提示 接下來,換成cfo賬號登陸客戶端打開剛才被加了訪問限制的文檔,出現(xiàn)要求輸入用戶身份憑證的對話框輸入cfo的賬號及密碼 出現(xiàn)提示此文檔的權(quán)限當前已被限制,所以需要連接到AD RMS服務器上驗證身份并下載RAC 文檔被cfo打開了,可以看到cfo對此文檔的權(quán)限. 再切換到使用cso登錄客戶端當cso登陸到客戶端并訪問文件時,首先也會要求輸入用戶身份憑證 cso用戶得到的反饋是沒有被允許打開文檔的憑據(jù)點擊是可以通過郵件向權(quán)限設置者請求額外權(quán)限,點擊否則根本不能打開文檔,點擊更改用戶可以選擇更換其他用戶身份來對文檔操作,當然,你必須有那個用戶的賬號密碼,而那個用戶是否有查看的權(quán)限仍是未知,AD RMS真的是很安全... 關(guān)于使用聯(lián)合身份驗證,以及在AD RMS控制臺中的操作我這里就不再多演示了,本文只是拋磚引玉, RMS的網(wǎng)友不妨仔細看一下AD RMS的幫助文件或者至微軟Technet網(wǎng)站上瀏覽.網(wǎng)址: ().aspx總結(jié):經(jīng)過了EFS,IRM和AD RMS的實戰(zhàn),相信大家對如何在域環(huán)境下如何保護重要資料文件的安全有了一些自己的規(guī)劃和考慮,那么我的目的也就達到了.不過,此系列并未就此結(jié)束,還有一位Microsoft的產(chǎn)物:BitLocker,我們下篇繼續(xù)學習...域環(huán)境下如何保護重要資料文件的安全(三)BitLocker(上)20090904 15:59:11標簽：BitLocker 安全 文件 資料原創(chuàng)作品，允許轉(zhuǎn)載，轉(zhuǎn)載時請務必以超鏈接形式標明文章 原始出處 、作者信息和本聲明。否則將追究法律責任。之所以把BitLocker放在最后為大家介紹，一是因為這項技術(shù)相對EFS、RMS出現(xiàn)的較晚，從Vista企業(yè)版和終極版中才有的，遺憾的 是由于Vista在我國的市場占有率并不高，加上BitLocker在Vista中的用戶體驗及使用都不是很好，所以實際應用過它的朋友也比較少。另一方 面，設計它的主要目的是對整個磁盤進行加密，這包括了操作系統(tǒng)分區(qū)，存放資料的數(shù)據(jù)分區(qū)等，使得即使計算機或者計算機磁盤丟失后上面的數(shù)據(jù)也不會被惡意分 子破解出來，這個初衷點和EFS、RMS等方案有些差別。 BitLocker是如此的不同，所以微軟為了讓更多人了解它使用它，也在后續(xù)的操作系統(tǒng)（Win7，Windows server 2008 R2）中對它進行了改進，我這里要為大家介紹的也是基于Windows 7系統(tǒng)之上改良過的BitLocker及嶄新的BitLocker To Go. 我們還是先看一下BitLocker的一些概念知識。 在Vista之前的操作系統(tǒng)中，我們對數(shù)據(jù)加密的常規(guī)方法就是使用EFS，我前面的文章中也詳細介紹過了它的優(yōu)勢和不足，其中比較明顯的幾個弱 勢之處有：EFS無法加密系統(tǒng)文件；對用戶加密私鑰依賴性極強，如果發(fā)生未導出保存或沒有恢復代理的情況，很有可能發(fā)生無法打開加密文件的事件，同時，如 果發(fā)生計算機、計算機磁盤被盜竊/丟失的情況，惡意之徒可以將磁盤掛載到其他計算機上并使用工具搜索用戶密鑰從而破解。而說到AD RMS，其局限性是顯而易見的，目前支持其API開發(fā)出的軟件還是比較少的，很多格式的數(shù)據(jù)文件皆不能應用它。 那么，來看看BitLocker是怎樣為我們服務的。BitLocker會將Windows的安裝分區(qū)或者其他用于保存文件的分區(qū)進行加密，并將密鑰保存在磁盤之外的地方。這樣，要想啟動 Windows或者讀取保存在計算機中的文件，就必須先提供密鑰，隨后引導程序才會使用提供的密鑰解密系統(tǒng)文件，并加載和運行Windows，供我們讀取 文件。這樣的過程，就完全避免了惡意之徒利用WinPE或者將磁盤掛載到別的計算機上讀取資料的可能。 上面說到BitLocker會將密鑰保存在磁盤之外的地方，那么具體是什么地方呢？ 一是存放在TPM上。說到TPM，它的全名是Trusted Platform Module，是一種硬件芯片，在安全性要求比較高的臺式機/工作站/筆記本上基本都會有。以筆者的工作電腦HP paq dc7800p（系統(tǒng)為win7旗艦版）來說，打開設備管理器，可以看到 。默認情況下，使用BitLocker會要求使用TPM模式。那如果你