Active Directory.pdf - Gattner

Implementieren der AD RMS 705
Darüber hinaus wird er in Notfallwiederherstellungsszenarien und von anderen AD RMS-Servern
verwendet, wenn diese zum Cluster hinzugefügt werden. Zum Speichern des Clusterschlüssels
gibt es zwei Optionen:
Zentral verwalteten AD RMS-Schlüsselspeicher verwenden Nach dem Generieren des AD RMS-
Clusterschlüssels wird im Assistenten eine Aufforderung zur Angabe eines Clusterschlüsselkennworts
angezeigt, um den Schlüssel zu schützen (dieses Kennwort müssen Sie sich zu
Notfallwiederherstellungszwecken merken). Der AD RMS-Clusterschlüssel wird in der Konfigurationsdatenbank
gespeichert und automatisch durch die AD RMS-Server verwendet, die
zum Cluster hinzugefügt werden.
CSP-Schlüsselspeicher verwenden Für eine höhere Sicherheit kann der AD RMS-Clusterschlüssel
in einem Kryptografiedienstanbieter (Cryptographic Service Provider, CSP) gespeichert
werden. Diese Vorgehensweise stellt die beste Sicherheitsoption dar, erfordert jedoch die
manuelle Bereitstellung des Schlüssels, wenn neue Server zum Cluster hinzugefügt werden.
Bei Auswahl dieser Option müssen Sie als nächsten Schritt im Assistenten den CSP auswählen
und festlegen, ob mit dem CSP ein neuer Schlüssel erstellt oder ob ein vorhandener
Schlüssel mit dem ausgewählten CSP verwendet werden soll (die zweite Option wird üblicherweise
in Wiederherstellungsszenarien eingesetzt).
8. Auf der Seite Auswählen der AD RMS-Clusterwebsite kann eine Website für das virtuelle
AD RMS-Verzeichnis ausgewählt werden. Wenn auf einem Server ausschließlich die AD RMS-
Serverrolle ausgeführt wird, legen Sie typischerweise die Option Standardwebsite fest.
9. Auf der Seite Angeben der Clusteradresse wird festgelegt, wie AD RMS-Clients mit dem Cluster
kommunizieren. Es kann eine SSL-verschlüsselte Verbindung gewählt oder eine unverschlüsselte
Verbindung angegeben werden. Ferner muss die interne Adresse und der Port zur Verwendung für
den Cluster eingegeben werden. Es wird die Verwendung einer SSL-verschlüsselten Verbindung
empfohlen. Zu diesem Zweck bietet der Assistent im nächsten Schritt die Möglichkeit, ein vorhandenes
Zertifikat auszuwählen, das bereits von einer Zertifizierungsstelle ausgestellt wurde,
oder ein selbstsigniertes Zertifikat zu erstellen. Da das Zertifikat manuell auf allen Clients installiert
werden muss, die mit dem Server kommunizieren, wird ein selbstsigniertes Zertifikat nur für
kleine Bereitstellungen empfohlen. Abbildung 18.4 zeigt die Konfiguration einer SSL-verschlüsselten
Verbindung.
Hinweis Bei der internen Adresse muss es sich um einen vollqualifizierten Domänennamen (Fully
Qualified Domain Name, FQDN) handeln, der in den AD RMS-Cluster aufgelöst wird. Es sollte kein Servername,
sondern ein Alias angegeben werden, der den gesamten Cluster darstellt. So können zu einem
späteren Zeitpunkt problemlos Netzwerklastenausgleichsoptionen oder zusätzliche Server zum Cluster
hinzugefügt werden. Beachten Sie ferner, dass diese Adresse oder Portnummer im Anschluss an die
Installation der AD RMS nicht mehr geändert werden kann. Daher muss dieser FQDN vor der Bereitstellung
festgelegt werden.
Hinweis Wenn die AD RMS mit den AD FS integriert werden sollen, muss die SSL-verschlüsselte
Verbindung gewählt werden. Anderenfalls müssen die AD RMS neu installiert werden.