 |
|
|
|
Rights Management Services. Обзор службы управления правами Active Directory
Rights Management Services Служба управления правами – это технология защиты информации Microsoft Windows, предназначенная для защиты с помощью криптографии корпоративной почты, документов и веб-страниц. Все действия над вышеперечисленными объектами возможны только при наличии соответствующих прав пользователя Впервые служба управления правами появилась как отдельный сервер под названием Rights Management Server (версия 1.0). На дистрибутивном диске поставлялся сам сервер и клиент для Windows 2000 и Windows XP. С тех пор служба развивалась достаточно стремительно. Появилась поддержка мобильных пользователей, федеративных отношений, теперь возможно аутентифицировать пользователя по паспорту Live ID, а также с использованием смарт-карт. С выходом Microsoft Windows 2008 служба управления правами стала ролью серверной операционной системы (версия 2.0), изменилось и название – служба управления правами Active Directory (Active Directory Rights Management Services – сокращенно AD RMS). Начиная с Windows Vista, клиент службы управления правами поставляется также вместе с операционной системой. Также клиент AD RMS поставляется с Windows Mobile 6.0 и выше. В современном мире все более актуальной становится задача защиты конфиденциальной и иной коммерческой информации, принадлежащей организации, от раскрытия. Применение службы управления правами позволит организации расширить уже существующие способы защиты информации. К примеру, если администратор поставил разрешения чтения на документ, ничто не помешает пользователю его сохранить на внешний носитель или распечатать. С помощью системы службы управления правами вы можете оставить разрешения именно чтения – копирование и печать будут запрещены. Если же все-таки документ будет скопирован как файл, то без доступа к серверной части службы управления правами его содержимое нельзя будет прочитать. На уровне защищаемого документа можно выставить права на чтение, открытие, изменение, печать, максимальный срок действия и другие разрешения, которые могут быть установлены на уровне поддерживаемого приложения. Служба управления правами является достаточно гибкой технологией – с помощью пакета разработки SDK можно встроить поддержку клиента AD RMS в бизнес-приложение организации, реализовать политики использования, которые необходимы. Служба управления правами расширяет существующую стратегию безопасности организации с помощью применения постоянных политик использования. Политики использования указывают, какие сущности – пользователи или группы пользователей, компьютеры или приложения – являются доверенными. На любую сущность могут быть наложены права использования. Из чего же состоит служба управления правами? Все достаточно просто. Есть два ключевых компонента:
Служба управления правами использует формат сертификатов XrML (eXtensible rights Markup Language), отличный от распространенного стандарта X509v3. Стандарт XrML является расширением языка XML. Дополнительные сведения можно найти на сайте http://www.xrml.org. Используется несколько видов сертификатов, указаных в таблице 1. Таблица 1. Типы сертификатов AD RMS
Учетной записи пользователя соответствуют один сертификат компьютера, один файл сертификата учетной записи и один файл сертификата лицензиара клиента. Но может быть множество файлов лицензий на использование, по одному на каждый файл, используемый клиентом. Понятие сертификата в службе управления правами точно такое же, как и в службе сертификации. Есть пара ключей – открытый и закрытый, которые находятся в цифровом сертификате. Сертификат находится в хранилище, доступ к которому защищается клиентом с помощью шифрования AES. Нужно заметить, что данные сертификаты не могут быть публичными, импортировать или экспортировать их нельзя. То есть сами документы могут быть расшифрованы только тогда, когда служба AD RMS достижима с рабочей станции или мобильного устройства пользователя. В случае отсутствия необходимых для работы сертификатов служба AD RMS предоставит их клиенту. Можно посмотреть, как выглядят цифровые сертификаты, они находятся для Windows XP – %USERPROFILE%Local SettingsApplication DataMicrosoftDRM, для Windows Vista и выше – %USERPROFILE%AppDataLocalMicrosoftDRM. Каждый пользователь должен иметь заполненное поле электронной почты в домене Active Directory.
Рисунок 1. Рабочий процесс использования AD RMS Рассмотрим на примере, как работает AD RMS.
Приложения, поддерживающие AD RMS Как можно заметить из описания работы службы управления правами, сама по себе она не используется. Использование может быть произведено с помощью приложения, которое поддерживает взаимодействие с клиентом службы управления правами. На момент написания этой статьи существует целый ряд приложений, которые поддерживают службу управления правами [1]:
Пример использования AD RMS совместно c Microsoft Word 2010 Например, пользователь Егор Егоров должен переслать пользователю Сергею Сергееву секретный документ с использованием Microsoft Word 2010. Информация не должна быть никому раскрыта, что делать Егору Егорову? Но тут он узнает, что в организации есть такая возможность! Эта возможность предоставлена службой управления правами! Итак, начнем. Пользователь Егор Егоров открывает Microsoft Word 2010 и набирает необходимый текст. Для того чтобы зашифровать документ, он переходит в ленте Microsoft Word на элемент «Файл -> Сведения -> Защитить документ -> Ограничить разрешения пользователей -> Ограниченный доступ» (см. рис. 2). Рисунок 2. Включение ограничения доступа При первом обращению к кластеру службы управления правами на компьютер Егора Егорова будут получены все необходимые для работы сертификаты. Но сначала нужно пройти аутентификацию. В поле «Учетная запись» нужно написать адрес электронной почты пользователя Егора Егорова. Нужно заметить, что службе управления правами не нужно, хотя и желательно, присутствие в домене сервера Exchange, адрес электронной почты заполняется в учетной записи пользователя домена Active Directory. В качестве пароля нужно использовать пароль для входа в домен. Итак, пользователь Егор Егоров вводит свои и учетные данные (egorov@prod.local и пароль) и получает возможность использования службы управления правами на доступ к данным (см. рис. 3). Рисунок 3. Основное окно разрешения ограничений доступа Для этого нужно поставить галочку «Ограничить разрешения на доступ к этому файлу документа» и выставить необходимые права пользователю Сергею Сергееву. Если нужно поставить дополнительные разрешения либо поменять существующие, можно нажать кнопки «Изменить разрешения -> Дополнительные параметры» (см. рис. 4). Рисунок 4. Дополнительное окно разрешения ограничений доступа В окне «Разрешения» можно добавить или удалить пользователя, поставить срок истечения действия документа, разрешить печать содержимого, разрешить или запретить пользователю с правами на чтение копировать содержимое, разрешить или запретить программный доступ к содержимому. Также можно разрешить пользователю отправлять сообщения по электронной почте владельцу документа для запроса дополнительных разрешений. Есть еще одна установка – «Обязательное подключение для проверки разрешений пользователя», применяется для того, чтобы исключить возможность использования просроченной лицензии на публикацию данного документа или отозванного сертификата пользователя. Теперь пользователь Егор Егоров может быть уверен, что никто, кроме Сергея Сергеева, документ не откроет с помощью приложения Microsoft Word 2010. *** Службу управления правами легко использовать и настраивать – она достаточно гибкая, и ее можно внедрять для защиты документов в организации. |
ДМИТРИЙ ПРОНЬКИН, инженер-системотехник, ведущий специалист. Обладает статусом Microsoft Trainer (MCT). Главное направление деятельности – системы защиты информации. Хобби – изучение ИТ-технологий, гитара, бильярд
Комментарии отсутствуют
| Добавить комментарий |
|
Комментарии могут оставлять только зарегистрированные пользователи |
|
