Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

294 Kapitel 11: Implementieren der Active Directory-Rechteverwaltungsdienste
Abbildung 11.1 Ablauf der Rechteverwaltung
Direkt von der Quelle: Verhindern der Datenweitergabe
mit RMS und IRM
Wenn Alice eine Datei erstellt und Bob Lese-/Schreibzugriff geben, Phil Lesezugriff gewähren
und allen anderen den Lesezugriff verweigern will, ist dafür beim herkömmlichen
Ansatz eine Menge Arbeit erforderlich, die von jemand anders als Alice erledigt werden
muss. Alice muss beim Netzwerkadministrator betteln und drängeln, dass er eine Dateifreigabe
anlegt, zwei Sicherheitsgruppen erstellt, Bob zur einen und Phil zur anderen hinzufügt
und Zugriffssteuerungseinträge in der Zugriffssteuerungsliste der Freigabe definiert.
Das ist eine Menge Arbeit für jemanden, dem die Probleme von Alice eigentlich völlig
egal sind. Und das reicht noch nicht: Zwar kann Eve nicht auf die Datei in der Freigabe
zugreifen, aber sie kann natürlich Phil beschwatzen, dass er ihr eine Kopie überlasst. Der
Lesezugriff erlaubt auch das Kopieren. Falls Phil besonders böswillig ist, kann er seine
lokale Kopie des Dokuments vorher noch manipulieren. Zugriffssteuerung über Netzwerkfreigaben
funktioniert eben nur so lange, wie das geschützte Objekt innerhalb des
Netzwerks bleibt. Sobald jemand die Datei öffnet, gibt es für die lokale Kopie im Speicher
des Computers keinerlei Einschränkungen mehr.
Die Windows-Rechteverwaltungsdienste und Microsoft Office-IRM (Information Rights
Management) stellen Ihnen eine andere Form der Zugriffssteuerung zur Verfügung, die
direkt in den Dokumenten implementiert ist, unabhängig davon, wo sie sich befinden.
Wenn Alice Bob Lese-/Schreibzugriff gewährt und Phil reinen Lesezugriff, braucht sie
sich dafür überhaupt nicht an den Netzwerkadministrator zu wenden. Der Zugriff, den Sie
zuweist, wird direkt im Dokument gespeichert und von IRM erzwungen. Wenn Bob das
Dokument öffnet, prüft Word zuerst die Berechtigungen von Bob und deaktiviert dann
ausgewählte Funktionen, damit Bob mit dem Dokument nur die Dinge tun kann, die ihm