Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von RMS 293
Grundlagen von RMS
AD RMS-Server arbeiten mit Active Directory-Domänencontrollern zusammen, um Benutzeridentitäten
zu überprüfen, Verschlüsselungsschlüssel als Reaktion auf Benutzeranforderungen
auszustellen, Entschlüsselungsschlüssel für jedes Dokument zu speichern und die
Entschlüsselungsschlüssel weiterzuleiten, wenn Benutzer, die autorisiert sind, ein bestimmtes
Dokument zu öffnen, dies anfordern. Vertrauenswürdige Benutzer können rechtegeschützte
Dokumente mit RMS-fähigen Anwendungen erstellen. Nur andere vertrauenswürdige
Benutzer, denen in der RMS-Richtlinie, die auf das Dokument angewendet wird, die
entsprechenden Rechte zugewiesen wurden, können sich das Dokument ansehen oder etwas
anderes mit seinem Inhalt tun. Der Prozess lässt sich folgendermaßen zusammenfassen:
1. Jespers Clientcomputer wird mit RMS-Clientsoftware, Zertifikat, RMS-Richtlinien und
RMS-fähigen Anwendungen hochgefahren.
2. Jesper erstellt ein Dokument und wendet eine RMS-Richtlinie darauf an.
3. Der RMS-Client stellt sicher, dass das Dokument noch nicht geschützt ist, nimmt Kontakt
zum RMS-Server auf und fordert eine Veröffentlichungslizenz an.
4. Der Server überprüft, ob Jesper Dokumente veröffentlichen darf, und sendet die Lizenz
an den Client. Die Lizenz umfasst die Nutzungsrechte und -bedingungen für den Inhalt.
5. Der RMS-fähige Client generiert symmetrische Schlüssel, mit denen er den Inhalt verschlüsselt.
6. Jesper sendet das Dokument in einer E-Mail an Devon.
7. Was passiert, wenn Devon versucht, den Inhalt zu öffnen, hängt davon ab, ob er die
passende RMS-fähige Anwendung hat, ob er eine vertrauenswürdige Entität in derselben
RMS-Infrastruktur wie Jesper ist und ob ihm in der RMS-Lizenz, die mit dem Dokument
verknüpft ist, die Rechte zugewiesen wurden, das Dokument zu öffnen. Falls er
nicht die richtige Anwendung hat, bleibt das Dokument verschlüsselt und somit unbenutzbar.
Falls er die richtige Anwendung hat, aber keine entsprechenden Rechte besitzt
oder kein Mitglied der Infrastruktur ist, weigert sich die Anwendung, Schlüssel anzufordern,
mit denen das Dokument geöffnet werden kann.
8. Falls alle Bedingungen erfüllt sind, kann Devon das Dokument öffnen.
9. Sofern Devon alle Bedingungen erfüllt, fordert der RMS-Client eine Lizenz beim RMS-
Server an. Die Lizenz enthält den Entschlüsselungsschlüssel für dieses Dokument.
RMS gibt es zwar schon einige Jahre, aber AD RMS ist die erste Version, die in Windows
Server eingebaut ist. Die vielen neuen Features umfassen die Verwaltung über eine Microsoft
Management Console (MMC), Integration mit Active Directory-Verbunddiensten (Active
Directory Federation Services, AD FS), Selbstregistrierung von AD RMS-Servern und die
Fähigkeit, administrative Rollen zu delegieren. Auch die Erstinstallation und Konfiguration
der Serverrolle Active Directory-Rechteverwaltungsdienste wurde deutlich verbessert.