server 2008 r2 ad rms对exchange server 2010进行信息权限管理

《server 2008 r2 ad rms对exchange server 2010进行信息权限管理》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、1.概述本文章介绍利用WindowsServer2008R2的ADRMS来进行保护ExchangeServer2010中用户的邮件信息，相比之前版本的RMS和Exchange，二者在最新平台上的集成显得更加强大，而且易于部署。环境介绍：DC01.TIGER.COMWindowsServer20008R2ADRMSCADNSEX01.TIGER.COMWindowsServer2008R2ExchangeServer2010关于WindowsServer2008R2中ADRMS可以参考：http://technet.microsoft.c

2、om/en-us/library/cc732534.aspx关于ExchangeServer2010权限保护可以参考：http://technet.microsoft.com/zh-cn/library/dd351035(EXCHG.140).aspx2.RMS安装微软的RMS（RightsManagementServices版权管理服务）服务器可以保护企业内的重要文件，授权只有特定用户才能访问这些文件（当然文件服务器的权限也可以做到这一点）。RMS还可以允许文件不能被复制，打印，转发，甚至离开了公司就无法打开这些文件（这些功能靠文件服务器的权限

3、就无法实现了吧，EFS也无能为力）。RMS要求用户每次打开文件，都要在RMS服务器上申请凭据，然后才能打开被加密的文件内容。一旦文件离开了公司环境，访问者就无法联系RMS服务器了，文件内容也就无法阅读了。即使在公司内，RMS也可以允许用户只能阅读，无法打印，复制，通过邮件转发，极大地提高了窃取机密内容的难度（当然，RMS不可能实现百分之百的安全，如果有人使用DC/DV把屏幕上的文件内容都录制下来，或者直接用笔记录下来，那文件内容的泄露还是不可避免的）。安装RMSRMS部署前准备RMS服务在部署之前要先做一些准备工作。首先，我们需要在域控制器上创建

4、一个RMS管理员账号，这是因为RMS服务器安装时不允许使用域中的administrator账号。打开域控制器上的ActiveDirectory用户和计算机，创建一个名为RMSADMIN的用户。这个用户也具有域管理员权限，我们要使用RMSADMIN用户在RMSERVER上登录。创建RMS服务账号rmsadmin并将用户rmsadmin加入到domainadmins组之中创建完用户后，我们还需要为RMS服务器申请一个服务器证书。我们以RMSADMIN的身份在RMSERVER上登录，通过MMC控制台定制出一个管理本地计算机证书的管理单元。然后通过申请证

5、书任务为RMSERVER在企业根CA上申请证书，如图BJRMS.CONTOSO.COM的计算机证书，这个证书可以用于服务器验证，也可以用于客户机验证，能够满足我们的实验需求。（备注：事先已经安装好ADDNSCA基础服务。）在DC01上添加RMS角色，如下图此处需要单独设置一个域用户rmsadmin作为RMS的服务账户和管理账户。（由于是本环境是在域控上安装RMS，所以需要将rmsadmin添加到domainadmins组，在域成员服务器上安装需要将rmsadmin添加到本地administrators组中。可以从下图获取该账户需要的权限配置信

6、息。）在此处我将rms.tiger.com作为RMS群集地址，rms.tiger.com需要事先或之后在域的DNS服务器上添加对应的A记录或者别名，指向DC01.TIGER.COM即可。（直接将计算机名：DC01.TIGER.COM作为群集地址也可以，另外，选择SSL加密连接不是必需的，所以CA服务器角色也不是必需，但是可以使RMS群集和客户机之间的通讯更加安全。）如果在上图中选择了SSL加密连接，此处需要选择一个证书，证书需要包含上面群集地址对应的FQDN名。（本环境中下图的选择的证书是颁发给dc01.tiger.com的，但是备用名称中也含R

7、MS.TIGER.COM）此处可以自定义许可方证书，相比之前windowsServer2003，无需向微软申请（个人理解是采用的是自签名的证书，该证书的地位类似与windows中的企业根证书，全林唯一。）注意：如果安装失败，出现“已经被绑定证书……”之类的错误，请确认之前已经删除或取消了服务器中默认网站的https绑定。3.配置RMS与Exchange集成ADRMS服务器的安装过程完成，接下来需要对ADRMS服务器和ExchangeServer2010服务器进行配置，以使ADRMS服务器能够与Exchange进行集成。在EX01.tiger.co

8、m通过Exchange控制台（EMC）建立安全通讯组SuperRMSAdmin，该组将在随后配置为RMS的超级用户，可以解密RMS加密的