WindowsServer2008R2之二十五ADRMS信任策略

1、可以通過添加信任策略，讓 AD RMS 可以處理由不同的 AD RMS 群集進(jìn)行權(quán)限保護的內(nèi)容的授權(quán)請求。AD RMS信任策略包括以下幾種：1、受信任的用戶域。如果用戶的 權(quán)限帳戶證書 (RAC) 是由不同的 AD RMS 根群集頒發(fā)的，則通過添加可信用戶域，AD RMS 根群集可以處理這些用戶的客戶端許可方證書或使用許可證請求。通過導(dǎo)入要信任的 AD RMS 群集的服務(wù)器許可方證書，可添加可信用戶域。2、受信任的發(fā)布域。通過添加受信任的發(fā)布域，一個 AD RMS 群集可以根據(jù)由不同的 AD RMS 群集頒發(fā)的發(fā)布許可證來頒發(fā)使用許可證。通過導(dǎo)入要信任的服務(wù)器的服務(wù)器許可方證書和私鑰，可添加受

2、信任的發(fā)布域。3、Windows Live ID。通過設(shè)置與 Microsoft 的聯(lián)機 RMS 服務(wù)的信任關(guān)系，AD RMS 用戶可以將受權(quán)限保護的內(nèi)容發(fā)送到具有 Windows Live ID 的用戶。Windows Live ID 用戶將能夠使用來自已信任 Microsoft 的聯(lián)機 RMS 服務(wù)的 AD RMS 群集的受權(quán)限保護內(nèi)容，但是 Windows Live ID 用戶不能創(chuàng)建由 AD RMS 群集進(jìn)行權(quán)限保護的內(nèi)容。4、聯(lián)合信任。使用 Active Directory 聯(lián)合身份驗證服務(wù)，可以在兩個林之間建立聯(lián)合信任。當(dāng)一個林沒有安裝 AD RMS，但它的用戶需要使用另一個林的受

3、權(quán)限保護的內(nèi)容時，這將非常有用。 以下通過實驗介紹前兩種信任的建立方法。實驗環(huán)境：林,服務(wù)器R2ADRMSServer,DC,已部署好AD RMS。林,服務(wù)器YCRSRMSServer,DC,已部署好AD RMS。在進(jìn)行信任策略部署之前，分別在以上兩臺計算機建立了兩個受保護文檔hbycrsj.docx,ycrs.docx。權(quán)限為EveryONE讀取。實驗部署：一、部署可信任用戶域：允許其它RMS體系結(jié)構(gòu)中的用戶向本地RMS服務(wù)器申請UL（用戶許可）。即其它RMS體系結(jié)構(gòu)的中用戶打開本地RMS體系結(jié)構(gòu)中受保護文檔。在上面實驗環(huán)境中，假如林中的用戶要打開林中的受保護文檔hbycrsj.d

4、ocx.這種信任策略一般用在以下場景：在一個大企業(yè)，企業(yè)在許多相互獨立RMS結(jié)構(gòu)，要在某一個子公司打開另外一子公司的受保護文檔。過程：（以林中的用戶要打開林中的受保護文檔hbycrsj.docx為例）1、在YCRSRMSServer服務(wù)器上導(dǎo)出其服務(wù)器許可方證書SLC。打開AD RMS管理控制臺，右擊服務(wù)器，選擇屬性，選擇“服務(wù)器證書”。如下圖導(dǎo)出文件名為ycrsj.bin。2、在服務(wù)器R2ADRMSServer導(dǎo)入域的SLC文件(即上一步操作導(dǎo)出ycrs.bin文件）。打開AD RMS管理控制臺，選擇受保護的用戶域，選擇“導(dǎo)入受信任的用戶域”。如下圖3、在服務(wù)器R2ADRMSServer將I

5、IS服務(wù)器中Licensing虛擬目錄“匿名身份認(rèn)證”方式打開。4、增加Everyone對Licensing虛擬目錄下的license.asmx文件讀取權(quán)限。操作方法如下圖現(xiàn)在在ycrsrmsserver服務(wù)器就能打開hbycrsj.docx文件了。 二、部署受信任的發(fā)布域：允許本地服務(wù)器為其它RMS服務(wù)器發(fā)布的受保護的文檔發(fā)布UL。應(yīng)用場景：公司合并，需要整合現(xiàn)有獨立的RMS基礎(chǔ)架構(gòu)，取消多余的RMS授權(quán)服務(wù)器。例如：要將中的RMS合并到中，即在打開中受保護的文檔ycrs.docx.過程：1、在ycrsrmsserver服務(wù)器上，導(dǎo)出服務(wù)器的私鑰。文件名ycrs.xml.2、在r2adrmsserver導(dǎo)入受信任發(fā)布域的服務(wù)器私鑰(ycrs.xml)3、修改相應(yīng)的記錄以便打開受保護的文件時將請求發(fā)送到本地的RMS服務(wù)器?？梢栽谟蛑械膆osts文件，增加一條記錄重定向到y(tǒng)crsrmsserver。1